Preporuka utvrđuje postupak prema kojem države članice Europske unije mogu usvojiti skup praktičnih mjera s orijentacijom na sljedeće prioritete:

a) zajednički i koordinirani pristup korištenju mobilnih aplikacija koje osnažuju građane da poduzmu učinkovite i ciljanije mjere socijalnog distanciranja te pomažu u upozoravanju, sprečavanju i traženju kontakata kako bi se ograničilo širenje COVID-19; i

b) zajednički pristup korištenju anonimnih i agregiranih mobilnih podataka o lokaciji za

(1) izradu modela i predviđanje evolucije COVID-19;

(2) praćenje djelotvornosti mjera za suzbijanje širenja bolesti, poput mjera socijalnog distanciranja i zatvaranja; i

(3) pomoć u izradi koordinirane strategije za daljnji razvoj, uključujući ublažavanje mjera.

Digitalni alati mogu biti moćno oružje u borbi protiv trenutne zdravstvene krize.

Preporuka prepoznaje potencijalno kritičnu ulogu aplikacija upozorenja i praćenja u ograničavanju širenja virusa i prekidu prijenosnih lanaca. Razvijene su razne mobilne aplikacije usmjerene na COVID-19, neke od strane od javnih vlasti, uz istovremeno pozivanje od strane drugih država članica EU-a i privatnog sektora na koordinaciju na razini EU-a. Preporuka naglašava potrebu za razvijanjem zajedničkog pristupa EU-a odnosno instrumentarija za upotrebu ovih aplikacija i mobilnih podataka kako bi se izbjegla fragmentacija europskog unutarnjeg tržišta i osiguralo da aplikacije i podaci budu u skladu sa EU standardima zaštite podataka.

U tu svrhu, Preporuka naglašava da bi predloženi zajednički paket mjera trebao:

-          strogo ograničiti obradu osobnih podataka u svrhu borbe protiv COVID-19 i osigurati da se osobni podaci ne koriste u druge svrhe, poput provođenja kaznenog progona ili u komercijalne svrhe;

-          osigurati da se obrada ne proteže izvan onoga što je nužno potrebno, kroz redovite ponovne procjene potrebe za obradom takvih osobnih podataka i primjenom odgovarajućih klauzula o vremenskom važenju mjera;

-          poduzimati mjere kako bi se osiguralo da, nakon što obrada više nije strogo potrebna, predmetni osobni podaci budu uništeni, osim ako, prema savjetima etičkih odbora i tijela za zaštitu podataka EU, njihova znanstvena vrijednost u služenju javnom interesu nadmaši utjecaj prava dotične mjere, podliježući naravno odgovarajućim jamstvima.

Koordinirani pristup razvoju aplikacija za praćenje

Neposredni prioritet preporuke je zajednički EU pristup za mobilne aplikacije za COVID-19, koji bi zajednički razvili države članice EU i Europska komisija te uz savjetovanje s Europskim odborom za zaštitu podataka.

Ovaj pristup treba uključivati:

-          specifikacije za osiguranje učinkovitosti alata iz medicinske i tehničke perspektive;

-          mjere za izbjegavanje stavljanja u uporabu i širenja aplikacija koje nisu kompatibilne s pravom Unije;

-          mehanizmi upravljanja koja Europska tijela za javno zdravstvo mogu primijeniti u suradnji s Europskim centrom za kontrolu bolesti („ECDC“);

-          identificiranje dobre prakse i mehanizama za razmjenu informacija o funkcioniranju aplikacija; i

-          razmjenu podataka s relevantnim epidemiološkim javnim tijelima i javnozdravstvenim istraživačkim institucijama, uključujući dostavu prikupljenih podataka ECDC-u.

Preporuka također ističe posebna načela kojih se treba pridržavati u vezi s mobilnim aplikacijama za upozoravanje i prevenciju COVID-19, uključujući:

-          zaštitne mjere koje osiguravaju poštivanje temeljnih prava i sprječavanje stigmatizacije;

-          sklonost najmanje nametljivim, ali učinkovitim mjerama (kao što je uporaba anonimnih i agregiranih podataka kad je to moguće);

-          tehničke zahtjeve koji se odnose na odgovarajuće tehnologije (npr. Bluetooth Low Energy) za uspostavljanje blizine uređaja, enkripcije, sigurnosti podataka, pohrane podataka na mobilnom uređaju i potencijalnog pristupa zdravstvenih tijela;

-          učinkoviti zahtjevi za kibersigurnost kako bi se zaštitila dostupnost, autentičnost, integritet i povjerljivost podataka;

-          brisanje osobnih podataka dobivenih tim mjerama kad se utvrdi da je pandemija pod nadzorom;

-          prijenos podataka o blizini (proximity data) u slučaju potvrđene infekcije i odgovarajućih metoda upozoravanja onih koji su bili u bliskom kontaktu sa zaraženom osobom (koji bi trebali ostati anonimni); i

-          zahtjevi za transparentnost u odnosu na aplikacije.

Zajednički pristup za predviđanje i izrade modela širenja bolesti i razvijanja izlaznih strategija

Drugi prioritet je razvijanje zajedničkog pristupa u odnosu na upotrebu anonimnih i agregiranih mobilnih podataka o lokaciji, za modeliranje i predviđanje širenja bolesti, optimiziranje mjera obuzdavanja i priprema izlaznih strategija i/ili ublažavanja primijenjenih mjera.

Ovaj zajednički pristup trebao bi između ostalog rješavati sljedeće:

-          savjet državnim tijelima o traženju od telekom operatera da razjasne svoju metodologiju za anonimiziranje podataka o lokaciji;

-          zaštitne mjere za sprečavanje deanonimizacije;

-          brisanje podataka u roku od 90 dana, ili u svakom slučaju najkasnije kad se bude smatralo da je pandemija pod nadzorom; i

-          ograničavanjem obrade podataka na odgovarajuće svrhe i općenito zabranom dijeljenja podataka s bilo kojim trećim stranama.

Sljedeći koraci

Zajedno sa Komisijom i u suradnji sa Europskim odborom za zaštitu podataka (EDPB) države članice trebale su oblikovati paket mjera za ostvarivanje paneuropskog pristupa primjeni mobilnih aplikacija do 15. travnja 2020. Dopunit će ga se dodatnim smjernicama Europske komisije o implikacijama na privatnost i zaštitu podataka u vezi s mobilnim aplikacijama COVID-19.

Do 31. svibnja 2020. države članice EU-a trebaju Europskoj komisiji prijaviti radnje poduzete u skladu s Preporukom. Te bi mjere trebale biti dostupne drugim državama članicama i Europskoj komisiji radi stručnog ocjenjivanja. Države članice EU-a i Europska komisija mogu podnijeti svoja zapažanja i primjedbe o takvim mjerama.

Od lipnja 2020. Europska komisija ocjenjivat će ostvareni napredak i objavljivati periodična izvješća te može dati daljnje preporuke državama članicama EU-a, uključujući preporuke za postupno ukidanje mjera koje više nisu potrebne.

EUROPSKI ODBOR ZA ZAŠTITU PODATAKA

Na temelju predmetne Preporuke, Europski odbor za zaštitu podataka 14. travnja 2020. godine objavio je na svojim web stranicama pismo kojim je odgovorio na traženje Komisije da pruži dodatne smjernice i savjete u pogledu razvijanja mobilnih aplikacija u svrhu borbe protiv Covid-19, u skladu s ulogom koja mu je povjerena Općom uredbom o zaštiti podataka.

Iako Odbor još uvijek nije donio svoje smjernice (donošenje je planirano u što kraćem roku, s obzirom na hitnost situacije, a planira se donošenje više smjernica koje bi pokrivali razne aspekte), u objavljenom dokumentu iznio je neke općenite primjedbe.¹

Aplikacije moraju biti razvijane na odgoviran način, uz primjenu procjene učinka na zaštitu podataka (članak 35. Opće uredbe) za sve implementirane mehanizme, koji moraju biti razvijeni uvažavajući principe privatnosti po dizajnu (privacy by design) i predefinirane privatnosti (privacy by default).

Posebnu pažnju Odbor daje uporabi aplikacija u svrhu praćenja i upozoravanja, gdje je potrebno pronaći ravnotežu između minimalnog upletanja u privatni život pojedinca i obrade osobnih podataka koja za svrhu ima očuvanje javnog zdravlja.

Smatra se da takve aplikacije mogu postići svoju maksimalnu učinkovitost samo ako ih bude koristio najveći mogući udio ljudi u određenoj populaciji, i da treba izbjeći bilo kakvu neujednačenost u njihovoj primjeni.

Slijedeći upute Komisije iz Preporuke, Odbor smatra da prihvaćanje takvih aplikacija mora biti na dobrovoljnoj osnovi, jer to ujedno znači i postojanje povjerenja javnosti u mjere koje se koriste.

Međutim, sama činjenica da bi se takve aplikacije trebale koristiti dobrovoljno, ne znači da je u tom slučaju osnova za obradu osobnih podataka pojedinca privola, nego izvršavanje zadataka u javnom interesu.

Pravnom osnovom za korištenje aplikacije moglo bi se smatrati nacionalno zakonodavstvo koje će promovirati korištenje tih aplikacija. Iako će, dakle, postojati zakonska osnova, takve zakonodavne intervencije neće smjeti biti izlika za prisilu na korištenje odgovarajućih aoplikacija, jer će se pojedincu morati dati pravo da dobrovoljno instalira ili da dobrovoljno i bez ikakvih sankcija prestane koristiti mobilnu aplikaciju koja prati njegovo zadravstveno stanje.

Donošenje ovakvih zakona trebalo bi biti popraćeno i odgovarajućim javnim kampanjama kojima se podiže razina osviještenosti, uz pomoć ugroženijim skupinama u populaciji (maloljetnici, starije osobe, niže obrazovane osobe i slični). Manjak podataka koji se može pojaviti zbog nepažljivog korištenja aplikacije može itekako dovesti tada u pitanje opću korisnost takvih instrumenata.

Aplikacije koje prate kontakte pojedinca ne zahtijevaju praćenje lokacije individualnih korisnika, smatra Odbor. Praćenje lokacije bi u tom slučaju bilo u suprotnosti sa načelom minimizacije podataka, i stvorilo bi velike rizike kako za sigurnost, tako i za privatnost.

Što se može smatrati situacijom koja je podobna za praćenje je odluka koju bi trebali biti kvalificirani za donijeti jedino zdravstveno stručnjaci i znanstvenici.

Što se pohrane podataka tiče, dva su pristupa, koja Odbor smatra jednakovrijednim mogućnostima, a radi se o lokalnoj pohrani podataka ili o centraliziranoj pohrani. Ono što je bitno u svakom slučaju je da se kod pohrane podataka osiguraju odgovarajuće sigurnosne mjere, i da bi se trebalo uvažavati načelo minimizacije podataka.

Svrha ovih aplikacija svakako ne smije biti da postanu svojevrsne društvene platforme za širenje panike ili za bilo kakve oblike stigmatizacije, nego isključivo za identifikaciju osoba koje su bile u kontaktu sa zaraženom osobom, samoizolacije, testiranja, te pružanje savjeta o daljnjim koracima u slučaju da razviju simptome bolesti.

Potrebno je osigurati točnost ovih podataka, a u bilo kakav osobni pojedinačni kontakt sa zaraženom osobmom trebali bi stupiti samo kvalificirane osobe – zdravstveni djelatnici. Aplikacija mora biti ustrojena na način da nije moguće izvršiti identifikaciju osobe na temelju savjeta koji dobije od stručne osobe, i niti jedan dio aplikacije ne bi smio sadržavati identificirajuće elemente koji bi doveli do stigmatizacije zaraženih osoba.

Preporuka je Odbora da se nikakvi podaci koji mogu poslužiti za izravnu identifikaciju osobe ne pohranjuju na uređaj korisnika, te da se takvi podaci izbrišu što je prije moguće.

Konačno je naglašeno da se prihvaća princip iz Preporuka koji zahtijeva stavljanje izvan uporabe, te brisanje ili anonimiziranje svih razvijenih sustava i aplikacije u svrhu borbe protiv Covid-19 čim se proglase uvjeti za prestanak pandemije.

Tihana Kozina Barišić

___________________________________________

^ 1 Odbor je 19. ožujka ove godine izdao priopćenje o načinu obrade osobnih podataka u uvjetima proglašene pandemije, dostupno ovdje: https://edpb.europa.eu/our-work-tools/our-documents/other/statement-processing-personal-data-context-covid-19-outbreak_en (pristupljeno 16. 04. 2020.).