EDPB besvarer spørgsmål i relation til COVID-19

USA’s mission ved Den Europæiske Union forhørte sig om muligheden for at overføre sundhedsdata i forbindelse med det internationale samarbejde om at udvikle en vaccine. Missionen spurgte ind til muligheden for at anvende undtagelserne i art. 49 i GDPR for at gøre den internationale deling af data nemmere. Art. 49 fastsætter specifikke betingelser for overførsel af personoplysninger til tredjelande eller internationale organisationer i særlige situationer.

EDPB svarede, at COVID-19 er anerkendt som en vigtig samfundsinteresse, som kan gøre det nødvendigt at overføre persondata til tredjelande eller internationale organisationer til brug for forskning. EDPB bemærkede, at GDPR-reglerne beskytter grundlæggende databeskyttelseshensyn i EØS, men samtidig giver mulighed for et samarbejde imellem forskere fra både EØS og uden for EØS til bekæmpelse af COVID-19.

Man skal derfor tage hensyn til beskyttelsen af den registreredes grundlæggende rettigheder, når data bliver overført uden for EØS – man skal fx tage hensyn til artikel 45 (overførsler baseret på en afgørelse om tilstrækkeligheden af beskyttelsesniveauet) og artikel 46 (overførsler omfattet af fornødne garantier), men myndigheder og private enheder kan støtte sig på undtagelserne i art. 49, hvis der hverken foreligger en afgørelse efter art. 45 eller en fornøden garanti efter art. 46. Ifølge EDPB giver GDPR-reglerne derfor både en beskyttelse af den registreredes rettigheder, men gør også international overførsel af sundhedsdata mulig for at imødegå situationen under COVID-19.

I et svar til to parlamentsmedlemmer svarede EDPB, at databeskyttelsesreglerne allerede tager hensyn til databehandlingsaktiviteter, der er nødvendige til at bidrage til bekæmpelsen af en epidemi. EDPB henviste til sine tidligere retningslinjer for problemer relateret til sporingsværktøjer, og sine retningslinjer om behandling af sundhedsdata til brug for forskning i relation til COVID-19. EDPB bemærkede, at GDPR-reglerne er designet til at være fleksible, så de både kan imødegå udfordringer og samarbejde under en pandemi og samtidig beskytte grundlæggende menneskerettigheder og frihedsrettigheder.

EDPB tog ligeledes stilling til to breve, der spurgte ind til de nyeste teknologier, der er under udvikling til brug for bekæmpelse af COVID-19. EDPB henviste i denne forbindelse til sine retningslinjer om lokationsdata og sporings-apps, hvor det fremgår, at man ved brug af disse former for teknologi skal anvende så lidt data som muligt; at teknologierne skal bruges frivilligt og ikke skal kunne spore individuelle bevægelser, men i stedet for skal bruge information fra såkaldte nærhedssensorer (proximity sensors).

EDPB henviste i alle sine svar til de retningslinjer, der blev fremlagt på det 23. plenarmøde den 21. april 2020. Her fremlagde EDPB retningslinjer for databehandling af sundhedsdata til brug for forskning i relation til COVID-19 og også retningslinjer om geolokation og andre sporingsmetoder i relation til COVID-19.

Retningslinjerne har til formål at besvare spørgsmål vedrørende grundlaget for behandling af sundhedsdata; muligheden for en videre databehandling af sundhedsdata til brug for forskning, den registreredes rettigheder og implementeringen af fornødne garantier.

Retningslinjerne om geolokation og andre sporingsværktøjer har blandt andet til formål at præcisere betingelserne og principperne for anvendelsen af lokationsdata. Retningslinjerne præciserer blandt andet, hvilke betingelser der gælder i forhold til lokationsdata, som anvendes til at holde øje med spredningen af virussen og for at vurdere effektiviteten af foranstaltninger. Af retningslinjerne fremgår også hvilke GDPR-regler, der er relevante i forhold til kontaktsporing, som anvendes til nemmere at underrette individer, der har været i nærhed af bekræftede virus-tilfælde. EDPB lægger især vægt på, at der til brug for databehandling under COVID-19 altid skal tages hensyn til principperne om effektivitet, nødvendighed og proportionalitet.