DSGVO und die Corona-Krise: Datenschutz darf kein Hindernis für die Rettung von Leben sein

Die Datenschutz-Grundverordnung, als sehr umfassender gesetzlicher Rahmen, enthält auch Regeln, die für die Verarbeitung personenbezogener Daten gelten, wie die aktuelle Situation mit dem Coronavirus, und ermöglicht eine rechtliche Grundlage für die Erhebung und Verarbeitung personenbezogener Daten durch Arbeitgeber und Gesundheitsbehörden ohne die Verpflichtung, die Zustimmung der betroffenen Person einzuholen. Diese Regel gilt, wenn die Verarbeitung personenbezogener Daten durch Arbeitgeber aus Gründen des öffentlichen Interesses im Bereich der öffentlichen Gesundheit oder zum Schutz lebenswichtiger Interessen erforderlich ist (wie in den Artikeln 6 und 9 der DSGVO vorgeschrieben) oder zur Erfüllung anderer rechtlicher Verpflichtungen.

Mit der kürzlich veröffentlichten offiziellen Stellungnahme des EDPB, dass Datenschutzregeln wie die DSGVO keine Maßnahmen verhindern, die im Kampf gegen die Pandemie des Coronavirus umgesetzt werden, hat die kroatische Aufsichtsbehörde AZOP eine gemeinsame Erklärung des Vorsitzenden des Beratenden Ausschusses für das Übereinkommen 108 und des Datenschutzbeauftragten des Europarats übermittelt, die an die Prinzipien des Datenschutzes in diesen Krisenzeiten erinnert.

Ich übermittle die Erklärung im Volltext, und die Originale beider Dokumente befinden sich am Ende des Artikels.

GEMEINSAME ERKLÄRUNG ZUM RECHT AUF DATENSCHUTZ IM KONTEXT DER COVID-19-PANDEMIE DES EUROPARATS

Die COVID-19-Pandemie (allgemein bekannt als Coronavirus) stellt ohne Präzedenzfälle Bedrohungen und Herausforderungen für Einzelpersonen und Länder auf der ganzen Welt dar. Die Notwendigkeit, ihre Ausbreitung zu stoppen und die Betroffenen zu heilen, ist ein Ziel, das von Völkern auf der ganzen Welt geteilt wird. Die Bemühungen der Weltgesundheitsorganisation, internationaler Organisationen, Regierungen, Gesundheitseinrichtungen und deren Mitarbeitern sowie von Unternehmen, die Ausbreitung des Virus in größerem Maßstab zu verhindern, um Leben zu retten und die Gesellschaft zu schützen, sind grenzenlos und sollten nachdrücklich unterstützt werden.

—

— 

Im Kontext der Demokratie müssen Staaten sich den Bedrohungen stellen, die sich aus der COVID-19-Pandemie für die Rechtsstaatlichkeit und die Menschenrechte ergeben, einschließlich des Rechts auf Privatsphäre und Datenschutz.

Um weitere Neuinfektionen einzudämmen, mussten Regierungen auf außergewöhnliche Maßnahmen zurückgreifen, einschließlich der Erklärung eines Ausnahmezustands in vielen Fällen. Obwohl die alarmierende öffentliche Gesundheitssituation in diesen Ländern die Einführung spezieller Regime rechtfertigte, sollte betont werden, dass während dieser begrenzten Zeiträume die Verwirklichung der Menschenrechte, wie sie in mehreren internationalen und nationalen Instrumenten (wie dem Internationalen Pakt über bürgerliche und politische Rechte und der Europäischen Menschenrechtskonvention) festgelegt ist, anwendbar ist und nicht ausgesetzt werden kann, sondern nur abgeleitet oder eingeschränkt werden kann, soweit es die Bedürfnisse der jeweiligen Situation strikt erfordert, wobei die Essenz der grundlegenden Rechte und Freiheiten zu respektieren ist.

Allgemeine Prinzipien und Regeln des Datenschutzes

Wenn es um das Recht auf Datenschutz geht, sollte zunächst festgestellt werden, dass das Übereinkommen 108 sowie das modernisierte „Übereinkommen 108+“ hohe Standards für den Schutz personenbezogener Daten festgelegt haben, die mit anderen grundlegenden Rechten und relevanten öffentlichen Interessen kompatibel und abgestimmt sind. Es ist wichtig zu erinnern, dass Datenschutz in keiner Weise ein Hindernis für die Rettung von Leben sein kann und dass die anwendbaren Prinzipien immer eine Abwägung der Interessen zulassen.

Gemäß dem Übereinkommen 108+ ist es auch in besonders schwierigen Situationen entscheidend, die Prinzipien des Datenschutzes zu respektieren. In diesem Sinne ist es entscheidend,:

• sicherzustellen, dass die Betroffenen über die Verarbeitung ihrer Daten informiert werden;
• personenbezogene Daten nur zu verarbeiten, wenn dies notwendig und verhältnismäßig für einen bestimmten, verfolgten legitimen Zweck ist;
• eine Folgenabschätzung durchzuführen, bevor die Verarbeitung beginnt;
• technischen und integrierten Datenschutz sicherzustellen und angemessene Sicherheitsmaßnahmen zum Schutz der Daten zu ergreifen, insbesondere wenn es um besondere Kategorien von Daten, wie gesundheitsbezogene Daten, geht;
• sicherzustellen, dass die Betroffenen das Recht haben, ihre Rechte auszuüben.

Eines der Hauptprinzipien des Datenschutzes, das im Übereinkommen 108+ festgelegt ist, ist das Prinzip der Rechtmäßigkeit, wonach die Datenverarbeitung entweder auf der Grundlage der Zustimmung des Betroffenen oder auf einer anderen rechtlichen Grundlage erfolgen kann. Es sollte angemerkt werden, dass, wie im Erläuterungsprotokoll zur Änderung des Übereinkommens zum Schutz von Personen bei der automatisierten Verarbeitung personenbezogener Daten ausdrücklich dargelegt, eine solche rechtliche Grundlage insbesondere die Verarbeitung von Daten umfasst, die für die lebenswichtigen Interessen von Personen erforderlich sind, und die Verarbeitung von Daten, die auf der Grundlage des öffentlichen Interesses erfolgt, wie im Fall der Überwachung einer lebensbedrohlichen Epidemie.

Zum Beispiel verhindert das Recht auf Datenschutz nicht, dass öffentliche Gesundheitsdienste Listen von Gesundheitsarbeitern (Namen und Kontaktdaten) mit Stellen austauschen, die mit der Verteilung von FFP2-Masken betraut sind. Es kann auch nicht behauptet werden, dass das Recht auf Datenschutz mit der epidemiologischen Überwachung unvereinbar ist, wobei betont wird, dass anonymisierte Daten nicht unter die Anforderungen des Datenschutzes fallen. Daher würde die Verwendung aggregierter Standortinformationen, um Versammlungen zu signalisieren, die gegen die Lockdown-Bedingungen verstoßen, oder um die Bewegungen von Personen zu kennzeichnen, die durch Gebiete reisen, die stark von der Pandemie betroffen sind (in Bezug auf die Anzahl positiver COVID-19-Fälle), nicht durch die Anforderungen des Datenschutzes verhindert werden.

Darüber hinaus bestätigt das „Übereinkommen 108+“ die Notwendigkeit von erlaubten Ausnahmen und Einschränkungen im Kontext von dringenden öffentlichen Interessen und lebenswichtigen Interessen von Personen. Einschränkungen seiner Prinzipien und Rechte müssen jedoch sehr klare Anforderungen erfüllen, selbst während eines Ausnahmezustands, um die fortwährende Achtung der Rechtsstaatlichkeit und der grundlegenden Rechte sicherzustellen. Nach dem Übereinkommen 108+ (Artikel 11) sind Ausnahmen „gesetzlich vorgesehen, respektieren die Essenz der grundlegenden Rechte und Freiheiten und stellen eine notwendige und verhältnismäßige Maßnahme in einer demokratischen Gesellschaft dar“.

Wenn Einschränkungen angewendet werden, müssen solche Maßnahmen nur vorübergehend und nur für einen Zeitraum ergriffen werden, der ausdrücklich auf den Ausnahmezustand beschränkt ist. Es ist auch entscheidend, spezifische Schutzmaßnahmen und die Gewährleistung zu etablieren, dass personenbezogene Daten nach Aufhebung des Ausnahmezustands vollständig geschützt sind. Dies sollte spezifische Maßnahmen und Verfahren umfassen, die mit der Rückkehr zum üblichen Datenverarbeitungsregime verbunden sind, wobei besonderes Augenmerk auf Datenbanken gelegt wird, die Gesundheitsdaten oder andere besondere Kategorien von Daten enthalten und/oder die für die Überwachung und Profilierung von Personen erstellt wurden, deren Verarbeitung während des Ausnahmezustands durchgeführt wurde. Die Datenschutzbehörden sind aufgefordert, die von den staatlichen Stellen in Bezug auf diese Bedingungen ergriffenen Maßnahmen sorgfältig zu bewerten.

Verarbeitung gesundheitsbezogener Daten

Vorausgesetzt, dass der Mensch im Vordergrund steht und dass professionelle Standards von führendem Wert im Bereich der Gesundheitsbehandlung akzeptiert werden, garantiert die Verarbeitung gesundheitsbezogener Daten die Achtung der Rechte und grundlegenden Freiheiten jedes Einzelnen, insbesondere des Rechts auf Privatsphäre und den Schutz personenbezogener Daten. In dieser Hinsicht bietet die Empfehlung CM/Rec (2019)2 zu gesundheitsbezogenen Daten spezifische Richtlinien. Ihre Bestimmungen zur Datenübertragung zwischen Gesundheitsfachleuten und zwischen dem Gesundheits- und anderen Sektoren sollten die Praxis einzelner Fachleute leiten. Ein spezielles Kapitel der Empfehlung ist der wissenschaftlichen Forschung gewidmet, die derzeit eines der Schlüsselbereiche der internationalen Zusammenarbeit im Kampf gegen COVID-19 ist.

Öffentliche Informationen, die von Gesundheits- und Regierungsbehörden bereitgestellt werden, sollten weiterhin von vorrangiger Bedeutung sein, um die Allgemeinheit zu schützen, zu informieren und zu beraten. Während solcher Berichterstattung sollte jedoch die Veröffentlichung sensibler Daten (wie gesundheitsbezogene Daten) bestimmter Personen vermieden werden, und es wird empfohlen, dass die Verarbeitung solcher Daten nur erfolgt, wenn zusätzliche technische und organisatorische Maßnahmen ergriffen werden, die die für nicht sensible Daten geltenden ergänzen.

Verarbeitung von großangelegten Daten

Da riesige Mengen an Daten und Datenbanken generiert werden, sollten die Vorteile von Datenverarbeitungstechniken und -technologien wie 'Big Data' und künstlicher Intelligenz in Umgebungen verarbeitet werden, die die Menschenwürde und den Datenschutz respektieren. Im Kontext von 'Big Data' und künstlicher Intelligenz hat das Komitee des Übereinkommens 108 geeignete Richtlinien entwickelt, die nützliche Werkzeuge für Entwickler und Regierungen sein können, um diese Prozesse so zu gestalten, dass sie vor Missbrauch oder unbeabsichtigten negativen Folgen schützen, einschließlich Diskriminierung von Einzelpersonen oder Gruppen von Einzelpersonen.

Transparenz und „Erklärbarkeit“ analytischer oder auf künstlicher Intelligenz basierender Lösungen, ein vorsorglicher Ansatz und eine Risikomanagementstrategie (einschließlich des Risikos der Re-Identifizierung im Falle anonymisierter Daten), der Fokus auf Datenqualität und -minimierung sowie die Rolle der menschlichen Aufsicht sind einige der Schlüsselpunkte, die bei der Entwicklung innovativer Lösungen zur Bekämpfung von COVID-19 zu berücksichtigen sind.

Verarbeitung von Daten durch Arbeitgeber

Während sie gleichzeitig die Öffentlichkeit und ihre Mitarbeiter schützen, stehen Arbeitgeber vor Schwierigkeiten, ihr Geschäft oder ihre Aktivitäten aufrechtzuerhalten, insbesondere wenn Mitarbeiter remote über Netzwerke arbeiten. Diese Praxis sollte jedoch nicht zu einer Überwachung der Mitarbeiter führen, einschließlich Videoüberwachung; nicht-invasive Maßnahmen sollten bei der Organisation und Festlegung der Arbeitsbedingungen in Betracht gezogen werden.

Unter den gegebenen Umständen müssen Arbeitgeber möglicherweise personenbezogene oder sensible Daten verarbeiten, die sie normalerweise nicht verarbeiten (wie Gesundheitsdaten); daher sollte daran erinnert werden, dass sie die Prinzipien der Notwendigkeit, Verhältnismäßigkeit und Verantwortlichkeit respektieren müssen. Sie sollten auch Prinzipien einhalten, die darauf abzielen, alle Risiken zu minimieren, die eine solche Verarbeitung für die Rechte und grundlegenden Freiheiten der Mitarbeiter darstellen kann, insbesondere für deren Recht auf Privatsphäre, wie in der Empfehlung CM/Rec (2015)5 zur Verarbeitung personenbezogener Daten im Kontext der Beschäftigung ausgeführt. Insbesondere sollten Arbeitgeber personenbezogene Daten nur verarbeiten, soweit dies notwendig ist, um potenziell exponierte Mitarbeiter zu identifizieren.

Wenn sie gesetzlich verpflichtet sind, bestimmte Daten an staatliche Stellen aus Gründen der öffentlichen Gesundheit weiterzugeben, werden sie aufgefordert, dies mit striktem Respekt für die grundlegende rechtliche Grundlage zu tun und notwendige Maßnahmen zu ergreifen, um nach Aufhebung des Ausnahmezustands zur „normalen“ Verarbeitung (einschließlich der dauerhaften Löschung) zurückzukehren.

Mobile, Computer Daten

Telekommunikationsunternehmen, Internetplattformen und Internetdienstanbieter sind ebenfalls aktiv am Kampf gegen die Ausbreitung von COVID-19 beteiligt und sind zunehmend verpflichtet, Abonnentendaten, personenbezogene Daten, die sie erheben, sowie andere Arten von Informationen mit öffentlichen Stellen zu teilen, um erheblich zur epidemiologischen Überwachung beizutragen, einschließlich der Analyse räumlicher Daten zur Bestimmung des Standorts potenziell infizierter Personen. Ebenso können private und öffentliche Stellen IT-Lösungen zur Epidemieüberwachung entwickeln.

Die Verarbeitung großangelegter personenbezogener Daten kann nur durchgeführt werden wenn sie auf wissenschaftlichen Beweisen basiert, die potenziellen gesundheitlichen Vorteile solcher digitalen Epidemieüberwachung (z. B. Kontaktverfolgung), einschließlich ihrer Genauigkeit, die Vorteile anderer alternativer Lösungen überwiegen, die weniger invasiv wären. Die Entwicklung dieser Überwachungslösungen sollte auf einer vorherigen Bewertung der wahrscheinlichen Auswirkungen der beabsichtigten Datenverarbeitung auf die Rechte und grundlegenden Freiheiten der Betroffenen basieren, und die Datenverarbeitung sollte so gestaltet sein, dass sie das Risiko von Eingriffen in Rechte und grundlegende Freiheiten verhindert oder mindert.

In Anbetracht der Prinzipien der Vorsicht und Verhältnismäßigkeit wird empfohlen, vorherige Tests in verschiedenen “Sandkästen“ durchzuführen, wie es bei verschiedenen möglichen Medikamenten der Fall ist, die in klinischen Studien getestet werden. Obwohl Echtzeitinformationen über die Ausbreitung des Virus für dessen Eindämmung von Bedeutung sein können, ist es notwendig zu betonen, dass die am wenigsten invasiven Lösungen immer priorisiert werden sollten.

Verarbeitung von Daten in Bildungssystemen

Schulen und Universitäten bemühen sich, Fähigkeiten und Ressourcen für das Fernlernen zu erhöhen, und die Lehrer selbst stehen vor der Herausforderung der Isolation. Bei der Betrachtung technischer Lösungen, die darauf abzielen, die Kontinuität der Bildungsarbeit sicherzustellen, sollte den datenschutzorientierten Konfigurationen Vorrang eingeräumt werden, beispielsweise hinsichtlich der Standardeinstellungen, damit die Nutzung von Anwendungen und Software nicht die Rechte der Betroffenen verletzt und auch nicht mehr Daten verarbeitet werden als notwendig, um den legitimen Zweck der Sicherstellung der Bildungscontinuity zu erreichen.

Es ist auch von größter Bedeutung, eine geeignete rechtliche Grundlage auszuwählen (einschließlich der Zustimmung der Eltern oder des gesetzlichen Vertreters, falls erforderlich) und den Eltern maximale Transparenz hinsichtlich der Verarbeitung der Daten ihrer Kinder zu bieten. Zusätzliche Richtlinien zur Verarbeitung personenbezogener Daten im Kontext der Bildung werden derzeit vom Ausschuss für das Übereinkommen 108 vorbereitet und werden Praktikern und Entscheidungsträgern dienen.

Während die Menschen schwierigen und bedrohlichen Zeiten gegenüberstehen, während sich die Situation schnell entwickelt und die Regierungen Maßnahmen zum Schutz der Bevölkerung ergreifen, müssen sie dies tun, ohne die Gesellschaft langfristig zu gefährden. Nur durch Einheit und Solidarität, mit vollem Respekt für die Rechtsstaatlichkeit, die Menschenrechte und die Demokratie, werden wir diese Situation ohne Vorurteile überwinden.

Die Originale des Dokuments sind hier (HR) und hier (ENG) verfügbar.

—

—