Činjenice slučaja
U avgustu 2023. godine pacijentica je na Googleu ostavila negativnu recenziju o hirurgiji specijaliste. U svojoj recenziji kritikovala je tretman koji je dobila. Navedeni specijalista je odgovorio detaljnim odgovorom u kojem je, između ostalog, otkrio medicinsku dijagnozu pacijentice ("iritacija mjesta ušća tetive").
Povjerenstvo za zaštitu podataka (DPA) saznalo je za ovaj incident i pokrenulo postupak izricanja administrativne novčane kazne protiv liječnika. DPA je smatrala objavljivanje dijagnoze kršenjem Opće uredbe o zaštiti podataka (GDPR), jer je to predstavljalo nezakonitu obradu posebnih kategorija ličnih podataka (zdravstvenih podataka).
Odluka Saveznog upravnog suda
Savezni upravni sud je u velikoj mjeri potvrdio odluku tijela za zaštitu podataka, ali je umanjio novčanu kaznu. Utvrđene su sljedeće ključne tačke:
- Nezakonita obrada zdravstvenih podataka: Objavljivanje dijagnoze u Google odgovoru od strane specijaliste predstavljalo je obradu posebnih kategorija ličnih podataka, što je dozvoljeno samo pod određenim uslovima (član 9. stavak 2. GDPR-a). Nijedan od tih izuzetaka nije bio ispunjen u ovom slučaju.
- Nema legitimnog interesa koji bi ovo opravdao: Liječnik je tvrdio da se mora braniti od negativne recenzije. Međutim, sud je utvrdio da to nije dovoljno opravdanje za objavljivanje osjetljivih zdravstvenih podataka.
- Kršenje principa minimizacije podataka: Prema članu 5. stavku 1. tački (c) GDPR-a, lični podaci se mogu koristiti samo u mjeri koja je neophodna za svrhu obrade. Nije bilo potrebno navesti dijagnozu kako bi se odgovorilo na kritiku.
- Olakšavajuće okolnosti: Ljekar je obriisao odgovor na Google recenziju nakon zahtjeva organa za zaštitu podataka i u potpunosti je sarađivao tokom postupka. Ove okolnosti dovele su do smanjenja izvorne novčane kazne sa 4.000 na 3.000 eura.
Pravna procjena i implikacije
Odluka Saveznog upravnog suda naglašava da kompanije i pružaoci usluga moraju strogo poštovati GDPR prilikom rukovanja online recenzijama. Objavljivanje osjetljivih ličnih podataka, kao što su zdravstvene informacije, posebno je osjetljivo. Sljedeće tačke su posebno relevantne za kompanije:
1. Pažljivo formulirajte svoje odgovore na Google recenzije
Preduzeća ne smiju otkrivati lične podatke svojih kupaca ili pacijenata u javnim odgovorima na recenzije. Činjeničan, opšti odgovor koji ne otkriva osjetljive informacije je pravno sigurniji.
2. Obuka osoblja o zaštiti podataka
Svi zaposleni koji se bave online recenzijama trebaju proći obuku o propisima o zaštiti podataka. To pomaže izbjeći skupe novčane kazne.
3. Korištenje internih komunikacijskih kanala
Ako pregled dotiče osjetljiva pitanja, preporučljivo je kontaktirati relevantnu osobu izravno, a ne javno. To pomaže spriječiti kršenja zaštite podataka.
4. Pravni savjet o kritikama
Kompanije, posebno one u zdravstvenom sektoru, trebaju potražiti pravni savjet ako su u nedoumici prije nego što odgovore na negativne recenzije. Povrede podataka mogu rezultirati ozbiljnim kaznama.
5. Zahtjev za uklanjanje neovlaštenih recenzija
Ako sama recenzija krši propise o zaštiti podataka, može se zatražiti od Googlea da je ukloni.
Zaključak
Odluka Saveznog upravnog suda važan je podsjetnik na to koliko osjetljivo treba biti rukovanje ličnim podacima u online recenzijama. Pružatelji zdravstvenih usluga, posebno, trebaju biti svjesni da čak i spominjanje dijagnoze može predstavljati kršenje GDPR-a. Stoga bi kompanije trebale usvojiti stroge politike zaštite podataka pri rukovanju Google recenzijama kako bi izbjegle skupe kazne.
ATB.LAW nudi sveobuhvatnu podršku u oblastima zaštite podataka, usklađenosti i parnica. Molimo kontaktirajte nas putem e-pošte na taudes@atb.law ili telefonom na +43 1 3912345.
