Činjenice slučaja
U kolovozu 2023. pacijentica je na Googleu ostavila negativnu recenziju o specijalističkoj ordinaciji. U svojoj je recenziji kritizirala liječenje koje je primila. Spomenuti specijalist odgovorio je detaljnim odgovorom u kojem je, između ostalog, otkrio medicinsku dijagnozu pacijentice ("iritacija mjesta ušivanja tetive").
Povjerenstvo za zaštitu podataka (DPA) saznalo je za ovaj incident i pokrenulo postupak izricanja upravne novčane kazne protiv liječnika. DPA je smatrala objavu dijagnoze kršenjem Opće uredbe o zaštiti podataka (GDPR), budući da je to predstavljalo nezakonitu obradu posebnih kategorija osobnih podataka (zdravstvenih podataka).
Odluka Saveznog upravnog suda
Savezni upravni sud u velikoj je mjeri potvrdio odluku tijela za zaštitu podataka, ali je smanjio novčanu kaznu. Utvrđene su sljedeće ključne točke:
- Nezakonita obrada zdravstvenih podataka: Objavljivanje dijagnoze u Google odgovoru od strane specijalista predstavljalo je obradu posebnih kategorija osobnih podataka, što je dopušteno samo pod određenim uvjetima (članak 9. stavak 2. GDPR-a). Nijedan od tih iznimaka nije bio ispunjen u ovom slučaju.
- Nema legitimnog interesa za opravdanje obrade: Liječnik je tvrdio da se mora obraniti od negativne recenzije. Međutim, sud je presudio da to nije dovoljan razlog za objavljivanje osjetljivih zdravstvenih podataka.
- Kršenje načela minimizacije podataka: Prema članku 5. stavku 1. točki c) Uredbe (EU) 2016/679, osobni podaci mogu se koristiti samo u mjeri potrebnoj za svrhu obrade. Nije bilo potrebno navesti dijagnozu kako bi se odgovorilo na kritiku.
- Olakšavajuće okolnosti: Liječnik je izbrisao odgovor na Google recenziju nakon zahtjeva tijela za zaštitu podataka i u potpunosti je surađivao tijekom postupka. Te su okolnosti dovele do smanjenja izvorne novčane kazne s 4.000 na 3.000 eura.
Pravna procjena i implikacije
Odluka Saveznog upravnog suda naglašava da tvrtke i pružatelji usluga moraju strogo poštivati GDPR pri rukovanju internetskim recenzijama. Objavljivanje osjetljivih osobnih podataka, poput zdravstvenih informacija, posebno je osjetljivo. Sljedeće točke su posebno relevantne za tvrtke:
1. Pažljivo formulirajte svoje odgovore na Google recenzije
Poduzeća ne smiju otkrivati nikakve osobne podatke svojih kupaca ili pacijenata u javnim odgovorima na recenzije. Činjeničan, općenit odgovor koji ne otkriva nikakve osjetljive informacije je pravno sigurniji.
2. Obuka osoblja o zaštiti podataka
Svi zaposlenici koji se bave online recenzijama trebali bi proći obuku o propisima o zaštiti podataka. To pomaže izbjeći skupe novčane kazne.
3. Korištenje internih komunikacijskih kanala
Ako pregled dotiče osjetljiva pitanja, preporučljivo je izravno kontaktirati osobu o kojoj je riječ, umjesto da se to čini javno. To pomaže spriječiti kršenja zaštite podataka.
4. Pravni savjet o kritičkim recenzijama
Tvrtke, osobito one u zdravstvenom sektoru, trebale bi potražiti pravni savjet ako su u nedoumici prije nego što odgovore na negativne recenzije. Povrede podataka mogu rezultirati teškim kaznama.
5. Zahtjev za uklanjanje neovlaštenih recenzija
Ako sama recenzija krši propise o zaštiti podataka, može se zatražiti od Googlea da je ukloni.
Zaključak
Odluka Saveznog upravnog suda važan je podsjetnik na to koliko osjetljivo mora biti rukovanje osobnim podacima u internetskim recenzijama. Posebno bi pružatelji zdravstvenih usluga trebali biti svjesni da i samo spominjanje dijagnoze može predstavljati kršenje GDPR-a. Stoga bi tvrtke trebale usvojiti stroge politike zaštite podataka pri rukovanju Google recenzijama kako bi izbjegle skupe kazne.
ATB.LAW nudi sveobuhvatnu podršku u područjima zaštite podataka, usklađenosti i parnica. Molimo kontaktirajte nas putem e-pošte na taudes@atb.law ili telefonom na +43 1 3912345.
