DÔVODOVÁ SPRÁVA

A. Všeobecná časť

Ministerstvo zdravotníctva Slovenskej republiky predkladá návrh zákona, ktorým sa mení a dopĺňa zákon č. 355/2007 Z. z. o ochrane, podpore a rozvoji verejného zdravia a o zmene a doplnení niektorých zákonov v znení neskorších predpisov a ktorým sa mení a dopĺňa zákon č. 351/2011 Z. z. o elektronických komunikáciách v znení neskorších predpisov (ďalej len „návrh zákona“).

Účelom návrhu zákona je podporiť uplatňovanie a dodržiavania proti epidemiologických opatrení v čase mimoriadnej situácie vyvolanej pandémiou ochorenia COVID-19 proporcionálnym a ústavne konformným spôsobom.

Aktuálny skutkový stav v čase prijímania tohto návrhu zákona je taký, že je nariadená povinná štátna alebo domáca karanténa / izolácia (ďalej len označované spoločne len ako „karanténa“) pre takmer všetky osoby, ktoré vstúpia na územie Slovenskej republiky zo zahraničia a zároveň pre osoby, ktoré boli v kontakte s ďalším okruhom osôb. Tieto opatrenia boli zavedené Úradom verejného zdravotníctva Slovenskej republiky (ďalej len „úrad verejného zdravotníctva“) na základe zákona č. 355/2007 Z. z. o ochrane, podpore a rozvoji verejného zdravia a o zmene a doplnení niektorých zákonov. Práve z dôvodu vynucovania povinnej štátnej karantény pri vstupe na územie Slovenskej republiky boli vyčlenené rôzne kapacity štátnych účelových zariadení ako aj ďalších ubytovacích zariadení orgánov verejnej správy. Aktuálne kapacity štátnych karanténnych zariadení sú maximálne vyťažené a v prípade akejkoľvek ďalšej zvýšenej potreby o ubytovanie osôb budú vystavené nezvládnuteľnej situácii. Prirodzeným očakávaním vlády pri uvoľňovaní najprísnejších opatrení a obmedzení v súvislosti s pandémiou je, že táto zvýšená potreba môže nastať. Existujú teda dve skupiny osôb, a to: (i) osoby, ktoré sú povinné absolvovať karanténu v štátnom zariadení pod sprísneným štátnym dohľadom; a (ii) osoby, ktoré majú povinnosť absolvovať karanténu v domácom prostredí, bez sprísneného štátneho dohľadu. Prekážkami, ktoré boli v praxi identifikované sú nasledovné.

Vo vzťahu k štátnej karanténe; jej dodržiavanie pod sprísneným štátnym dohľadom je síce zabezpečené na vysokej úrovni, ale nie je možné objektívne navyšovať kapacity štátnej karantény. Taktiež verejnosť nevníma štátnu karanténu pozitívne, ale ako opatrenie ktoré pôsobí pomerne reštriktívne. Jednak z dôvodu negatívnych správ v médiách ale aj z dôvodu samotnej skutočnosti, že osoby prichádzajúce zo zahraničia nemajú inú možnosť ako podrobiť sa pobytu v štátnom zariadení. Štátna karanténa síce plní svoj účel, ale bolo by vhodnejšie identifikovať opatrenie, ktoré by súčasne:

i.odbremenilo kapacity štátnych karanténnych zariadení;

ii.pôsobilo by menej invazívnym spôsobom na osoby prichádzajúce na územie Slovenskej republiky zo zahraničia; ale zároveň

iii.poskytovalo porovnateľnú úroveň dodržiavania karanténnych opatrení ako v prípade povinnej štátnej karantény.

Zároveň by však dané opatrenie malo byť legitímnym, nevyhnutným a proporcionálnym opatrením v demokratickej spoločnosti vo vzťahu k sledovanému cieľu, ktorým je ochrana života a zdravia v súvislosti so šírením nového korona vírusu.

Identifikovaným alternatívnym opatrením, ktoré spĺňa vyššie uvedené atribúty bude používanie dvoch mobilných aplikácií dostupných pre operačné systémy iOS a Android, ktoré sú predmetom predkladaného návrhu zákona. Po vzore odporúčaní Európskej komisie k aplikáciám monitorujúcim kontakty medzi infikovanými osobami je rozhodnutie o tom, či osoba bude používať mobilnú aplikáciu dobrovoľné, nakoľko vždy existujú aj iné alternatívy

ako používanie aplikácie. Používanie mobilných aplikácií je preto v návrhu zákona chápané v prvom rade ako výnimka z povinnej štátnej karantény a zároveň možnosť pre ostatné osoby.

Návrhom zákona sa nenavrhuje plošné používanie mobilnej aplikácie pre všetky osoby, na ktoré sa vzťahuje karanténna povinnosť (po vzore Poľska), nakoľko odporúčaným európskym prístupom by malo byť dobrovoľné používanie mobilnej aplikácie. Avšak, ak sa mobilnú aplikáciu rozhodne používať osoba, ktorá by inak mala povinnosť podriadiť sa povinnej štátnej alebo domácej karanténe, tejto osobe vznikne povinnosť používať aplikáciu určitým spôsobom, tak aby boli dodržané ciele popísané vyššie. Tieto spôsoby sa týkajú najmä umožnenia určitých funkcionalít mobilnej aplikácie, ako je bližšie vysvetlené v osobitnej časti.

Znenie návrhu zákona výslovne počíta s konkrétnymi mobilnými aplikáciami hoci výslovne nespomína žiadny názov aplikácií. Zámerom zákonodarcu je výslovne upraviť dva konkrétne typy mobilnej aplikácie. Prvým typom je mobilná aplikácia na monitorovanie dodržiavania nariadenej izolácie a druhým typom je mobilná aplikácia na monitorovanie kontaktov s inými zaradeniami. Nejde teda o žiadne iné aplikácie v správe alebo prevádzke úradu verejného zdravotníctva alebo Národného centra zdravotníckych informácií.

Dôvodom tohto postupu je dynamický vývoj v oblasti mobilných aplikácií a najmä avizované zmeny zo strany operačných systémov iOS a Android v súvislosti s trasovaním kontaktov.

Pri prevádzkovaní uvedených mobilných aplikácií je potrebné zohľadniť opodstatnenosť zásahov do základného ľudského práva na rešpektovanie súkromného a rodinného života podľa čl. 8 Dohovoru. Charta EÚ ďalej rozlišuje medzi právom na rešpektovanie súkromného a rodinného života podľa čl. 7 a právom na ochranu osobných údajov podľa čl. 8.

Článok 7 Charty EÚ:

„Každý má právo na rešpektovanie svojho súkromného a rodinného života, obydlia a komunikácie.“

Článok 8 Charty EÚ:

„1. Každý má právo na ochranu osobných údajov, ktoré sa ho týkajú.

2. Tieto údaje musia byť riadne spracované na určené účely na základe súhlasu dotknutej osoby alebo na inom oprávnenom základe ustanovenom zákonom. Každý má právo na prístup k zhromaždeným údajom, ktoré sa ho týkajú, a právo na ich opravu.

3. Dodržiavanie týchto pravidiel podlieha kontrole nezávislého orgánu.“

K ochrane súkromia elektronickej komunikácie smeruje v tomto kontexte predovšetkým čl. 5 ods. 3 tzv. ePrivacy smernice (2002/58/ES) implementovaný do § 55 ods. 5 a 6 zákona o elektronických komunikáciách:

„(5) Každý, kto ukladá alebo získava prístup k informáciám uloženým v koncovom zariadení užívateľa, je na to oprávnený iba ak dotknutý užívateľ udelil súhlas na základe jasných a úplných informácií o účele ich spracovania; za súhlas na tento účel sa považuje aj použitie príslušného nastavenia webového prehliadača alebo iného počítačového programu. Povinnosť získania súhlasu sa nevzťahuje na orgán činný v trestnom konaní a iný orgán štátu. To nebráni technickému uloženiu údajov alebo prístupu k nim, ktorých jediným účelom je prenos alebo uľahčenie prenosu správy prostredníctvom siete, alebo ak je to bezpodmienečne potrebné pre poskytovateľa služieb informačnej spoločnosti na poskytovanie služby informačnej spoločnosti, ktorú výslovne požaduje užívateľ.

(6) Iným orgánom štátu na účely tohto zákona je ozbrojený bezpečnostný zbor, ozbrojený zbor a štátny orgán, ktorý v rozsahu ustanovenom osobitnými predpismi42) plní úlohy na úseku ochrany ústavného zriadenia, obrany štátu, vnútorného poriadku, bezpečnosti štátu a správy daní. Iný orgán štátu na účely plnenia úloh na úseku ochrany ústavného zriadenia, vnútorného poriadku, bezpečnosti

štátu, obrany štátu a správy daní môže spracúvať a uchovávať údaje účastníkov získané od podniku podľa tohto zákona.“

K ochrane osobných údajov smeruje všeobecné nariadenie o ochrane údajov (2016/679) (ďalej len „GDPR“).

Podľa čl. 6 ods. 1 písm. e) GDPR platí, že:

„Spracúvanie je zákonné iba vtedy a iba v tom rozsahu, keď je splnená aspoň jedna z týchto podmienok: e) spracúvanie je nevyhnutné na splnenie úlohy realizovanej vo verejnom záujme alebo pri výkone verejnej moci zverenej prevádzkovateľovi“

Podľa čl. 6 ods. 2 GDPR platí, že:

„Členské štáty môžu zachovať alebo zaviesť špecifickejšie ustanovenia s cieľom prispôsobiť uplatňovanie pravidiel tohto nariadenia s ohľadom na spracúvanie v súlade s odsekom 1 písm. c) a e), a to presnejším stanovením osobitných požiadaviek na spracúvanie a stanovením ďalších opatrení, ktorými sa zaistí zákonné a spravodlivé spracúvanie, vrátane požiadaviek na iné osobitné situácie spracúvania stanovené v kapitole IX.“

Podľa čl. 6 ods. 3 GDPR platí, že:

„Základ pre spracúvanie uvedené v odseku 1 písm. c) a e) musí byť stanovený: a) v práve Únie alebo b) v práve členského štátu vzťahujúcom sa na prevádzkovateľa. Účel spracúvania sa stanoví v tomto právnom základe, alebo pokiaľ ide o spracúvanie uvedené v odseku 1 písm. e), spracúvanie je nevyhnutné na splnenie úlohy realizovanej vo verejnom záujme alebo pri výkone verejnej moci zverenej prevádzkovateľovi. Uvedený právny základ môže obsahovať osobitné ustanovenia na prispôsobenie uplatňovania pravidiel tohto nariadenia, vrátane: všeobecných podmienok vzťahujúcich sa na zákonnosť spracúvania prevádzkovateľom; typov spracúvaných údajov; dotknutých osôb; subjektov, ktorým sa môžu osobné údaje poskytnúť, a účely, na ktoré ich možno poskytnúť; obmedzenia účelu; doby uchovávania; a spracovateľských operácií a postupov vrátane opatrení na zabezpečenie zákonného a spravodlivého spracúvania, ako napríklad tie na iné osobitné situácie spracúvania, ako sú stanovené v kapitole IX. Právo Únie alebo právo členského štátu musí spĺňať cieľ verejného záujmu a byť primerané sledovanému oprávnenému cieľu.“

Podľa recitálu 4 GDPR platí, že:

„Spracúvanie osobných údajov by malo byť určené na to, aby slúžilo ľudstvu. Právo na ochranu osobných údajov nie je absolútne právo; musí sa posudzovať vo vzťahu k jeho funkcii v spoločnosti a musí byť vyvážené s ostatnými základnými právami, a to v súlade so zásadou proporcionality.“

Podľa recitálu 41 GDPR platí, že:

„Keď sa v tomto nariadení odkazuje na právny základ alebo legislatívne opatrenie, nemusí sa tým nevyhnutne vyžadovať legislatívny akt prijatý parlamentom, bez toho, aby boli dotknuté požiadavky vyplývajúce z ústavného poriadku dotknutého členského štátu. Takýto právny základ alebo legislatívne opatrenie by však mali byť jasné a presné a ich uplatňovanie by malo byť predvídateľné pre tie osoby, na ktoré sa vzťahujú, a to v súlade s judikatúrou Súdneho dvora Európskej únie (ďalej len „Súdny dvor“) a Európskeho súdu pre ľudské práva.“

Podľa recitálu 8 GDPR platí, že:

„Ak sa v tomto nariadení stanovuje, že právo členského štátu má spresniť alebo obmedziť jeho pravidlá, členské štáty môžu, pokiaľ je to nevyhnutné pre súdržnosť a dosiahnutie lepšej zrozumiteľnosti vnútroštátnych predpisov pre osoby, na ktoré sa vzťahujú, začleniť prvky tohto nariadenia do svojho vnútroštátneho práva.“

Podľa recitálu 10 GDPR platí, že:

„Týmto nariadením sa tiež členským štátom dáva priestor na spresnenie svojich pravidiel vrátane pravidiel spracúvania osobitných kategórií osobných údajov (ďalej len „citlivé údaje“). V danom rozsahu toto nariadenie nevylučuje právo členského štátu, ktorým sa vymedzujú okolnosti špecifických

spracovateľských situácií vrátane presnejšieho stanovenia podmienok, za ktorých je spracúvanie osobných údajov v súlade so zákonom.“

Podľa recitálu 19 GDPR platí, že:

„Pokiaľ ide o spracúvanie osobných údajov uvedenými príslušnými orgánmi na účely patriace do rozsahu pôsobnosti tohto nariadenia, členské štáty by mali mať možnosť ponechať v platnosti alebo zaviesť podrobnejšie ustanovenia s cieľom prispôsobiť uplatňovanie pravidiel stanovených v tomto nariadení. V takýchto ustanoveniach sa môžu podrobnejšie stanoviť osobitné požiadavky na spracúvanie osobných údajov uvedenými príslušnými orgánmi na uvedené iné účely, pričom sa v nich zohľadní ústavná, organizačná a administratívna štruktúra príslušného členského štátu.“

Podľa recitálu 45 GDPR platí, že:

„Ak sa spracúvanie vykonáva v súlade so zákonnými povinnosťami, ktoré má prevádzkovateľ, alebo ak je spracúvanie potrebné na splnenie úlohy realizovanej vo verejnom záujme alebo z úradnej moci, základ pre spracúvanie by mal existovať v práve Únie alebo v práve členského štátu. Týmto nariadením sa nevyžaduje, aby pre každé jednotlivé spracúvanie existoval osobitný právny predpis. Za dostatočný možno považovať právny predpis, ktorý je základom pre viaceré spracovateľské operácie založené na zákonnej povinnosti, ktorá sa vzťahuje na prevádzkovateľa, alebo ak je spracúvanie nevyhnutné na splnenie úlohy realizovanej vo verejnom záujme alebo pri výkone verejnej moci. Na základe práva Únie alebo práva členského štátu by sa tiež malo rozhodovať o účele spracúvania. Okrem toho by toto právo mohlo spresniť všeobecné podmienky tohto nariadenia, ktoré sa týkajú zákonnosti spracúvania osobných údajov, stanoviť špecifikácie na určenie prevádzkovateľa, typu osobných údajov, ktoré podliehajú spracúvaniu, príslušných dotknutých osôb, subjektov, ktorým môžu byť osobné údaje poskytnuté, obmedzenia účelu, doby uchovávania a iných opatrení s cieľom zabezpečiť zákonné a spravodlivé spracúvanie. V práve Únie alebo v práve členského štátu by malo byť takisto stanovené, či by prevádzkovateľom vykonávajúcim úlohu vo verejnom záujme alebo pri výkone verejnej moci mal byť orgán verejnej moci alebo iná fyzická alebo právnická osoba, ktorá sa spravuje verejným alebo súkromným právom, ako napríklad profesijné združenie, ak je to z dôvodu verejného záujmu opodstatnené, a to aj na účely v oblasti zdravia, ako je verejné zdravie a sociálna ochrana a správa služieb zdravotnej starostlivosti.“

Podľa recitálu 50 GDPR platí, že:

„Ak je spracúvanie potrebné na splnenie úlohy realizovanej vo verejnom záujme alebo pri výkone verejnej moci zverenej prevádzkovateľovi, v práve Únie alebo v práve členského štátu sa môžu stanoviť a upraviť úlohy a účely, v prípade ktorých by sa malo ďalšie spracúvanie považovať za zlučiteľné a zákonné. Ďalšie spracúvanie na účely archivácie vo verejnom záujme, na účely vedeckého či historického výskumu alebo štatistické účely by sa malo považovať za zlučiteľné so zákonnými spracovateľskými operáciami. Právny základ pre spracúvanie osobných údajov, ktorý je zakotvený v práve Únie alebo v práve členského štátu, môže byť aj právnym základom pre ďalšie spracúvanie.“

Podľa čl. 13 ods. 2 Ústavy SR platí, že:

„Medze základných práv a slobôd možno upraviť za podmienok ustanovených touto ústavou len zákonom.“

Každé spracúvanie osobných údajov a výmena dát s mobilným zariadením predstavuje v určitej rovine zásah do základných ľudských práv. Vyššie uvedené právne predpisy však stanovujú požiadavky a mechanizmy, ktoré ak sú dodržané, daný zásah je dovolený. Predkladaný návrh zákona predstavuje právny základ v zmysle čl. 6 ods. 3 GDPR a stanovuje všetky obligatórne aj fakultatívne náležitosti podľa čl. 6 ods. 3 GDPR.

Európska komisia a Európsky výbor pre ochranu osobných údajov publikovali viacero usmernení, ktoré boli zohľadnené a reflektované nielen v návrhu zákona, ale aj v procesoch vývoja mobilných aplikácií, ktorých používanie návrh zákona upravuje, a tiež

v internej dokumentácii a procesoch prevádzkovateľa ešte pred začatím spracúvania údajov. Zámerom zákonodarcu je, aby mobilná aplikácia čo najviac spĺňala dané odporúčania v miere, v akej to bude objektívne možné. Komisia a Výbor uprednostňujú používanie mobilných aplikácií na dobrovoľnej báze. Avšak, tieto odporúčania a usmernenia sa vzťahujú primárne na tzv. „contact tracing“ aplikácie, a teda funkcionalitu monitorovania kontaktu a nevzťahujú sa na monitorovanie dodržiavania domácej karantény. Z viacerých ustanovení daných usmernení nepriamo vyplýva, že ak by mali byť aplikácie používané na vynucovanie práva (law enforcement), pod ktorým je možné chápať aj karanténnu funkcionalitu, je vhodné, aby právny základ daného zásahu bol stanovený v špecifickom legislatívnom opatrení spĺňajúcom požiadavky čl. 6 ods. 3 GDPR.

Návrh zákona aj na základe posúdenia vplyvu podľa čl. 35 GDPR a vykonania balančného testu pre verejný záujem podľa čl. 6 ods. 1 písm. e) GDPR zavádza osobitné záruky pre ochranu základných práv a slobôd dotknutých osôb, ktorých osobné údaje budú spracúvané prostredníctvom mobilnej aplikácie. Takýmto postupom sa súvisiace riziká znížili natoľko, že nebolo potrebné vykonať k zavádzanému spracúvaniu osobných údajov predchádzajúcu konzultáciu podľa čl. 36 GDPR s Úradom na ochranu osobných údajov SR.

Pre úplnosť je potrebné uviesť, že úrad verejného zdravotníctva už jednu mobilnú aplikáciu prevádzkuje na dobrovoľnej báze. Účinnosťou návrhu zákona nastane rozdiel v tom, že v niektorých prípadoch (o ktorých budú môcť dobrovoľne rozhodnúť užívatelia mobilnej aplikácie), bude používanie mobilnej aplikácie určitým spôsobom povinné. Úrad verejného zdravotníctva poskytuje v súvislosti so spracúvaním osobných údajov prostredníctvom mobilných aplikácií základné informácie podľa čl. 13 a 14 GDPR v dokumente „Podmienky ochrany súkromia“. Z ohľadom na návrh zákona, tieto informácie bude nevyhnutné upraviť, aj keď základné informácie o účeloch spracúvania a právnych základoch zostávajú naďalej relevantné. Je tomu tak z dôvodu, že návrh zákona naďalej počíta s rovnakým hlavným účelom spracúvania ako je uvedený v Podmienkach ochrany súkromia mobilnej aplikácie a zároveň predpokladá pokračovanie v spracúvaní osobných údajov na kombinácii právneho základu súhlasu dotknutej osoby a plnenie úlohy vo verejnom záujme podľa čl. 6 ods. 1 písm. a) e e) GDPR.

Návrh zákona je v súlade s ústavným zákonom č. 460/1992 Zb. Ústava Slovenskej republiky, ústavným zákonom č. 227/2002 Z. z. o bezpečnosti štátu v čase vojny, vojnového stavu, výnimočného stavu a núdzového stavu, GDPR, čl. 6 a čl. 39 Zmluvy o Európskej únii, čl. 16 Zmluvy o fungovaní Európskej únie, čl. 8 Charty základných práv Európskej únie, e-Privacy smernicou ako aj s relevantnými nálezmi Ústavného súdu Slovenskej republiky. Bližšie podrobnosti sú uvedené v doložke zlučiteľnosti.

Od predkladaného návrhu zákona sa očakáva pozitívny vplyv na rozpočet verejnej správy. Rádovo ide o tisícky osôb, ktorých karanténa trvá spravidla 14 dní a viac dní. Hoci vývoj mobilnej aplikácie si vyžiada isté náklady (rádovo v tisícoch eur) a rovnako aj prevádzkovanie mobilnej aplikácie si vyžiada zvýšené nároky na personálne a technické zabezpečenie, pri zohľadnení úspory nákladov na zabezpečovanie štátnej karantény nie je žiaden vplyv na rozpočet verejnej správy. Návrh zákona má tiež pozitívny vplyv na informatizáciu spoločnosti, keďže používatelia mobilnej aplikácie môžu byť včasne varovaní, že boli v kontakte s osobou s potvrdenou diagnózou COVID-19. Návrh zákona nemá vplyv na podnikateľské prostredie ani na životné prostredie. V oblasti sociálnych vplyvov sa predpokladá výrazne pozitívny vplyv na sociálnu inklúziu, resp. negatívny vplyv na sociálnu exklúziu, a to tým, že osoba s nariadenou domácou karanténou alebo izoláciou ostane vo