Nizozemska: pravica do izbrisa
Višje upravno sodišče je pritrdilo odločitvi nadzornega organa, da upravljavec ni dolžan izpolniti zahtevo za izbris posameznice, v kateri je zahtevala izbris svoje zahteve o izbrisu.
Odločba je bila izdana 6.8.2025
Posameznico, na katero se nanašajo podatki, je njen splošni zdravnik zaradi zdravljenja duševnih bolezni napotil na GGNet, ki je upravljavec ustanove za duševno zdravje. Po uvodnem razgovoru s psihiatrično medicinsko sestro je pritožnica zdravljenje zavrnila in zahtevala izbris svoje zdravstvene kartoteke. GGNet je zdravstveno kartoteko izbrisal, kot je bilo zahtevano, vendar je shranil zapis o zahtevi za izbris. Pritožnica je želela, da se tudi ta zapis izbriše iz sistema GGNet, kar je upravljavec zavrnil.
Posameznica je vložila pritožbo pri nizozemskem nadzornem organu (Autoriteit Persoonsgegevens-AP) z zahtevo, da se upravljavcu naloži izbris evidence v zvezi z zahtevo za izbris. AP je njeno pritožbo zavrnil in odločil, da lahko upravljavec hrani ta zapis za upravljanje svojih zdravstvenih storitev in v skladu s pogodbo o zdravniški oskrbi s posameznikom, na katerega se nanašajo osebni podatki, kot je navedeno v členu 9(h) GDPR. Posameznica je odločitev AP izpodbijala pred sodiščem prve stopnje (Okrožno sodišče Gelderland). Sodišče je pritožbo zavrnilo kot neutemeljeno in potrdilo odločitev DPA.
Posameznica, na katero se nanašajo osebni podatki, se je nato zoper to sodbo pritožila na najvišjem upravnem sodišču (državnem svetu) in trdila, da je sodišče prve stopnje zadevo napačno presodilo. Trdila je, da sodišče ni priznalo, da bi moral nadzorni organ zoper upravljavca uvesti izvršilne ukrepe. Po mnenju posameznice zapis o zahtevi za izbris ni bil potreben za upravljanje zdravstvenih storitev upravljavca, niti med strankama ni bilo sklenjenega dogovora o zdravljenju, saj ni prejela nobenega zdravljenja.
Odločitev sodišča
Sodišče je razsodilo, da pravica posameznika, na katerega se nanašajo osebni podatki, do izbrisa iz člena 17 GDPR ni mogla biti izpolnjena.
Prvič, navedlo je, da je hramba zahteve za izbris potrebna, da upravljavec lahko upravlja svojo storitev, zlasti pa da bi regulatorjem, kot so Inšpektorat za zdravje in mladinsko varstvo, zdravstvene zavarovalnice in nadzorni organ za varstvo podatkov, utemeljil, zakaj nima več določenih zdravstvenih zapisov.
Drugič, poudarilo je, da so v skladu z nizozemskim civilnim zakonikom vsi medicinski posegi zajeti v pogodbi o zdravljenju in da so vsi ponudniki oskrbe dolžni voditi zdravstveno kartoteko o zdravljenju vsakega pacienta. Sestanek posameznice, na katero se nanašajo osebni podatki, s psihiatrično medicinsko sestro za oceno njenega psihološkega stanja je predstavljal medicinski postopek in je bil zato predmet pogodbe o zdravljenju.
Zato je sodišče razsodilo, da je bila obdelava zapisa o zahtevi za izbris, ki predstavlja posebno kategorijo osebnih podatkov, zakonita v skladu z izjemo člena 9(2)(h) GDPR. Hramba podatkov je bila potrebna za upravljanje storitev upravljavca in tudi v skladu z dogovorom o zdravljenju. V skladu s členom 17(3)(c) GDPR pravica do izbrisa ni mogla biti izpolnjena, ker je bila obdelava potrebna zaradi razlogov javnega zdravja na področju javnega zdravja v skladu s členom 9(2)(h) in členom 9(3) GDPR.
Sodišče je sklenilo, da upravljavec ni bil dolžan ugoditi zahtevi za izbris zapisa, in je pritožbo zavrnilo kot neutemeljeno.
Odločba je objavljena tukaj.
Vir: GDPRhub
Naslovna slika: RawPixel