Den ungarske regering erklærede den 11. marts Ungarn i undtagelsestilstand i forbindelse med COVID-19 pandemien. Undtagelsestilstanden skulle i første omgang være gældende 15-dage frem, men blev den 31. marts forlænget i en ikke nærmere fastlagt periode. Undtagelsestilstanden giver regeringen ret til at regere pr. dekret.
I et dekret udstedt den 11. maj 2020 maj har den ungarske regering begrænset beskyttelsen af og rettighederne for de registrerede i forbindelse med behandlingen af oplysninger relateret til COVID-19.
Regeringens dekret indeholder bl.a. bestemmelser, der suspenderer en række de registreredes rettigheder i henhold til artikel 15-22 i GDPR, herunder 30-dages fristen for besvarelse af henvendelser. Dekretet indeholder også lempelser i forhold til den dataansvarliges oplysningsforpligtelse i henhold til artikel 13 og 14. Dekretet indeholder ikke en præcis beskrivelse af, hvilke kategorier af personoplysninger, der er omfattet af dekretet, men alene en bred formulering om, at dekretet vedrører behandlingen af personoplysninger, der har til formål at forhindre og stoppe smittespredningen. Det fremgår også af dekretet, at begrænsningerne skal vare indtil udløbet af undtagelsestilstanden.
I forbindelse med den ungarske regerings indførelse af disse foranstaltninger har både lokale og europæiske NGO’er henvendt sig til det Europæiske Databeskyttelsesråd (EDPB) med afsæt i en bekymring for, at de indførte foranstaltninger skal ses som et yderligere indgreb i de ungarske borgeres frihedsrettigheder.
På sit møde den 2. juni behandlede EDPB henvendelsen fra NGO’erne og udsendte en erklæring som svar på henvendelsen.
I sit svar indleder EDPB med at understrege at beskyttelsen af personoplysninger, selv i disse usædvanlige tider, skal opretholdes, også i forbindelse med nødrets- og hasteforanstaltninger, for at understøtte respekten for de overordnede værdier som demokrati og retsstatsprincipper, som EU bygger på.
EDPB understreger også, at der ikke er nogen modstrid mellem på den ene side myndighedernes ønske om at kunne reagere effektivt på pandemien, og på den anden side hensynet til beskyttelsen af borgernes grundlæggende frihedsrettigheder. Databeskyttelseslovgivningen giver myndighederne rig mulighed for at behandle data, der er nødvendige for at bidrage til bekæmpelsen af COVID-19-pandemien.
I erklæringen fremhæver EDPB en række vigtige principper vedrørende indførelsen af begrænsningerne af de registreredes rettigheder i forbindelse med lovgivning og andre tiltag, der skal bekæmpe COVID-19 i medlemslandene:
- Den aktuelle COVID-19 pandemi, eller enhver anden nødsituation, er ikke i sig selv en tilstrækkelig grund til at fastsætte nogen form for begrænsning af de registreredes rettigheder. Enhver begrænsning skal på en klar og utvetydig måde bidrage til at beskytte et væsentlig formål i samfundets interesse
- Begrænsninger, der er generelle, omfattende eller indgribende i et omfang, der reelt ophæver de registreredes grundlæggende rettigheder, er ikke lovlig
- Under særlige omstændigheder giver artikel 23 i GDPR de nationale lovgivere mulighed for ved hjælp af en lovgivningsmæssig foranstaltning at begrænse omfanget af de registreredes rettigheder, men kun når en sådan begrænsning respekterer essensen af de registreredes grundlæggende frihedsrettigheder, og hvis tiltaget er nødvendigt og forholdsmæssigt for at beskytte vigtige mål af væsentlig almen interesse
- Begrænsningerne i art. 23 bør kun anvendes i helt ekstraordinære situationer
- De indførte begrænsninger skal være indført “ved lov”, og loven skal være udformet sådan, at det er helt klart for borgerne, under hvilke betingelser, den dataansvarlige (typisk en myndighed, men kan også være private virksomheder eller organisationer) må anvende disse begrænsninger i forbindelse med behandlingen af personoplysninger
- De indførte begrænsninger skal være tidsbegrænsede, og må ikke indføres med tilbagevirkende kraft
EDPB slår endeligt fast, at undtagelsestilstande, der er iværksat i forbindelse med COVID-19, udgør retlige grundlag, som kan legitimere begrænsninger af registreredes rettigheder, forudsat at disse restriktioner kun iværksættes, når det er strengt nødvendigt og forholdsmæssigt i forhold til målet om at beskytte folkesundheden. Restriktionerne skal således begrænses i omfang og tid, da registreredes rettigheder kan begrænses, men ikke nægtes.
EDPB meddelte i øvrigt, at der inden for de kommende måneder vil blive udarbejdet en egentlig vejledning med fortolkningsbidrag til brugen af bestemmelserne om begrænsninger i de registreredes rettigheder i art. 23 i GDPR.
