BVwG - W171 2298465-1 (Austrija) - Sud je presudio da je hitna služba (voditelj obrade) nezakonito obradila osobne podatke pacijenta kako bi mu poslala pismo u vezi s donacijama. Podaci su izvorno prikupljeni u svrhu pružanja hitne medicinske pomoći te su predstavljali osjetljive podatke u smislu članka 9. stavka 1. GDPR-a.
Voditelj obrade (hitna služba) je prevezao ispitanika tijekom medicinske hitne situacije. Pritom je prikupio osobne podatke putem e-kartice ispitanika što osim podataka koji se odnose na zdravlje uključuje i ime i adresu ispitanika. Navedena svrha prikupljanja podataka je pružanje hitne medicinske pomoći. Voditelj obrade je pozivajući se na prethodnu svrhu prikupljanja podataka poštom poslao zahtjev za donaciju, na što je ispitanik uložio prigovor nadzornom tijelu. Nadzorno tijelo je uvažilo pritužbu ispitanika te utvrdilo da je voditelj obrade uz članak 9. stavak 1. GDPR-a (obrada posebnih kategorija osobnih podataka) prekršilo i načela zakonitosti, poštenosti i transparentnosti te ograničenja svrhe (članak 5. stavak 1. točke (a) i (b) GDPR-a).
Nadzorno tijelo kaznilo je hitnu službu (voditelja obrade) nakon što je utvrdilo da je voditelj obrade prekršio ispitanikovo pravo na povjerljivost prema austrijskom Zakonu o zaštiti podataka i prema GDPR-u. Voditelj obrade se žalio Saveznom upravnom sudu koji je odbio žalbu i potvrdio odluku nadzornog tijela. Budući da nijedna iznimka iz članka 9. stavka 2. GDPR-a nije bila primjenjiva (ispitanik nije dao privolu, a ostale pravne osnove nisu bile primjenjive), obrada je bila nezakonita prema članku 9. stavku 1. GDPR-a.
Sud je ustvrdio da ime i prezime sami po sebi ne predstavljaju zdravstvene podatke u smislu članka 9. stavka 1. GDPR-a, no ti podaci uspostavljaju jasnu i izravnu poveznicu s korištenjem medicinske službe. Nije ispitivao druga tumačenja nadzornog tijela vezana uz obradu osobnih podataka prema članku 5. GDPR-a.
