ozostając w tematyce wskazówek dotyczących utrwalania wizerunku za pomocą urządzeń wideo oraz realizując zapowiedź zawartą w ostatnim wpisie, w dniu dzisiejszym skoncentruję się na udostępnianiu zebranych danych osobowych podmiotom trzecim. Dodatkowo odniosę się do danych osobowych „szczególnych kategorii”, a w szczególności danych biometrycznych, które budzą najwięcej wątpliwości podczas korzystania z różnego rodzaju kamer lub monitoringu.
Podobnie jak w poprzednich blogach nieocenione podczas analizy będą Wytyczne Europejskiej Rady Ochrony Danych (EROD/EDPB), opublikowane pod koniec stycznia b.r. [1]
Udostępnianie danych podmiotom trzecim
Ujawnianie lub też udostępnianie danych osobowych (w tym wypadku utrwalonych w materiale wideo) jest traktowane na podstawie art. 4 pkt 2 RODO[2], jako jedna z form przetwarzania danych. Dlatego też, aby móc bez obaw przekazać zarejestrowany obraz osobie trzeciej koniecznym jest ustalenie, która z podstaw prawnych wymienionych w art. 6 ust. 1 RODO znajdzie w danym przypadku zastosowanie. Może to być m.in. zgoda osoby, której dane dotyczą, zawarta umowa, obowiązek prawny, uzasadniony interes podmiotu udostępniającego.
Czasami może dojść do sytuacji, w której zaistnieje chęć przekazania materiału wideo, ale cel takiego przekazania jest inny, niż cel dla którego materiał został nagrany. Wówczas udostępnienie jest możliwe, jednakże pod uwagę należy wziąć art. 6 ust. 4 RODO.
Zgodnie z nim kluczowym elementem jest ustalenie czy cel, dla realizacji którego nagrane dane osobowe zostały przekazane jest zbieżny z pierwotnym celem ich zarejestrowania. Poszukując odpowiedzi na to pytanie można wziąć pod uwagę m.in.:
- wszelkie związki między celem pierwotnym i wtórnym;
- kontekst, w którym zebrano dane osobowe, w szczególności relację między osobami, których dane dotyczą, a administratorem;
- charakter danych osobowych, w szczególności czy przetwarzane są szczególne kategorie danych osobowych zgodnie z art. 9 RODO lub dane osobowe dotyczące wyroków skazujących i naruszeń prawa zgodnie z art. 10 RODO
- ewentualne konsekwencje zamierzonego dalszego przetwarzania dla osób, których dane dotyczą
- istnienie odpowiednich zabezpieczeń, w tym ewentualnie szyfrowania lub pseudonimizacji.
EROD w swoich wytycznych zaprezentowała przykład trafnie obrazujący powyższą sytuację.
Na strzeżonym parkingu zainstalowano monitoring, którego głównym celem jest zapobieganie kradzieżom samochodów i rozwiązywanie sytuacji konfliktowych. Na parkingu doszło do stłuczki. Przekazanie pełnomocnikowi procesowemu materiału wideo z momentu zdarzenia, zawierającego dane osobowe uczestników zajścia, w celu wystąpienia z roszczeniem odszkodowawczym jest uzasadnione zważywszy na art. 6 ust. 4 RODO. Cel przekazania można potraktować jako zgodny z pierwotnym celem zarejestrowania obrazu.
A teraz proszę sobie wyobrazić, że na tym samym parkingu, chronionym przez ten sam monitoring, zainstalowany do tych samych celów, w sposób mogący być uznany za zabawny poślizgnął się jego użytkownik. Administrator postanowił opublikować nagranie w internecie dla celów humorystycznych. O ile nie uzyskał przed publikacją zgody owego użytkownika, nie ma prawnych podstaw do udostępnienia takiego nagrania.
Osobnym zagadnieniem pozostaje udostępnienie nagrań organom ścigania. Co do zasady w przypadku, gdy o przekazanie takich materiałów występuje organ, aktualizuje się podstawa z art. 6 ust. 1 lit c) RODO, umożliwiająca przetwarzanie danych osobowych na podstawie obowiązku prawnego ciążącego na administratorze (tutaj – obowiązek współpracy z organami ścigania). Natomiast gdy przykładowo osoba stosująca monitoring uważa, że zostało zarejestrowane coś podejrzanego, co wymaga przekazania organom ścigania, to w takiej sytuacji należy ocenić, czy warunki określone w art. 6 ust. 1 lit. f) są spełnione. Tzn. czy po stronie administratora zaktualizował się uzasadniony interes w takim udostępnieniu.
Dane osobowe szczególnych kategorii
Dane traktowane jako „szczególne” ujęto w art. 9 ust. 1 RODO. Należą do nich pochodzenie rasowe lub etniczne, poglądy polityczne, przekonania religijne lub światopoglądowe, przynależność do związków zawodowych oraz przetwarzania danych genetycznych, danych biometrycznych w celu jednoznacznego zidentyfikowania osoby fizycznej lub danych dotyczących zdrowia, seksualności lub orientacji seksualnej tej osoby. Co do zasady danych wymienionych w poprzednim zdaniu nie można przetwarzać, chyba że zajdą okoliczności wymienione w art. 9 ust. 2 RODO.
Spoglądając na powyższy katalog, z oczywistych względów korzystanie z monitoringu lub innego rodzaju kamer przywodzi na myśl przetwarzanie danych biometrycznych. Definicja tego rodzaju danych znalazła się w art. 4 pkt 14 RODO.
„Dane biometryczne” oznaczają dane osobowe, które wynikają ze specjalnego przetwarzania technicznego, dotyczą cech fizycznych, fizjologicznych lub behawioralnych osoby fizycznej oraz umożliwiają lub potwierdzają jednoznaczną identyfikację tej osoby, takie jak wizerunek twarzy lub dane daktyloskopijne.
W swoich wytycznych EROD wyraźnie zaznaczyła, że aby można było mówić o przetwarzaniu danych biometrycznych niezbędnym jest równoczesne wystąpienie trzech elementów:
1) Dane muszą dotyczyć cech fizycznych, fizjologicznych lub behawioralnych osoby fizycznej,
2) Dane muszą wynikać ze specjalnego przetwarzania technicznego
3) Dane muszą być wykorzystywane do jednoznacznej identyfikacji osoby fizycznej.
Za spełniające wszystkie powyższe przesłanki uznaje się np. systemy rozpoznawania twarzy. EROD stoi na stanowisku, że instalowanie tego typu systemów w znakomitej większości wypadków wymaga wyraźnej zgody osoby, która byłaby takim rozwiązaniem objęta. Aby w jak najpełniejszy sposób wykorzystać tego typu systemy powinno się zadbać, aby osoby postronne nie zostały objęte ich działaniem. Pomocne dla zrozumienia tej tematyki będą poniższe przykłady, zaproponowane przez EROD.
1) Aby częściowo usprawnić odprawę na lotnisku (przekazanie bagażu, kontrola, wejście na pokład), zdecydowano się zastosować system rozpoznawania twarzy w celu identyfikacji pasażerów. Z takiego rozwiązania mogą skorzystać jedynie osoby, które wcześniej wyraziły na to zgodę i poddały się procedurze stworzenia i zarejestrowania szablonu ich twarzy, który następnie został połączony wraz z zakupionym biletem. Z kolei, punkty kontroli wykorzystujące system rozpoznawania twarzy muszą być oddzielone (osobna kolejka), aby nie doszło do utrwalenia wizerunku osób, które zgody na taką odprawę nie wyraziły.
2) Pracodawca postanowił zastosować system rozpoznawania wizerunku w celu dostępu do swoich budynków. Z takiej metody mogą, podobnie jak w pkt 1, skorzystać wyłącznie osoby, które wyraziły na to zgodę i zezwoliły na zeskanowanie swojej twarzy. By zapewnić, że nikt przypadkowo nie zostanie weryfikowany w ten sposób, można dla tego celu uruchomić osobne wejście lub inicjować weryfikację włączając wcześniej określony przycisk. Jednocześnie należy zapewnić pracownikom, którzy nie wyrazili zgody, inną metodę weryfikacji – np. karta dostępu, kod PIN.
3) Właściciel sklepu chciałby dostosować swoją reklamę w oparciu o płeć i wiek klienta utrwalone przez system nadzoru wideo. Jeżeli system ten nie generuje szablonów biometrycznych w celu jednoznacznej identyfikacji osób, ale zamiast tego wykrywa jedynie te cechy fizyczne, które umożliwiają identyfikację płci i wieku, wówczas przetwarzanie byłoby dozwolone (o ile nie są przetwarzane inne kategorie danych szczególnych).
4) Właściciel hotelu korzysta z systemu, który ostrzega obsługę jeżeli do hotelu wejdzie określona osoba (np. VIP). W celu zapewnienia skuteczności, system na bieżąco rejestruje wszystkie osoby obecne w hotelu i porównuje ich wizerunek razem z wizerunkiem osoby, która wcześniej wyraziła zgodę i udostępniła szablon swojej twarzy. Taki system jest niezgodny z RODO, ponieważ nie obejmuje jedynie osoby, która zgodę wyraziła, a wszystkich gości hotelowych. Aby takie rozwiązanie było dopuszczalne należałoby stworzyć wydzielone wejście dla osób „zarejestrowanych”.
Jak można zaobserwować, korzystanie z technologii umożliwiającej identyfikację wizerunku, związane jest z koniecznością zrealizowania szeregu przesłanek i maksymalnego minimalizowania potencjalnie uzyskiwanych danych. Z tego względu przed wprowadzeniem takich rozwiązań warto zapoznać się z przepisami dotyczącymi ochrony danych osobowych oraz dokładnie zidentyfikować cele, dla których mają być one wprowadzone. Znacząco zminimalizuje to szanse na naruszenie praw osób objętych działaniem urządzeń wideo.
W następnym i ostatnim blogu niniejszej serii, pochylę się nad prawami przysługującymi osobom fizycznym, a wynikającym z przetwarzania ich wizerunku. Zostaną również przedstawione sposoby realizowania zasady transparentności i obowiązków informacyjnych związanych z monitoringiem.
[1] https://edpb.europa.eu/our-work-tools/our-documents/guidelines/guidelines-32019-processing-personal-data-through-video_en
[2] Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych)
