Intelligente Kameras und Datenschutz: Die richtige Balance?

Legal Watch Nr. 33 – März 2021

Intelligente Kameras und Datenschutz: Die richtige Balance?. Seit März Kameras in öffentlichen Verkehrsmitteln installiert sollen die Einhaltung der Maskenpflicht durch die Benutzer überprüfen. Diese Maßnahmen sind Teil des Arsenals, das eingesetzt wird, um die Ausbreitung der Covid-19-Epidemie zu stoppen.

Zahlreiche in den letzten Monaten eingeführte Überwachungsmaßnahmen (Anti-Covid-Anwendungen, Mitarbeitertests, Drohnen, Impfpässe usw.) haben sowohl bei der CNIL als auch in parlamentarischen Gremien oder vor Gericht Debatten und Reaktionen ausgelöst.

Das hier erwähnte Kontrollsystem hingegen verlief unter der Kontrolle der Datenschutzkommission reibungslos, und die Gründe dafür sind einfach: Im Gegensatz zu den im Jahr 2020 entwickelten Videoüberwachungssystemen, die viele personenbezogene Daten sammelten und deren Störungen auftraten, verarbeiten diese Systeme nur das absolute Minimum an Daten, das zur Überprüfung des Tragens einer Maske erforderlich ist.

Konkret werden im System weder biometrische Daten verarbeitet noch Gesichtserkennung durchgeführt und die Daten auch nicht zur Verfolgung von Straftaten verwendet.

Das Hauptziel besteht darin, statistische Informationen zu erstellen und die Öffentlichkeit gezielt zu informieren.

Diese Garantien sind umso wichtiger, als jede Videoüberwachungseinrichtung einen Eingriff in die Grundrechte darstellt und die Betroffenen sich der Verarbeitung nur selten widersetzen können.

In diesem Zusammenhang war die CNIL in der Vergangenheit der Ansicht, dass ein Kopfschütteln vor der Kamera kein realistisches und ausreichendes Mittel zum Widerstand sei.

Aufgrund dieser Verstöße müssen intelligente Kamerasysteme gesetzlich geregelt werden, was mit der am 10. März veröffentlichten Verordnung zum Tragen von Masken in öffentlichen Verkehrsmitteln der Fall war.

Die durch das Dekret vorgesehenen Garantien sowie die Ziele der öffentlichen Gesundheit und des Schutzes des Einzelnen erscheinen der CNIL ausreichend, um eine Einschränkung des Rechts auf Privatsphäre und insbesondere die Aufhebung des Widerspruchsrechts zu rechtfertigen.

Die Kommission betont jedoch, Suchtgefahr Einzelpersonen angesichts der zunehmenden Überwachungsmaßnahmen.

Sie besteht daher auf derdetaillierte Informationen Personen und über einen zeitlich begrenzten und direkt mit dem Kontext der Epidemie verbundenen Nutzungszeitraum des Geräts.

Und auch

Frankreich:

• Vernichtung personenbezogener Daten : Die CNIL erinnert anlässlich des Brandes, der am 10. März ein OVH-Rechenzentrum zerstörte, an die Schritte, die der für die Verarbeitung Verantwortliche gegenüber den betroffenen Personen unternehmen muss.

Darin wird festgelegt, dass die Nichtverfügbarkeit und Vernichtung von Daten Datenschutzverletzungen im Sinne der DSGVO darstellen, die ihr unter bestimmten Voraussetzungen gemeldet werden müssen.

Die CNIL verweist außerdem auf die Website cybermalveillance.gouv.fr, die Ratschläge zum Umgang mit solchen Vorfällen bietet.

• Die CNIL hat außerdem ihre Kontrollprioritäten für 2021Dazu gehören Fragen der Cybersicherheit von Websites, der Sicherheit von Gesundheitsdaten und der Verwendung von Cookies – allesamt hochaktuelle Themen.

Zur Erinnerung: Die CNIL hat ihre Richtlinien zu Cookies aktualisiert und wird im April mit einer umfassenden Prüfung der Bedingungen für deren Erfassung beginnen.

• Datenübertragungen außerhalb der Europäischen Union: Der Staatsrat beschloss am 12. März, die Partnerschaft zwischen dem Gesundheitsministerium und Doctolib Im Rahmen der aktuellen Impfkampagne greift Doctolib trotz der von den amerikanischen Behörden genannten Risiken hinsichtlich des Datenzugriffs teilweise auf das Datenhosting einer amerikanischen Tochtergesellschaft von Amazon zurück.

Der Staatsrat ist insbesondere im Falle von Zugangsanfragen einer amerikanischen Behörde davon überzeugt, dass es ein spezielles Verfahren gibt, das die Anfechtung allgemeiner Anfragen oder solcher Anfragen ermöglicht, die nicht den europäischen Vorschriften entsprechen.

Die gehosteten Daten werden zusätzlich durch ein Verschlüsselungsverfahren eines vertrauenswürdigen Drittanbieters mit Sitz in Frankreich gesichert, um ein Auslesen der Daten durch Dritte zu verhindern.

• Berufliche Daten : Am 9. März lehnte das Pariser Gericht den Antrag eines Zahnarztes ab, sein Profil und seine Bewertungen aus Google My Business zu entfernen.

Das Gericht bestätigt den persönlichen Charakter dieser Daten, ist jedoch der Ansicht, dass die Gleichgewicht der Rechte setzt sich für die Meinungs- und Informationsfreiheit von Google und Internetnutzern ein, indem es Informationen zur Ausübung des Zahnarztberufs und den Erfahrungen der betroffenen Patienten bereitstellt.

• In einem ähnlichen Kontext betonte der Kassationshof in einem Urteil vom 17. Februar die Notwendigkeit einer Abwägung der betroffenen Rechte und Interessen hinsichtlich der Veröffentlichung einer strafrechtlichen Verurteilung im Internet im Zusammenhang mit der beruflichen Tätigkeit des Beschwerdeführers.

Die Tatsache, dass diese Informationen öffentlich und beruflicher Natur sind, bedeutet nicht, dass sie im Internet veröffentlicht werden können, ohne dass zuvor überprüft wurde, ob die Privatsphäre des Beschwerdeführers verletzt wurde.

Bei der Abwägung der betroffenen Rechte und Interessen müssen der mögliche „Beitrag der inkriminierten Veröffentlichung zu einer Debatte von allgemeinem Interesse, die Bekanntheit der betroffenen Person, der Gegenstand des Berichts, das bisherige Verhalten der betroffenen Person sowie Inhalt, Form und Auswirkungen der besagten Veröffentlichung“ berücksichtigt werden.

In diesem Fall ist der Gerichtshof der Auffassung, dass dieser Ausgleich wurde nicht durchgeführt und verweist die Parteien an das Berufungsgericht.

Europa:

• Die DSGVO, zwei Jahre später: 

Am 25. März verabschiedete das Europäische Parlament eine Entschließung zum Evaluierungsbericht der Europäischen Kommission zur Umsetzung der DSGVO.

Er unterstreicht die Notwendigkeit, diese Umsetzung wirksamer voranzutreiben, insbesondere im Rahmen koordinierter Maßnahmen der europäischen Aufsichtsbehörden.

In diesem Zusammenhang weisen wir auf die jüngsten Auseinandersetzungen zwischen der deutschen Behörde und der irischen Datenschutzbehörde hin. Letzterer wird vorgeworfen, die auf ihrem Territorium ansässigen „Big Tech“-Unternehmen nicht ausreichend zu kontrollieren.

Das Europäische Parlament sieht die Probleme im Zusammenhang mit der Datenverarbeitung durch die wichtigsten Plattformen und digitalen Dienste als vorrangig an, insbesondere im Bereich der Online-Werbung, des Mikrotargetings, der auf Algorithmen basierenden Profilerstellung und der Risiken im Zusammenhang mit der Verbreitung und Verstärkung von Informationen in Netzwerken.

Darüber hinaus erscheint es unerlässlich, Instrumente für ein breiteres Publikum, insbesondere für Kleinstunternehmen und KMU, zu entwickeln, wie der Europäische Datenschutzausschuss (EDSA) in seinem Arbeitsprogramm 2021–2022 betont. Belgien hat zu diesem Zweck kürzlich eine Reihe praktischer Instrumente für kleine und mittlere Unternehmen veröffentlicht.

• Europa: Annahme zweier Dokumente durch den EDSA:

Was einerseits die Fragen des Datenschutzes im Zusammenhang mit der vernetzte Autos, und andererseits die Sprachassistenten.

• Belgien:  

Im Rahmen einer neuen Veröffentlichung organisiert die Freie Universität Brüssel am 22. April eine Online-Veranstaltung zum Thema „ die Gesellschaft der Algorithmen : Technologie, Macht und Wissen“. Die Anmeldung ist auf der Website der Universität geöffnet.

Internationales:

• VEREINIGTE STAATEN:

Zusätzlich zu den Gesetzentwürfen, die derzeit in mehreren Bundesstaaten verabschiedet werden, wurde dem amerikanischen Parlament auf Bundesebene gerade ein Text mit dem Namen „Information Transparency and Personal Data Control Act (ITPDCA)“ vorgelegt.

Dieses Gesetz regelt insbesondere die Bedingungen, unter denen Verbraucher der Verarbeitung ihrer Daten zustimmen oder widersprechen können, die Transparenz der Übermittlung an Dritte und die Verpflichtung, ihre Verarbeitung regelmäßigen Kontrollen zu unterziehen.

Die Federal Trade Commission wäre für die Überwachung der Einhaltung des Gesetzes verantwortlich.

• Korea:

Ein Verfahren zur Feststellung der Angemessenheit des Datenschutzes wird derzeit abgeschlossen, was den Datenaustausch zwischen Korea und der Europäischen Union erleichtern wird. Die Schlussfolgerungen der Kommission werden demnächst dem Europäischen Datenschutzausschuss zur Stellungnahme vorgelegt.

• UN:

Der UN-Sonderberichterstatter für Datenschutz, Joseph Cannataci – dessen Mandat bald ausläuft – hat gerade einen Bericht über künstliche Intelligenz und die Privatsphäre von Kindern veröffentlicht.

• GAFA:

Google gibt bekannt, dass die Verwendung von Cookies für ein neues Datenerfassungsmodell – Federated Learning of Cohorts (FLoC) – eingestellt wird, das auf der Grundlage gemeinsamer Interessen eher auf Gruppen als auf Einzelpersonen abzielt.

Diese Ankündigung hat unterschiedliche Reaktionen hervorgerufen. Einige wiesen darauf hin, dass das neue Erfassungssystem zwar die verwendeten Techniken ändere, jedoch nicht verhindere, dass sich gezielt Werbung an Internetnutzer richte.

Daten zu über 500 Millionen Konten Facebook, darunter die Telefonnummern vieler Nutzer, wurden über das Osterwochenende online zum Verkauf angeboten. Es wird angenommen, dass die Daten aus einer Sicherheitslücke stammen, die 2019 entdeckt und behoben wurde. 

Anne Christine Lacoste

Anne Christine Lacoste, Partnerin bei Olivier Weber Avocat, ist Anwältin mit Spezialgebiet Datenschutz. Sie war Leiterin für internationale Beziehungen beim Europäischen Datenschutzbeauftragten und arbeitete an der Umsetzung der DSGVO in der Europäischen Union.