Älykamerat ja yksityisyys: oikea tasapaino?

Oikeudellinen valvonta nro 33 – Maaliskuu 2021

Älykamerat ja yksityisyys: oikea tasapaino?Maaliskuusta lähtien julkisiin kulkuvälineisiin asennetut kamerat tarkoituksena on varmistaa, että käyttäjät noudattavat maskin käyttöohjeita. Nämä toimenpiteet ovat osa Covid-19-epidemian leviämisen estämiseksi käytettyä arsenaalia.

Lukuisat viime kuukausina käyttöön otetut valvontatoimenpiteet (Covid-19-hakemukset, työntekijöiden testaus, droonit, rokotuspassit jne.) ovat herättäneet keskustelua ja reaktioita sekä CNIL:ssä että parlamentaarisissa elimissä ja tuomioistuimissa.

Tässä mainittu valvontajärjestelmä sen sijaan meni läpi ongelmitta tietosuojavaltuutetun ikeen alla, ja syyt ovat yksinkertaiset: Toisin kuin vuonna 2020 kehitetyt videovalvontajärjestelmät, jotka keräsivät paljon henkilötietoja ja joiden toiminnan se keskeytti, nämä käsittelevät vain ehdottoman vähimmäismäärän tietoja sen varmistamiseksi, että maskeja käytetään.

Tarkemmin sanottuna järjestelmä ei käsittele biometrisiä tietoja tai käytä kasvojentunnistusta, eikä tietoja käytetä rikosten syytteeseenpanoon.

Ensisijaisena tavoitteena on tuottaa tilastotietoa ja räätälöidä yleisön tietoisuutta.

Nämä takeet ovat sitäkin tärkeämpiä, koska kaikki videovalvontalaitteet loukkaavat perusoikeuksia ja asianomaiset henkilöt voivat harvoin vastustaa käsittelyä.

Tässä suhteessa CNIL on aiemmin katsonut, että pään pudistelemista "ei" kameran edessä ei voida pitää realistisena ja riittävänä vastustuskeinona.

Näiden rikkomusten vuoksi älykkäitä kamerajärjestelmiä on säänneltävä lailla, kuten tapahtui 10. maaliskuuta julkaistun asetuksen kanssa, joka koskee maskien käyttöä julkisessa liikenteessä.

Asetuksen tarjoamat takeet sekä kansanterveyden ja yksilöiden suojelun tavoitteet näyttävät CNIL:n mielestä riittäviltä oikeuttaa yksityisyyden suojaa koskevan oikeuden rajoittamisen ja erityisesti vastustusoikeuden kumoamisen.

Komissio kuitenkin korostaa, että riippuvuuden vaara yksilöille ottaen huomioon nykyisten valvontatoimenpiteiden lisääntymisen.

Siksi hän vaatii, ettäyksityiskohtaiset tiedot ihmisiä ja laitteen käyttöjakson aikana, joka on ajallisesti rajoitettu ja liittyy suoraan epidemian kontekstiin.

Ja myös

Ranska:

• Henkilötietojen tuhoaminen CNIL muistuttaa OVH:n datakeskuksen 10. maaliskuuta tuhonneen tulipalon yhteydessä toimenpiteistä, jotka rekisterinpitäjän on toteutettava asianomaisten henkilöiden kanssa.

Siinä täsmennetään, että tietojen saatavuus ja tuhoutuminen ovat GDPR:ssä tarkoitettuja tietoturvaloukkauksia, joista on tietyin edellytyksin ilmoitettava sille.

CNIL viittaa myös verkkosivustoon cybermalveillance.gouv.fr, joka tarjoaa neuvoja tällaisten tapausten hallintaan.

• CNIL on myös julkaissut oman vuoden 2021 valvonnan painopistealueetNäitä ovat verkkosivustojen kyberturvallisuuteen, terveystietojen turvallisuuteen ja evästeiden käyttöön liittyvät kysymykset, jotka kaikki ovat erittäin ajankohtaisia aiheita.

Muistutettakoon, että CNIL on päivittänyt evästeitä koskevia ohjeitaan ja että huhtikuussa se aloittaa laajan tarkastuksen niiden keräämisehtojen osalta.

• Tietojen siirrot Euroopan unionin ulkopuolelle: Valtioneuvosto päätti 12. maaliskuuta olla keskeyttämättä terveysministeriön ja Doctolib Käynnissä olevan rokotuskampanjan yhteydessä, huolimatta Yhdysvaltain viranomaisten mainitsemista dataan pääsyn riskeistä, Doctolib käyttää osittain Amazonin amerikkalaista tytäryhtiötä datan ylläpitoon.

Valtioneuvosto on erityisesti amerikkalaisen viranomaisen esittämien tiedonsaantipyyntöjen osalta vakuuttunut siitä, että on olemassa erityinen menettely, jonka avulla voidaan riitauttaa yleisluontoinen pyyntö tai pyyntö, joka ei ole eurooppalaisten säännösten mukainen.

Isännöidyt tiedot suojataan edelleen salausmenettelyllä, joka perustuu luotettavaan kolmanteen osapuoleen Ranskassa, jotta kolmannet osapuolet eivät voi lukea tietoja.

• Ammattimaiset tiedot Pariisin tuomioistuin kieltäytyi 9. maaliskuuta myöntämästä hammaslääkärin pyynnölle profiilin ja arvostelujen poistamisesta Google My Businessista.

Oikeus vahvistaa näiden tietojen henkilökohtaisen luonteen, mutta katsoo, että oikeuksien tasapaino kannattaa Googlen ja internetin käyttäjien sananvapautta ja tiedonsaantia tarjoamalla tietoa hammaslääkärin ammatin harjoittamisesta ja asianomaisten potilaiden kokemuksista.

• Samankaltaisessa yhteydessä kassaatiotuomioistuin korosti 17. helmikuuta antamassaan tuomiossa tarvetta punnita kyseessä olevia oikeuksia ja etuja, jotka koskevat rikostuomion julkaiseminen internetissä liittyy valittajan ammatilliseen toimintaan.

Se, että nämä tiedot ovat julkisia ja luonteeltaan ammattimaisia, ei tarkoita, että ne voidaan julkaista internetissä ilman ennakkovarmennusta valittajan yksityisyyden loukkaamisesta.

Kyseessä olevien oikeuksien ja etujen punninta on tehtävä ottaen huomioon "syytöksen kohteena olevan julkaisun mahdollinen vaikutus yleistä etua koskevaan keskusteluun, asianomaisen henkilön tunnettuus, raportin kohde, asianomaisen henkilön aiempi käytös sekä kyseisen julkaisun sisältö, muoto ja seuraukset".

Tässä tapauksessa tuomioistuin katsoo, että tätä tasapainotusta ei tehty ja siirtää asianosaiset muutoksenhakutuomioistuimeen.

Eurooppa:

• GDPR kaksi vuotta myöhemmin: 

Euroopan parlamentti hyväksyi 25. maaliskuuta päätöslauselman Euroopan komission arviointikertomuksesta GDPR:n täytäntöönpanosta.

Se tukee tarvetta tehostaa täytäntöönpanoa, erityisesti eurooppalaisten valvontaviranomaisten koordinoitujen toimien yhteydessä.

Tässä yhteydessä panemme merkille Saksan ja Irlannin tietosuojaviranomaisten väliset viimeaikaiset kiistat, joista jälkimmäistä syytetään alueelleen sijoittautuneiden "suurten teknologiayritysten" riittämättömästä valvonnasta.

Euroopan parlamentti määrittelee prioriteeteiksi tärkeimpien alustojen ja digitaalisten palvelujen suorittamaan tietojenkäsittelyyn liittyvät kysymykset, erityisesti verkkomainonnan, mikrokohdentamisen, algoritmeihin perustuvan profiloinnin sekä verkostoissa tapahtuvaan tiedon levittämiseen ja vahvistamiseen liittyvät riskit.

Näyttää myös olevan olennaista kehittää työkaluja laajemmalle yleisölle, erityisesti erittäin pienille yrityksille ja pk-yrityksille, kuten Euroopan tietosuojaneuvosto (EDPB) korosti työohjelmassaan vuosille 2021–2022. On huomattava, että Belgia on juuri julkaissut tätä varten sarjan käytännön työkaluja pienille ja keskisuurille yrityksille.

• Eurooppa: Euroopan tietosuojaneuvosto hyväksyi kaksi asiakirjaa:

Yhtäältä tietosuojaan liittyvät kysymykset, jotka koskevat verkottuneet autot, ja toisaalta ääniavustajat.

• Belgia:  

Osana uutta julkaisua Brysselin vapaa yliopisto järjestää 22. huhtikuuta verkkotapahtuman aiheesta " algoritmien yhteiskunta : teknologia, valta ja tieto”. Ilmoittautuminen on avoinna yliopiston verkkosivuilla.

Kansainvälinen:

• YHDYSVALLAT:

Useissa osavaltioissa parhaillaan hyväksyttävänä olevien lakiesitysten lisäksi Yhdysvaltain parlamentille on juuri esitetty liittovaltion tasolla lakiesitys nimeltä "Information Transparency and Personal Data Control Act (ITPDCA)".

Tämä laki säätää erityisesti edellytyksistä, joiden täyttyessä kuluttajien on voitava antaa suostumuksensa tietojensa käsittelyyn tai vastustaa sitä, kolmansille osapuolille tehtävien siirtojen läpinäkyvyydestä sekä velvollisuudesta tarkastaa tietojen käsittely säännöllisesti.

Liittovaltion kauppakomissio olisi vastuussa lain noudattamisen valvonnasta.

• Korea:

Tietosuojan riittävyyttä koskeva menettely on päättymässä, mikä helpottaa tiedonvaihtoa Korean ja Euroopan unionin välillä. Komission päätelmät toimitetaan pian Euroopan tietosuojaneuvostolle lausuntoa varten.

• YK:

YK:n yksityisyyden suojaa käsittelevä erityisraportoija Joseph Cannataci – jonka toimikausi on päättymässä – on juuri julkaissut raportin tekoälystä ja lasten yksityisyydestä.

• GAFA:n

Google ilmoittaa lopettavansa evästeiden käytön uudessa tiedonkeruumallissa – Federated Learning of Cohorts (FLoC), joka kohdistaa tiedon yksilöiden sijaan ryhmiin yhteisten kiinnostuksen kohteiden perusteella.

Tämä ilmoitus on herättänyt erilaisia reaktioita, ja jotkut ovat huomauttaneet, että vaikka uusi tiedonkeruujärjestelmä muuttaakin käytettyjä tekniikoita, se ei estä internetin käyttäjiin kohdistuvaa mainontaa.

Yli 500 miljoonan tilin tiedot Facebook, mukaan lukien monien käyttäjien puhelinnumerot, laitettiin myyntiin verkossa pääsiäisviikonloppuna. Tietojen uskotaan olevan peräisin vuonna 2019 löydetystä ja korjatusta tietoturva-aukosta. 

Anne Christine Lacoste

Olivier Weber Avocatin osakas Anne Christine Lacoste on tietosuojalainsäädäntöön erikoistunut lakimies. Hän toimi Euroopan tietosuojavaltuutetun kansainvälisten suhteiden päällikkönä ja työskenteli GDPR:n täytäntöönpanon parissa Euroopan unionissa.