Slimme camera’s en privacy: de juiste balans?

Juridische Watch nr. 33 – Maart 2021

Slimme camera’s en privacy: de juiste balans?Sinds maart, camera's geïnstalleerd in het openbaar vervoer Zijn bedoeld om te controleren of gebruikers zich houden aan de mondkapjesplicht. Deze maatregelen maken deel uit van het arsenaal dat wordt ingezet om de verspreiding van de COVID-19-epidemie te stoppen.

De talrijke toezichtmaatregelen die de afgelopen maanden zijn genomen (anti-Covid-toepassingen, testen van werknemers, drones, vaccinatiepaspoorten, enz.) hebben tot debatten en reacties geleid, zowel bij de CNIL als binnen parlementaire organen en bij de rechtbanken.

Het hier genoemde controlesysteem is daarentegen zonder problemen onder het juk van de Commissie Gegevensbescherming doorgekomen, en de redenen daarvoor zijn eenvoudig: In tegenstelling tot de videobewakingssystemen die in 2020 zijn ontwikkeld en die veel persoonsgegevens verzamelden en die het systeem nu onderbreekt, verwerken deze systemen alleen de minimaal benodigde gegevens om te verifiëren of er daadwerkelijk een mondkapje wordt gedragen.

Meer specifiek verwerkt het systeem geen biometrische gegevens, implementeert het geen gezichtsherkenning en worden de gegevens niet gebruikt om strafbare feiten te vervolgen.

Het hoofddoel is het produceren van statistische informatie en het afstemmen van de publieke voorlichting.

Deze waarborgen zijn des te belangrijker omdat elke vorm van videobewaking een inbreuk op de fundamentele rechten vormt en de betrokkenen zich zelden tegen de verwerking kunnen verzetten.

In dit verband heeft de CNIL in het verleden geoordeeld dat het schudden van je hoofd voor de camera geen realistisch en voldoende middel van verzet is.

Vanwege deze overtredingen moeten slimme camerasystemen wettelijk worden gereguleerd, wat het geval was met het op 10 maart gepubliceerde besluit over het dragen van mondkapjes in het openbaar vervoer.

De waarborgen die het decreet biedt, evenals de doelstellingen van volksgezondheid en bescherming van personen, lijken de CNIL voldoende om een beperking van het recht op privacy te rechtvaardigen en in het bijzonder om het recht op bezwaar opzij te zetten.

De Commissie onderstreept echter het belang van gevaar van verslaving personen, gezien de toename van de huidige toezichtmaatregelen.

Zij dringt er daarom op aan datgedetailleerde informatie mensen en gedurende een gebruiksperiode van het apparaat die beperkt is in de tijd en direct verband houdt met de context van de epidemie.

En ook

Frankrijk:

• Vernietiging van persoonsgegevens : De CNIL herinnert, naar aanleiding van de brand die op 10 maart een datacenter van OVH verwoestte, aan de stappen die de verwerkingsverantwoordelijke moet ondernemen ten aanzien van de betrokkenen.

Hierin wordt bepaald dat het niet beschikbaar zijn en vernietigen van gegevens een datalek is in de zin van de AVG, waarvan onder bepaalde voorwaarden melding moet worden gemaakt.

De CNIL verwijst ook naar de website cybermalveillance.gouv.fr, waar u advies kunt krijgen over hoe u met dergelijke incidenten kunt omgaan.

• De CNIL heeft ook zijn controleprioriteiten voor 2021Hierbij valt te denken aan onderwerpen als cyberbeveiliging van websites, beveiliging van medische gegevens en het gebruik van cookies. Dit zijn allemaal zeer actuele onderwerpen.

We herinneren eraan dat de CNIL haar richtlijnen over cookies heeft bijgewerkt en dat ze in april een uitgebreid onderzoek zal starten naar de voorwaarden voor het verzamelen van cookies.

• Gegevensoverdracht buiten de Europese Unie: De Raad van State heeft op 12 maart besloten de samenwerking tussen het ministerie van Volksgezondheid en Doctolib In het kader van de huidige vaccinatiecampagne maakt Doctolib, ondanks de door de Amerikaanse autoriteiten genoemde risico's met betrekking tot de toegang tot gegevens, gedeeltelijk gebruik van een Amerikaanse dochteronderneming van Amazon voor het hosten van de gegevens.

De Raad van State is er met name van overtuigd dat er, in het geval van verzoeken om toegang door een Amerikaanse autoriteit, een specifieke procedure bestaat die voorziet in de mogelijkheid om elk algemeen verzoek of elk verzoek dat niet in overeenstemming is met de Europese regelgeving, aan te vechten.

De gehoste gegevens worden extra beveiligd via een encryptieprocedure die wordt uitgevoerd door een vertrouwde derde partij in Frankrijk. Zo wordt voorkomen dat de gegevens door derden kunnen worden gelezen.

• Professionele gegevens Op 9 maart weigerde de rechtbank in Parijs het verzoek van een tandarts in te willigen om zijn profiel en beoordelingen van Google Mijn Bedrijf te verwijderen.

De rechtbank bevestigt het persoonlijke karakter van deze gegevens, maar is van oordeel dat de evenwicht van rechten pleit voor vrijheid van meningsuiting en informatie voor Google en internetgebruikers, door informatie te verstrekken over de uitoefening van het tandartsberoep en de ervaringen van de betreffende patiënten.

• In een soortgelijke context heeft het Hof van Cassatie in een arrest van 17 februari de nadruk gelegd op de noodzaak van dit evenwicht tussen de rechten en belangen die op het spel staan, met betrekking tot de publicatie op internet van een strafrechtelijke veroordeling die verband houden met de beroepsactiviteit van de klager.

Het feit dat deze informatie openbaar en professioneel van aard is, betekent niet dat deze zonder voorafgaand onderzoek op internet mag worden gepubliceerd op grond van een inbreuk op de privacy van de klager.

Bij de afweging van de betrokken rechten en belangen moet rekening worden gehouden met de mogelijke "bijdrage van de beschuldigde publicatie aan een debat van algemeen belang, de bekendheid van de betrokkene, het onderwerp van het rapport, het eerdere gedrag van de betrokkene, de inhoud, de vorm en de gevolgen van genoemde publicatie".

In dit geval is het Hof van oordeel dat deze afweging is niet uitgevoerd en verwijst de partijen naar het Hof van Beroep.

Europa:

• De AVG, twee jaar later: 

Op 25 maart heeft het Europees Parlement een resolutie aangenomen over het evaluatieverslag van de Europese Commissie over de implementatie van de AVG.

Het onderstreept de noodzaak om deze implementatie effectiever uit te voeren, met name in het kader van gecoördineerde acties door de Europese toezichthoudende autoriteiten.

In dit verband wijzen wij op de recente conflicten tussen de Duitse autoriteit en de Ierse autoriteit voor gegevensbescherming. De laatste wordt ervan beschuldigd de 'grote techbedrijven' die op haar grondgebied gevestigd zijn, niet voldoende te controleren.

Het Europees Parlement identificeert als prioriteiten de kwesties die verband houden met de gegevensverwerking door de belangrijkste platforms en digitale diensten, met name op het gebied van onlinereclame, microtargeting, profilering op basis van algoritmen en de risico's die verband houden met de verspreiding en versterking van informatie op netwerken.

Het lijkt ook essentieel om tools te ontwikkelen voor een breder publiek, met name micro- en kleine bedrijven (mkb's), zoals benadrukt door de Europese Raad voor Gegevensbescherming (EDPB) in zijn werkprogramma voor 2021-2022. België heeft hiervoor onlangs een reeks praktische tools voor kleine en middelgrote ondernemingen gepubliceerd.

• Europa: Goedkeuring van twee documenten door de EDPB:

Wat betreft enerzijds de kwesties van gegevensbescherming met betrekking tot de verbonden auto's, en aan de andere kant de spraakassistenten.

• België:  

In het kader van een nieuwe publicatie organiseert de Vrije Universiteit Brussel op 22 april een online evenement over " de samenleving van algoritmen : technologie, macht en kennis”. Inschrijving is mogelijk via de website van de universiteit.

Internationaal :

• VERENIGDE STATEN:

Naast de wetsvoorstellen die momenteel in verschillende staten worden aangenomen, is er onlangs op federaal niveau een tekst aan het Amerikaanse parlement gepresenteerd, onder de naam "Information Transparency and Personal Data Control Act (ITPDCA)".

Deze wet regelt met name de voorwaarden waaronder consumenten hun toestemming moeten kunnen geven voor of bezwaar moeten kunnen maken tegen de verwerking van hun gegevens, de transparantie van de doorgifte aan derden en de verplichting om hun verwerking regelmatig te laten controleren.

De Federal Trade Commission is verantwoordelijk voor het toezicht op de naleving van de wet.

• Korea:

Er wordt een procedure voor de adequaatheid van gegevensbescherming afgerond, die de gegevensuitwisseling tussen Korea en de Europese Unie zal vergemakkelijken. De conclusies van de Commissie zullen binnenkort voor advies worden voorgelegd aan het Europees Comité voor gegevensbescherming.

• VN:

De speciale VN-rapporteur voor privacy, Joseph Cannataci, wiens mandaat bijna afloopt, heeft zojuist een rapport gepubliceerd over kunstmatige intelligentie en de privacy van kinderen.

• GAFA:

Google kondigt aan dat het stopt met het gebruik van cookies voor een nieuw model voor gegevensverzameling – Federated Learning of Cohorts (FLoC), dat zich richt op groepen in plaats van individuen, op basis van gemeenschappelijke interesses.

Deze aankondiging heeft tot verschillende reacties geleid. Sommigen wezen erop dat het nieuwe verzamelsysteem, hoewel de gebruikte technieken veranderen, niet zal voorkomen dat er reclame wordt gemaakt die gericht is op internetgebruikers.

Gegevens over meer dan 500 miljoen accounts Facebook, waaronder de telefoonnummers van veel gebruikers, werden tijdens het paasweekend online te koop aangeboden. De gegevens zouden afkomstig zijn van een beveiligingslek dat in 2019 werd ontdekt en gepatcht. 

Anne Christine Lacoste

Anne Christine Lacoste is partner bij Olivier Weber Avocat en is een advocaat gespecialiseerd in gegevensrecht. Zij was hoofd internationale betrekkingen bij de Europese Toezichthouder voor gegevensbescherming en werkte aan de implementatie van de AVG in de Europese Unie.