Pametne kamere in zasebnost: pravo ravnovesje?

Pravna ura št. 33 – Marec 2021

Pametne kamere in zasebnost: pravo ravnovesje?Od marca kamere, nameščene v javnem prevozu so namenjeni preverjanju, ali uporabniki upoštevajo pravila nošenja mask. Ti ukrepi so del arzenala, uporabljenih za zaustavitev širjenja epidemije Covid-19.

Številni nadzorni ukrepi, sprejeti v zadnjih mesecih (aplikacije proti covidu, testiranje zaposlenih, droni, potni listi za cepljenje itd.), so sprožili razpravo in odzive tako s strani CNIL kot znotraj parlamentarnih teles ali pred sodišči.

Nadzorni sistem, omenjen tukaj, pa je brez težav prestal nadzor pod nadzorom Komisije za informacijsko tehnologijo in državljanske svoboščine, razlogi pa so preprosti: Za razliko od sistemov video nadzora, razvitih leta 2020, ki so zbirali veliko osebnih podatkov in jih je prekinil, ti obdelujejo strogi minimum podatkov, potrebnih za preverjanje nošenja mask.

Natančneje, sistem ne obdeluje biometričnih podatkov ali uporablja prepoznavanja obrazov, podatki pa se ne uporabljajo za pregon kaznivih dejanj.

Glavni cilj je priprava statističnih informacij in prilagojena ozaveščenost javnosti.

Ta jamstva so še toliko pomembnejša, ker vsaka naprava za video nadzor predstavlja kršitev temeljnih pravic, zadevne osebe pa le redko lahko nasprotujejo obdelavi.

V zvezi s tem je CNIL v preteklosti menil, da zmajanja z glavo "ne" pred kamero ni mogoče šteti za realistično in zadostno sredstvo nasprotovanja.

Zaradi teh kršitev morajo biti sistemi pametnih kamer zakonsko urejeni, kar je bil primer odloka, objavljenega 10. marca, o nošenju mask v javnem prevozu.

Jamstva, ki jih zagotavlja odlok, ter cilji javnega zdravja in varstva posameznikov se CNIL zdijo zadostni za utemeljitev omejitve pravice do zasebnosti in zlasti za razveljavitev pravice do ugovora.

Komisija pa poudarja, nevarnost odvisnosti posameznikov glede na zaostrene trenutne nadzorne ukrepe.

Zato vztraja pripodrobne informacije ljudi in v obdobju uporabe naprave, ki je časovno omejeno in neposredno povezano s kontekstom epidemije.

In tudi

Francija:

• Uničenje osebnih podatkov CNIL ob požaru, ki je 10. marca uničil podatkovni center OVH, opozarja na ukrepe, ki jih mora upravljavec podatkov sprejeti z zadevnimi osebami.

Določa, da nedostopnost in uničenje podatkov predstavljata kršitev varnosti podatkov v smislu GDPR, o čemer jo je treba pod določenimi pogoji obvestiti.

CNIL se sklicuje tudi na spletno stran cybermalveillance.gouv.fr, ki ponuja nasvete o tem, kako ravnati v takšnih primerih.

• CNIL je objavil tudi svoje prednostne naloge nadzora za leto 2021Sem spadajo vprašanja kibernetske varnosti spletnih strani, varnosti zdravstvenih podatkov in uporabe piškotkov, kar so vse zelo aktualne teme.

Spomnimo se, da je CNIL posodobil svoje smernice o piškotkih in da bo aprila začel obsežno revizijo pogojev njihovega zbiranja.

• Prenos podatkov zunaj Evropske unije: Državni svet se je 12. marca odločil, da ne bo prekinil partnerstva med ministrstvom za zdravje in Doctolib V okviru trenutne kampanje cepljenja ima Doctolib kljub tveganjem dostopa do podatkov, ki jih navajajo ameriške oblasti, delno pravico do gostovanja podatkov pri ameriški podružnici Amazona.

Državni svet je zlasti v primeru zahtev za dostop, ki jih vloži ameriški organ, prepričan o obstoju posebnega postopka, ki določa izpodbijanje vsake splošne zahteve ali zahteve, ki ni v skladu z evropskimi predpisi.

Gostovani podatki so dodatno zavarovani s postopkom šifriranja, ki ga izvaja zaupanja vredna tretja oseba s sedežem v Franciji, da se prepreči branje podatkov s strani tretjih oseb.

• Strokovni podatki Pariško sodišče je 9. marca zavrnilo zahtevo zobozdravnika za odstranitev njegovega profila in ocen iz storitve Google My Business.

Sodišče potrjuje osebno naravo teh podatkov, vendar meni, da ravnovesje pravic se nagiba k svobodi izražanja in obveščanja za uporabnike Googla in interneta, tako da zagotavlja informacije v zvezi z opravljanjem zobozdravstvenega poklica in izkušnjami zadevnih pacientov.

• V podobnem kontekstu je kasacijsko sodišče v sodbi z dne 17. februarja vztrajalo pri potrebi po tem tehtanju zadevnih pravic in interesov v zvezi z objava kazenske obsodbe na internetu povezano s poklicno dejavnostjo pritožnika.

Dejstvo, da so te informacije javne in profesionalne narave, ne pomeni, da jih je mogoče objaviti na internetu brez predhodne preveritve kršitve zasebnosti pritožnika.

Pri tehtanju zadevnih pravic in interesov je treba upoštevati morebiten "prispevek inkriminirane objave k razpravi splošnega interesa, razvpitost zadevne osebe, temo poročila, prejšnje ravnanje zadevne osebe ter vsebino, obliko in posledice navedene objave".

V tem primeru Sodišče meni, da to uravnoteženje ni bilo izvedeno in stranke napoti na pritožbeno sodišče.

Evropa:

• GDPR, dve leti kasneje: 

Evropski parlament je 25. marca sprejel resolucijo o poročilu Evropske komisije o oceni izvajanja GDPR.

Podpira potrebo po učinkovitejšem izvajanju, zlasti v okviru usklajenih ukrepov evropskih nadzornih organov.

V zvezi s tem opažamo nedavne spore med nemškim organom in irskim organom za varstvo podatkov, pri čemer je slednji obtožen, da ne nadzoruje dovolj "velikih tehnoloških podjetij" s sedežem na njegovem ozemlju.

Evropski parlament kot prednostne naloge opredeljuje vprašanja, povezana z obdelavo podatkov, ki jo izvajajo glavne platforme in digitalne storitve, zlasti na področju spletnega oglaševanja, mikrociljanja, profiliranja na podlagi algoritmov in tveganj, povezanih z razširjanjem in širjenjem informacij na omrežjih.

Prav tako se zdi bistveno razviti orodja za širše občinstvo, zlasti za mikropodjetja in mala ter srednje velika podjetja, kot je poudaril Evropski odbor za varstvo podatkov (EDPB) v svojem delovnem programu za obdobje 2021–2022. Opozoriti je treba, da je Belgija v ta namen pravkar objavila vrsto praktičnih orodij za mala in srednje velika podjetja.

• Evropa: Sprejetje dveh dokumentov s strani Evropskega odbora za varstvo podatkov:

Kar zadeva po eni strani vprašanja varstva podatkov v zvezi z povezani avtomobili, in po drugi strani pa glasovni pomočniki.

• Belgija:  

V okviru nove publikacije Svobodna univerza v Bruslju 22. aprila organizira spletni dogodek na temo " družba algoritmov „: tehnologija, moč in znanje“. Prijave so odprte na spletni strani univerze.

Mednarodno:

• ZDRUŽENE DRŽAVE AMERIKE:

Poleg zakonov, ki so trenutno v postopku sprejemanja v več zveznih državah, je bilo ameriškemu parlamentu na zvezni ravni pravkar predloženo besedilo z imenom "Zakon o preglednosti informacij in nadzoru osebnih podatkov (ITPDCA)".

Ta zakon določa zlasti pogoje, pod katerimi morajo potrošniki imeti možnost privoliti v obdelavo svojih podatkov ali ji ugovarjati, preglednost prenosov tretjim osebam in obveznost rednih revizij obdelave.

Zvezna komisija za trgovino bi bila odgovorna za nadzor nad skladnostjo z zakonom.

• Koreja:

Postopek za zagotavljanje ustreznosti varstva podatkov se zaključuje, kar bo olajšalo izmenjavo podatkov med Korejo in Evropsko unijo. Sklepi Komisije bodo kmalu predloženi v mnenje Evropskemu odboru za varstvo podatkov.

• ZN:

Posebni poročevalec ZN za zasebnost Joseph Cannataci, čigar mandat se bliža koncu, je pravkar objavil poročilo o umetni inteligenci in zasebnosti otrok.

• GAFA:

Google napoveduje, da bo opustil uporabo piškotkov za nov model zbiranja podatkov – Federated Learning of Cohorts (FLoC), ki je usmerjen na skupine in ne na posameznike na podlagi skupnih interesov.

Ta napoved je sprožila različne odzive, nekateri pa so poudarili, da novi sistem zbiranja podatkov, čeprav spreminja uporabljene tehnike, ne bo preprečil oglaševanja, usmerjenega na uporabnike interneta.

Podatki o več kot 500 milijonih računov Facebook, vključno s telefonskimi številkami številnih uporabnikov, so bili med velikonočnim vikendom naprodaj na spletu. Domneva se, da podatki izvirajo iz varnostne napake, ki je bila odkrita in odpravljena leta 2019. 

Anne Christine Lacoste

Anne Christine Lacoste, partnerica pri Olivier Weber Avocat, je odvetnica, specializirana za pravo podatkov; bila je vodja mednarodnih odnosov pri Evropskem nadzorniku za varstvo podatkov in delala na izvajanju GDPR v Evropski uniji.