Kolejne wytyczne Europejskiej Rady Ochrony Danych nawiązują do wykorzystywania nowych technologii do walki z pandemią. Ponownie EROD skupiła się na danych dotyczących geolokalizacji oraz śledzeniu kontaktów.

Przypomnienie

O wykorzystywaniu danych osobowych do walki z COVID-19 pisałam już w dwóch poprzednich artykułach z cyklu RODOtechnika. Chciałabym przypomnieć tylko, że dane te miałyby być wykorzystywane w dwóch celach – modelowania rozprzestrzeniania się wirusa oraz informowania osób o fakcie przebywania w bliskości osoby zarażonej Sars-CoV-2. Śledzenie kontaktów miałoby odbywać się dzięki aplikacjom, takim jak ProteGO Safe , zaś dane o lokalizacji mogłyby pochodzić od dostawców usług komunikacji elektronicznej (np. operatorów telefonii komórkowej) lub od dostawców aplikacji, które do swojego działania wykorzystują takie dane (np. aplikacje do nawigacji).

Ogólne wskazówki

EROD nieustannie podkreśla, że nie powinniśmy być zmuszani do wyboru pomiędzy skuteczną walką z koronawirusem oraz ochroną podstawowych praw. W opinii Rady osiągnąć można oba cele, a ochrona danych osobowych może mieć istotne znaczenie w walce z Sars-CoV-2. Rada zaznaczyła, że pandemia nie może stanowić uzasadnienia do przetwarzania większej ilości danych niż jest to niezbędne. Przede wszystkim informacje i technologie wykorzystywane do walki z COVID-19 nie powinny być wykorzystywane w celu kontroli, represjonowania czy stygmatyzacji. Pandemia nie stanowi uzasadnienia dla przetwarzania danych osobowych niezgodnie z RODO. Nie są to jednak jedyne przepisy, których trzeba przestrzegać. EROD zwraca uwagę również na przepisy dyrektywy ePrivacy, zgodnie z którymi m.in. dostęp do danych przechowywanych na urządzeniu użytkownika, jak i przechowywanie danych na urządzeniu jest możliwe tylko na podstawie jego zgody, za wyjątkiem dokonywania tych czynności w celu wykonania transmisji komunikatu za pośrednictwem sieci łączności elektronicznej lub gdy jest to ściśle niezbędne w celu świadczenia usługi przez dostawcę usługi społeczeństwa informacyjnego, wyraźnie zażądanej przez abonenta lub użytkownika.

Aplikacje do śledzenia kontaktów

W nowych wytycznych powtórzono wiele kwestii zawartych już w poprzednim dokumencie. Wskazano, że aplikacje nie powinny wykorzystywać zbędnych danych (zgodnie z zasadą minimalizacji danych). Ich zakres powinien być ustalany w oparciu o kryteria przydatności dla celów medycznych oraz uzasadnionych potrzeb. Przede wszystkim nie powinny być zbierane informacje o stanie cywilnym, korespondencja czy informacje dotyczące lokalizacji. Nie powinno się również przetwarzać zebranych danych po zakończeniu kryzysu związanego z COVID-19, a dobrowolność korzystania z aplikacji powinna przekładać się na brak jakichkolwiek niekorzystnych warunków dla osób, które nie zdecydują się z nich skorzystać. Więcej na temat dotychczas opublikowanych wymogów dotyczących aplikacji można znaleźć w artykule „RODOtechnika: Aplikacje do walki z COVID-19 – bezpieczne czy nie?” 

Dane dotyczące lokalizacji

W swoich wytycznych Europejska Rada Ochrony Danych odnosi się do definicji danych o lokalizacji z tzw. dyrektywy ePrivacy. Zgodnie z jej treścią:

„Dane dotyczące lokalizacji” oznaczają wszelkie dane przetwarzane w sieci łączności elektronicznej lub w ramach usług łączności elektronicznej, wskazujące położenie geograficzne urządzenia końcowego użytkownika publicznie dostępnych usług łączności elektronicznej.” [art. 2 lit. c dyrektywy 2002/58/WE Parlamentu Europejskiego i Rady z dnia 12 lipca 2002 r. dotyczącej przetwarzania danych osobowych i ochrony prywatności w sektorze łączności elektronicznej (dyrektywa o prywatności i łączności elektronicznej).

Co istotne EROD nie ogranicza się do zalecenia usunięcia danych po zakończeniu pandemii, ale dopuszcza też dalsze przetwarzanie tych danych w postaci zanonimizowanej. Odnosząc się do dyrektywy ePrivacy stwierdziła również (co wynika z przepisów RODO), że dane zebrane zgodnie z jej art. 5 ust. 3, mogą być dalej przetwarzane jeżeli podmiot, którego dane dotyczą wyrazi na to zgodę lub na podstawie prawa Unii lub Państwa Członkowskiego jeżeli są to środki niezbędne i proporcjonalne, służące:

• bezpieczeństwu narodowemu;

• obronie;

• bezpieczeństwu publicznemu;

• zapobieganiu przestępczości, prowadzeniu postępowań przygotowawczych, wykrywaniu lub ściganiu czynów zabronionych lub wykonywaniu kar, w tym ochronie przed zagrożeniami dla bezpieczeństwa publicznego i zapobieganiu takim zagrożeniom;

• innym ważnym celom leżącym w ogólnym interesie publicznym Unii lub państwa członkowskiego, w szczególności ważnemu interesowi gospodarczemu lub finansowemu Unii lub państwa członkowskiego, w tym kwestiom pieniężnym, budżetowym i podatkowym, zdrowiu publicznemu i zabezpieczeniu społecznemu;

• ochronie niezależności sądów i postępowania sądowego;

• zapobieganiu naruszeniom zasad etyki w zawodach regulowanych, prowadzeniu postępowań w takich sprawach, ich wykrywaniu oraz ściganiu;

• funkcjom kontrolnym, inspekcyjnym lub regulacyjnym związanym, nawet sporadycznie, ze sprawowaniem władzy publicznej w przypadkach, o których mowa w lit. a) – e) oraz g);

• ochronie osoby, której dane dotyczą, lub praw i wolności innych osób;

• egzekucji roszczeń cywilnoprawnych.

Oczywiście Rada zaleca, aby dane o lokalizacji były, jeżeli to możliwe, przetwarzane w postaci zanonimizowanej, czyli niepozwalającej na połączenie ze zidentyfikowaną lub możliwą do zidentyfikowania osobą fizyczną przy wykorzystaniu „racjonalnego wysiłku”. Ocenę tę należy oprzeć na badaniu czasu i środków technicznych koniecznych do zidentyfikowania jakiej osoby dane dotyczą oraz analizie innych okoliczność (np. ilości danych).

Zanonimizowane dane nie stanowią danych osobowych, a więc ich przetwarzanie nie podlega przepisom RODO. Inaczej jest w przypadku danych spseudonimizowanych, czyli przetworzonych w sposób nie pozwalający na identyfikację osoby, której dane dotyczą bez użycia dodatkowych informacji (pseudonimizcja jest więc procesem odwracalnym). W przypadku pseudonimizacji, ze względu na odwracalność tego procesu, nadal należy przestrzegać przepisów Rozporządzenia.

EROD zwróciła słusznie uwagę, że dane uważane za zanonimizowane nie zawsze w istocie takimi są. W przypadku danych lokalizacyjnych mogą one same w sobie wskazywać na konkretną osobę. Przemieszczanie się osób fizycznych bywa często wyjątkowe, a więc w niektórych sytuacjach może umożliwiać re-identyfikację osoby.  W przypadku długotrwałego zbierania danych o lokalizacji animizacja wydaje się trudna, jeżeli nie niemożliwa.

Niestety stosunkowo niewiele uwagi poświęcono danym o lokalizacji, w stosunku do wytycznych dla aplikacji, mimo że kwestia ta może powodować liczne obawy. Przede wszystkim wiele wątpliwości budzi możliwość skutecznej anonimizacji, jak również cele, w jakich dane te zostaną faktycznie wykorzystane. Niepokojący jest również fakt, że w ostatnich tygodniach wiele słyszy się o kolejnych wyciekach danych, co może powodować wątpliwości, czy tak istotne dane jak nasza geolokalizacja, na podstawie której można będzie zapewne odtworzyć całą naszą aktywność w określonych dniach, a nawet miesiącach, będą odpowiednio zabezpieczone.

Co wprowadzono dotąd w Polsce?

Aplikacja ProteGO Safe trafiła już do sklepów, zaś w ustawie o szczególnych rozwiązaniach związanych z zapobieganiem, przeciwdziałaniem i zwalczaniem COVID-19, innych chorób zakaźnych oraz wywołanych nimi sytuacji kryzysowych wprowadzono przepisy, zgodnie z którym podczas stanu zagrożenia epidemicznego, stanu epidemii albo stanu klęski żywiołowej, operator telekomunikacyjny jest zobowiązany do udostępniania ministrowi właściwemu do spraw informatyzacji danych o lokalizacji urządzenia telekomunikacyjnego osoby chorej na COVID-19 lub objętej kwarantanną o następującej treści:

Art. 11f

1.W związku z przeciwdziałaniem COVID -19, podczas stanu zagrożenia epidemicznego, stanu epidemii albo stanu klęski żywiołowej, operator w rozumieniu przepisów ustawy z dnia 16 lipca 2004 r. – Prawo telekomunikacyjne (Dz.U. z 2019 r. poz. 2460 oraz z 2020 r. poz. 374 i 695) jest obowiązany do udostępniania ministrowi właściwemu do spraw informatyzacji danych o lokalizacji, obejmujących okres ostatnich 14 dni, telekomunikacyjnego urządzenia użytkownika końcowego chorego na chorobę zakaźną COVID-19 lub objętego kwarantanną, na żądanie oraz w sposób i w formie ustalonej przez ministra właściwego do spraw informatyzacji.

2.Operator w rozumieniu przepisów ustawy z dnia 16 lipca 2004 r. – Prawo telekomunikacyjne na żądanie ministra właściwego do spraw informatyzacji jest obowiązany do przekazania w sposób i w formie ustalonej przez tego ministra, w celu przeciwdziałania COVID-19, podczas stanu zagrożenia epidemicznego, stanu epidemii albo stanu klęski żywiołowej zanonimizowanych danych o lokalizacji urządzeń końcowych użytkowników końcowych.

3. Zgoda użytkownika końcowego na przetwarzanie i udostępnianie danych, o których mowa w ust. 1 i 2, nie jest wymagana.

Art. 11g Podczas stanu zagrożenia epidemicznego, stanu epidemii albo stanu klęski żywiołowej anonimizacja danych o lokalizacji, o których mowa w art. 159 ust. 1 pkt  4 ustawy z dnia 16 lipca 2004 r. – Prawo telekomunikacyjne, w celu przeciwdziałania COVID-19, nie stanowi czynności przetwarzania, o której mowa w art. 161 ust. 1 ustawy z dnia 16 lipca 2004 r. – Prawo telekomunikacyjne.

Wpis nie stanowi porady ani opinii prawnej w rozumieniu przepisów prawa oraz ma charakter wyłącznie informacyjny. Stanowi wyraz poglądów jego autora na tematy prawnicze związane z treścią przepisów prawa, orzeczeń sądów, interpretacji organów państwowych i publikacji prasowych. Kancelaria Ostrowski i Wspólnicy Sp.K. i autor wpisu nie ponoszą odpowiedzialności za ewentualne skutki decyzji podejmowanych na jego podstawie.