Estoński organ nadzoru wydał ostatnio decyzje w sprawie spółki oferującej wynajem elektrycznych hulajnóg. Organ badał, czy zbieranie danych o wadze kierującego hulajnogą, jest zgodne z RODO.
E-hulajnoga
Estoński organ otrzymał skargę przekazaną przez litewski organ nadzoru, złożoną przez obywatela Litwy, na firmę, oferującą eklektyczne hulajnogi na wynajem (administrator). Skarżący wskazywał, że otrzymał wiadomość od spółki, że nie jechał sam hulajnogą, co jest niezgodne z regulaminem. Podmiot danych zapytał administratora, na jakiej podstawie stwierdził, że inna osoba również jechała hulajnogą. Firma w odpowiedzi wskazała, że urządzenie wyposażone jest w system mierzący wagę osób i gdy zostanie ona przekroczona, informuje on o tym administratora. Podmiot danych złożył skargę do organu nadzoru, gdyż w polityce prywatności administratora nie było wskazane, że firma zbiera dane o wadze kierowcy.
Uzasadniony interes
W odpowiedzi administrator wskazywał, że podstawą prawną przetwarzania danych o wadze, jest uzasadniony interes administratora, a celem zastosowania systemu pomiaru wagi jest dopilnowanie, aby nie dochodziło do sytuacji, w której dwie osoby jadą jedną hulajnogą, co jest zabronione prawem. Administrator wskazywał, że zastosowanie innych środków, np. kamer, ingerowałoby bardziej w prywatność użytkowników. Regulamin administratora stanowi, że jazda z inną osobą jest zabroniona i dlatego można było zasadnie oczekiwać, że administrator będzie egzekwował te warunki.
Organ nadzoru w swojej decyzji wskazał, że dane zbierane przez administratora, tj. o wadze pasażera stanowią dane osobowe. Organ stwierdził, że faktycznie przetwarzanie wagi osoby jest równoznaczne z pewnym zakłóceniem prywatności danej jednostki. Chociaż waga osoby nie jest uważana za dane wrażliwe zgodnie z definicją zawartą w art. 9 RODO, nadal może to być problematyczne dla niektórych osób. Warto ponadto zaznaczyć, że zbierane dane nie precyzują dokładnej wagi jednostki, lecz całkowitą masę osoby (lub osób) i ewentualnych przedmiotów (jak na przykład torby) przewożonych na hulajnodze. Powiadomienia, jakie są wysyłane, nie skutkują także automatycznymi działaniami, takimi jak zablokowanie urządzenia.
Głównym celem wysyłanych komunikatów jest edukacja użytkowników oraz zapobieganie wypadkom z udziałem hulajnóg. Przesyłane ostrzeżenia są aktywowane tylko wtedy, gdy różnica w masach jest znacząca, przy czym nie niosą one za sobą innych negatywnych konsekwencji dla użytkowników. Ponadto wdrożono różne środki ochronne, aby zagwarantować przestrzeganie przepisów dotyczących przetwarzania danych osobowych oraz praw osób, których dane są przetwarzane. Cały proces ma na celu zapewnienie bezpieczeństwa podróżującym i innym obywatelom. Biorąc to wszystko pod uwagę, priorytetem jest osiągnięcie tego celu, a ewentualne naruszenie prywatności jest tolerowane tylko w związku z jego realizacją. Zasadne jest, więc aby administrator stosował środek kontrolujący przestrzeganie regulaminu korzystania z hulajnóg.
Jak wskazał organ na chwilę obecną polityka prywatności administratora nie zawiera wszystkich niezbędnych informacji określonych w art. 13 RODO – dotyczących przetwarzanych danych. Organ nadzoru polecił więc administratorowi uzupełnienie opisu w swojej polityce prywatności i jednocześnie go upomniał. Ponadto administrator zgodził się umieścić link do swojej polityki w wiadomości wysyłanej do użytkowników, którzy łamią regulamin.
Współpraca z organem nadzoru nie musi boleć
Nie zawsze postępowanie związane z możliwym naruszeniem ochrony danych osobowych, wiąże się z dotkliwą karą. Organ nadzoru uznał argumentację administratora za sensowną i nakazał jedynie dodanie niezbędnych informacji do polityki prywatności. Dzięki sprawnej komunikacji i współpracy z organem nadzoru administrator uniknął kary pieniężnej.
Źródło:
https://edpb.europa.eu/system/files/2023-08/ee_2023-06decisionpublic.pdf
