Wykorzystywanie inteligentnych okularów jest coraz powszechniejsze. Urządzenia te są też coraz bardziej zaawansowane. Wiele modeli, oprócz samego nagrywania, oferuje możliwość analizy obrazu z wykorzystaniem AI. Korzystanie z takich okularów rodzi jednak ryzyko naruszenia przepisów dotyczących ochrony prywatności, w tym RODO. Nie wszyscy jednak zdają sobie z tego sprawę. Ta technologia nie jest już zatem tylko fantazją scenarzystów, ale rzeczywistością.
Najważniejsze w skrócie:
- W procesie przetwarzania polegającym na przetwarzaniu za pomocą inteligentnych okularów użytkownik może występować w różnych rolach.
- Nagrywanie za pomocą inteligentnych okularów wymaga spełnienia wymogów RODO, w tym zapewnienia odpowiedniej podstawy prawnej przetwarzania i realizacji obowiązku informacyjnego;
- W przypadku nagrywania w sposób ciągły lub w przypadkowych sytuacjach realizacja tych obowiązków jest w praktyce niemożliwa;
- Nagrywanie przestrzeni publicznych jest legalne wyłącznie w przypadku ograniczonych przestrzeni i określonych kontekstów.
Inteligentne okulary na mównicy sejmowej – przyszłość czy zagrożenie?
W ubiegłym tygodniu jeden z posłów wystąpił w Sejmie, korzystając z inteligentnych okularów jako promptera. Okulary wyświetlały treść wniosku formalnego odczytywanego przez posła. Sytuacja spotkała się z szeroką krytyką: jedni zarzucają jej śmieszność, drudzy zwracają uwagę na względy bezpieczeństwa. Okulary wyprodukowane bowiem zostały przez chińską firmę i posiadają cztery, ciągle aktywne mikrofony, z których nagrania są analizowane, tłumaczone i transkrybowane przez sztuczną inteligencję, a także trafiają do nieokreślonych odbiorców. Zdarzenie to skłoniło nas do przyjrzenia się sytuacji prawnej związanej z używaniem inteligentnych okularów.
Inteligentne okulary – co to jest i dlaczego stanowi wyzwanie?
Inteligentne okulary to zwyczajowo stosowana nazwa na okulary wyposażone w wbudowaną kamerkę pozwalającą na nagrywanie otoczenia. Ich wykorzystywanie może budzić kontrowersje. Okulary pozwalają bowiem na dyskretne nagrywanie innych osób i mogą naruszać ich prywatność. Osoby nagrywane często nie mają świadomości, że są nagrywane. Jedyną wskazówką w tym zakresie może być świecąca dioda na urządzaniu. Wiele nowych modeli inteligentnych okularów wykorzystuje sztuczną inteligencję. Teoretycznie więc, mogą one analizować obraz i identyfikować poszczególne osoby. Takie rozwiązania zwiększają inwazyjność nagrywania z punktu widzenia ochrony prywatności. Wymagają również weryfikacji pod kątem przepisów dotyczących AI.
Kto odpowiada za dane?
Pierwszym problemem związanym z inteligentnymi okularami jest ustalenie, kto odpowiada za przetwarzane dane osobowe. Wskazówek na ten temat można szukać w stanowisku Europejskiej Rady Ochrony Danych (EROD). Na podstawie tych informacji wyodrębnić można trzy różne sytuacje, w których odmiennie będzie kształtować się rola użytkownika okularów w zakresie przetwarzania danych.
- Nagrywanie nie podlega reżimowi RODO – sytuacja taka wystąpi, gdy okulary będą wykorzystywane do jedynie przetwarzania objętego tzw. wyjątkiem domowym. Wyjątek taki obejmie, na przykład, nagrywanie członków rodziny i znajomych. Trzeba jednak pamiętać o ograniczeniach wynikających z tego wyjątku. W praktyce, nie obejmuje on wszystkich zastosowań potocznie określanych jako „prywatne”. Zwłaszcza publikacja nagrań tak, aby były dostępne nieokreślonemu kręgowi odbiorców (np. w mediach społecznościowych) wykracza poza ten zakres.
- Użytkownik jest administratorem danych – sytuacja taka wystąpi w procesach, w których określanie celów i środków przetwarzania należy do użytkownika, na przykład w przypadku publikacji nagrania na publicznym koncie w mediach społecznościowych lub korzystania z okularów w ramach działalności urzędowej, zawodowej lub politycznej.
- Producent lub dostawca aplikacji są administratorem danych – sytuacja taka wystąpi, gdy nagrania są wykorzystywane do celów określonych przez producenta lub dostawcę oprogramowania, na przykład do trenowania modeli AI.
Trzeba pamiętać, że w ramach wykorzystywania okularów przez użytkownika, realizowane mogą być cele różnych podmiotów. To samo nagranie może być wykorzystywane przez użytkownika do jego celów np. zawodowych, a jednocześnie przez producenta do trenowania modeli AI. W takiej sytuacji, relacje między podmiotami mogą być bardziej skomplikowane.
Jak realizować obowiązek informacyjny?
Realizacja obowiązku informacyjnego w przypadku okularów jest wyzwaniem z dwóch powodów.. Pierwszym problemem jest poinformowanie osób nagrywanych o samym fakcie nagrywania. Przekazanie tej informacji odbywać się może za pośrednictwem światła diody LED lub sygnału dźwiękowego. Nie należy jednak utożsamiać tego ze spełnieniem obowiązku informacyjnego. Mimo że osoba wie, że jest nagrywana, nie wie kto przetwarza jej dane ani w jakim celu.
Realizacja tego obowiązku jest szczególnie problematyczna. Użytkownik pozyskujący dane za pomocą okularów jest, co do zasady, zobowiązany do przekazania klauzuli informacyjnej. Problem ten można rozwiązać, gdy użytkownik nagrywa konkretną przestrzeń, nad którą ma kontrolę (np. pracownicy organizatora festiwalu nagrywają w ten sposób festiwal). Teoretycznie możliwe jest bowiem umieszczenie tabliczek z klauzulą informacyjną w tej przestrzeni, analogicznie do tabliczek informujących o monitoringu wizyjnym. Brak jest jednak rozwiązań tego problemu dla sytuacji nagrywania np. przechodniów na ulicy.
Jaka jest podstawa prawna takiego przetwarzania?
Określenie podstawy prawnej przetwarzania zależy od celu, w którym prowadzone jest nagrywanie. Często nagrywanie okularami może realizować te same cele, co nagrywanie za pomocą kamery. W takich sytuacjach, należy traktować je analogicznie pod względem podstaw prawnych. Przykładowo, okulary mogą zastępować bądź uzupełniać klasyczne kamery w następujących przypadkach:
- Pracownicy organizatora wydarzenia (np. koncertu) rejestrują nim wydarzenie, ze względów bezpieczeństwa. Jest to przykład przetwarzania opartego o uzasadniony interes.
- Jeśli są stosowane jako narzędzie niezbędne do realizacji umowy zawartej z osobą nagrywaną, będziemy mieć do czynienia z przetwarzaniem niezbędnym do zrealizowania umowy.
Ustalenie podstawy prawnej zależy od konkretnego kontekstu, w którym przetwarzane są dane osobowe. Większość podstaw prawnych wynikających z RODO nie ma bowiem abstrakcyjnego charakteru, a wynika z konkretnej, prawnej lub faktycznej sytuacji łączącej administratora i podmiot danych. Może to być stosunek prawa prywatnego (np. przetwarzanie niezbędne do realizacji umowy), obowiązek prawny (np. przetwarzanie niezbędne do realizacji obowiązków wynikających z konkretnych ustaw) lub stan, w którym administrator ma tzw. prawnie uzasadniony interes, a osoba, której dane dotyczą, ma rozsądne przesłanki by spodziewać się, że może nastąpić przetwarzanie danych (tzw. prawnie uzasadniony interes administratora).
Trudnym do uzasadnienia będzie przetwarzanie danych polegające na nagrywaniu przechodniów na ulicy lub innych osób, z którymi użytkownika nie łączy żadna relacja legalizująca przetwarzanie. W takim przypadku, rozważyć można pozyskanie zgody na przetwarzanie danych, niemniej wydaje się, że w praktyce byłoby to niewykonalne przy tego typu procesie.
Obecnie ciężko ukryć się przed wszechobecną inwigilacją – nie tylko za sprawą AI
A co z minimalizacją?
Zgodnie z zasadą minimalizacji danych, przetwarzane mogą być wyłącznie dane, których przetwarzanie jest konieczne do realizacji określonego celu przetwarzania. Co do zasady, im dokładniej określony jest cel przetwarzania, tym łatwiej określić jakie dane mogą być przetwarzane. W sytuacji, w której okulary pełnią funkcję odpowiednika kamery rejestrującej określone wydarzenie (np. nagrywanie koncertu dla celów bezpieczeństwa) lub służą jakiemuś innemu, zdefiniowanemu celowi (np. realizacji usług wynikających z umowy), możliwe jest zdefiniowanie zakresów danych podlegających przetwarzaniu w oparciu o ten kontekst.
Inteligentne okulary mogą jednak przetwarzać bardzo szeroki zakres danych. Noszenie okularów z włączoną funkcją nagrywania jest, pod względem zakresu przetwarzania danych, ekwiwalentne z noszeniem kamery. Jeśli okulary dysponują funkcjami analizy obrazu z wykorzystaniem AI, zakres może być znacznie szerszy. Biorąc to pod uwagę, zaryzykować można stwierdzenie, że nagrywanie za pomocą okularów jest uzasadnione, w sytuacjach, w których uzasadnione byłoby analogiczne nagrywanie za pomocą kamery.
Jakie ryzyka wynikają z nagrywania za pomocą inteligentnych okularów?
Nagrywanie za pomocą inteligentnych okularów może stwarzać ryzyko dla praw i wolności osób nagrywanych, ale również dla samego użytkownika. Ryzyko jest szczególnie wysokie w przypadku nagrywania prowadzonego stale lub w sposób nieograniczony jasno określonym i prawnie uzasadnionym celem. Nagrywanie jest sposobem przetwarzania danych osobowych z natury mocno ingerującym w prywatność. Wiąże się bowiem z przetwarzaniem, m.in. wizerunku, głosu i innych informacji wynikających z zarejestrowanego nagrania. Ryzyko dodatkowo wzrasta, jeśli okulary wykorzystują AI pozwalające na identyfikację osoby oraz jeśli nie ma gwarancji, że osoby nagrywane są tego świadome.
Oceniając ryzyko w szczególności trzeba zwrócić uwagę na to:
- jakie kategorie osób, w jakich kontekstach i sytuacjach są rejestrowane;
- jakie są standardy cyberbezpieczeństwa wykorzystywane przez dostawcę i potencjalne ryzyko wycieków danych;
- jakie są sposoby wykorzystywania danych przez dostawcę lub producenta;
- jaki jest czas przechowywania danych pochodzących z nagrań;
- kto jest producentem tego sprzętu.
Co zrobić?
Wykorzystanie inteligentnych okularów do nagrywania innych osób stwarza istotne problemy z perspektywy ochrony szeroko rozumianej prywatności. Nie oznacza to, że jest niemożliwe. Wymaga jednak ograniczenia nagrywania do określonej przestrzeni i konkretnego kontekstu. Wydaje się, że wówczas teoretycznie możliwe jest zarówno spełnienie obowiązku informacyjnego, jak i zidentyfikowanie właściwej podstawy prawnej przetwarzania danych osobowych. Przed rozpoczęciem korzystania z takich narzędzi, należy odpowiednio zweryfikować m.in. cel przetwarzania i zakres przetwarzanych danych. Niezbędna jest również prawidłowo przeprowadzona analiza ryzyka.
https://www.edpb.europa.eu/documents/statement/statement-of-the-edpb-on-smart-glasses_en