Żabka „wyczytuje” informacje o klientach z ich wizerunku

Wraz z końcem ubiegłego roku w sieci znów zawrzało z powodu naruszenia prawa do prywatności przez jedną ze znanych sieci handlowych. Tym razem chodziło o sieć sklepów „Żabka”, która została „przyłapana” przez jednego ze swoich klientów na testowaniu systemu monitoringu pozwalającego na „wyczytywanie” z twarzy klientów informacji o ich płci i prawdopodobnym wieku. Czy to naruszenie przepisów UODO czy nowy rozdział w świecie Big Data?

Monitoring w Żabce

Jeden z klientów sieci sklepów Żabka zamieścił w internecie relację ze swojej wizyty w sklepie wraz ze zdjęciem obrazującym monitor komputera kasjera, na którym widniała jego twarz oraz „wyczytana” z niej informacja o jego płci i domniemanym wieku. Po tej rewelacji w sieci z oczywistych względów zawrzało do tego stopnia, że stanowisko zająć musiał przedstawiciel sieci handlowej. W złożonym w tej sprawie oświadczeniu stanowczo zdementowano jakoby Żabka miała prowadzić jakąkolwiek inwigilację swoich klientów czy też gromadzić ich dane osobowe. Przyznano wprawdzie, że sieć testuje opisany system, ale nie służy on gromadzeniu danych osobowych, a jedynie informacji statystycznych mających dać wiedzę o profilach grup klientów robiących zakupy o określonych porach dnia. Zapewniono przy tym, że w ramach systemu nie są zapisywane żadne obrazy z kamery i nie gromadzi się informacji pozyskiwanych z innych źródeł np. terminali płatniczych.

Życie w świecie Big Data

Nie ulega wątpliwości, że każde dane mówiące cokolwiek o naszych przyzwyczajeniach, preferencjach czy zachowaniach są pożądane przez usługodawców. Na przykład zestaw informacji potrzebnych do stworzenia spersonalizowanej oferty handlowej jest jedną z cenniejszych rzeczy w świecie marketingu bezpośredniego.

Łowienie danych ma służyć tworzeniu profili osobowych. Robimy to również w życiu prywatnym – warto przecież wiedzieć więcej o osobach, które poznaliśmy czy mamy poznać, a portale społecznościowe dostarczają nam dużej wiedzy o nich, chociażby w zakresie informacji o szkołach, do których uczęszczali czy miejscowości, z których pochodzą. Na tym podstawowym poziomie „łowów” pomoże nam to najwyżej w nawiązaniu interesującej rozmowy. Co innego w biznesie – tu na podstawie profilu osobowego zapadają decyzje, np. czy udzielić kredytu, na jakich warunkach ubezpieczyć, czy też bardziej błahe, ale powszechniejsze – jakie oferty marketingowe do nas skierować. Co więcej, przypadek ostatnich wyborów prezydenckich w USA nie pozostawia złudzeń, że profilowanie może służyć wręcz rozpracowywaniu pojedynczych wyborców i np. dostosowywaniu do nich komunikatów w wystąpieniach wyborczych.

Co z monitoringiem wizyjnym?

Debata na temat potrzeby opracowania kompleksowej regulacji dotyczącej przetwarzania danych za pomocą monitoringu wizyjnego toczy się już od wielu lat. Wydawało się, że kiedy w 2013 roku powstał projekt założeń do ustawy o monitoringu wizyjnym, kwestią czasu będzie uchwalenie stosownego aktu prawnego. Niestety, mimo stworzenia w kraju po raz pierwszy poważnej i solidnej bazy do dyskusji na temat monitoringu wizyjnego, temat uległ zawieszeniu czego konsekwencją jest konieczność posiłkowania się ustawą o ochronie danych osobowych przy ocenianiu kwestii przetwarzania danych pozyskanych przy użyciu  kamer.

Na gruncie przepisów o ochronie danych osobowych najistotniejszym wydaje się ustalenie czy w ogóle dochodzi do przetwarzania danych za pomocą monitoringu. I tu sprawa nie zawsze wydaje się taka oczywista. Przy dokonaniu tej oceny kierować się należy definicją danych osobowych zawartą w art. 6 ustawy. W powołanym przypadku Żabki, jak się okazało, do przetwarzania danych osobowych nie doszło, bo monitoring miał służyć jedynie zbieraniu danych statystycznych.

Pamiętać przy tym należy, iż danymi osobowymi będą nie tylko informacje dotyczące zidentyfikowanej osoby, ale również osoby możliwej do zidentyfikowania. Co to oznacza w praktyce? Na przykład wskazać można sytuację, w której monitoring miejski pozyskuje informacje obejmujące numery rejestracyjne pojazdów. Oczywistym jest, że nie dla każdego odbiorcy będą to dane osobowe. Pamiętać jednak należy, mając na uwadze powołany wyżej art. 6 ustawy, że określona informacja stanowi daną osobową, jeżeli podmiot nią dysponujący jest w stanie zidentyfikować osobę, której ta informacja dotyczy, bez ponoszenia nadmiernych kosztów czasu czy działań. Tak więc będzie to zależeć od możliwości, jakimi dysponuje dany podmiot, w tym dostępu do innych informacji dotyczących danej osoby. Jeśli podmiotem tym będzie np. staż miejska, która posiada dostęp do Centralnej Ewidencji Pojazdów i Kierowców, będzie mogła bez większych problemów  ustalić tożsamość osoby, której wizerunek czy też numer rejestracyjny pojazdu zarejestrowała.

Ustalenie kwestii czy zarejestrowane za pomocą monitoringu wizyjnego informacje stanowią dane osobowe ma niebagatelne znaczenie ze względu na inne obowiązki dotyczące administratora danych, chociażby związane z zarejestrowaniem zbioru.

Dlaczego potrzebna jest odrębna regulacja dotycząca monitoringu?

Specyfika przetwarzania danych zarejestrowanych za pomocą monitoringu nie pozostawia jednak złudzeń, że konieczne jest stworzenie odrębnego uregulowania, które odniesie się chociażby do kwestii obowiązku informacyjnego, obowiązku poprawiania danych czy wielu innych zagadnień uregulowanych co prawda w UODO, ale w sposób nie pozwalający na ich stosowanie w stosunku do monitoringu z uwagi na inną specyfikę tej formy przetwarzania danych.

Analizując problem i próbując znaleźć sposób jego rozwiązania, należy wspomnieć chociażby o potrzebie określenia obowiązków dotyczących tej formy gromadzenia danych, np. obowiązku oznaczenia miejsca usytuowania kamer monitoringu wizyjnego, dokonywanego przez umieszczenie tablicy informacyjnej[1].

Problematyczną kwestią, wymagającą odrębnego uregulowania niż to zawarte w UODO, wydaje się być również kwestia obowiązków informacyjnych, a przede wszystkim udzielenia odpowiedzi na pytanie czy osoba objęta monitoringiem może żądać dostępu do rejestrowanych danych, które jej dotyczą, powołując się na art. 32 i 33 ustawy. Takie rozwiązanie może bowiem rodzić pewne wątpliwości co do praktycznej realizacji. Niemniej istotne są kwestie dotyczące czasu przechowywania zarejestrowanych za pomocą monitoringu wizyjnego danych.

Pozostaje zatem mieć nadzieję, że temat kompleksowego uregulowania kwestii monitoringu wizyjnego powróci, co pozwoli na stworzenie ram dla dokonywania ocen sytuacji podobnych do tej zaistniałej w Żabce, a tych, jak możemy się spodziewać, będzie coraz więcej.

 

[1] Na szerszy zakres danych, jakie mają być przekazane osobie, które dane dotyczą wskazuje GIODO w Wytycznych dotyczące wykorzystywania monitoringu wizyjnego w szkołach (źródło: http://www.giodo.gov.pl/plik/id_p/11915/j/pl/).

About Redakcja 310 Articles
Omni Modo to po łacinie „na każdy sposób”. Nazwa naszej firmy to nie przypadek. Na każdy sposób chcemy bowiem pokazywać klientom nasze doświadczenie, profesjonalizm i sukcesy w dziedzinie ochrony danych osobowych.