Ochelarii inteligenți care filmează trecătorii intră sub lupa autorităților UE pentru protecția datelor

Comitetul European pentru Protecția Datelor avertizează că ochelarii inteligenți cu camere, microfoane și servicii de inteligență artificială pot transforma activități aparent obișnuite în prelucrări de date supuse GDPR. EDPB cere indicatori vizuali și sonori eficienți atunci când dispozitivele înregistrează, limitarea colectării datelor, procesare locală atunci când este posibil și protecții care să împiedice utilizatorii să filmeze pe ascuns. Simplul fapt că o persoană folosește dispozitivul în scop personal nu exclude automat aplicarea legislației europene.

Ochelarii inteligenți care combină camere, microfoane, conectivitate și servicii de inteligență artificială ridică probleme de protecție a datelor diferite de cele ale unei camere video obișnuite, avertizează Comitetul European pentru Protecția Datelor. Într-o declarație adoptată la 13 octombrie, EDPB explică modul în care Regulamentul general privind protecția datelor se aplică atât utilizatorilor, cât și companiilor care produc dispozitivele sau furnizează serviciile asociate. Mesajul central este că persoanele aflate în raza ochelarilor trebuie să poată înțelege când sunt înregistrate, iar tehnologia ar trebui proiectată astfel încât colectarea inutilă sau ascunsă a datelor să fie limitată din construcție.

Pe scurt

1. EDPB cere ca ochelarii inteligenți să indice clar când înregistrează, inclusiv prin semnale vizuale și, unde este potrivit, sonore, astfel încât persoanele din jur să poată observa colectarea datelor.

2. Indicatorul de înregistrare nu ar trebui să poată fi acoperit sau dezactivat fără ca funcția de înregistrare să fie blocată.

3. Utilizarea personală nu intră automat în excepția pentru activități domestice. Dacă imaginile sunt publicate pentru un public nedeterminat sau dispozitivul este folosit profesional, utilizatorul poate deveni operator de date în sensul GDPR.

4. Producătorii și furnizorii de servicii își păstrează propriile obligații. Nu pot transfera întreaga responsabilitate pentru protecția datelor asupra persoanei care poartă ochelarii.

5. EDPB recomandă minimizarea datelor, procesarea direct pe dispozitiv atunci când este posibil, limitarea stocării, mascarea persoanelor și introducerea unor pași suplimentari înainte ca imaginile să fie distribuite.

Ochelarii inteligenți schimbă una dintre premisele tradiționale ale supravegherii video. În cazul unei camere montate pe un perete, persoana filmată poate identifica de regulă existența dispozitivului și, uneori, operatorul. Ochelarii pot arăta aproape identic cu o pereche obișnuită, în timp ce camera urmărește în mare parte ceea ce vede utilizatorul, iar microfonul poate capta conversații fără ca interlocutorii să observe imediat.

EDPB consideră că această discreție tehnologică amplifică obligația de transparență. Un indicator luminos foarte mic, greu vizibil sau ușor de acoperit nu rezolvă singur problema. Semnalizarea trebuie să fie efectivă pentru persoanele aflate în apropiere, nu doar existentă formal în specificațiile produsului.

Comitetul merge mai departe și recomandă ca designul dispozitivului să împiedice înregistrarea atunci când indicatorul a fost acoperit sau dezactivat. Principiul urmărit este simplu: utilizatorul nu ar trebui să poată elimina avertizarea adresată celor din jur păstrând simultan capacitatea de a înregistra.

Această cerință face parte dintr-o problemă mai largă privind protecția datelor prin proiectare și în mod implicit. GDPR nu cere numai intervenții după apariția unui abuz. Operatorii trebuie să integreze protecțiile în tehnologie și în configurarea serviciului înainte ca prelucrarea să aibă loc.

În cazul ochelarilor inteligenți, acest principiu poate însemna dezactivarea implicită a stocării persistente atunci când ea nu este necesară, procesarea locală pe dispozitiv în locul trimiterii automate a tuturor datelor către servere, eliminarea rapidă a informațiilor care nu mai sunt necesare și limitarea zonelor sau situațiilor în care anumite funcții pot fi activate.

EDPB indică și mascarea sau estomparea persoanelor ca posibilă măsură de protecție. O cameră purtată pe corp poate surprinde un număr mare de oameni care nu au nicio legătură cu scopul utilizatorului. Reducerea identificabilității acestora poate limita impactul asupra vieții private, cu condiția ca măsura să fie suficient de eficientă.

O altă protecție recomandată privește distribuirea conținutului. Dacă un dispozitiv permite încărcarea instantanee a fotografiilor sau filmărilor pe o platformă, o acțiune accidentală sau prea simplă poate transforma o captură privată într-o publicare către mii de persoane. EDPB sugerează introducerea unor „fricțiuni” înainte de distribuire, adică pași care obligă utilizatorul să confirme în mod conștient ce urmează să publice și către cine.

Una dintre cele mai importante clarificări privește așa-numita excepție domestică din GDPR. Regulamentul nu se aplică prelucrării efectuate de o persoană fizică în cadrul unei activități exclusiv personale sau domestice. Această excepție trebuie însă interpretată restrictiv.

Faptul că o persoană filmează cu propriii ochelari nu înseamnă automat că orice utilizare rămâne privată. Dacă înregistrările sunt publicate online pentru un public nedeterminat, utilizate în cadrul unei activități profesionale sau prelucrate în alte scopuri care depășesc viața personală, utilizatorul poate deveni operator de date și trebuie să respecte obligațiile GDPR aplicabile.

Situația poate fi diferită de la caz la caz. O fotografie păstrată într-un album privat nu ridică aceleași probleme precum transmiterea continuă a imaginilor către o platformă publică, utilizarea ochelarilor de către un angajat în relația cu clienții sau analizarea automată a persoanelor întâlnite în spațiul public.

Responsabilitatea nu revine însă exclusiv celui care poartă dispozitivul. Producătorul ochelarilor, furnizorul serviciului cloud, dezvoltatorul aplicației sau o companie care analizează datele poate avea propriul rol juridic în funcție de scopurile și mijloacele pe care le stabilește pentru prelucrare.

EDPB avertizează împotriva unei arhitecturi în care furnizorii ar încerca să considere că toate operațiunile sunt responsabilitatea utilizatorului final. Dacă o companie stabilește că imaginile sunt încărcate pe server, cât timp sunt păstrate, pentru ce sunt analizate sau dacă sunt utilizate pentru dezvoltarea serviciului, obligațiile sale trebuie evaluate separat.

Problema devine și mai sensibilă atunci când datele captate sunt utilizate de sisteme de inteligență artificială. O pereche de ochelari poate înregistra fețe, voci, locuri, conversații și comportamente, iar aceste informații pot fi ulterior clasificate sau analizate automat. În funcție de funcționalități, date aparent banale pot permite deducerea unor informații mult mai sensibile.

EDPB atrage atenția în special asupra folosirii interesului legitim drept bază pentru colectarea datelor trecătorilor în vederea antrenării sistemelor de inteligență artificială. Interesul legitim nu funcționează ca o autorizație generală. Operatorul trebuie să demonstreze existența unui interes real și legitim, necesitatea prelucrării și faptul că drepturile și interesele persoanelor vizate nu prevalează.

În spațiul public, această evaluare devine dificilă deoarece persoana filmată poate să nu aibă nicio relație cu furnizorul serviciului și poate să nu se aștepte ca imaginea sau vocea sa să fie utilizate pentru dezvoltarea unui model AI. Colectarea pe scară mare a datelor unor trecători pentru un scop pe care aceștia nu îl pot anticipa crește greutatea drepturilor lor în evaluarea juridică.

Consimțământul ridică o problemă diferită. Dacă o bază juridică necesită consimțământ, acesta trebuie să existe înaintea prelucrării relevante și să fie liber, specific, informat și neechivoc. EDPB subliniază că obținerea acordului unei persoane după ce imaginea sau vocea sa au fost deja colectate nu transformă retroactiv colectarea inițială într-una legală.

În practică, obținerea consimțământului fiecărui trecător ar fi dificilă pentru dispozitive care funcționează în spații aglomerate. Tocmai de aceea, proiectarea tehnologiei și alegerea unui temei juridic adecvat devin esențiale, iar funcțiile care implică o colectare masivă de date nu pot fi justificate numai prin faptul că produsul este disponibil consumatorilor.

EDPB cere și aplicarea principiului minimizării datelor. Ochelarii ar trebui să colecteze numai informațiile necesare funcției utilizate. Dacă un serviciu poate funcționa fără păstrarea imaginilor brute sau fără trimiterea lor permanentă către infrastructură cloud, arhitectura mai puțin intruzivă ar trebui luată în considerare.

Această abordare este relevantă și pentru durata stocării. Posibilitatea tehnică de a păstra permanent filmările nu reprezintă un motiv pentru stocarea lor nelimitată. Datele trebuie păstrate numai atât timp cât este justificat de scopul pentru care au fost colectate.

Declarația din octombrie nu introduce o nouă lege și nu interzice ochelarii inteligenți în Uniunea Europeană. EDPB este organismul care reunește autoritățile naționale pentru protecția datelor și Autoritatea Europeană pentru Protecția Datelor, iar documentul stabilește o interpretare comună preliminară a problemelor pe care această tehnologie le ridică în raport cu GDPR.

Aplicarea concretă va depinde de modul în care funcționează fiecare dispozitiv și fiecare serviciu. Un model care face numai fotografii la cererea utilizatorului, unul care înregistrează continuu și unul care identifică obiecte sau persoane în timp real pot implica prelucrări și riscuri foarte diferite.

Studiul „The Connected Gaze”, realizat prin programul de experți al EDPB, oferă context tehnic suplimentar asupra acestor riscuri, dar are un statut diferit. El a fost elaborat de experți externi și nu reprezintă prin el însuși poziția oficială a Comitetului. Declarația adoptată la 13 octombrie este documentul prin care EDPB își formulează propriile orientări preliminare.

Pe măsură ce astfel de dispozitive trec de la produse de nișă la obiecte purtate în viața cotidiană, întrebarea pentru autoritățile de protecție a datelor nu mai este numai ce poate face persoana care poartă ochelarii. Ea privește și ce trebuie să facă producătorul pentru ca oamenii din jur să poată vedea că sunt înregistrați, ce date sunt colectate în mod implicit, ce informații părăsesc dispozitivul și în ce condiții pot fi reutilizate ulterior.

https://2eu.brussels/ro/news/ochelarii-inteligenti-care-filmeaza-trecatorii-intra-sub-lupa-autoritatilor-ue-pentru-protectia-datelor