sentence1: Urząd Ochrony Danych Osobowych opublikował oficjalne wytyczne z zakresu ochrony danych osobowych w kontekście prowadzenia wideokonferencji. Na co powinniśmy zwracać szczególną uwagę?
  
  Kwestia ochrony danych osobowych w kontekście wideokonferencji nie jest wprost regulowana przepisami ogólnego rozporządzenia RODO, wobec czego ważne jest przyjęcie pewnych standardów. Poniżej dalsza część artykułu
  
  Jest to szczególnie istotne dla przedsiębiorców czy pracodawców, ponieważ podczas komunikacji na odległość zazwyczaj dochodzi do sytuacji, w których uczestnicy udostępniają informacje o sobie m.in.: imię, nazwisko, wizerunek, pseudonim, numer IP czy informacje zawarte w cookies, będące w rozumieniu art. 4 pkt 1) RODO danymi osobowymi podlegającymi ochronie.
  
  W zakresie rozmów prywatnych wykonywanych w celach osobistych nie spotykamy się z tym problemem, ponieważ rozporządzenie RODO nie ma zastosowania do takich sytuacji. Podstawowym pytaniem jest więc to, jakie dane osobowe można przetwarzać w sytuacjach służbowych i na jakiej podstawie prawnej powinno się to odbywać, aby przetwarzanie było zgodne z rozporządzeniem RODO.
  
  Podmioty udostępniające narzędzia do wideokonferencji biznesowych odnotowują w ostatnich tygodniach rosnące zainteresowanie swoimi produktami. Z narzędzi korzystają wszyscy – zarówno nauczyciele podczas lekcji zdalnych, jak i firmy w swojej bieżącej działalności. Często robią to jednak bez świadomości aspektów prawnych, jakie się z tym wiążą.
  
  Pierwszą ze wskazówek, która została zawarta w nowych wytycznych, jest zapoznanie się z obowiązującymi politykami prywatności lub regulaminami korzystania z serwisów do komunikacji zdalnej. Należy pamiętać, że dostawca usług wideokonferencji również będzie przetwarzać dane osobowe użytkowników. W związku z tym warto się zastanowić nad kwestią zawarcia stosownej umowy powierzenia przetwarzania, jeśli do takiego powierzenia będzie dochodzić. Często dostawcy usług wideokonferencji zawierają pewne postanowienia dotyczące powierzenia w swoich regulaminach. Należy zwrócić uwagę, w jakim zakresie dostawca usług wideokonferencji będzie osobnym administratorem, a w jakim podmiotem przetwarzającym np. pracodawcy chcącego w ten sposób zorganizować komunikację w organizacji.
  
  Pamiętając o zasadnie privacy by design musimy skutecznie chronić dane osobowe naszych pracowników czy rozmówców, i w tym duchu należy dokonać wyboru odpowiedniego narzędzia – najlepiej od dostawcy, który będzie nasze dane chronił w dostateczny sposób. Dostawca usług wideokonferencji musi dawać rękojmie należytego przetwarzania danych osobowych, w zakresie w którym jest samodzielnym administratorem lub jeśli ma pełnić rolę podmiotu przetwarzającego.
  
  Firmy stosujące widokonferencje powinny wprowadzić określone zasady udziału w wewnętrznych spotkaniach, w tym jakie dane można podawać, jakie nie, i jak można wykorzystywać narzędzia widokonferencji. Istotne jest by np. określić, że nagrywanie takich wideokonferencji jest zabronione -zarówno jeśli chodzi o obraz, jak i głos. To również dane osobowe. Ma to znaczenie w zakresie zasady ograniczenia przetwarzania danych osobowych i minimalizacji danych, a także samej definicji przetwarzania danych osobowych z art. 4 pkt 2) RODO. Utrwalenie wizerunku lub głosu bowiem stanowi już przetwarzanie danych. Pamiętajmy, że dane osobowe przetwarzamy tylko wtedy, gdy jest to niezbędne do osiągnięcia danego celu i tylko w adekwatnym zakresie, również w trakcie rejestracji do konferencji dane nie powinny być zbierane nadmiarowo
  
  Warto pamiętać, iż polityka prywatności dostawcy usługi wideokonferencji to nie wszystko i musimy zadbać o spełnienie obowiązków informacyjnych z art. 13 i 14 RODO, w tym zebranie stosownych zgód. Gdy do osiągnięcia celów musimy dokonać zapisu przebiegu wideokonferencji lub nawet samego głosu pamiętajmy o stosownych zgodach na utrwalenie wizerunku lub głosu. Dzięki nim będziemy mogli udostępnić zapis przeprowadzonego spotkania np. na stronie Internetowej firmy. Takie zapisy powinny także zostać objęte tajemnicą przedsiębiorstwa.
  
  Urząd wskazuje, że dla zabezpieczenia danych w praktyce konieczne jest stosowanie haseł lub odpowiednich metod autoryzacyjnych służących do umożliwienia zapoznania się z informacjami przekazywanymi podczas spotkań tylko osobom upoważnionym. Do tego celu dobrze sprawdzą się kody PIN lub służbowe hasła. Warto także poinstruować swoich pracowników, aby nie publikowali niepotrzebnie pewnych informacji w trakcie wideo-czatu w polach do tego przeznaczonych. Urząd wskazuje także, że można korzystać funkcji zamazanego tła, gdy chcemy chronić informację o tym, gdzie przebywamy. Pamiętajmy, że dane o lokalizacji również stanowią przedmiot ochrony na gruncie RODO.
  
  Od naszej staranności zależy, czy umożliwimy osobom niepożądanym udział w spotkaniu (udostępniając link do połączenia w miejscu publicznie dostępnym – np. w mediach społecznościowych) oraz czy wybierzemy bezpiecznego dostawcę Internetu i należycie zabezpieczymy nasze połączenie silnym hasłem. Ataki z zewnątrz można ograniczyć, jeśli korzystamy z aplikacji webowych i nie instalujemy oprogramowania na naszym służbowym lub prywatnym komputerze, ponieważ te platformy są lepiej chronione niż nasze komputery.
  
  Urząd zwraca uwagę, że gdy decydujemy się na formę zdalnego kontaktu, jaką jest wideokonferencja, należy korzystać z funkcji programów, które obejmują możliwość wyboru uczestników (opcja „poczekalnia") lub możliwości ograniczenia korzystania z kamery lub mikrofonu tylko do sytuacji, gdy jest to niezbędne, a także zarządzania ustawieniami ekranu. Nie narażajmy też naszych dokumentów poprzez udostępnianie ich w niekontrolowany sposób, uporządkujmy pulpit i zadbajmy, by nie narażać plików na niepotrzebne udostępnienie, zwłaszcza, gdy mogą zawierać dane prawnie chronione. Zaczynając i kończąc pracę zdalną można dodatkowo stosować bezpieczne połączenia VPN, aby zminimalizować ryzyko utraty informacji.
  
  Pamiętajmy także o tym, że gdy wyrazimy zgodę lub zaakceptujemy regulamin, nasze informacje mogą być dalej wykorzystywane w celach marketingowych przez podmiot, który zaprasza nas do udziału w spotkaniu. Zależy to także od właściciela platformy, który może mieć interes gospodarczy w uzyskaniu od nas danych w szerszym zakresie, a następnie przekazania ich podmiotom trzecim. Takie dane mogą zostać wykorzystane do profilowania w celach marketingowych przez dostawcę usługi.
sentence2: Ministerstwo Rozwoju przedstawiło założenia kolejnego etapu odmrażania gospodarki. Od 18 maja będzie można korzystać z punktów gastronomicznych oraz usług oferowanych przez branżę beauty – salonów kosmetycznych i fryzjerskich. W centrach handlowych będzie pojawiało się coraz więcej osób, jak zatem zapewnić im bezpieczeństwo? O kwestiach prawnych związanych z różnymi możliwościami opowiada mec. Paweł Fedczyszyn, adwokat w kancelarii Chałas i Wspólnicy.
  
  Co prawda wśród wytycznych nie ma obowiązku zainstalowania kamer, które dokonują automatycznego pomiaru temperatury, lecz zarządcy centrów handlowym mogą szukać sposobu, aby ograniczyć ryzyko kontaktu zakażonych z osobami zdrowymi. Należy pamiętać, że obiekty handlowe powinny być zabezpieczone na różnych poziomach – zalecane jest uruchomienie jak największej liczby wejść oraz zlikwidowanie barier, a także uruchomienie bezkolizyjnej organizacji wejścia i wyjścia do obiektu. W przypadku stwierdzenia wyraźnych oznak choroby jak uporczywy kaszel, złe samopoczucie, trudności w oddychaniu, osoba nie powinna zostać wpuszczona na teren obiektu. Osoby mające symptomy zakażenia SARS-CoV-2 nie powinny korzystać z miejsc publicznych, w tym przychodzić do sklepów – wskazuje w wytycznych Ministerstwo Rozwoju. Stosowanie dodatkowego monitoringu wydaje się być rozwiązaniem uzupełniającym wydane wytyczne – komentuje mec. Paweł Fedczyszyn, adwokat w kancelarii Chałas i Wspólnicy.
  
  Kliknij, aby powiekszyć fot. Pavel Losevsky - Fotolia.com Centrum handlowe Wśród pomysłów na zwiększenie bezpieczeństwa odwiedzających w galeriach handlowych pojawia się możliwość stosowania np. kamer termowizyjnych, które umożliwiają wykrycie osób z podwyższoną temperaturą.
  
  Istotne jest to, czy podmiot dokonujący rejestracji zapisuje dane z takiego monitoringu, czy dane o temperaturze ciała są zestawiane z innymi danymi o osobach oraz czy kamery umożliwiają zidentyfikowanie osoby na podstawie np. danych biometrycznych – wylicza mec. Fedczyszyn.
  
  W wielu przypadkach z takich narzędzi mogą zostać wygenerowane dane osobowe – często będą stanowiły one nawet dane wrażliwe, ponieważ rejestracja obrazu daje możliwość zidentyfikowania osoby fizycznej na podstawie jej cech fizycznych oraz przypisania konkretnej osobie danych na temat jej zdrowia (zgodnie z art. 4 pkt 15 RODO). Trudno zatem uniknąć stosowania do takich zapisów wymogów ogólnego rozporządzenia o ochronie danych osobowych. Konieczne jest zatem powiadomienie osób, które są rejestrowane, o samym fakcie dokonywania zapisu lub wykorzystywanej technologii oraz wskazania prawidłowej podstawy dla takiego przetwarzania. W przedmiotowej sytuacji należy rozważyć zastosowanie art. 9 ust. 1 lit i) RODO, który stanowi, że przetwarzanie danych dotyczących zdrowia jest dozwolone, gdy jest niezbędne ze względów związanych z interesem publicznym w dziedzinie zdrowia publicznego, takich jak ochrona przed poważnymi transgranicznymi zagrożeniami zdrowotnymi – wyjaśnia mec. Fedczyszyn.
  
  Zgodnie z art. 35 ust. 1 RODO, jeżeli dany rodzaj przetwarzania – w szczególności z użyciem nowych technologii – ze względu na swój charakter, zakres, kontekst i cele z dużym prawdopodobieństwem może powodować wysokie ryzyko naruszenia praw lub wolności osób fizycznych, administrator przed rozpoczęciem dokonuje oceny skutków planowanych operacji przetwarzania dla ochrony danych osobowych. Taka ocena jest wymagana w szczególności w przypadku przetwarzania danych osobowych, o których mowa w art. 9 ust. 1 RODO lub systematycznego monitorowania na dużą skalę miejsc dostępnych publicznie. Wobec powyższych wymogów warto określić pewne procedury wskazujące cel oraz czas przetwarzania danych lub ewentualne zrezygnować w zupełności z utrwalania zapisów z kamer. Należy podkreślić, że przyjęcie takiego mechanizmu wspomagającego prowadzenie walki z SARS-CoV-2 nie ma na celu wykrywania tożsamości określonych osób. Może zatem zostać przyjęta metoda, która technicznie nie będzie prowadziła do identyfikacji konkretnych osób fizycznych - temperatura ciała w oderwaniu od innych danych o osobie fizycznej nie stanowi danych osobowych, bowiem dopiero w wyniku zestawienia z innymi danymi będzie prowadziła do zidentyfikowania konkretnej osoby fizycznej zgodnie z art. 4 pkt 1) RODO, który wprowadza definicję danych osobowych – precyzuje mec. Fedczyszyn.
  
  Zgodnie z wymaganiami art. 32 RODO konieczne jest zabezpieczenie danych adekwatnie do ryzyka naruszenia praw i wolności osób fizycznych. W szczególności konieczne jest także zapewnienie, aby dane nie były łączone z innymi informacjami o osobach fizycznych, jeżeli jest to zbędne dla zrealizowania celu procesu i zbierane informacji tylko w niezbędnym zakresie (zasada minimalizacji), a także aby do ich przetwarzania były dopuszczone osoby mające elementarną wiedzę o tym jak z danymi osobowymi postępować oraz posiadały odpowiednie upoważnienia. Nie można wykluczyć, że podobne technologie będą kiedyś stosowane powszechnie, warto się jednak zastanowić, czy są one odpowiednim sposobem wykrywania zakażeń wirusem, ponieważ gorączka może wskazywać także na wiele innych dolegliwości - konkluduje ekspert.
  
  Wśród pomysłów na zwiększenie bezpieczeństwa odwiedzających w galeriach handlowych pojawia się możliwość stosowania np. kamer termowizyjnych, które umożliwiają wykrycie osób z podwyższoną temperaturą. Czy takie rozwiązanie jest dopuszczalne na gruncie obowiązujących przepisów? Czy operatorzy powinny zwrócić uwagę na jakieś regulacje prawne w tym obszarze?Korzystanie z kamer termowizyjnych może ograniczyć liczbę osób, które będą chciały dokonać zakupów pomimo symptomów choroby. Rodzi się pytanie, czy dane z kamery na podczerwień stanowią dane osobowe w rozumieniu RODO? Jak zwykle w takim przypadku odpowiedź zależy od pewnych okoliczności towarzyszących.I dodaje.Nie można także zapomnieć o obowiązkach związanych z ryzykiem przetwarzania.W razie wątpliwości jednak lepiej wprowadzić wszystkie wymagane elementy przez RODO, w tym zabezpieczyć należycie zebrane dane – nie wiemy w praktyce, jak mają działać te systemy nowej postaci monitoringu.