RODO a smartwatche i inne urządzenia ubieralne
Smartwatch i inne urządzenia ubieralne są zaliczane do tzw. Internetu rzeczy. Urządzenia te są wykorzystywane do gromadzenia różnych danych osobowych. Jak podkreśla Urząd Ochrony Danych Osobowych, smartwatche i urządzenia ubieralne muszą spełniać wymogi RODO. Zasadne jest przede wszystkim przeprowadzenie DPIA przed ich wdrożeniem.
Czym są urządzenia ubieralne
Urządzenia ubieralne (wearable device) są klasyfikowane w ramach koncepcji Internetu Rzeczy. Są to urządzenia elektroniczne noszone na ciele użytkownika np. wyroby medyczne, odzież czy biżuteria. Urządzenia te służą przede wszystkim do monitorowania parametrów życiowych użytkownika m.in. tętna, ciśnienia krwi, poziomu tlenu we krwi, temperatury ciała. Są one wykorzystywane w celu m.in. monitorowania snu, stanu zdrowia i aktywności fizycznej. Inny cel to lokalizacja użytkownika.
Do urządzeń ubieralnych zalicza się m.in. opaskę fitness, smartwatch, ale też elektroniczną biżuterię.
DPIA przed wprowadzeniem smartwatcha
Urząd Ochrony Danych Osobowych podkreśla, że urządzenia te gromadzą liczne dane osobowe, w tym szczególnej kategorii. Dlatego muszą one być zaprojektowane tak, by spełniać wymogi RODO. Przede wszystkim producent takich urządzeń powinien rozważyć uprzednią ocenę skutków przetwarzania dla ochrony danych.
W komunikacie Prezesa UODO w sprawie wykazu rodzajów operacji przetwarzania danych osobowych wymagających oceny skutków przetwarzania dla ich ochrony wymieniono innowacyjne wykorzystanie lub zastosowanie rozwiązań technologicznych lub organizacyjnych, które swoim zakresem może obejmować systemy stosowane do analizy i przekazywania danych dostawcom usługi przy użyciu aplikacji mobilnych z urządzeń przenośnych. Chodzi tu m.in. o smartwatche, inteligentne opaski czy beacony.
Jak wskazano w komunikacie, co do zasady, aby DPIA była konieczna, muszą być spełnione co najmniej 2 kryteria z wykazu. Niemniej jednak w niektórych przypadkach uzasadnione jest przyjęcie, że ocena jest konieczna w przypadku wystąpienia jednego z kryteriów wskazanych w wykazie.
Obowiązek informacyjny RODO względem użytkownika smartwatcha
Administrator danych osobowych będący producentem smartwatcha lub innego urządzenia ubieralnego musi oczywiście spełnić obowiązek informacyjny wobec użytkowników. W ramach informacji o należy wyjaśnić aspekty przetwarzania danych w ramach wykorzystywanej technologii.
Konieczna zgoda na przetwarzanie danych osobowych użytkownika
Przetwarzanie danych osobowych użytkownika smartwatcha i innego urządzenia ubieralnego wymaga jego jednoznacznej, dobrowolnej i świadomej zgody. Użytkownik musi też mieć zapewnioną możliwość jej wycofania, jak i korzystania z uprawnień takich jak:
-
dostęp do danych,
-
sprostowanie,
-
ograniczenie przetwarzania,
-
usunięcie danych.
Środki bezpieczeństwa danych w ramach smartwatcha
Bardzo ważnym aspektem są oczywiście wdrożone środki bezpieczeństwa danych użytkowników. Może to być np. szyfrowanie danych czy uwierzytelnianie dwuskładnikowe. Należy tez pamiętać o regularnych aktualizacjach oprogramowania wykorzystywanego w urządzeniach ubieralnych.
-
Biuletyn UODO (10/10/23)
Wideo: Przegląd orzecznictwa (sierpień – listopad 2022 r.) – cz. III – decyzje zagranicznych organów nadzorczych
Poznaj najważniejsze orzeczenia zagranicznych organów nadzorczych. W podsumowaniu poruszamy zagadnienia związane m.in. z geolokalizacją, prawem dostępem do danych, cyberatakiem na gminę czy rozpoznawaniem twarzy.
