Românii vor fi monitorizați de un sistem de recunoașterea facială

ANSPDCP

Vizualizari: 11900

Facebooktwittergoogle_plusredditpinterestlinkedinmail

Camerele de monitorizare video (CCTV), webcam-urile, telefoane mobile, rețele de socializare, camere ATM din România vor fi monitorizate de un sistem de recunoaștere facială. Controversele din jurul acestei tehnologii aflată încă în curs de maturizare riscă să stârnească îngrijorarea apărătorilor drepturilor și libertăților persoanelor din România.

Recunoașterea facială: Necesitate sau Oportunitate?

Inspectoratul General al Poliției Române a publicat de curând, în SICAP (Sistemul Electronic de Achiziții Publice), un anunț privind achiziționarea unei „Soluții informatice pentru recunoaștere facială + training”, în valoare de 4.779.008 lei.  

Scopul proiectului îl reprezintă operaționalizarea sistemului de identificare și recunoaștere facială NBIS (Național Biometric Identification System) și interconectarea acestuia cu autoritățile de aplicare a legii din Uniunea Europeană.

Prin implementarea acestei tehnologii, Poliția Română urmărește să crească gradul de combatere și elucidare a cazurilor asociate furtului de identitate, a documentelor pierdute sau furate, identificarea suspecților care comit sau intenționează să comită fapte de natură penală (terorism, infracțiuni cu violenta, etc.).

Poate că, având în vedere încărcătura emoțională cauzată de o serie de evenimente tragice care au determinat slăbirea încrederii românilor în eficiența Poliției Naționale, opinia publică ar înclina spre susținerea unui astfel de proiect, însă controversele asociate acestor sisteme ne obligă să fim cel puțin rezervați dacă nu chiar îngrijorați, așa că am răsfoit documentația căutând indicii care să ne demonteze îngrijorările, fără succes însă. 

Recunoașterea facială este plutoniul inteligenței artificiale

Intenția IGPR-ului de a achiziționa un asemenea sistem ne-a amintit de un articol semnat de Luke STARK (Cercetător Postdoctoral la Microsoft Research Montreal) și publicat de Association of Computing Machinery (ACM), întitulat „Facial recognition is the plutonium of AI”, descriind astfel toxicitatea folosirii sisteme care se bazează pe inteligență artificială.

STARK susține că sistemele de recunoaștere facială sunt periculoase, rasiale și au puține utilizări legitime. Prin urmare, astfel de sisteme au nevoie de reglementare și control strict precum deșeurile nucleare.

Comparația poate părea puțin exagerată însă am menționat acest articol pentru a sublinia încă din start existența controverselor la nivel internațional care planează asupra utilizării acestei tehnologii și a riscurilor asociate acesteia.

Toți locuitorii României vor putea fi monitorizați prin utilizarea sistemului de recunoașterea facială 

Conform documentației licitație, NBIS va oferi funcționalități de căutare/verificare/comparare a imaginilor faciale digitale din bazele de date existente, asociindu-le cu cele provenite din diferite surse cum ar fi CCTV (adică sisteme de monitorizare video), webcam, telefoane mobile, rețele de socializare, camere ATM, operațiuni în urma cărora va fi posibilă recunoașterea persoanelor.

Soluția de recunoaștere facială va trebui să poată executa căutări după o imagine „în litigiu” într-o bază de date de până la 2.000.000 de înregistrări, în maxim 5 secunde. Adică o baza de date care va putea cuprinde mai mult de 10% din toată populația României.

Poate ne grăbim cu concluziile însă interpretarea noastră referitor la sursele imaginilor asociate ar fi că Poliția Româna va avea acces la sistemele de monitorizare video, camerele video ale laptop-urilor, ale telefoanelor mobile ale bancomatelor dar și a rețelelor de socializare. Este oare Poliția Română pregătită să gestioneze eficient și în limitele legale un asemenea sistem, respectând totodată drepturile și libertățile persoanelor? 

Să ne imaginăm că în Piața Victoriei are loc un protest. Poliția va putea accesa înregistrările foto-video realizate de Jandarmerie, înregistrările CCTV, imaginile postate pe Facebook etc., iar prin utilizarea software-ului de identificare facială vor putea fi identificați toți participanții,  făcând astfel posibilă sancționarea lor. Sancționarea celor care se fac vinovați de comiterea unei infracțiuni ar putea fi justificată, dar ce garanții avem că această tehnologie nu va fi utilizată pentru a amenda toți participanții în încercarea de a-i descuraja să mai participe la astfel de evenimente. Situația în care s-a trezit bărbatului surdo-mut, amendat de Jandarmerie pentru că a „scandat lozinci” este cel mai bun exemplu. 

Eficacitatea sistemului de recunoaștere facială este importantă, dar nu prea..

Conform criteriilor de atribuire a contractului din caietul de sarcini al licitației menționate mai sus, ponderea pentru „Eficacitatea algoritmului de căutare/comparare” este de doar 30%, fiind pe aceeași treaptă cu prețul ofertei, Restul factorilor de evaluare vizând caracteristici hardware care nu afectează acuratețea funcționarii software-ului de recunoaștere faciala. 

Mai simplu spus, dacă un ofertant propune un sistem mai ieftin dar în același timp mai slab calitativ din punct de vedere al eficienței software-ului de recunoaștere facială, va avea șanse să câștige acest contract. Mind-blowing or not?

Un alt aspect care ne-a întărit îngrijorarea privind viabilitatea sistemului de recunoaștere faciala este faptul că Autoritatea nu a impus prin documentația achiziției cele mai utilizate condiții de participare atunci când sunt vizate proiecte de o asemenea amploare și sensibilitate: demonstrarea capacității tehnice și profesionale și situația economica și financiară a ofertantului. Prin urmare, operatorii care vor depune o oferta nu vor trebui să dovedească faptul că dețin resursele financiare suficiente pentru a duce la bun sfârșit un proiect de o asemenea amploare și importanță și nici nu vor trebui să dovedească că au experiență în implementarea unei soluții similare sau măcar că personalul care se va ocupa de instalarea sistemului este calificat și deține experiență specifică în astfel de proiecte. 

Dacă tot n-am inventat noi apa caldă, să analizăm rezultatele utilizării tehnologiei de recunoaștere facială în țările mai avansate dpdv tehnologic:

  • Politia Metropolitana din Londra acuzată că a irosit banii publici

În perioada august 2016 - iulie 2018 poliția din Londra a testat un sistem de recunoaștere facială. Conform datelor făcute publice de poliția londoneză, în perioada de testare a sistemului au fost declanșate 104 alerte din care 102 s-au dovedit a fi eronate în timp ce doar două au fost confirmate.

Hannah Couchman, ofițer de politică la Liberty, a acuzat Scotland Yard că a lansat o „extindere înfiorătoare” a tehnologiei fără să se implice pe deplin cu problemele legate de discriminare și drepturile omului, relatează Independent.

„Recunoașterea facială este un instrument de supraveghere a masei care ne poate forța să ne schimbăm comportamentul și este cel puțin exact atunci când sunt folosite pentru a identifica femeile și persoanele BME (Black Male Adult) - ceea ce înseamnă că sunt mai susceptibile de a fi supuse unei opriri intruzive ale poliției în urma unei potriviri false“, a adăugat aceasta.

  • San Francisco a interzis utilizarea tehnologiei de recunoaștere facială de către poliţie şi alte agenţii guvernamentale

În data de 14 mai 2019, orașul San Francisco, aflat de mult în centrul revoluției tehnologice, a luat o poziție împotriva potențialelor abuzuri, interzicând poliției și altor agenții să folosească software de recunoaștere facială.

Tehnologia emergentă nu va fi permisă de către agențiile locale, cum ar fi autoritatea de transport a orașului sau forțele de ordine. 

"Tendinţa tehnologiei de recunoaştere facială de a pune în pericol drepturile civile şi libertăţile civice contrabalansează semnificativ aşa-zisele sale beneficii", se spune în textul deciziei.

În plus, orice plan de cumpărare a oricărui tip de tehnologie de supraveghere trebuie să fie acum aprobat de administratorii orașului, relatează BBC.

"Cu acest vot, San Francisco a declarat că tehnologia de monitorizare a fețelor este incompatibilă cu o democrație sănătoasă și că rezidenții merită să aibă o voce în deciziile privind tehnologiile avansate de supraveghere", a declarat Matt Cagle, reprezentant al American Civil Liberties Union.

Somerville din Massachusetts și Oakland, California au urmat modelul orașului San Francisco.

  • China folosește sistemul de recunoaștere facială pentru a profila minoritățile

Potrivit ziarului The New York Times (NYT), autorităţile chineze se folosesc de această tehnologie integrată în vaste reţele de camere de supraveghere în întreaga ţară, pentru a repera membri ai minorităţii musulmane, după ce a fost programată cu caracteristicile lor fizice, pentru a-i căuta doar pe aceştia. Acesta ar fi primul exemplu cunoscut al folosirii de către un guvern a inteligenţei artificiale (AI) cu scopul de a efectua un profilaj rasial.

dpo-NET.ro a publicat un articol despre prelucrarea excesivă a datelor sensibile care poate conduce la o dictatura digitală în care toți am fi captivi. Puteți accesa articolul aici. Documentarul ABC News (Australia) intitulat “Expunerea dictaturii distopice a Chinei | Corespondent străin“ poate fi vizionat la sfârșitul acestui articol. 

  • Campania BanFacialRecognition în SUA

EPIC* împreună cu alte 30 de organizații solicită parlamentarilor americani să interzică utilizarea de către guvern a tehnologiei de recunoaștere facială.

În solicitare, coaliția BanFacialRecognition de subliniat faptul că „utilizarea tehnologiei de recunoaștere a feței ... prezintă riscuri grave pentru viața privată și libertățile civile, amenință imigranții, are un impact larg asupra cetățenilor americani și a fost pusă în aplicare fără garanții adecvate sau aprobare explicită a Congresului".

De asemenea aceștia au trimis autorității responsabile cu securitatea națională (Homeland Security)  o scrisoare prin care au solicitat acestora „suspendarea imediată 

suspendați imediat folosirea tehnologiei de recunoaștere a feței de către Departamentul de Securitate Internă (DHS) asupra publicului larg”. 

______

*EPIC (Electronic Privacy Information Center) este un centru de cercetare de interes public din Washington, care luptă pentru protejarea confidențialității, a libertății de exprimare și a valorilor democratice în era informațională.

  • Până și Facebook a renunțat la recunoașterea facială by default

În 3 septembrie, Facebook a anunțat că va înceta folosirea în mod implicit a recunoașterii facială prin care oferea sugestii de etichetare a persoanelor din fotografiile încărcate. Astfel Facebook  încearcă să ofere mai multa transparență acestui tip de prelucrare, informând utilizatorii despre modul în care platforma folosește această tehnologie și oferindu-le acestora posibilitatea de a opta sau dezactiva cu ușurință aceste setări.

Acest update este consecința anchetei efectuate de Comisiei Federală de Comerț (FTC) care a condus la înțelegerea record de 5 miliarde de dolari. Printre neregulile identificate de FTC s-a numărat și utilizarea programului de recunoaștere facială, FTC ordonând Facebook să „furnizeze o notificare clară și vizibilă despre utilizarea tehnologiei de recunoaștere facială și să obțină consimțământul afirmativ al utilizatorului ...”, potrivit comunicatului de presă al FTC.

Totuși, în anumite condiții, sisteme de recunoașterea facială pot funcționa în limitele legii

Procesul în care Ed Bridges, fost consilier al orașului Cardiff a contestat utilizarea de către Poliția South Wales a tehnologiei automate de recunoaștere facială a avut un deznodământ neașteptat, deși acesta a beneficiat de o puternică susținere din partea Liberty, o organizație care luptă pentru drepturile omului, 

Judecătorii au decis că, deși utilizarea unui sistem de recunoaștere facială automată constituie o ingerință în dreptul la viață privată, există o bază legală pentru aceasta, iar cadrul legal folosit de poliție a fost proporțional.

Înalta Curte a declarat că aceasta este prima dată când o instanță din întreaga lume a analizat legalitatea utilizării tehnologiei de recunoaștere facială, conform BBC.

Aceasta decizie pare să fi luat prin surprindere însăși autoritatea de supraveghere din Marea Britanie (ICO). Aceasta a emis o declarație cu privire la utilizarea tehnologiei de recunoaștere a feței în direct de către Poliția South Wales, prin care a salutat constatarea instanței potrivit căreia utilizarea de către poliție a sistemelor de recunoaștere facială implică prelucrarea de date sensibile, fiind necesara necesitând respectarea legilației privind protecția datelor personale.

„Această tehnologie nouă și intruzivă are potențial, dacă este folosită fără garanțiile de confidențialitate corecte, să submineze mai degrabă decât să sporească încrederea în poliție”, a subliniat autoritatea engleză.

Aceasta a declarat că va lua în considerare decizia instanței de judecată, urmând să finalizeze recomandările și îndrumările adresate forțelor de poliție cu privire la modul de planificare, autorizare și implementare a oricăror sisteme de recunoaștere facială viitoare.

„Între timp, orice forțe de poliție sau organizații private care utilizează aceste sisteme ar trebui să fie conștiente de faptul că legislația și ghidurile privind protecția datelor încă se aplică.”, a concluzionat autoritatea.

Permite legislația națională utilizarea sistemelor de recunoaștere facială?

Necunoscând legislația specifică aplicabilă la nivelul Poliției Române, vom evita să oferim un răspuns ferm însă vom analiza strict din punct de vedere al legislației ce reglementează acest tip de prelucrări de date personale (Legea nr. 363/2018), 

Astfel, conform dispozițiilor art. 10 și 11, prelucrarea datelor sensibile (biometrice) prin mijloace automate este interzisă, cu excepţia cazului în care prelucrarea este reglementată expres de lege, și sunt instituite măsuri corespunzătoare pentru protejarea drepturilor, a libertăţilor şi a intereselor legitime ale persoanei vizate.

Utilizarea unui sistem ce ridica suspiciuni privind intruziunea în viața privată a persoanelor ar trebui înainte de toate să treacă printr-o evaluare a impactului asupra protecţiei datelor cu caracter personal (DPIA), obligatorie pentru acest tip de prelucrări conform Deciziei nr. 174/2018 a autorității naționale de supraveghere. 

Mai mult, având în vedere că vorbim despre implementarea unei tehnologii noi care prezintă un risc ridicat pentru drepturile și libertățile persoanelor și care va putea fi utilizat pe întreg teritoriul României, considerăm că Poliția Română ar fi trebuit să consulte autoritatea națională de supraveghere atunci când a planificat achiziția acestui sistem în vederea includerii în caietului de sarcini a unor cerințe funcționale specifice care să ofere garanții suficiente în ceea ce privește protecția datelor personale, adică respectarea conceptului de privacy by design (vezi art. 25 din GDPR).

Poate nu am fost suficient de atenți, însă noi nu am identificat în documentația aferentă achiziției sistemului de recunoaștere facială cerințe constructive specifice care să asigure respectarea legislației incidente privind protecția datelor personale, în afara celor privind managementul log-urilor. 

______

*Legea nr. 363/2018 din 28 decembrie 2018 privind protecţia persoanelor fizice referitor la prelucrarea datelor cu caracter personal de către autorităţile competente în scopul prevenirii, descoperirii, cercetării, urmăririi penale şi combaterii infracţiunilor sau al executării pedepselor, măsurilor educative şi de siguranţă, precum şi privind libera circulaţie a acestor date

 

În loc de concluzii

Nu contestăm că tehnologia evoluează constant iar astfel de soluții vor putea contribui la diminuarea infracționalității însă astfel de decizii nu pot fi luate fără a ține cont în primul rând de eventualele consecințe.

Una din aceste consecințe, în cazul în care utilizarea unei astfel de soluții tehnice se dovedește a fi o ingerință în viața privată a persoanelor, ar fi procesele colective care ar putea costa Statul Român mai mult decât investiția în sistemul respectiv. 

Dar cu siguranța cea mai mai dureroasă „lovitură” ar fi scăderea încrederii pe care persoanele o au în această instituție, al cărei slogan este „Siguranță și Încredere”.

Probabil că nu toată lumea ne va împărtăși îngrijorările însă informațiile de mai sus ne oferă suficiente argumente să nu privim cu ochi buni achiziția unui asemenea sistem. Ne-am simțit obligați să tragem acest semnal de alarmă și să subliniem faptul că riscăm să ne îndreptăm spre o eră BigBrother, în care spațiul privat nu va mai exista atât timp cât un ochi poate veghea mereu asupra noastră.

Cu siguranță vom fi „acuzați” că ne grăbim cu „concluziile”, motiv pentru care vă invităm să vizionați următorul filmuleț și să extrageți singuri concluziile.

INTRA ACUM în grupul WhatsApp "Comunitatea Dpo-NET.ro"!


Iți plac articolele dpo-NET.ro? Poți fi la curent cu toate aceste noutăți dacă ne urmărești zilnic pe paginile noastre de LinkedIn sau Facebook. 


Acest articol este protejat de către dispoziţiile legale incidente și este interzisă copierea, reproducerea, recompilarea, modificarea, precum şi orice modalitate de exploatare a acestuia. Articolele publicate pe DPO-NET.RO pot fi preluate doar în limita a maxim 500 de caractere, fără a depăşi jumătate din totalul de caractere, şi cu citarea obligatorie a sursei, cu link activ. Orice abatere de la această regulă constituie o încălcare a Legii 8/1996 privind dreptul de autor. Dacă sunteţi interesaţi de preluarea ştirilor și articolelor publicate pe DPO-NET.RO, vă rugăm să ne contactati.

GHID și INSTRUCȚIUNI DE LUCRU privind protecția datelor în contextul epidemiologic actual

ANSPDCP

Vizualizari: 4403

Facebooktwittergoogle_plusredditpinterestlinkedinmail

La 10 martie 2020, Autoritatea Națională Maghiară pentru Protecția Datelor și Libertatea Informațiilor („NAIH”) a emis un ghid  privind protecția datelor in contextul pandemiei cu COVID-19. NAIH evidențiază faptul că operatorii care prelucrează date cu caracter personal în contextul eforturilor lor de a preveni răspândirea COVID-19 trebuie să respecte atât GDPR, cât și legea ungară privind protecția datelor. Ghidul se aplică organizațiilor publice și private, angajaților și contractorilor acestora, precum și altor terțe părți (de exemplu, clienți, vizitatori). NAIH subliniază că orice tip de prelucrare a datelor în circumstanțele actuale trebuie să respecte principiile GDPR, în special cel al răspunderii. Publicarea ghidului NAIH vine ca urmare a publicării unor declarații similare ale altor autorități de reglementare SEE, inclusiv cele din Franța, Danemarca, Spania, IslandaIrlanda, Italia, Luxemburg, OlandaNorvegia, Polonia, Slovenia, Slovacia și Marea Britanie.

1. Limitarea scopului

Colectarea și prelucrarea datelor cu caracter personal nu poate fi considerată necesară decât în ​​cazul în care scopul nu poate fi atins prin orice alte mijloace și, în orice caz, trebuie evaluat dacă există o altă soluție mai puțin invazivă.

2. Minimizarea datelor și legalitatea prelucrării

Dacă colectarea datelor cu caracter personal este considerată absolut necesară, operatorul trebuie să definească scopul exact și baza legală a acestora. Colectarea, prelucrarea și stocarea datelor trebuie să fie proporționale cu scopul acestor activități.

3. Transparența

Controlorul trebuie să furnizeze persoanei vizate informațiile solicitate în conformitate cu articolul 13 GDPR și secțiunea 16 din legea maghiară privind protecția datelor. Dacă datele sunt colectate în baza articolului 6 alineatul (1) litera (f) GDPR, controlorul trebuie să arate că importanța scopului depășește importanța drepturilor individuale.

4. Cerințe specifice

NAIH a identificat o serie de cerințe relevante în circumstanțele actuale.

I. Prelucrarea datelor referitoare la ocuparea forței de muncă

 Angajatorii trebuie să se asigure că oferă un mediu de lucru sigur, care include planificarea și funcționarea procedurilor de protecție a datelor. În acest cadru, angajatorii sunt obligați să:

  • Crearea unui plan de continuitate de afaceri , care să includă pașii necesari pentru a reduce răspândirea infecției, ce trebuie făcut în cazul apariției infecției, evaluarea riscurilor pentru protecția datelor, responsabilitățile interne și canalele de comunicare adecvate;
  • Furnizați informații detaliate despre coronavirus și ce trebuie să faceți în cazul unei infecții suspectate;
  • Dacă este necesar, anulați sau amânați călătoriile și evenimentele de afaceri și oferiți oportunitatea de a lucra de acasă; și
  • Alertați angajații că, în interesul protecției sănătății lor și a colegilor lor, trebuie să raporteze orice contact suspect cu coronavirus și să solicite sfaturi medicale cât mai curând posibil.

În cazul în care un angajat raportează că a putut fi în contact cu virusul sau dacă angajatorul suspectează că acesta poate fi în pericol pe baza informațiilor furnizate de acesta, angajatorul poate înregistra date referitoare la raportul sau suspiciunea menționată. Aceasta include colectarea informațiilor despre dacă salariatul a vizitat țări considerate a fi expuse riscului și data călătoriei; dacă angajatul a fost în contact cu cineva care a vizitat recent aceste țări și detalii despre orice asistență suplimentară oferită de angajator. NAIH consideră că este acceptabil să folosească chestionare, dacă angajatorul decide că acestea sunt necesare și proporționale, dar NAIH subliniază, de asemenea, că chestionarele nu pot conține întrebări sau date referitoare la istoricul medical și nu pot solicita angajatului să atașeze documente medicale. Articolul 6 alineatul (1) litera (f) GDPR, sau în cazul instituțiilor publice, articolul 6 alineatul (1) litera (e) poate oferi o bază legală pentru aceasta. În ceea ce privește datele medicale, ținând cont de dispozițiile descrise mai sus, articolul 9 alineatul (2) litera (b) GDPR poate fi utilizat ca bază legală.

Cu toate acestea, important este că NAIH nu consideră că este proporțional pentru angajatori să implementeze controale generale și obligatorii folosind dispozitive medicale de diagnosticare (de exemplu, termometre) pe angajați, deoarece colectarea datelor referitoare la coronavirus este responsabilitatea furnizorilor de servicii medicale și a profesioniștilor medicali.

În cazul în care angajatorul, după ce a evaluat toate informațiile de care dispune, decide că anumiți angajați care au avut o șansă crescută de expunere trebuie să fie testați de un profesionist medical, angajatorul se poate baza pe articolul 6 alineatul (1) litera (f) sau (e) , Articolul 9 alineatul (2) litera (h) și articolul 9 alineatul (3) din GDPR. În aceste cazuri, angajatorul are dreptul să afle doar rezultatul testului și nici alte informații medicale.

II. Furnizori de servicii medicale și cadre medicale

Furnizorii de servicii medicale și profesioniștii medicali sunt obligați să respecte reglementările privind protecția datelor aplicabile acestora, inclusiv sarcinile prevăzute la articolul 6 alineatul (1) litera (c) GDPR și la articolul 9 alineatul (2) litera (i) GDPR. În conformitate cu secțiunea 25 din ordinul 18/1998 al MM. (VI. 3.), furnizorii de servicii medicale trebuie să raporteze și să țină evidența pacienților cu boli infecțioase și a pacienților suspectați de a avea boli infecțioase în anumite circumstanțe (una dintre aceste circumstanțe este un focar SARS-coronavirus). Există îndrumări suplimentare pentru profesioniștii medicali cu privire la conținerea răspândirii coronavirusului.

III. Atribuțiile angajaților

Angajații sunt obligați să coopereze și, pe baza principiilor bunei-credințe și a integrității, să-și informeze angajatorii dacă sunt conștienți de orice risc de infecție care ar putea afecta locul de muncă, colegii sau terții. Angajatul în aceste cazuri are dreptul să se bazeze pe drepturile sale în conformitate cu capitolul III din GDPR, iar angajatorul trebuie să prevadă acest lucru.

IV. Terți

 NAIH subliniază că, în raport cu terții (de exemplu, clienți, vizitatori), angajatorii trebuie să se asigure că:

  • Planul de continuitate a afacerii include verificări îmbunătățite asupra vizitatorilor, evaluarea riscurilor de protecție a datelor în legătură cu aceasta și oferă canale de comunicare adecvate;
  • Informații sunt furnizate clienților și vizitatorilor cu privire la coronavirus și trebuie să informeze personalul de la punctul de intrare în cazul în care riscă să contracteze coronavirus.

În ceea ce privește protecția datelor, aceleași reguli se aplică terților ca și angajaților din partea I a prezentului ghid.

5. Sancțiuni

În cele din urmă, ghidul constată că este o infracțiune să nu respectăm legislația privind răspândirea bolilor infecțioase, iar cei care îi infectează pe ceilalți, în mod intenționat, pot fi condamnați vinovați de faptul că au cauzat moarte gravă sau un prejudiciu corporal grav. În aceste condiții, poliția este autorizată să utilizeze imagini CCTV în cercetările lor penale.

INTRA ACUM în grupul WhatsApp "Comunitatea Dpo-NET.ro"!


Iți plac articolele dpo-NET.ro? Poți fi la curent cu toate aceste noutăți dacă ne urmărești zilnic pe paginile noastre de LinkedIn sau Facebook. 


Acest articol este protejat de către dispoziţiile legale incidente și este interzisă copierea, reproducerea, recompilarea, modificarea, precum şi orice modalitate de exploatare a acestuia. Articolele publicate pe DPO-NET.RO pot fi preluate doar în limita a maxim 500 de caractere, fără a depăşi jumătate din totalul de caractere, şi cu citarea obligatorie a sursei, cu link activ. Orice abatere de la această regulă constituie o încălcare a Legii 8/1996 privind dreptul de autor. Dacă sunteţi interesaţi de preluarea ştirilor și articolelor publicate pe DPO-NET.RO, vă rugăm să ne contactati.

Normele GDPR nu împiedică măsurile luate în lupta împotriva pandemiei Coronavirusului

ANSPDCP

Vizualizari: 2408

Facebooktwittergoogle_plusredditpinterestlinkedinmail

Conform comunicatului de presa al European Data Protection Comitetului European pentru Protecția Datelor (EDPB), „Normele de protecție a datelor (precum GDPR) nu împiedică măsurile luate în lupta împotriva pandemiei coronavirusului. Cu toate acestea, aș dori să subliniez faptul că, chiar și în aceste perioade excepționale, operatorul de date trebuie să asigure protecția datelor cu caracter personal ale persoanelor vizate. Prin urmare, trebuie luate în considerare o serie de considerații pentru a garanta prelucrarea legală a datelor cu caracter personal. ” (Andrea Jelinek, Președinte)

GDPR este o legislație complexă și prevede și regulile care se aplică prelucrării datelor cu caracter personal într-un context precum cel referitor la COVID-19.

Într-adevăr, GDPR prevede temeiurile legale pentru a permite angajatorilor și autorităților de sănătate publică competente să proceseze datele cu caracter personal în contextul epidemiilor, fără a fi necesară obținerea consimțământului persoanei vizate. Acest lucru se aplică, de exemplu, atunci când prelucrarea datelor cu caracter personal este necesară angajatorilor din motive de interes public în domeniul sănătății publice sau pentru a proteja interesele vitale (art. 6 și 9 din GDPR) sau pentru a respecta o altă obligație legală.

Pentru prelucrarea datelor generate de comunicațiile electronice, precum geolocalizarea, se aplică reguli suplimentare. Legile naționale care pun în aplicare Directiva ePrivacy prevăd principiul potrivit căruia datele de geolocație pot fi utilizate de operator doar atunci când sunt anonimizate sau cu acordul persoanelor fizice. Autoritățile publice ar trebui să urmărească mai întâi prelucrarea datelor de geolocație într-un mod anonim (adică prelucrarea datelor agregate într-un mod care să nu poată fi inversat la date cu caracter personal). Aceasta ar putea permite generarea de rapoarte privind concentrația dispozitivelor mobile într-o anumită locație („cartografie”).

Atunci când nu este posibilă doar prelucrarea datelor anonime, art. 15 din Directiva ePrivacy permite statelor membre să introducă măsuri legislative care urmăresc securitatea națională și securitatea publică *. Această legislație de urgență este posibilă în condițiile în care constituie o măsură necesară, adecvată și proporțională în cadrul unei societăți democratice. Dacă se introduc astfel de măsuri, un stat membru este obligat să instituie garanții adecvate, cum ar fi acordarea persoanelor fizice a dreptului la o cale de atac.

Suplimentar acestor informații, Direcția Juridică și Comunicare din cadrul A.N.S.P.D.C.P. vine cu următoarele clarificări oficiale:

Art. 9 din Regulamentul (UE) 679/2016 (Regulamentul general privind protecția datelor - RGPD) stabilește că datele privind starea de sănătate pot fi prelucrate de un operator în anumite condiții, cum ar fi:

  • lit. b) prelucrarea este necesară în scopul îndeplinirii obligaţiilor şi al exercitării unor drepturi specifice ale operatorului sau ale persoanei vizate în domeniul ocupării forţei de muncă şi al securităţii sociale şi protecţiei sociale, în măsura în care acest lucru este autorizat de dreptul Uniunii sau de dreptul intern ori de un acord colectiv de muncă încheiat în temeiul dreptului intern care prevede garanţii adecvate pentru drepturile fundamentale şi interesele persoanei vizate; (...) sau
  • lit. h) prelucrarea este necesară în scopuri legate de medicina preventivă (...), de stabilirea unui diagnostic medical, de furnizarea de asistenţă medicală sau socială sau a unui tratament medical sau de gestionarea sistemelor şi serviciilor de sănătate sau de asistenţă socială, în temeiul dreptului Uniunii sau al dreptului intern sau în temeiul unui contract încheiat cu un cadru medical” şi sub rezerva respectării anumitor condiţii şi garanţii (datele să fie prelucrate de către un profesionist supus obligaţiei de păstrare a secretului profesional sau sub responsabilitatea acestuia, în temeiul dreptului Uniunii sau al dreptului intern sau în temeiul normelor stabilite de organisme naţionale competente sau de o altă persoană supusă, de asemenea, unei obligaţii de confidenţialitate în temeiul dreptului Uniunii sau al dreptului intern ori al normelor stabilite de organisme naţionale competente); sau
  • lit. i) prelucrarea este necesară din motive de interes public în domeniul sănătăţii publice, cum ar fi protecţia împotriva ameninţărilor transfrontaliere grave la adresa sănătăţii sau asigurarea de standarde ridicate de calitate şi siguranţă a asistenţei medicale şi a medicamentelor sau a dispozitivelor medicale, în temeiul dreptului Uniunii sau al dreptului intern, care prevede măsuri adecvate şi specifice pentru protejarea drepturilor şi libertăţilor persoanei vizate, în special a secretului profesionalsau
  • lit. a) persoana vizată şi-a dat consimţământul explicit pentru prelucrarea acestor date cu caracter personal pentru unul sau mai multe scopuri specifice, cu excepţia cazului în care dreptul Uniunii sau dreptul intern prevede ca interdicţia prelucrării acestor date să nu poată fi ridicată prin consimţământul persoanei vizate;

Precizăm că alte date personale decât cele cu caracter special se pot prelucra cu respectarea art. 6 din Regulamentul (UE) 2016/679.

De asemenea, referitor la obligația de informare a persoanei vizate, subliniem că operatorii trebuie să ia măsuri adecvate pentru a furniza persoanei vizate informaţiile menţionate la articolele 13 şi 14, într-o formă concisă, transparentă, inteligibilă şi uşor accesibilă, utilizând un limbaj clar şi simplu. Aceasta informare se poate realiza pe site-ul operatorului.

În ceea ce priveste măsurile de securitate adoptate operatori, precizăm că art. 32 din Regulamentul (UE) 2016/679 care reglementează ”Securitatea prelucrării”, stabilește obligația operatorilor și persoanelor împuternicite de aceștia implementarea măsurilor tehnice și organizatorice adecvate în vederea asigurării unui nivel de securitate corespunzător.

Totodată, art. 24 alin. (1) din Regulamentul (UE) 2016/679 prevede faptul că, operatorii pun în aplicare măsuri tehnice și organizatorice adecvate pentru a garanta și a fi în măsură să demonstreze că prelucrarea se efectuează în conformitate cu Regulamentul.

În ceea ce privește dezvăluirea în spațiul public a numelui și stării de sănătate a unei persoane fizice, subliniem că prelucrarea (dezvăluirea) acestor date se poate realiza cu consimțământul persoanei în cauză.

Pe de altă parte, referitor la restricțiile ce pot fi aplicate, art. 23 alin (1) lit. e) din Regulamentul (UE) 2016/679 prevede că ”Dreptul Uniunii sau dreptul intern care se aplică operatorului de date sau persoanei împuternicite de operator poate restricţiona printr-o măsură legislativă domeniul de aplicare al obligaţiilor şi al drepturilor prevăzute la articolele 12-22 şi 34, precum şi la articolul 5 în măsura în care dispoziţiile acestuia corespund drepturilor şi obligaţiilor prevăzute la articolele 12-22, atunci când o astfel de restricţie respectă esenţa drepturilor şi libertăţilor fundamentale şi constituie o măsură necesară şi proporţională într-o societate democratică, pentru a asigura:

e)alte obiective importante de interes public general ale Uniunii sau ale unui stat membru, în special un interes economic sau financiar important al Uniunii sau al unui stat membru, inclusiv în domeniile monetar, bugetar şi fiscal şi în domeniul sănătăţii publice şi al securităţii sociale;”

În ceea ce privește activitatea de prevenire, descoperire, cercetare, urmărire penală şi combaterea infracţiunilor sau al executării pedepselor, măsurilor educative şi de siguranţă, sunt aplicabile dispozițiile Legii nr. 363/2018 privind protecţia persoanelor fizice referitor la prelucrarea datelor cu caracter personal de către autorităţile competente în scopul prevenirii, descoperirii, cercetării, urmăririi penale şi combaterii infracţiunilor sau al executării pedepselor, măsurilor educative şi de siguranţă, precum şi privind libera circulaţie a acestor date.

INTRA ACUM în grupul WhatsApp "Comunitatea Dpo-NET.ro"!


Iți plac articolele dpo-NET.ro? Poți fi la curent cu toate aceste noutăți dacă ne urmărești zilnic pe paginile noastre de LinkedIn sau Facebook. 


Acest articol este protejat de către dispoziţiile legale incidente și este interzisă copierea, reproducerea, recompilarea, modificarea, precum şi orice modalitate de exploatare a acestuia. Articolele publicate pe DPO-NET.RO pot fi preluate doar în limita a maxim 500 de caractere, fără a depăşi jumătate din totalul de caractere, şi cu citarea obligatorie a sursei, cu link activ. Orice abatere de la această regulă constituie o încălcare a Legii 8/1996 privind dreptul de autor. Dacă sunteţi interesaţi de preluarea ştirilor și articolelor publicate pe DPO-NET.RO, vă rugăm să ne contactati.

Fenomenul FAKENEWS pierdut de sub control. „Spălați-vă mâinile, nu creierele!”

Acum câteva zile am citit întâmplător pe Fecebook un îndemn, „Spălați-vă mâinile, nu creierele!”. Acesta a fost și momentul în care am realizat că fenomenul Fakenews în România […]

Participa la DPO TOOLS Workshop – 23 / 24 Martie 2020 – „Mobilitatea, o provocare pentru aplicarea GDPR”

La nivelul dispozitivelor mobile, au aparut in ultima perioada noi variante de atacuri informatice menite de a extrage informatii cu caracter personal cunoscute sub forma furtului de identitate […]

Reacție fermă a ANSPDCP față de declarațiile ministrului Educației și Cercetării

Ministrul Educației și Cercetării, Monica Anisie a afirmat că Autoritatea Naţională de Supraveghere a Prelucrării Datelor cu Caracter Personal (ANSPDCP) ar fi soliictat acordul autorului pentru publicarea tezei […]

Trevor Hughes, CEO IAPP: „În domeniul protecției datelor, avem o nouă profesie hibridizată”

Participând la cea de-a 13-a ediție a Conferinței pentru informatică, confidențialitate și protecția datelor (CPDP2020), desfășurată la Bruxelles în perioada 22-24 ianuarie 2020, Trevor Hughes, Președintele Asociației Internaționale […]

Amenda GDPR primită de Facebook în Germania este un „avertisment” pentru noi toți

Facebook a primit o amendă de 51.000 de euro ( 55.500 de dolari ) pentru că nu a numit în mod corespunzător un ofițer pentru protecția datelor pentru […]

MODELE SI FORMULARE GDPR – O nouă carte în webshop-ul dpo-NET.ro

O nouă lucrare de mare interes a fost adaugată în webshop-ul dpo-NET.ro, fiind o contributie a membrilor Centrului de cercetare pentru protectia datelor, constituit in cadrul Universitatii de […]

Nicolae Ploeșteanu: „Consider că fiecare practician trebuie să aibă această carte”

In domeniul protecției datelor în România, anul 2020 a debutat cu lansarea pe piață a acestui volum, intituat „GDPR Aplicat. Instrumente de lucru pentru implementarea Regulamentului UE 679/2016”, […]

PECB semnează un acord de parteneriat cu NeoPrivacy România și lansează cursuri de certificare recunoscute internațional

PECB Group Inc. Canada a anunțat semnarea un nou acord de parteneriat cu NeoPrivacy România, pentru a distribui cursuri de formare PECB, recunoscute internațional. „Suntem foarte încântați de […]

ANSPDCP a publicat o analiza statistică a activității din 2019

Cu ocazia Zilei Europene a Protectiei Datelor cu Caracter Personal 2020, sărbătorita anual în 28 Ianuarie, Autoritatea Naţională de Supraveghere a Prelucrării Datelor cu Caracter Personal a publicat […]

2 amenzi, 2 avertismente și 4 măsuri corective pentru o companie din România

Relațiile dintre angajatori și angajați se pot termina cu tensiuni, care pot conduce spre deznodământuri neplăcute pentru părți. Nu este un secret faptul că, de multe ori, angajații […]

Prima Asociație de Proprietari amendată pentru încălcarea GDPR-ului

Autoritatea Națională de Supraveghere a anunțat pe site-ul său prima amendă care vizează o asociație de proprietari. Investigația autorității a pornit de la plângere formulată de un locatar […]

Anul 2019 văzut prin ochii unui GDPR-ist, 10 momente memorabile

Este sfarsit de an si fiind un moment de bilant nu pot sa nu ma gandesc la cat de multe lucruri am realizat pe plan profesional si mai […]

Telekom Romania amendată pentru nerespectarea principiului exactității datelor

Sancțiunile impuse de Autoritatea națională de supraveghere (ANSPDCP) în ultima perioadă ne întăresc convingerea că operatorii de date nu riscă amenzi doar în cazul unor breșe de securitate […]

Cât costă ignorarea solicitărilor ANSPDCP-ului? Două companii din România au aflat!

Autoritatea Națională de Supraveghere a anunțat astăzi două noi amenzi pentru încălcarea Regulamentului general privind protecția datelor Două companii din România, Nicola Medical Team 17 SRL și Modern […]

Încă o mare bancă din România amendată pentru încălcarea GDPRului!

ING Bank N.V. Amsterdam – Sucursala București este a doua banca din România sancționată pentru nerespectarea prevederilor Regulamentului General privind Protecția Datelor. Vă reamintim că în luna octombrie […]

O amendă pentru nerespectarea GDPR-ului a zburat către TAROM

Autoritatea Națională de Supraveghere a anunțat pe site-ul său finalizarea unei investigații ce viza cea mai veche companie aeriană din România, TAROM! Autoritatea a constatat că operatorul SC […]

Pensiune amendată pentru nerespectarea GDPR-ului

Royal President SRL, care deține o pensiune din Bragadiru, Ilfov, unde se organizează și evenimente private (nunti, botezuri, aniversari sau evenimente corporate), a făcut obiectul unei investigații a […]

Amendă usturătoare pentru cea mai mare firmă românească de curierat

Autoritatea Națională de Supraveghere (ANSPDCP) a anunțat ce-a de-a IX-a amendă pentru încălcarea prevederilor Regulamentul (UE) 2016/679 (GDPR).  Conform comunicatului emis ieri (25.09.2019) de Autoritate, cea mai mare […]

Cetelem amendat pentru încălcarea GDPR. BONUS! Procedură procesarea cererilor

BNP Paribas Personal  Finance SA Paris Sucursala București, cunoscută sub denumirea de Cetelem IFN România, denumit în continuare Cetelem, unul dintre cei mai activi actori în domeniul creditelor […]

Utilizarea tehnologiei de recunoaștere facială în școli este ilegală!

În timp ce Autoritatea franceză pentru protecția datelor (CNIL) a declarat ilegală recunoașterea facială în școli, autoritatea din România (ANSPDCP) declara că nu intră în sarcinile ei să […]