Daniel Maikowski: W ubiegłym tygodniu osiem firm telekomunikacyjnych zdecydowało się przekazać Komisji Europejskiej dane na temat lokalizacji swoich klientów, aby pomóc w śledzeniu rozprzestrzeniania się epidemii koronawirusa. Czy to oznacza, że unijni obywatele będą teraz śledzeni na każdym kroku?
Wojciech Wiewiorówski: Dane lokalizacyjne uzyskane od operatorów mogą być wykorzystane na dwa sposoby – do śledzenia pojedynczych obywateli lub do śledzenia przepływu populacji. W przypadku działań Komisji Europejskiej mówimy – przynajmniej na razie – wyłącznie o tym drugim scenariuszu. KE nie chce śledzić tego, co robi i gdzie aktualnie przebywa przeciętny Kowalski. Chodzi o prześledzenie pewnych trendów. Świadczy o tym również fakt, że uzyskane dane nie będą pochodziły od wszystkich telekomów działających w danym kraju, ale od jednego wybranego operatora. KE chce też, aby dane te były dostarczane w sposób zanonimizowany, czyli taki, który nie pozwala na identyfikację konkretnych osób.
Wojciech Wiewiórowski fot. EPA/Geert VANDEN WIJGAERT
Sęk w tym, że choć zidentyfikowanie konkretnej osoby na podstawie zanonimizowanych danych jest bardzo trudne, to jednak nie jest niemożliwe…
To prawda. Dlatego, gdy Komisja Europejska konsultowała swój pomysł, Europejski Inspektor Ochrony Danych wyraźnie wskazał, że oprócz anonimizacji danych bardzo ważne jest ich zagregowanie, czyli umieszczenie w zestawach obejmujących kilkadziesiąt, kilkaset czy też kilka tysięcy osób. W takim wypadku ryzyko identyfikacji danego właściciela numeru telefonu jest w zasadzie minimalne.
Czy śledzenie lokalizacji użytkowników sieci komórkowych nie narusza przepisów RODO?
Jeśli dane te zostaną odpowiednio zanonimizowane i zagregowane, to nie mamy tu do czynienia z danymi osobowymi, dlatego przepisy ogólnego rozporządzenia o ochronie danych osobowych nie znajdują tu zastosowania. Jednak nawet, jeśli mielibyśmy do czynienia z danymi osobowymi sensu stricto, to warto pamiętać, że przepisy RODO (art. 9. ust. 2), dopuszczają ich przetwarzanie w sytuacji, gdy jest ono niezbędne ze względów związanych z interesem publicznym w dziedzinie zdrowia. Trwająca pandemia z pewnością spełnia te warunki.
Warto jednocześnie pamiętać, że takie dane nie mogą być przetwarzane w sposób dowolny. Stawiamy tu trzy warunki: Musimy wiedzieć, z jakim zbiorem danych mamy do czynienia (jak wygląda model takich danych), do jakich celów mają być one wykorzystane, a także jakie podmioty są uprawnione, aby z nich korzystać. Nie może dojść do sytuacji, w której dane osobowe zebrane w celu powstrzymania epidemii koronawirusa zostają wykorzystywane do jakiegokolwiek innego celu – nawet do walki z przestępczością zorganizowaną.
Czy dalszy rozwój pandemii może doprowadzić do sytuacji, w której Komisja Europejska z etapu śledzenia przepływu populacji przejdzie do etapu śledzenia pojedynczych obywateli. Z taką sytuacją mamy do czynienia w krajach azjatyckich, a i niektórzy członkowie UE wysuwają podobne pomysły.
Takie naciski oczywiście się pojawiają i będą coraz silniejsze. Nie można wykluczyć scenariusza, w którym zbierane będą dane o charakterze indywidualnym. I nie musi tu wcale chodzić jedynie o dane pozyskiwane od operatorów telekomunikacyjnych.
W tym miejscu warto jednak zaznaczyć, że kraje azjatyckie nie zastosowały takiego samego modelu pozyskiwania danych i ich przetwarzania. Śledzenie obywateli inaczej wygląda w Singapurze, Tajwanie, a inaczej w Izraelu. Podobnie jest w Unii Europejskiej, gdzie systemy prawne poszczególnych krajów różnią się od siebie. Rozwiązania wprowadzone przez Węgrów mogą okazać się sprzeczne z przepisami obowiązującymi w Polsce czy Portugalii.
We wspomnianym Izraelu służby mogą precyzyjnie namierzać lokalizację każdego telefonu, aby stworzyć szczegółową siatkę kontaktów społecznych. Czy na przykład takie rozwiązanie mógłby zostać wprowadzone w Polsce?
Poza tym, że technicznie nie jest możliwe śledzenie wszystkich, to tak jak powiedziałem wcześniej, wszystko zależy od porządku konstytucyjnego obowiązującego w danym kraju. W przypadku Polski mamy w tej kwestii jasność. Artykuł 51 Konstytucji RP głosi, że obywatele mogą zostać zobowiązani do ujawniania informacji na swój temat jedynie na podstawie ustawy. Jeżeli taki akt prawny zostanie uchwalony, to pozyskiwanie danych na temat lokalizacji poszczególnych obywateli będzie formalnie zgodne z prawem.
Niedawno napisał pan, że epidemia koronawirusa przewartościuje pojęcie ochrony danych. Czy istnieje ryzyko, że w pogoni za bezpieczeństwem i ochroną zdrowia zdecydujemy się poświęcić naszą prywatność?
Może nie tyle przewartościuje, co sprawi, że ponownie zastanowimy się nad rolą tych wartości. To oczywiste, że w tak nadzwyczajnej sytuacji, jak ta, z którą mamy dziś do czynienia, jesteśmy gotowi ograniczyć naszą prywatność. Jednocześnie już teraz musimy ustalić, w jakim zakresie jest to niezbędne i upewnić się, że jest to ograniczenie czasowe. To tak, jak z pożarem mieszkania. Gdy będzie się nam palił dom, to ugasimy go za pomocą koca należącego do sąsiada, niezależnie od tego, że nie jest on naszą własnością. Nie oznacza to jednak, że z jego mieszkania możemy zabrać również cenny obraz.
Tak samo jest w sytuacji zagrożenia epidemiologicznego. Pozwalamy sobie na działania, na które nie pozwolilibyśmy sobie w innym przypadku, ale jedynie pod warunkiem, że te działania są zgodne z prawem, że wiemy, co robimy i że bierzemy pełną odpowiedzialność za to, co robimy.
Mam szczerą nadzieję, że – mimo tej nadzwyczajnej sytuacji – nie pozbędziemy się zasad i podstaw tej cywilizacji, która stworzyliśmy.
