Aplikacje zdrowotne a dane osobowe

W poprzednim wpisie zasygnalizowałem problematykę przetwarzania wrażliwych danych osobowych na potrzeby aplikacji zdrowotnych. Sprawa jest „na czasie”, ponieważ producenci ostatnio oszaleli na punkcie technologii ubieralnych (wearables). A te technologie najczęściej związane są właśnie ze zdrowiem.

Uprzedzając dalszą część wpisu mam obecnie wątpliwość czy funkcjonowania mobilnych aplikacji zdrowotnych ma podstawy prawne. Innymi słowy, czy aby czasem działanie takich aplikacji jest niedopuszczalne w świetle wymogów związanych z przetwarzaniem danych osobowych. Ale po kolei.

Po pierwsze, trzeba się zastanowić czy aplikacje zdrowotne korzystają z wrażliwych danych osobowych w rozumieniu art. 27 ust. 1 ustawy o ochronie danych osobowych? Nie odwołuję się tutaj do konkretnej apki, ponieważ żadnej jeszcze nie znam zbyt dobrze, ale poczynię uwagi ogólne i każdy sam może je odnieść do poszczególnych aplikacji. W każdym razie, zgodnie z art. 27 ust. 1 ustawy o ochronie danych osobowych do wrażliwych danych osobowych zaliczają się m.in. dane o stanie zdrowia i nałogach. Czy zatem są „dane o stanie zdrowia”? Na pewno są nimi informacje o chorobach – jeśli apka dedykowana jest konkretnej chorobie (np. depresji), to się zatem kwalifikuje pod dane wrażliwe. Jednak również aplikacje monitorujące ilość różnych składników w organizmie, to apki gromadzące dane o stanie zdrowia. Oczywiście konieczne jest. aby były to „dane osobowe”, czyli dane identyfikujące konkretną osobę, lecz w sytuacji wymogu logowania do takich aplikacji nie trudno o uznanie, że są to dane osobowe.

Po drugie, trzeba wiedzieć że przetwarzanie wrażliwych danych osobowych jest z zasady zabronione (art. 27 ust. 1 ustawy o ochronie danych osobowych). Przetwarzanie wrażliwych danych osobowych jest jednak dopuszczalne, w oparciu o art. 27 ust. 2 pkt 1,2,3,7 i 8 ustawy o ochronie danych, jeśli:

  1. osoba, której dane dotyczą, wyrazi na to zgodę na piśmie (zwracam uwagę, że chodzi tutaj o zgodę „na piśmie”, a do tej pory nie spotkałem się z praktyką, aby uruchomienie apki następowało po wysłaniu zgody na piśmie),
  2. przepis szczególny innej ustawy zezwala na przetwarzanie takich danych bez zgody (nie ma przepisów szczególnych innych ustaw, które można zastosować przy gromadzeniu informacji przez apki),
  3. przetwarzanie takich danych jest niezbędne do ochrony żywotnych interesów osoby, której dane dotyczą, lub innej osoby, gdy osoba, której dane dotyczą, nie jest fizycznie lub prawnie zdolna do wyrażenia zgody (ta przesłanka już całkiem nie pasuje do apek, ponieważ wymaga „ochrony żywotnych interesów” oraz braku fizycznej lub prawnej zdolności do wyrażenia zgody), 
  4. przetwarzanie jest prowadzone w celu ochrony stanu zdrowia, świadczenia usług medycznych lub leczenia pacjentów przez osoby trudniące się zawodowo leczeniem lub świadczeniem innych usług medycznych, zarządzania udzielaniem usług medycznych i są stworzone pełne gwarancje ochrony danych osobowych (ta przesłana nawet pasowałoby do apek, jednak tylko gdyby apki służyły fachowym usługom medycznym, a nie samo-profilaktyce),
  5. przetwarzanie dotyczy danych, które zostały podane do wiadomości publicznej przez osobę, której dane dotyczą (raczej takich danych nikt nie podaje do publicznej wiadomości, zatem też ta przesłana odpada).

Podsumowując zatem powyższe – dostrzegam sporo problemów z funkcjonowaniem zdrowotnych aplikacji mobilnych:)

Wrażliwe dane osobowe

Tegoroczne zmiany w ustawie o ochronie danych osobowych  wzmocniły rolę Administratora Bezpieczeństwa Informacji (ABI). Powołanie ABI jest o tyle korzystne, że wtedy nie trzeba rejestrować u GIODO zbiorów danych osobowych, lecz to ABI prowadzi „własny” rejestr takich zbiorów danych osobowych. Nie jest to jednak całkowita prawda. Nie zawsze powołanie ABI zwalnia z obowiązku zgłoszenia zbiorów danych osobowych do GIODO. Wyjątek ten dotyczy tzw. danych wrażliwych (danych sensytywnych), a konkretnie tych wskazanych w art. 27 ust. 1 ustawy o ochronie danych osobowych.

Danymi wrażliwymi są zatem dane o:

  • pochodzeniu rasowym lub etnicznym,
  • poglądach politycznych,
  • przekonaniach religijnych lub filozoficznych,
  • przynależności wyznaniowej, partyjnej lub związkowej,
  • stanie zdrowia,
  • kodzie genetycznym,
  • nałogach,
  • życiu seksualnym
  • skazaniach, orzeczeniach o ukaraniu i mandatach karnych, a także innych orzeczeniach wydanych w postępowaniu sądowym lub administracyjnym.

Zbiór jakichkolwiek z powyższych danych osobowych trzeba zgłosić do GIODO, nawet jeśli został powołany Administrator Bezpieczeństwa Informacji (ABI).

Powyższy zbiór danych ma istotne znaczenie dla rodzącego się rynku aplikacji, głównie o charakterze zdrowotnych. Konieczność zgłoszenia takich danych do GIODO stanowi tylko jeden z wielu problemów dla świata technologii. Zresztą problem chyba najmniejszy. Więcej napiszę w kolejnym (jutrzejszym) wpisie poświęconym w całości właśnie aplikacjom zdrowotnym w kontekście przetwarzania danych osobowych.

Internet Rzeczy – nowe wyzwania prawne

Największe wyzwanie prawne związane z Internetem Rzeczy to ochrona danych osobowych oraz wiążące się z tym kwestie, w szczególności naruszenie prywatności i dóbr osobistych. Są to wyzwania „na dziś”, czyli kiedy Internet Rzeczy jeszcze raczkuje. W dalszej perspektywie, jak można przypuszczać, pojawią się zaś takie zagadnienia jak przykładowo odpowiedzialność prawna za autonomiczne (samodzielne) działania maszyn.

Wydaje się, że obecnie rozwiązania prawne z zakresu ochrony danych mogą okazać się nieadekwatne dla wymogów Internetu Rzeczy – nie chodzi jednak o poszczególne regulacje, ale całą koncepcję systemu ochrony danych osobowych.

W przyszłości konieczne jest pogodzenie dwóch sprzecznych potrzeb – z jednej strony ochrony danych, a z drugiej zapewnienie stałego dostępu do danych przez urządzenia. Zbyt rygorystyczna ochrona danych faktycznie stanowić będzie barierę dla wielu, o ile nie większości, rozwiązań z zakresie Internetu Rzeczy. Z kolei zbyt niski poziom ochrony może doprowadzić do wysokiego stopnia naruszenia prywatności.

Dlaczego w ogóle wspominam o Internecie Rzeczy? Ponieważ uważam, że jego założenia mają sens. Nie potrafiłby wskazać innej tendencji rozwoju Internetu i  technologii, niż właśnie połączenie ich w jedno, czyli Internet Rzeczy:)

Zamiast podsumowania, krótka myśl dla innowatorów: kluczowym elementem planowania biznesów związanych z Internetem Rzeczy powinna być analiza otoczenia prawnego w zakresie ochrony danych osobowych.

Skąd informacje o natężeniu ruchu na drogach w naszych telefonach?

Obok możliwości przeglądania map w telefonach w widoku satelitarnym lub 3D oraz określania sugerowanych tras przejazdu, informacje o natężeniu ruchu (korkach) na drogach wydają się jednym z najprzydatniejszym narzędzi nawigacyjnych. Zwłaszcza jeśli jeździ się samochodem lub autobusem. Jest to funkcja o tyle cheap nfl jerseys niezwykła, że niektórzy powątpiewają linkowanie w jej skuteczność. Są w błędzie. To działa dość dobrze. Wydaje się też, że im większe miasto, tym działać powinno lepiej.

Skąd jednak video pochodzą te informacje? Oczywiście nikt ich nie wprowadza ręcznie. Informacje te – w uproszczeniu ujmując testing – pochodzą z telefonów, które w danej chwili w tym miejscu wholesale nfl jerseys się znajdują. Nie jest wholesale jerseys w pełni znana metoda stosowana przez poszczególne firmy w celu oznaczenia natężenia ruchu na mapie, ale wiadomo, że dane pochodzą z innych telefonów (zbierane są w ramach trybu zwanego najczęściej „udostępnianiem lokalizacji”). Naszą lokalizacje udostępniamy nie tylko, aby sobie ułatwić życie poprzez automatyczne określenie naszego położenia na mapie. Służy ona również ogółowi. Stały monitoring lokalizacji telefonu pozwala określić jak szybko się poruszamy, czyli właśnie jakie jest natężenie ruchu. Dane są pobierane nawet jak nic się na telefonie nie robi. Funkcję udostępniania lokalizacji można przy tym zazwyczaj wyłączyć w telefonie.

Zbieranie der w tej Днепропетровск sposób informacji stanowi Video chyba obecnie najlepszy przykład crowdsourcingu (tzw. mądrość tłumów). Można powiedzieć, że aby interaktywna mapa działała, świadomy lub nieświadomy tłum ludzi pracuje nad tym poprzez poruszanie wholesale jerseys się po mieście z nadajnikiem w postaci telefonu. Niby tłum robi to za darmo, ale w zamian każda osoba z tego tłumu ma super mapę całego miasta.

Pytanie czy takie zbieranie informacji jest legalne? Kluczowy problem prawny koncentruje wholesale mlb jerseys się wokół wątku czy tak zbierane informacje są danymi osobowymi? Zdania wśród prawników są podzielone. Jak dla mnie, to z zasady są to dane osobowe, stąd podlegają regulacją ustawy o ochronie danych osobowych. Jednak najcześciej i tak aplikacje mobilne pytają wprost czy udzielamy zgodę na udostępnania lokalizacji (i ją udzielamy), stąd ten problem prawny niweluje się niejako sam.