Nositelná elektronika, tedy chytré hodinky, prsteny nebo různé senzory, se stala běžnou součástí života milionů lidí, možná je máte na sobě právě teď i Vy. Trh s touto elektronikou stále dynamicky roste – podle dat Mordor Intelligence dosahoval v roce 2024 hodnoty zhruba 219 miliard USD a při predikovaném meziročním tempu 17,6 % (CAGR 2024-2029) by mohl už do roku 2028 překročit hranici 400 miliard USD, tedy vzrůst o přibližně 90 % oproti roku 2024.
Jenže, kromě rostoucího trhu roste i množství funkcionalit a dalších vlastností těchto výrobků. Přichází tak otázka, zda je jejich regulace dostatečná a jaká se na ně vztahují pravidla, zejména z pohledu ochrany osobních údajů. Jedním z největších problémů, kterým aktuálně výrobci této elektroniky čelí, je, zda vůbec lze splňovat zásadu minimalizace zakotvenou v GDPR a zajistit, aby uživatelé dali platný souhlas ke sdílení citlivých dat v rámci aplikace, která je napojená na nositelnou elektroniku. Jak to ale udělat?
Je souhlas vůbec potřeba?
Záleží (klasická právnická odpověď), ale spíše ano. GDPR je v tomto přísné a veškeré údaje o zdravotním stavu člověka, případně i biometrické údaje sbírané za účelem jedinečné identifikace osoby (např. otisky prstů), řadí mezi zvláštní kategorie osobních údajů. Tyto jsou poté důrazněji chráněny tím, že k jejich zpracování je potřeba mít výslovný souhlas subjektu údajů, či jiný z důvodů stanovených čl. 9 GDPR, ale pro nositelnou elektroniku toto nebude úplně ten případ.
Jelikož se v rámci těchto zařízení zpracovávají údaje typu srdeční tep, krevní tlak, okysličení krve či teplota, tyto údaje spadají pod údaje o zdravotním stavu člověka a bude potřeba k jejich zpracování mít výslovný souhlas té dané osoby.
Jaký ten souhlas tedy musí být?
Nicméně, k tomu aby výrobek či aplikace přidružená k nositelné elektronice, splňovaly GDPR, musí být souhlas svobodný, informovaný a konkrétní, přičemž v souvislosti s informovaností souhlasu narážíme na první problém.
Nositelná elektronika osobních údajů většinou sbírá opravdu velké množství dat a v rámci jejího účelu v podstatě nepřetržitě (pro hodnocení životního stylu a navrhování zlepšení). U některých osobních údajů to uživatelé ani nečekají (např. když je pro hodnocení spánku zaznamenávána i poloha).
Pro klasického uživatele není úplně snadné se vyznat v mnohých žádostech o povolení zařízení (permissions), vyskakovacích oknech aplikace a informacích, které jsou ze strany výrobce poskytovány. Souhlasy a informace k nim jsou ze strany výrobců buď nedostatečné nebo je jich na druhou stranu příliš (o účelu, sdílení dat, použití dat apod.) a bývají i velmi složitě napsány. V takovém případě jsou ale uživatelé často informacemi zahlceni, což pak může způsobit, že se v nich vyznávají špatně, dokumenty nečtou či jsou z nich zmatení, a tudíž je na pováženou, jak k souhlasům v rámci těchto zařízení přistupovat.
Navíc, je také důležité říct (na což někdy výrobci zapomínají), že i aplikace musí mít dokumentaci, která informuje uživatele o zpracování osobních údajů v ní, sdílení dat, uložení dat, a o veškerých dalších aktivitách, které jsou s osobními údaji prováděny.
Jedním z řešení, které se nabízí, souvisí s celým nastavením ochrany osobních údajů, které je také vyžadováno ve čl. 25 GDPR – Privacy-by-design. Tento článek pojednává o tom, že principy ochrany osobních údajů, jako je minimalizace, omezená retence a zabezpečení dat by měly být zabudovány do systému od prvního dne a nastaveny jako default.
Tento přístup tedy počítá s tím, že ochrana osobních údajů bude zabudována do všech procesů již od počátku, místo aby byla řešena až dodatečně. Budete tedy přesně vědět, jaké osobní údaje jsou pro jaký účel potřeba, komu a jak jsou sdíleny, kde jsou uloženy apod., přičemž do rozhraní aplikace můžou být zabudovány přehledné a pochopitelné informace o sběru osobních údajů. Zpětně se ochrana osobních údajů řešit samozřejmě dá, je to ale složitější a je daleko větší pravděpodobnost, že se některé oblasti zpracování osobních údajů nezvládnou pokrýt.
Pro management souhlasů pak řešením může být uživatelsky orientovaná platforma pro správu souhlasů (tzv. user-centric consent management platform jako je např. Usercentrics nebo CMP od OneTrust), která v přehledné obrazovce ukáže uživateli, jaká data se právě sbírají, k čemu slouží a jak dlouho se uchovávají. Uživatelé si mohou detailně nastavit, co chtějí sdílet a co ne, a kdykoli to změnit. Takováto transparentnost může dle mého názoru být i konkurenční výhodou, kdy i pro uživatele je stále důležitější vědět, jakým způsobem jsou jejich osobní údaje zpracovávány, a to tím víc v případě nositelné elektroniky a jí snímaných citlivých údajů.
Zásada minimalizace
GDPR obsahuje ve čl. 5 odst. 1 (c) jednu ze svých základních zásad, a to zásadu minimalizace, tedy, že osobní údaje mají být zpracovávány pouze v nezbytném rozsahu, aby byl naplněn účel, pro který jsou zpracovávány.
Nositelná elektronika ale často zpracovává osobní údaje ve velmi robustním rozsahu (srdeční tep, krevní tlak, vzorce spánku apod.), část jejich reklamních tvrzení je postavená na tom, že tato zařízení nabízí uživateli komplexní pohled na jeho zdraví, pro což je potřeba velké množství dat získaných v co největším časovém rámci. V některých případech také dochází k tomu, že se sbírají data, která pro daný účet vůbec potřeba nejsou, např. v rámci měření počtu kroků se sbírají i data o poloze, tepu a teplotě, či již zmíněné hodnocení spánku a zpracovávání údajů o poloze.
Je tedy možné vůbec zásadu minimalizace naplnit?
Možné to určitě je, za tímto účelem je ale nutné o ochraně osobních údajů uvažovat, a ideálně s předstihem (jak jsem již popisovala v rámci Privacy-by-default). Je dobré si dát dohromady všechny účely, pro které budou osobní údaje zpracovávány (např. pro měření kroků, pro sledování, hodnocení a vylepšení spánku, pro sledování menstruačního cyklu apod.) a pro tyto účely zpracovávat jen ty osobní údaje, které jsou potřebné k jeho naplnění. Vše výše uvedené je poté nutné jasným, transparentním a srozumitelným způsobem předat uživateli, aby si mohl udělat představu a případně neudělit souhlas se zpracováním osobních údajů.
Také bych doporučila dělat pravidelný audit procesů spojených s ochranou osobních údajů; s vývojem aplikací a zařízení se totiž často mění i různé aspekty ochrany osobních údajů (příjemci a jejich sídla, způsoby zpracování, rozsah osobních údajů apod.), a v souvislosti s těmito změnami adekvátně aktualizovat informační dokumentaci, a ideálně uživatele o této aktualizaci informovat.
Závěr
Ochrana osobních údajů v souvislosti s nositelnou elektronikou přináší řadu výzev, zejména pokud jde o získávání platného souhlasu a nastavení bezpečného a transparentního zpracování citlivých osobních údajů uživatelů. Tyto problémy však nejsou neřešitelné – klíčové je přistupovat k ochraně osobních údajů komplexně a ideálně o ní uvažovat už ve fázi návrhu a vývoje aplikace nebo zařízení.
