Nowymi regulacjami dotyczącymi ochrony danych osobowych powinny przejmować się serwisy internetowe żyjące z mieszania danych osobowych (prywatnie nazywam je łapaczkami), kilka kwadransów na intelektualnego wysiłku przydałoby się jednak każdemu podmiotowi, który ma do czynienia z danymi osobowymi (czyli właściwie każdemu).
Dziś jednak czas na kilka akapitów o czymś, co może nie wydawać się tak oczywiste — a mimo swojej nieoczywistości spowodować może rzeczywiste perturbacje — czyli kilka zdań o tym czy fotografia biometryczna ma coś wspólnego z danymim osobowymi i tym całym RODO?
Będzie w punktach, bo tak prościej:
- nie ma wątpliwości, że ustawodawca wymusza tak paskudne — biometryczne — ujęcia do dowodów osobistych i paszportów, właśnie ze względu na to czym jest biometria — czyli „technika dokonywania pomiarów istot żywych (…) ukierunkowana jest na metody automatycznego rozpoznawania ludzi na podstawie ich cech fizycznych” (za Wikipedią);
- słowem: standaryzacja sposobu wykonywania fotografii pozwala na łatwe „wyłapanie” cech, które identyfikują nas lepiej nawet niż numer PESEL czy własnoręczny podpis;
motyw 51 RODO
Przetwarzanie fotografii nie powinno zawsze stanowić przetwarzania szczególnych kategorii danych osobowych, gdyż fotografie są objęte definicją „danych biometrycznych” tylko w przypadkach, gdy są przetwarzane specjalnymi metodami technicznymi, umożliwiającymi jednoznaczną identyfikację osoby fizycznej lub potwierdzenie jej tożsamości.
- nie musimy zresztą sięgać do Wikipedii, bo przecież (interesująca nas, bo legalna) definicja danych biometrycznych jest w rozporządzeniu nr 679/2016, które wprost mówi, iż są to dane osobowe, które powstały wskutek specjalnego przetwarzania technicznego i dotyczą cech fizycznych czy fizjologicznych (fotografia to tylko jeden z rodzajów biometryki) — takie jak „wizerunek twarzy” (art. 4 pkt 14 RODO);
- dla jasności: nie każda fotografia jest nośnikiem danych osobowych — fotografia będzie definiowana jako dane biometryczne jeśli przy zastosowaniu odpowiednich środków można jednoznacznie zidentyfikować lub potwierdzić tożsamość sportretowanej osoby (motyw 51);
art. 4 pkt 14 RODO
„dane biometryczne” oznaczają dane osobowe, które wynikają ze specjalnego przetwarzania technicznego, dotyczą cech fizycznych, fizjologicznych lub behawioralnych osoby fizycznej oraz umożliwiają lub potwierdzają jednoznaczną identyfikację tej osoby, takie jak wizerunek twarzy lub dane daktyloskopijne;
- i teraz najważniejsze: fotografia biometryczna stanowi szczególny rodzaj danych osobowych — dane wrażliwe — których przetwarzanie jest zasadniczo zabronione, chyba że zachodzi jedna z przesłanek pozwalających na ich przetwarzanie (art. 9 ust. 1-2 RODO);
- czy to oznacza, że fotografom nie będzie już wolno robić zdjęć do paszportu czy prawa jazdy? spieszę wyjaśnić, że oczywiście nic się nie zmienia — przetwarzanie szczególnych kategorii danych osobowych jest przecież dopuszczalne jeśli zainteresowana osoba wyraziła na to zgodę (przychodząc do fotografa w celu zrobienia zdjęcia do paszportu wyrażam zgodę na utrwalenie mojego wizerunku, art. 9 ust. 2 lit. b RODO);
art. 9 ust. 1 RODO
Zabrania się przetwarzania danych osobowych ujawniających pochodzenie rasowe lub etniczne, poglądy polityczne, przekonania religijne lub światopoglądowe, przynależność do związków zawodowych oraz przetwarzania danych genetycznych, danych biometrycznych w celu jednoznacznego zidentyfikowania osoby fizycznej lub danych dotyczących zdrowia, seksualności lub orientacji seksualnej tej osoby.
- na szczęście ta zgoda nie musi mieć formy pisemnej — to kolejny przypadek, w którym RODO w gruncie rzeczy ułatwiło ludziom życie (a piję oczywiście do art. 27 ust. 2 pkt 1 d. uoodo, która wprawdzie nie nazywała fotografii biometrycznych danymi osobowymi, ale wymagała wyrażenia zgody na przetwarzanie danych wrażliwych „na piśmie”);
- jednak nie oznacza to, że fotograf ma dowolność jeśli chodzi o przechowywanie takich zdjęć (dla jasności: przechowywanie jest jedną z postaci przetwarzania danych osobowych, por. art. 4 pkt 2 RODO) — skoro generalna zasada ochrony danych osobowych mówi, że można je przetwarzać dotąd, dokąd jest to uzasadnione celem (art. 5 ust. 1 lit. a-c RODO), a celem było zrobienie zdjęcia do dokumentów — wychodzi na to, że fotografowie powinni usuwać pliki zawierające zdjęcia biometryczne wkrótce po ich odebraniu przez klienta (po odczekaniu na ewentualną reklamację, etc. — natomiast na pewno nie ma uzasadnienia dla przechowywania takich zdjęć przez okres przekraczający 6 miesięcy, skoro jest to cezura „ważności” zdjęcia wykonanego z myślą o dokumentach tożsamości.
I to by było na tyle, na razie.