ACRESIA

Španělská orgán dozoru dospěl k závěru, že použití termokamery k ověření, zda uživatelé služby mají vyšší teplotu než stanovený limit, v kontextu pandemie COVID-19, nespadá do oblasti působnosti GDPR, pokud nedochází k dalšímu ukládání, zpracování nebo jiné operací s údaji zobrazenými kamerou, a osoby nejsou požádány, aby se identifikovaly.

Fakta

Španělská (AEPD) zahájila vyšetřování společnosti, která provozuje metro v Bilbau, jednom z hlavních španělských měst. V souvislosti s pandemií covid-19 společnost pomocí termálních kamer ověřovala, zda uživatelé v metru měli vyšší teplotu než stanovenou hodnotu (37,3 ° C), aby identifikovali potenciálně infikované osoby.

Lidé byli náhodně vybíráni a procházeli pod thermo kamerami, které ukazovaly jejich teplotu. Zobrazovala se pouze teplotní mapa; snímky nebyly žádným způsobem dále zpracovány, ani neexistoval žádný systém rozpoznávání obličeje. Data nebyla žádným způsobem registrována, ukládána ani zpracovávána.

Jediným důsledkem odvozeným z teplotní mapy byl postup, kdy odpovědní zaměstnanci metra provedli druhý test s klinickým teploměrem, aby ověřili, zda teplota překračuje prahovou hodnotu. Pokud by se ukázalo, že osoba má teplotu nad prahovou hodnotou, dostala doporučení, jak jednat (tj. nepoužívat metro a kontaktovat lékaře).

Rozhodnutí

Španělský orgán pro ochranu osobních údajů v souladu s tvrzeními správce dospěl k závěru, že nařízení GDPR se na tento případ nevztahuje, protože nespadá do jeho věcné působnosti.

Měření teploty proběhlo bez identifikace, bez záznamu a bez registrace údajů osob, jejich identifikace není vyžadována ani úředním dokladem, ani ústně. V žádném okamžiku nebyly uloženy ani zaznamenány žádné osobní údaje, ani obrazová data, ani údaje o teplotě, ani jméno a příjmení, ani žádné další údaje týkající se identifikované nebo identifikovatelné fyzické osoby. Nebyly uloženy žádné informace, které by mohly naznačovat nemožnost identifikace osoby shromažďováním pouze nepřímých identifikátorů, jako je výše uvedená tepelná mapa nebo teplota; a žádné přímé identifikátory, jako je obrázek nebo podobné, ani výsledky měření teploty nebyly uloženy, ani nebyly přeneseny výsledky na jiný druh neautomatizované nebo automatizované podpory.

Po celou dobu byla zachována anonymita osob, protože se od nich nepožadovalo, aby se identifikovali, a neexistoval žádný záznam, protože snímek byl vydán v reálném čase, v podobě tepelné mapy, která neumožňuje jednoznačnou identifikaci osoby .

Podle čl.2 odst.1 GDPR proto AEPD dospěla k závěru, že nedochází k žádnému automatizovanému ani neautomatizovanému zpracování údajů, ale má být součástí registračního systému. Proto je mimo věcnou působnost GDPR.

Pokud jde o definici osobních údajů podle čl.4 odst.1 GDPR, AEPD nedospěla k pevnému závěru, ale poznamenala, že je třeba zohlednit okolnosti každého konkrétního případu. Je třeba vzít v úvahu použité zařízení a další proměnné, díky nimž lze osobu identifikovat. V tomto případě, i když osoba zůstala v anonymitě, protože nebyla požádána o identifikaci, tak byly pochybnosti o správnosti postupu, protože měření bylo provedeno na veřejném prostranství a každá osoba, která by nemohla vstoupit do metra, protože má zvýšenou teplotu teplotu vyšší než 37,3 ° C, tak přístup byl odpřen na základě zjištění zdravotního údaje klasifikovaného jako jako citlivý údaj v souladu s článkem 9 GDPR. Třetí osoby by mohly vědět, že konkrétní osoba může být infikována SARS-CoV-2, protože horečka je příznakem covid-19. Proto by byl takový postup diskutabilní v každém jednotlivém případě, zda by okolnosti mohly vést k identifikaci konkrétní osoby.

AEPD rovněž pojednává o hypotetickém případě, kdy by taková činnost nebo obdobná činnost mohla být považována za zpracování osobních údajů; pak by byl pro zpracování nezbytný právní základ. Možnosti by byly životně důležitý zájem, veřejný zájem nebo splnění zákonné povinnosti. Dále by byla nutná výjimka z článku 9.

V každém případě AEPD dospěla k závěru, že skutečnost, že osoby nebyly požádány, aby se identifikovaly, rozhodně znamenala, že nebyly identifikovatelné a že nebyly nijak uchovávány ani zpracovávány žádné údaje týkající se teploty nebo skenovaných osob. Vzhledem k tomu, že nedochází ke zpracování údajů týkajících se identifikovatelných osob, byl případ považován za nespadající do oblasti působnosti GDPR a byl archivován.

Zdroj: AEPD