Przetwarzanie zdjęć w aplikacjach mobilnych a dane biometryczne Aplikacje mobline a przetwarzanie zdjęć i dane biometryczne

Choć na chwilę obecną powyższe obawy nie znalazły potwierdzenia, sytuacja ta stała się kolejną okazją do dyskusji na temat danych osobowych w aplikacjach mobilnych. Jednym z aspektów, wielokrotnie poruszanym w komentarzach i dyskusjach jest przetwarzanie danych biometrycznych w związku z wykorzystywaniem zdjęć (selfie) w ramach działania aplikacji. W związku z tym warto zastanowić się, na ile temat ten jest aktualny w odniesieniu do aplikacji przeznaczonych do modyfikacji zdjęć i jakie może pociągać konsekwencje w świetle RODO.

Wspomniana na wstępie aplikacja mobilna służyć ma do modyfikacji zdjęć twarzy, poprzez nakładanie na zdjęcia efektów takich jak postarzanie, odmładzanie, czy dodawanie uśmiechu. Efekty jej działania są wysokiej jakości, ponieważ aplikacja ta, jak deklarują jej twórcy, wykorzystuje mechanizmy oparte o AI oraz sieci neuronowe. Brytyjska organizacja Privacy International pisze w tym kontekście o tworzeniu „szczegółowej biometrycznej mapy twarzy”. Choć brak jest możliwości weryfikacji takich twierdzeń, czy technicznych aspektów działania aplikacji, można poczynić kilka zastrzeżeń ogólnych w kontekście deklarowanej funkcji aplikacji oraz problematyki przetwarzania wizerunku twarzy.

Dane biometryczne, zgodnie z regulacjami RODO, stanowią dane szczególnych kategorii (dane wrażliwe), do których stosuje się surowsze wymogi dotyczące prywatności. Dane biometryczne zostały zdefiniowane w RODO jako dane osobowe, które wynikają ze specjalnego przetwarzania technicznego, które dotyczą cech fizycznych, fizjologicznych lub behawioralnych osoby fizycznej oraz umożliwiają lub potwierdzają jednoznaczną identyfikację tej osoby, takie jak wizerunek twarzy lub dane daktyloskopijne. W odniesieniu do fotografii, należy zwrócić uwagę, że zgodnie z motywem 51 preambuły RODO, przetwarzanie zdjęć może być zakwalifikowane jako przetwarzanie danych biometrycznych tylko wtedy, gdy przetwarzanie jest dokonywane przy pomocy szczególnych środków technicznych, pozwalających na jednoznaczną identyfikację osoby fizycznej lub potwierdzenie jej tożsamości.

Powyższe skłania do wniosku, że samo zdjęcie (choćby było to wysokiej rozdzielczości i dobrze oświetlone selfie), bez uwzględnienia specjalnych, technicznych środków jego przetwarzania, samo w sobie nie będzie stanowiło danych biometrycznych. Dopiero w wyniku wspomnianego specjalnego przetwarzania technicznego można mówić o istnieniu danych biometrycznych, które umożliwiają lub potwierdzają jednoznaczną identyfikację osoby fizycznej.

Na podstawie powyższego można postawić pytanie o istnienie specjalnego rodzaju przetwarzania technicznego w odniesieniu do dokonywanej przez aplikację analizy zdjęcia twarzy w celu nałożenia pożądanego przez użytkownika filtra. Na pewno przetwarzanie to dotyczy cech fizycznych (obrazu twarzy). W świetle definicji danych biometrycznych RODO akcentuje jednak dwa skutki, czy cele przetwarzania: identyfikacja osoby fizycznej lub potwierdzenie jej tożsamości.

Biometryczne uwierzytelnienie z kolei polega na porównywaniu charakterystycznych cech biometrycznych danej osoby z pobranym wcześniej od niej biometrycznym wzorem w celu potwierdzenia jej tożsamości (potwierdzenia, że dana osoba jest tym, za kogo się podaje). W grę wchodzi zatem uprzednie stworzenie biometrycznego wzoru na podstawie pozyskanych danych danej osoby (źródła, czy próbki w postaci np. zdjęcia twarzy).

Zgodnie z opinią Grupy Roboczej Art. 29 nr 02/2012 dotyczącą systemów rozpoznawania twarzy w usługach online i usługach komórkowych, tworzenie wspomnianego wzoru jest jednym z etapów procesu rozpoznawania twarzy i polega na wyodrębnieniu na podstawie analizowanego obrazu danej osoby jej powtarzalnych i charakterystycznych cech. Wydobyte z nieprzetworzonej formy danych biometrycznych główne cechy zostają utrwalone jako wzór przechowywany w celu późniejszego wykorzystania. Następnym etapem jest porównanie, czyli badanie podobieństwa wzoru (próbki) twarzy a zespołem cech poprzednio wprowadzonym do systemu. Celem tego porównania może być wspomniana identyfikacja, uwierzytelnienie lub (o czym nie wspomina wprost RODO w świetle danych biometrycznych) kategoryzacja osób (np. wg wieku, płci, nastroju, celem wyświetlenia spersonalizowanej reklamy).

Ponieważ deklarowaną funkcją wspomnianej na wstępie aplikacji nie jest tworzenie wzoru biometrycznego celem np. uwierzytelniania dostępu do smartfona, czy tworzenia bazy danych do późniejszej identyfikacji osób, wydaje się, że przy takich założeniach nie spełnia ona cech biometrycznego przetwarzania. Na marginesie warto też wskazać, że przetwarzanie danych wbrew deklarowanemu celowi byłoby w świetle RODO niedopuszczalne. Zarówno krajowy organ nadzorczy, jak i międzynarodowe środowiska eksperckie (patrz przykładowo „Deklaracja Warszawska w sprawie upowszechniania się aplikacji w społeczeństwie” z dnia 24 września 2013 r.) silnie akcentują kwestię uwzględniania zasad privacy by default i by design, a także zapewnienie przejrzystości i informowanie użytkownika, co obejmuje w sposób oczywisty informowanie o faktycznym celu gromadzenia danych. W kontekście potencjalnego przetwarzania danych biometrycznych, można ewentualnie zadać pytanie, czy w procesie modyfikacji zdjęć nie dochodzi do kategoryzacji osób.

Założyć można, że w pewnym zakresie aplikacja rozpoznaje powtarzalne, charakterystyczne elementy twarzy i ich geometryczne umiejscowienie celem dopasowania do nich konkretnego filtra, aby uzyskać pożądany przez użytkownika efekt. Na pierwszy rzut oka wydaje się, że aplikacja nie dokonuje kategoryzacji osób na zdjęciach np. wg płci. Z tego względu trafnym rozwiązaniem jest funkcja dodawania do zdjęcia cech żeńskich czy męskich bez względu na płeć (zamiast opcji zmiany zidentyfikowanej przez aplikację płci na przeciwną). Z tego względu, jeżeli cel działania aplikacji jest zgodny z deklarowanym, można założyć, że nie dochodzi do przetwarzania danych biometrycznych, tzn. specjalnego przetwarzania danych umożliwiających jednoznaczną weryfikację czy identyfikację osoby fizycznej (ewentualnie kategoryzację takiej osoby). W każdym razie dostawca aplikacji powinien być gotowym do wykazania spełnienia zasad ograniczenia celu i minimalizacji danych. Służyć temu może rzetelna dokumentacja oprogramowania.

Na marginesie można wskazać, że zgodnie z przywołaną opinią Grupy Roboczej Art. 29, wzór lub zbiór charakterystycznych cech zawierający jedynie informacje niezbędne do dokonania kategoryzacji generalnie nie zawiera informacji wystarczających do zidentyfikowania danej osoby, pod warunkiem że taki wzór (czy wynik kategoryzacji) nie będzie powiązany z kontem, profilem lub pierwotnym obrazem danej osoby. W ramach aplikacji mobilnych omawianego typu, wyposażonych dodatkowo w opcje płatności czy wtyczki społecznościowe, tematu przetwarzania danych osobowych nie da się uniknąć.

Oprócz wymogów szczegółowych RODO dotyczących ewentualnego przetwarzania danych wrażliwych (tu: danych biometrycznych), z punktu widzenia dostawcy aplikacji, zastosowania znajdą ogólne obowiązki wynikające z RODO. Temat zachowania zgodności przetwarzania z prawem komplikuje się także w sytuacji, gdy z uwagi na biznesowe uwarunkowania, przetwarzanie wybranych do obróbki zdjęć odbywa się w chmurze. Dochodzić może przy tym do przekazywania danych do państwa trzeciego, jak w omawianym przykładzie, przy wysyłaniu danych na serwery w USA, przy jednoczesnej siedzibie dostawcy aplikacji w Rosji. Uwzględnienie zgodności z RODO całego przedsięwzięcia wymagać musi zatem wszechstronnej analizy, wykraczającej poza temat niniejszego artykułu.