Sprawy generalne Rzecznika Praw Obywatelskich

Wystąpienie do Prezes Urzędu Ochrony Danych Osobowych w sprawie przetwarzania i ochrony danych biometrycznych przy okazji świadczenia usług pocztowych.

W ostatnim czasie do Rzecznika Praw Obywatelskich docierały skargi od osób, zgłaszających wątpliwości związane z wykorzystywaniem urządzeń rejestrujących tzw. odręczny podpis biometryczny. Wnioskodawcy zwracali uwagę na posługiwanie się tym narzędziem przez operatorów pocztowych, w tym przez Pocztę Polską, przy potwierdzaniu odbioru przesyłek. Mimo iż potwierdzanie odbioru przesyłek podpisem odręcznym było od dawna powszechną praktyką w kontekście świadczenia usług pocztowych, to dopiero elektroniczne utrwalanie tego podpisu doprowadziło do sygnalizowania przez obywateli wątpliwości związanych z ochroną danych osobowych. Zdaniem Rzecznika niepokój obywateli należy przypisać większej mobilności danych przetwarzanych w formie elektronicznej i – co za tym idzie – zwiększeniem ryzyka nieautoryzowanego dostępu.

Po wejściu w życie nowych przepisów dotyczących ochrony danych osobowych, a w szczególności RODO, dane biometryczne zostały zaliczone do kategorii danych objętych szczególną ochroną. Przyjmuje się, że wymienione w definicji cechy fizyczne i fizjologiczne mogą obejmować m.in. linie papilarne, wygląd siatkówki lub tęczówki oka, owal twarzy, kształt małżowiny usznej, geometrię ręki, układ naczyń krwionośnych dłoni, głos i jego barwę. Cechy behawioralne to np. charakter pisma, dynamika pisania i sposób poruszania się. Oznacza to, że podpis może zostać zaliczony do danych biometrycznych i jako taki podlega szczególnej ochronie.

Biorąc pod uwagę wrażliwy charakter danych biometrycznych Rzecznik uznał za stosowne uzyskać więcej informacji na temat urządzeń stosowanych przez listonoszy, stosowanych zabezpieczeń oraz sposobu i okresu przechowywania zebranych danych osobowych. Z perspektywy Rzecznika omawiane zagadnienie jest szczególnie interesujące w kontekście wdrożenia elektronicznego potwierdzenia odbioru w wypadku doręczeń sądowych, które dotyczą bezpośrednio większości obywateli.

Rzecznik zwrócił się do Prezes UODO z prośbą o udzielenie informacji, czy przetwarzanie danych biometrycznych przy okazji świadczenia usług pocztowych było przedmiotem zainteresowania Urzędu, czy planowane są działania w tym zakresie i jaka jest ocena potencjalnych zagrożeń związanych z omawianym zjawiskiem.

 

Wystąpienie dołączone do tego dokumentu:

Data odpowiedzi:

Opis odpowiedzi:

Prezes Urzędu Ochrony Danych Osobowych w piśmie z 27 marca 2019 r. poinformowała, że Urząd Ochrony Danych Osobowych (ani uprzednio Generalny Inspektor Ochrony Danych Osobowych) nie przeprowadzał dotąd badań w zakresie przepływu danych elektronicznych wygenerowanych podczas składania własnoręcznego podpisu na urządzeniu elektronicznym, sposobu ich powiązania z informacją, której mają dotyczyć oraz sposobu zapisu tych informacji, zwłaszcza zaś ustalenie, czy zapis ten zawiera informację dotyczącą dynamiki składania podpisu. W związku z tym UODO może odnieść się do interesującej Rzecznika kwestii jedynie teoretycznie podkreślając, że zgodnie z zasadą integralności i poufności dane są przetwarzane w sposób zapewniający odpowiednie bezpieczeństwo danych osobowych, w tym ochronę przed niedozwolonym lub niezgodnym z prawem przetwarzaniem oraz przypadkową utratą, zniszczeniem lub uszkodzeniem, za pomocą odpowiednich środków technicznych lub organizacyjnych. Wyjaśniła również, że celu zajęcia wiążącego stanowiska w omawianej sprawie, konieczne jest przeprowadzenie badań w zakresie przepływu danych elektronicznych wygenerowanych podczas składania własnoręcznego podpisu na urządzeniu elektronicznym, sposobu ich powiązania z informacją, której mają dotyczyć, oraz sposobu zapisu tych informacji, zwłaszcza zaś ustalenie, czy zapis ten zawiera informację dotyczącą dynamiki składania podpisu (szybkości ruchu i nacisku rysika na urządzenie itp.) Niezbędne jest również zbadanie tej technologii pod kątem stosowania rozwiązań związanych z ochroną prywatności, takich jak zasada wbudowywania elementów wspierających prywatność na każdym etapie realizacji projektu (tzw. Privacy By Design) oraz przeprowadzenia szacunkowej oceny wpływu zastosowanej technologii na ochronę prywatności (czyli wykonanie tzw. Privacy Impact Assessment).