Używanie dronów często kojarzy się z naruszaniem prywatności lub obawą przed takim naruszeniem. Rzeczywiście bowiem może być tak, że korzystanie z drona może wiązać się z ingerencją w prywatność oraz z pozyskiwaniem danych osobowych. Dane osobowe w tym przypadku zwykle traktowane są jako element szerszej kategorii, jaką jest prywatność.
1. Korzystanie z dronów
Powyższe stwierdzenie to pewne uproszczenie, ponieważ ochrona danych osobowych stanowi obecnie osobą dziedzinę prawa, regulowaną odrębnie w drodze wyspecjalizowanych przepisów, ze szczególnym uwzględnieniem RODO – rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych)[1]. Przepisy tego aktu mają na celu ochronę sfery informacyjnej człowieka niezależnie do tego, jaki charakter mają dane osobowe podlegające przetwarzaniu, a więc czy należą do sfery jego prywatności, czy też mają charakter informacji skierowanych na zewnątrz, odnosząc się do jego działalności publicznej, zawodowej, społecznej.
Prawo do prywatności oraz prawo do ochrony danych osobowych to obecnie dwie powiązane, ale jednak osobne kategorie prawne. Oba te prawa w UE stanowią prawa podstawowe. Ochrona prywatności jest ściśle uzależniona od stopnia skuteczności mechanizmów ochrony informacji. Ochrona danych osobowych jest rodzajem specjalistycznej konstrukcji, która służy ochronie zbliżonych wartości, które chronią prawo do prywatności. W prowadzonych tu rozważaniach skupiamy się na pewnym wspólnym dla prawa do prywatności i ochrony danych osobowych obszarze, jakim jest sfera informacyjna jednostki, a więc zagadnienie pozyskiwania informacji o człowieku przy użyciu drona. Nie ulega bowiem wątpliwości, że używanie drona może także w inny sposób zagrażać prywatności jednostki. Jeśli bowiem odwołamy się do takiego sposobu rozumienia prywatności, w obrębie którego nacisk kładzie się na odosobnienie, brak zewnętrznej ingerencji, wolność od naruszania spokoju i miru domowego, to samo latanie dronem nad czyjąś posesją, zwłaszcza gdy jest nieuzasadnione, powtarzające się czy utrudniające normalne korzystanie z nieruchomości lub jej urządzeń może być traktowane jako naruszające prywatność, choć nie w sferze informacyjnej.
2. Zagrożenia dla sfery informacyjnej związane z wykorzystywaniem dronów
Podkreślić trzeba, że wiązanie niebezpieczeństwa naruszeń prywatności czy naruszeń w sferze ochrony danych osobowych z użyciem drona jest pewnym uproszczeniem, ponieważ podstawowy typ drona, składający się wyłącznie z elementów niezbędnych do odbywania lotów, nie służy do przetwarzania danych osobowych. Zagrożenia pojawiają się dopiero wraz z wyposażaniem takiego bezzałogowego statku powietrznego w oprzyrządowanie, które pozwoli na pozyskiwanie lub bezpośrednią transmisję danych. Chodzi tu np. o czujniki służące do tego celu, czy też o inne odpowiednie urządzenia pozwalające np. na nagrywanie dźwięku lub obrazu lub pomiar i rejestrację temperatury.
Warto w tym zakresie odwołać się do ustaleń zawartych w opinii 01/2015 Grupy Roboczej Artykułu 29 w sprawie kwestii dotyczących ochrony prywatności i ochrony danych związanych z wykorzystywaniem dronów[2]. Opinia ta pochodzi wprawdzie jeszcze sprzed przyjęcia i rozpoczęcia stosowania RODO, ale wciąż może stanowić istotny punkt odniesienia przy projektowaniu pozyskiwania danych osobowych za pomocą dronów lub gdy ewentualność takiego pozyskania informacji jest choćby hipotetycznie możliwa.
Wzorem Grupy Roboczej Artykułu 29 wskazać można kategorie urządzeń, których wykorzystywanie może wpływać na prywatność i ochronę danych osobowych. Urządzenia te można sklasyfikować w następujący sposób:
- sprzęt rejestrujący obraz: inteligentne kamery o stałej lub zmiennej ogniskowej soczewki zdolne do gromadzenia i transmisji obrazów na żywo, wyposażone w umiejscowione na dronie lub na ziemi funkcje rozpoznawania twarzy, umożliwiające dronom identyfikację i śledzenie określonych osób, przedmiotów lub sytuacji, identyfikację wzorców ruchowych, odczyt tablic rejestracyjnych pojazdów, przy zapewnieniu pola widzenia w zakresie 360°, zdolne do wykrywania energii termicznej emitowanej przez cel, umożliwiające lot i rejestrację obrazów w warunkach złej widoczności (spowodowanych mgłą, dymem lub pyłem) lub w nocy;
- urządzenia do wykrywania: czujniki optyczno-elektroniczne, skanery podczerwieni, transpondery radarowe służące do identyfikacji obiektów, pojazdów i statków oraz do uzyskiwania informacji na temat ich pozycji i kursu, nawet jeżeli są oddzielone przez ścianę, dym lub inne przeszkody;
- urządzenia o częstotliwości radiowej: takie jak anteny lokalizujące punkty dostępu do lokalnej sieci radiowej lub stacje telefonii komórkowej, femtokomórki i urządzenia przechwytujące IMSI wykorzystywane przez organy ścigania do kontroli telefonów komórkowych i sieci lub przez usługodawców w celu przekazywania łączności pomiędzy sieciami i użytkownikami terminalu;
- specjalne czujniki do wykrywania śladów jądrowych, śladów biologicznych, materiałów chemicznych, urządzeń wybuchowych[3].
Przetwarzanie obrazów, w tym obrazów przedstawiających osoby, domy, pojazdy, tablice rejestracyjne pojazdów itp., dźwięków, danych o położeniu geograficznym lub innych sygnałów elektromagnetycznych dotyczących zidentyfikowanej lub możliwej do zidentyfikowania osoby fizycznej dokonywane za pośrednictwem urządzeń do przetwarzania danych, w jakie wyposażony jest bezzałogowy statek powietrzny, może mieć rzeczywisty wpływ na prywatność lub ochronę danych osobowych. Prowadzi to do konieczności ustaleń dotyczących zakresu i podstaw przetwarzania danych osobowych na gruncie RODO, a także środków, jakie muszą być wprowadzone dla ochrony prywatności jako dobra osobistego, które podlega ochronie na gruncie przepisów o charakterze cywilnoprawnym, na czele z art. 23 i art. 24 kodeksu cywilnego[4] oraz art. 81 prawa autorskiego[5]. W każdym przypadku należy jednak jasno wskazać, że z punktu widzenia prywatności i ochrony danych osobowych istotne nie jest samo wykorzystanie dronów, lecz zainstalowane na dronie urządzenia do przetwarzania danych oraz późniejsze przetwarzanie danych osobowych, które może mieć miejsce jako cel wykorzystania drona lub jako efekt uboczny, gdy zbieranie danych na tej drodze nie ma charakteru intencjonalnego[6].
3. Prawo do ochrony danych osobowych w związku z posługiwaniem się bezzałogowymi statkami powietrznymi
Rozwój prawa do ochrony danych osobowych zainicjowany został u samego progu ery informatycznej. W epoce zjawiska określanego „społeczeństwem globalnym” szczególnego znaczenia nabrała autonomia informacyjna, stanowiąca podkategorię prywatności, z którą to w naturalny sposób powiązane są ściśle zabezpieczenia oferowane przez prawo do ochrony danych osobowych. Niebezpieczeństwo, któremu należy zapobiec, stosując w tym celu coraz bardziej wyspecjalizowane narzędzia prawne, polega na ingerowaniu z zewnątrz w życie prywatne jednostki. Dzieje się to poprzez pozyskiwanie informacji należących do jej sfery prywatności, czy też centralizację albo zmonopolizowanie gromadzonych danych. Prawo do ochrony danych osobowych koncentruje się w znacznym zakresie na ochronie tej wartości, jaką jest autonomia informacyjna, która ma być zapewniona przez zagwarantowanie jednostce prawa do „samookreślenia informacyjnego” (self–determination), czyli pozostawienia do jej wyłącznej decyzji sprecyzowania tego, kto, o czym i w jaki sposób może się o niej dowiedzieć[7]. Autonomia ta oznacza możliwość dysponowania określonymi informacjami dotyczącymi jednostki, które muszą być chronione przed niekontrolowanym przez nią gromadzeniem i przetwarzaniem. Człowiek ma w ten sposób prawo do tworzenia przy pomocy informacji takiego obrazu własnej osoby, jaki uznaje za pożądany przez siebie oraz może decydować, jakie dane o sobie zamierza rozpowszechniać, a jakich nie. Istotę autonomii informacyjnej można więc sprowadzić do stwierdzenia, że człowiek powinien mieć prawo kontrolowania treści i obiegu informacji o nim samym[8]. Wychodzi ona zatem poza tradycyjnie ujmowane prawo do pozostawania w spokoju.
Brak możliwości sprawowania kontroli nad informacjami o sobie pozbawia człowieka poczucia swobody kreowania własnego wizerunku wobec otoczenia, niweczy tym samym postulat możliwości samookreślenia[9]. Okazuje się, że na ten brak swobody wpływ może mieć możliwość posługiwanie się dronami w celu śledzenia osoby fizycznej, pozyskiwania o niej danych w sposób i w zakresie, które wchodzą w rachubę właśnie dlatego, że dla realizacji tych celów użyty jest dron.
Obecnie śledzić człowieka mogą bezzałogowe statki powietrzne o tak niewielkim rozmiarze, że są prawie niewidoczne dla oka. W praktyce bywają używane chociażby drony wielkości pszczoły, przy czym tak małe rozmiary bezzałogowego statku powietrznego nie mają wpływu na jakość używanych kamer czy innych czujników. Drony mogą także przetwarzać obrazy, dźwięk, dane geolokalizacyjne lub inne sygnały elektromagnetyczne związane ze zidentyfikowaną lub możliwą do zidentyfikowania osobą fizyczną, przeprowadzane przez sprzęt do przetwarzania danych na pokładzie takiego statku powietrznego. Może mieć to wpływ na prywatność, ale i na ochronę danych osobowych, a zatem skutkować koniecznością stosowania przepisów z tego zakresu[10].
Pamiętać należy zatem, że używając bezzałogowego statku powietrznego dla celów gospodarczych, bądź do realizacji zadań publicznych, trzeba brać pod uwagę, że przepisy o ochronie danych osobowych dotyczą takich sytuacji, nawet jeśli dane osobowe przetwarza się w sposób niezamierzony, jedynie akcesoryjny lub incydentalny. Dotyczy to także klientów korzystających z usług świadczonych z użyciem dronów, ponieważ to w ich imieniu i na ich rzecz może odbywać się takie przetwarzanie danych osobowych. Wykonywanie lotów bezzałogowym statkiem powietrznym wyposażonym w sprzęt do pozyskiwania lub transmisji danych stwarza wysokie prawdopodobieństwo niezamierzonego ich gromadzenia lub innych operacji przetwarzania danych osobowych. Takie użytkowanie drona, które pociąga za sobą gromadzenie danych osobowych, musi być zatem zgodne z prawem. Uzasadnione jest więc aby dokonać starannej oceny prawdopodobieństwa wejścia w posiadanie danych osobowych oraz ustalenia, czy w świetle prawa jest to dopuszczalne[11].
4. Zakres przedmiotowy stosowania RODO przy wykorzystywaniu dronów
Zgodnie z art. 2 ust. 1 RODO, ma ono zastosowanie do przetwarzania danych osobowych w sposób całkowicie lub częściowo zautomatyzowany oraz do przetwarzania w sposób inny niż zautomatyzowany danych osobowych stanowiących część zbioru danych lub mających stanowić część zbioru danych.
Dla bardziej precyzyjnego określenia zakresu stosowania RODO trzeba jednak pamiętać o treści art. 2 ust. 3-4 oraz art. 3 RODO, ponieważ to w nich faktycznie doprecyzowany jest zakres przedmiotowy, podmiotowy, ale i terytorialny tego aktu. W praktyce wykorzystywania bezzałogowych statków powietrznych do przetwarzania danych osobowych istotne mogą okazać się takie zagadnienia, jak chociażby to:
- w jakim celu operator lub pilot drona przetwarza dane osobowe – czy dokonują tego w celach zawodowych, biznesowych, wykonywania zadań publicznych, czy wyłącznie w celach prywatnych rozumianych, jako osobiste, domowe (najpewniej rekreacyjne);
- gdzie ma siedzibę operator, czy przy użyciu drona dokonuje przetwarzania danych osobowych wyłącznie na obszarze UE, czy może jego działalność sięga poza UE;
- czy przetwarzanie danych osobowych dotyczy osób fizycznych będących obywatelami UE, czy także niebędących obywatelami UE;
- czy czynności przetwarzania za pomocą drona danych osobowych wykonuje się w odniesieniu do danych osobowych obywateli UE na terenie UE, czy też transferuje się te dane do państwa trzeciego lub organizacji międzynarodowej[12].
Odpowiedzi na te pytania musi znać operator drona, ale i podmiot, na którego rzecz operator wykonuje czynności, ponieważ mają one doniosłe znaczenie z perspektywy obowiązków ciążących na tych podmiotach i konsekwencji prawnych związanych z takim przetwarzaniem.
Zgodnie z art. 2 ust. 2 RODO rozporządzenie to nie ma zastosowania do przetwarzania danych osobowych:
a) w ramach działalności nieobjętej zakresem prawa Unii;
b) przez państwa członkowskie w ramach wykonywania działań wchodzących w zakres tytułu V rozdział 2 TUE;
c) przez osobę fizyczną w ramach czynności o czysto osobistym lub domowym charakterze;
d) przez właściwe organy do celów zapobiegania przestępczości, prowadzenia postępowań przygotowawczych, wykrywania i ścigania czynów zabronionych lub wykonywania kar, w tym ochrony przed zagrożeniami dla bezpieczeństwa publicznego i zapobiegania takim zagrożeniom.
Dodatkowo z art. 2 ust. 3 RODO wynika, że do przetwarzania danych osobowych przez instytucje, organy i jednostki organizacyjne Unii zastosowanie ma rozporządzenie (WE) nr 45/2001, przy czym rozporządzenie (WE) nr 45/2001 oraz inne unijne akty prawne mające zastosowanie do takiego przetwarzania danych osobowych zostają dostosowane do zasad i przepisów niniejszego rozporządzenia zgodnie z art. 98. W myśl art. 2 ust. 4 RODO pozostaje bez uszczerbku dla stosowania dyrektywy 2000/31/WE[13], w szczególności dla zasad odpowiedzialności usługodawców będących pośrednikami, o których to zasadach mowa w art. 12-15 tej dyrektywy.
W art. 3 natomiast RODO wskazuje terytorialny zakres stosowania tego aktu. Dane osobowe, przetwarzanie i działania niezbędne przed przystąpieniem do obsługi drona, aby przetwarzanie było zgodne z prawem.
5. Obszary zastosowania RODO przy korzystaniu z drona
Analiza przepisów RODO pozwala stwierdzić, że zasadniczo mają one wpływ na następujące obszary wykorzystania dronów:
- obszar pierwszy – dotyczy przetwarzania danych osobowych uzyskanych za pomocą drona, w tym nagrań obrazu i dźwięku lub wykonanych fotografii, a także wielu innych danych osobowych, w stosunku do których pozyskanie, analiza lub inne operacje wykonywane są przy użyciu drona i wspomagającego go oprzyrządowania;
- obszar drugi – dotyczy zagadnień organizacyjnych związanych z wykorzystaniem dronów, tj. obsługi takiego urządzenia przez osobę posiadającą odpowiednie kwalifikacje i umiejętności, a także zawierania umów pomiędzy operatorem a pilotem drona oraz pomiędzy operatorem a klientami, którzy złożyli zamówienie na takie usługi;
- rejestracja operatorów bezzałogowych statków powietrznych, jakiej powinni podlegać w przypadku gdy eksploatują bezzałogowy statek powietrzny, który w przypadku uderzenia może przekazać człowiekowi energię kinetyczną o wartości powyżej 80 dżuli lub którego eksploatacja wiąże się z zagrożeniami dla prywatności, ochrony danych osobowych, bezpieczeństwa lub środowiska, o czym stanowi rozporządzenie (UE) 2019/947.
Dla każdego z tak określonych obszarów na gruncie RODO istotna jest warstwa dokumentacyjna. Przetwarzanie danych osobowych wymaga odpowiedniego udokumentowania relacji pomiędzy operatorem drona a pilotem oraz pomiędzy operatorem a klientem zlecającym usługę, do której realizacji wykorzystywany jest bezzałogowy statek powietrzny. Już tę relacje podmiotową należy udokumentować w sposób zgodny z RODO oraz tak, aby wykazać przetwarzanie zgodne z prawem, czyli w istocie zgodne z RODO.
Operator przetwarza dane osobowe przy dokumentowaniu spełniania wymogów prawnych lub kwalifikacji pilotów. Zgodnie z art. 32 ust. 4 RODO administrator i podmiot przetwarzający podejmują kroki w celu zapewnienia, aby każda osoba fizyczna działająca z upoważnienia administratora lub podmiotu przetwarzającego, która ma dostęp do danych osobowych, nie przetwarzała ich inaczej niż na polecenie administratora, chyba że wymaga tego prawo UE lub prawo państwa członkowskiego. Przetwarzanie danych osobowych na polecenie administratora i z jego upoważnienia jest kwestią powiązaną. Takie przetwarzanie musi być prowadzone zgodnie z RODO.
Operator drona ma obowiązek zadbać o spełnienie wymogów bezpieczeństwa przetwarzania danych osobowych opisane w głównej mierze w art. 24, art. 25 oraz 32 RODO, które bazują na analizie ryzyka praw lub wolności osoby fizycznej tym przetwarzaniem w odniesieniu do konkretnych okoliczności, a więc wziąwszy pod uwagę charakter, zakres, kontekst i cele przetwarzania.
Osobną kwestią pozostaje spełnienie obowiązków skorelowanych z prawami osób, których dane dotyczą określonych w Rozdziale III RODO. Ani operatorzy dronów, ani podmioty, które korzystają z ich usług nie są zwolnieni z wykonywania tychże obowiązków, choć realizacja praw osób, których dane dotyczą, w wielu przypadkach jest mocno utrudniona, a wręcz iluzoryczna.
dr hab. Marlena Sakowska-Baryła, prof. UŁ
Katedra Europejskiego Prawa Konstytucyjnego, Wydział Prawa i Administracji Uniwersytetu Łódzkiego
radczyni prawna, partnerka w Sakowska-Baryła, Czaplinka Kancelarii Radców Prawnych Sp.p.
ORCID: https://orcid.org/0000-0002-3982-976X
[1] Dz. U. UE. L. z 2016 r. Nr 119, str. 1 z późn. zm.
[2] Opinion 01/2015 on Privacy and Data Protection Issues relating to the Utilisation of Drones, Adopted on 16 June 2015, (WP 231), https://ec.europa.eu/newsroom/article29/items/640602, dostęp: 06.11.2023 r.
[3] Opinia 01/2015, Grupy Roboczej Art. 29, s. 7.
[4] Ustawa z dnia 23 kwietnia 1964 r. Kodeks cywilny (t.j. Dz. U. z 2023 r. poz. 1610 z późn. zm.).
[5] Ustawa z dnia 4 lutego 1994 r. o prawie autorskim i prawach pokrewnych (Dz. U. z 2022 r., poz. 2509 ze zm.).
[6] Opinia 01/2015, Grupy Roboczej Art. 29, s. 7.
[7] K Wygoda, Ochrona danych osobowych i prawo do informacji o charakterze osobowym, [w:] Prawa i wolności obywatelskie w Konstytucji RP, pod red. B. Banaszaka i A. Preisnera, Warszawa 2002, s. 401.
[8] A. Mednis, Ochrona prawna danych osobowych a zagrożenia prywatności – rozwiązania polskie, [w:] Ochrona danych osobowych, pod red. M. Wyrzykowskiego, Warszawa 1999, s. 167.
[9] Zob. J. Barta, R. Markiewicz, Ochrona danych …, s. 45.
[10] A. Konert, Bezzałogowe statki powietrzne. Nowa Era w Prawie lotniczym, Zagadnienia cywilnoprawne, Warszawa 2021, s. 150.
[11] https://dronerules.eu/en/professional/obligations/summary-of-privacy-rules-in-eu, dostęp: 06.11.2023.
[12] M. Ostrihansky, M. Sakowska-Baryła, M. Szmigiero, The Law of drones, Warszawa 2021, s. 238.
[13] Dyrektywa 2000/31/WE Parlamentu Europejskiego i Rady z dnia 8 czerwca 2000 r. w sprawie niektórych aspektów prawnych usług społeczeństwa informacyjnego, w szczególności handlu elektronicznego w ramach rynku wewnętrznego (dyrektywa o handlu elektronicznym), Dz.U.UE.L.2000.178.1.
