Smarte briller: EDPB tar stilling — brukeren kan være behandlingsansvarlig, og den som filmes må kunne merke det

Hva EDPB har vedtatt

På sitt siste plenumsmøte vedtok Personvernrådet en uttalelse med foreløpig veiledning til brukere, produsenter og tjenesteleverandører. Leder Anu Talus understreket at risikoen er høyere i sensitive miljøer som sykehus, skoler og arbeidsplasser, når opptak havner i sosiale medier, og for barn, både når de bruker brillene og når de filmes.

Hvem er behandlingsansvarlig

• BRUKEREN er behandlingsansvarlig når han deler bilder eller video på en offentlig konto i sosiale medier eller bruker brillene i offisiell, yrkesmessig eller politisk virksomhet.
• Å filme familie eller venner, eller bruke oversettelse i privat sammenheng, er en rent personlig aktivitet: GDPR gjelder ikke (unntaket for private formål). Strafferett, sivilrett, arbeidsrett og sektorregler gjelder likevel.
• PRODUSENTEN og LEVERANDØREN av tilknyttet app eller tjeneste kan ikke overføre pliktene sine til brukerne: de må følge GDPR og sikre at enhver ny behandling er forenlig med det opprinnelige formålet.

Åpenhet: hovedproblemet

Fordi de ser diskré ut, kan smarte briller filme mennesker som ikke vet om det. EDPB krever at opptak skal være tydelige: godt synlige LED-lys, lyd- eller talesignaler, personvernvennlige varsler på smarttelefonen, gjenkjennelig design. Varslene må være pålitelige, vanskelige å overse og alltid oppdaterte, også i offentlige rom. Rådet oppfordrer også til bransjestandarder og bevisstgjøring.

Rapporten «The connected gaze», bestilt av EDPB etter forslag fra CNIL og skrevet av en digital sosiolog, beskriver hvordan brillene noen ganger blir verktøy for overvåking mellom personer og innsamling av bevis, med maktubalanse mellom den som filmer og den som filmes. Det er et arbeid fra eksterne eksperter og uttrykker ikke Rådets offisielle standpunkt.