Prawo. RODO: Nadążyć za globalną wędrówką danych osobowych

Konrad Świderek
Inspektor Ochrony Danych
Związku Banków Polskich

W maju 2018 r. w czasopiśmie „Nature”, opublikowano artykuł opisujący najnowsze osiągnięcia z zakresu Digital Medicine. Grupie badaczy inżynierów Google udało się opracować – na podstawie analizy ponad 200 tys. historycznych hospitalizacji, z udziałem ok. 115 tys. unikalnych pacjentów – model predykcyjny potrafiący z 95-proc. skutecznością rozpoznać szansę na readmisję pacjenta lub przewidzieć jego śmierć.

W Chińskiej Republice Ludowej przynajmniej od 2012 r. rozwijane są możliwości cyfrowej ingerencji w prywatne życie obywateli. Działający w Rongcheng oraz opierający się na zasadzie grywalizacji i scoringu, „System Zaufania Społecznego” premiuje postulowane zachowania, a dezaprobuje te, które są powszechnie nieakceptowane. Odrębnie funkcjonuje opracowany przez Chińską Akademię Nauk, wdrożony w kilkudziesięciu gminach i miastach, system „Zero Trust”, którego celem jest wskazywanie, na podstawie multibazowej analizy, urzędników podejrzanych o działania korupcyjne i przekazanie ich danych do weryfikacji właściwym organom ściągania.

Stosując, na podstawie wskazanych przykładów, podejście future fiction, można sobie wyobrazić za parę lat sytuację, że w państwie nierespektującym w należytym stopniu prawa do prywatności, funkcjonowałby algorytm uzależniający koszt świadczeń medycznych od „własnej troski o utrzymanie stanu zdrowia”. Dane potrzebne do takiej oceny pozyskiwano by m.in. ze zbiorów posiadanych przez lokalnych i zagranicznych przedsiębiorców: list zakupowych, informacji o stylu życia itp. W takiej sytuacji ten, którego dane dotyczą, mógłby zostać zmuszony do zwiększenia kosztów niezbędnej pomocy medycznej, np. przez podniesienie cen stosowanych przez niego leków – a to w wyniku oszacowania go jako osoby „w znacznym stopniu nieszanującej swojego zdrowia”, a więc wymagającej droższego leczenia.

Cenny skarb

Te oraz inne przykłady – jak choćby wykorzystanie Cambridge Analytica podczas wyborów prezydenckich w Stanach Zjednoczonych – pokazują, jak w epoce big data istotne stało się dbanie o prywatność i ochronę danych osobowych. Zwłaszcza jeśli miałyby one być przekazywane przedsiębiorcom funkcjonującym poza Europejskim Obszarem Gospodarczym.

Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (dalej RODO) zawiera w art. 44-49 wymagania, które musi spełnić administrator danych osobowych lub podmiot przetwarzający, aby zgodnie z prawem przekazać dane osobowe do państwa trzeciego lub organizacji międzynarodowej. Wywiązanie się z nich oznacza nie tylko konieczność spełnienia warunku ...