The most common method for measuring body temperature to stop the spread of Covid -19 has been a standard thermometer. However, due to the virus’s fast spreading nature, thermal cameras won many new proponents in Europe. They argue that thie techonology offers an incomparably efficient way of detecting fevers, and thus infections. But what exactly is the legal basis for this type of automatic data profiling? And how has it clashed with citizens’ rights provided under the EU’s General Data Protection Regulation (GDPR)?
In der EU erfahren wir diese Probleme in der Praxis bereits seit einiger Zeit. Amazon hat die Temperatur seiner Mitarbeiter in Lagerhäusern mittels Wärmebildkameras gemessen. Unterdessen drängten Akteure in der Republik Kroatien während der Pandemie auf eine ähnliche Lösung. So werden beispielsweise im Allgemeines Krankenhaus in Pula zwei Wärmebildkameras installiert. Andere Krankenhäuser in Kroatien hegen ähnliche Pläne. Wie gross war der Einfluss einer solchen allgemeinen Digitalisierung und der anschliessenden Verarbeitung von Gesundheitsdaten auf unsere Privatsphäre und unsere Grundrechte?
Verarbeitung personenbezogener Daten während der Coronavirus-Krise
Der normative Rahmen der DSGVO erlegt Verantwortlichen und Auftragsverarbeitern beim Umgang mit personenbezogenen Daten natürlicher Personen zahlreiche Pflichten auf. Technische und organisatorische Massnahmen zur rechtmässigen Verarbeitung personenbezogener Daten sowie viele weitere Pflichten liegen in der Verantwortung des Verantwortlichen. Aussergewöhnliche Umstände wie die Pandemie erhöhen die Komplexität der Verarbeitung aufgrund der zusätzlichen Pflichten, die Verantwortliche und Auftragsverarbeiter erfüllen müssen. Dies gilt insbesondere für Gesundheitsdaten. Artikel 4 der DSGVO definiert Gesundheitsdaten als: «personenbezogene Daten, die sich auf die körperliche oder geistige Gesundheit einer natürlichen Person beziehen, einschliesslich der Erbringung von Gesundheitsdienstleistungen, und aus denen Informationen über deren Gesundheitszustand hervorgehen».
Die Coronavirus-Pandemie liess jedoch Zweifel an der Rechtsgrundlage für die Verarbeitung personenbezogener Daten in aussergewöhnlichen Umständen aufkommen. Gemäss DSGVO ist der Grundsatz der Verarbeitung personenbezogener Daten, dass sie unabhängig von externen Faktoren rechtmässig sein muss. Die Rechtsgrundlage für die Verarbeitung personenbezogener Daten während der Pandemie findet sich in den Artikeln 6 und 9 der DSGVO.
Als sich das Virus im vergangenen Frühjahr ausbreitete, handelten der Europäische Datenschutzausschuss (EDSA) und die staatlichen Aufsichtsbehörden relativ schnell. Am 20. März 2020 gab der EDSA eine Erklärung ab, in der die Artikel 6 und 9 der DSGVO als relevante Rechtsgrundlage für die Verarbeitung personenbezogener Daten während der Pandemie anerkannt wurden. Solange aussergewöhnliche Umstände andauerten, wäre die Verarbeitung:
“erforderlich, um lebenswichtige Interessen der betroffenen Person oder einer anderen natürlichen Person zu schützen», ebenfalls wichtig für «die Wahrnehmung einer Aufgabe, die im öffentlichen Interesse liegt oder in Ausübung öffentlicher Gewalt erfolgt, die dem Verantwortlichen übertragen wurde», sowie «zur Wahrung der berechtigten Interessen des Verantwortlichen oder eines Dritten erforderlich.”
Da bestimmte Datenkategorien jedoch sensibler sind als andere, ist die Verarbeitung grundsätzlich untersagt. Dies gilt für personenbezogene Daten, aus denen die rassistische und ethnische Herkunft, politische Meinungen, religiöse oder weltanschauliche Überzeugungen oder die Gewerkschaftszugehörigkeit hervorgehen. Es umfasst auch genetische Daten, biometrische Daten zur eindeutigen Identifizierung einer natürlichen Person, Gesundheitsdaten und Daten zum Sexualleben oder der sexuellen Orientierung einer natürlichen Person. Aussergewöhnliche Umstände erfordern jedoch aussergewöhnliche Massnahmen. Daher sieht Artikel 9 der DSGVO vor, dass personenbezogene Gesundheitsdaten unter bestimmten Bedingungen verarbeitet werden dürfen. Namentlich wenn «die Verarbeitung aus Gründen eines erheblichen öffentlichen Interesses auf der Grundlage des Unionsrechts oder des Rechts eines Mitgliedstaats erforderlich ist». Er erlaubt die Verarbeitung auch, wenn sie erforderlich ist
“für Zwecke der Gesundheitsvorsorge oder der Arbeitsmedizin, für die Beurteilung der Arbeitsfähigkeit des Beschäftigten, für eine medizinische Diagnostik, die Versorgung oder Behandlung im Gesundheits- oder Sozialbereich oder die Verwaltung von Systemen und Diensten im Gesundheits- oder Sozialbereich auf der Grundlage des Unionsrechts oder des Rechts eines Mitgliedstaats erforderlich ist».
Ausserdem ist die Verarbeitung möglich, wenn sie den «Schutz vor schwerwiegenden grenzüberschreitenden Gefahren für die Gesundheit oder die Gewährleistung hoher Qualitäts- und Sicherheitsstandards bei der Gesundheitsversorgung und bei Arzneimitteln oder Medizinprodukten» umfasst. Solange diese Verarbeitung dem EU-Recht oder dem staatlichen Recht folgt.
Wie erwähnt ist die Messung mit einem Thermometer die grundlegende Art und Weise, wie derzeit Gesundheitsdaten verarbeitet werden. Körpertemperaturmessungen mit Thermometern in Kroatien wurden strikt auf individueller Basis durchgeführt, und die erhobenen Daten wurden nicht oder nur für einen kürzeren Zeitraum gespeichert – gemäss dem Grundsatz der Speicherbegrenzung. Wie bei allen personenbezogenen Gesundheitsdaten findet sich die Rechtsgrundlage für die übliche Messung der Körpertemperatur in den Artikeln 6 und 9 der DSGVO, was unserer Meinung nach eine ausreichende und flexible Rechtsgrundlage für solche Methoden darstellt.
Wärmebildkameras und Artikel 22 der DSGVO
Wärmebildkameras können während einer Pandemie mindestens zwei verschiedenen Zwecken dienen. Sie können a) schnell viele Personen mit hoher Körpertemperatur erfassen und b) diese betroffenen Personen in spezifische Kategorien wie «potenziell infiziert» oder «nicht infiziert» einteilen.
However, the excessive introduction of thermal cameras into our everyday life has the potential to trigger GDPR article 22. This article concerns the profiling of data subjects when coupled with automated decision making. The title of the article 22 is: “Automatisierte Entscheidungen im Einzelfall einschliesslich Profiling». Er besagt: «Die betroffene Person hat das Recht, nicht einer ausschliesslich auf einer automatisierten Verarbeitung – einschliesslich Profiling – beruhenden Entscheidung unterworfen zu werden, die ihr gegenüber rechtliche Wirkung entfaltet oder sie in ähnlicher Weise erheblich beeinträchtigt.»
Was die Verarbeitung besonderer Kategorien personenbezogener Daten betrifft, enthält Artikel 22 ein allgemeines Verarbeitungsverbot. Eine einfache Analyse der Artikel 9 und 22 führt zu dem Schluss, dass sich Artikel 9 mit einer spezifischen Kategorie besonders sensibler personenbezogener Daten befasst, während sich Artikel 22 damit befasst, wie wir Daten verarbeiten und wie wir darauf bezogene Entscheidungen treffen. Dies kann «normale» personenbezogene Daten umfassen, aber auch solche, die in eine besondere Kategorie fallen. Es ist wichtig, die Bausteine von Artikel 22 zu definieren: Erstens Profiling und zweitens automatisierte Entscheidungen im Einzelfall. In einer ihrer Empfehlungen bezog sich die Artikel-29-Datenschutzgruppe (A29WP) – die bei der Ausarbeitung der DSGVO mitwirkte – im Hinblick auf die zahlreichen Reaktionen aus der Wissenschaft ebenfalls auf Artikel 22. Diese Reaktionen hielten Artikel 22 seit seiner ersten Veröffentlichung für dubios. Die DSGVO definiert «Profiling» als:
“jede Art der automatisierten Verarbeitung personenbezogener Daten, die darin besteht, dass diese personenbezogenen Daten verwendet werden, um bestimmte persönliche Aspekte, die sich auf eine natürliche Person beziehen, zu bewerten, insbesondere um Aspekte bezüglich Arbeitsleistung, wirtschaftliche Lage, Gesundheit, persönliche Vorlieben, Interessen, Zuverlässigkeit, Verhalten, Aufenthaltsort oder Ortswechsel dieser natürlichen Person zu analysieren oder vorherzusagen».
Aus dieser Definition lassen sich einige wesentliche Elemente ableiten. Namentlich: a) Profiling muss automatisiert sein, b) Profiling muss mit personenbezogenen Daten durchgeführt werden, c) Das Ziel eines jeden Profilings muss es sein, bestimmte persönliche Aspekte einer Person zu bewerten. Die Verwendung des Verbs «bewerten» lässt darauf schliessen, dass Profiling eine Form der Beurteilung oder Einschätzung einer Person beinhaltet. Dies ist jedoch möglicherweise nicht immer der Fall. Es ist wichtig, jeden Fall individuell zu betrachten und zu beurteilen, ob das Profiling stattfindet oder nicht.
Automatisierte Entscheidungen im Einzelfall sind ein anderes Konzept, das eine eigene Erklärung verdient. Die Artikel-29-Datenschutzgruppe (A29WP) definiert automatisierte Entscheidungen im Einzelfall als die «Fähigkeit, Entscheidungen durch technologische Mittel ohne menschliches Eingreifen zu treffen.». Einfach ausdrückt erlauben wir der künstlichen Intelligenz, Entscheidungen zu treffen und ein Ergebnis zu generieren, um einen bestimmten Zweck auf der Grundlage der Verarbeitung unserer personenbezogenen Daten zu erreichen. Obwohl Profiling und automatisierte Entscheidungen im Einzelfall unterschiedliche Konzepte sind, gehen sie oft Hand in Hand. Die DSGVO behandelt die oben genannten Konzepte wie folgt: (a) allgemeines Profiling, (b) Entscheidungsfindung auf der Grundlage von Profiling und (c) vollautomatisierte Entscheidungsfindung einschliesslich Profiling. Der Unterschied zwischen (b) und (c) liegt im Profiling. Die Entscheidungsfindung erfolgt durch einen Menschen, während im Falle von vollautomatisierter Entscheidungsfindung einschliesslich Profilingdie Entscheidungsfindung durch eine künstliche Intelligenz erfolgt. Unserer Meinung nach wird der Einsatz von Wärmebildkameras im Kampf gegen das Coronavirus höchstwahrscheinlich Artikel 22 auslösen.
Das Streben nach Effizienz und Wachstum mittels digitaler Technologie würde keinen Sinn ergeben, wenn wir ihr volles Potenzial nicht nutzen dürften. Daher würde der Einsatz von Wärmebildkameras ohne nachgeschaltete Softwarelösungen, die zu einer automatisierten Entscheidungsfindung und einem Profiling führen, nicht das effizienteste Mittel der Datenverarbeitung darstellen. Da Effizienz der Schlüssel zur erfolgreichen Bekämpfung der Pandemie ist, liegt das Vorgehen auf der Hand. Wie bereits erwähnt, ist die Verarbeitung personenbezogener Daten gemäss Artikel 22 grundsätzlich verboten. Absatz 2 desselben Artikels gestattet jedoch die Verarbeitung personenbezogener Daten, wenn sie (a) «für den Abschluss oder die Erfüllung eines Vertrags zwischen der betroffenen Person und dem Verantwortlichen erforderlich ist» oder (b) «durch Rechtsvorschriften der Union oder der Mitgliedstaaten, denen der Verantwortliche unterliegt, zulässig ist und diese Rechtsvorschriften angemessene Massnahmen zur Wahrung der Rechte und Freiheiten sowie der berechtigten Interessen der betroffenen Person enthalten». Eine dritte Option ist ebenfalls zulässig: (c) wenn sie «auf der ausdrücklichen Einwilligung der betroffenen Person beruht».”
Diese in Artikel 22 Absatz 2 geregelte Verarbeitung bezieht sich auf «normale» personenbezogene Daten. In Bezug auf die besondere Kategorie personenbezogener Daten schreibt Artikel 22 Absatz 4 Folgendes vor:
“Entscheidungen nach Absatz 2 dürfen nicht auf den in Artikel 9 Absatz 1 genannten besonderen Kategorien personenbezogener Daten beruhen, sofern nicht Artikel 9 Absatz 2 Buchstabe a oder g gilt und angemessene Massnahmen zum Schutz der Rechte und Freiheiten sowie der berechtigten Interessen der betroffenen Person getroffen wurden.»
Wenn Verantwortliche daher besondere Kategorien personenbezogener Daten verarbeiten wollen, was auch Profiling und automatisierte Entscheidungsfindung umfasst, müssen sie bestimmte zusätzliche Anforderungen erfüllen. Sie müssen die Rechte, Freiheiten und berechtigten Interessen ihrer betroffenen Personen schützen.
Während der Coronavirus-Pandemie bestand die Möglichkeit, alle oben genannten Bedingungen zu erfüllen, da die Bekämpfung der Pandemie derzeit von höchster Bedeutung ist und die DSGVO die Möglichkeit lässt, den Schutz berechtigter Interessen vor die Rechte der betroffenen Personen zu stellen. Dies ist ein weiterer Grund, warum Artikel 22 der DSGVO aktiviert wird. Angemessene und spezifische Massnahmen zur Wahrung der Grundrechte, Freiheiten und berechtigten Interessen der betroffenen Personen stehen nicht im Mittelpunkt dieses Beitrags, da sie eine eigene, separate Analyse verdienen. Abschliessend ist anzumerken, dass die Verarbeitung einer besonderen Kategorie personenbezogener Daten gemäss Artikel 22 möglich ist, wenn die Bedingungen von Artikel 9 Absatz 2 sowie Artikel 22 Absatz 2 und 4 kumulativ erfüllt sind.
Das Verhältnis zwischen Artikel 22 der DSGVO und dem Recht auf Erklärung
Die DSGVO schreibt eine relativ solide und breite Rechtsgrundlage vor, da sie den Schutz personenbezogener Daten selbst in unüblichen Situationen ermöglicht. Die Verarbeitung personenbezogener Daten durch Wärmebildkameras und die Aktivierung von Artikel 22 ist jedoch nicht an sich ein Problem, sondern im Verhältnis zu den von der DSGVO gewährten Rechten der betroffenen Personen. Ein weiterer Bereich, in dem dies deutlich wird, betrifft das sogenannte «Recht auf Erklärung». Wenn wir bedenken, dass künstliche Intelligenz wiederholt zu Diskriminierung und Verletzung des Rechts auf Privatsphäre betroffener Personen geführt hat – beispielsweise durch die Verzerrung künstlicher Intelligenz («AI Bias») –, erkennen wir die Bedeutung von Artikel 22 der DSGVO und warum er der breiten Öffentlichkeit nahegebracht werden sollte. Es gibt Vorschriften, die festlegen, welche Standardinformationen ein Verantwortlicher einer betroffenen Person bei der Verarbeitung ihrer personenbezogenen Daten übermitteln muss – beispielsweise wer der Verantwortliche ist und zu welchem Zweck die Verarbeitung erfolgt. Darüber hinaus schreibt Artikel 13 Absatz 2 Buchstabe f jedoch vor, dass der Verantwortliche zusätzliche Informationen bereitstellen muss, wenn
“das Bestehen einer automatisierten Entscheidungsfindung einschliesslich Profiling gemäss Artikel 22 Absätze 1 und 4 vorliegt und – zumindest in diesen Fällen – aussagekräftige Informationen über die involvierte Logik sowie die Tragweite und die angestrebten Auswirkungen einer derartigen Verarbeitung für die betroffene Person”.
Diese Bestimmung hat zusammen mit Artikel 22 seit ihrer ersten Veröffentlichung eine Welle von Reaktionen in der Wissenschaftsgemeinschaft hervorgerufen.
Heute geht maschinelles Lernen so weit, dass manchmal selbst Informatiker nicht wissen, wie ein Computer zu einer bestimmten Lösung gelangt ist. Ursprünglich basierten algorithmische Lösungen auf bestimmten Regeln und Verfahren, denen Computer folgten. Die Logik des algorithmischen Handelns war explizit. Die Eingabe folgte bestimmten Schritten, um zu einer bestimmten Ausgabe zu gelangen. Die Einführung des maschinellen Lernens veränderte jedoch die Logik des gesamten Systems. Wir geben dem Computer nun eine bestimmte Menge an Daten, aus denen der Computer lernt, und aufbauend auf dem Gelernten wird ein neues Ergebnis generiert. Daher neigt die Logik des Systems in manchen Situationen dazu, implizit und selbst für Experten schwer erklärbar zu werden.
A29WP tackled this problem in its recommendations. Explaining the logic itself by the data processor does not necessarily mean explaining complex algorithmic procedures to the data subjects, but providing meaningful, significant information in relation to the respondent. Additionally, complexity alone cannot be an excuse for not providing relevant information. From the perspective of the A29WP the whole issue seems somewhat more flexible compared to the original technical discussion. All rights prescribed by GDPR are directed towards data subject, and they are the center of the whole process. Therefore, the exercise of rights prescribed by GDPR should be viewed from the perspective of the data subject, and not from the perspective of the technological complexity. The significance of this to the present discussion is to take into account the high possibility that today’s technology could endanger our fundamental rights, without any human intervention in the process. In the absence of human intervention, measuring body temperature by means of machine learning and profiling can be potentially dangerous and discriminatory. For example, conventional thought considers that a “normal” body temperature is 37 degrees, while the temperature of a person infected with influenza virus is 38 degrees. This distinction arose in 1900 when little was known about thermoregulation, immunology, and microbiology. Today, body temperature is observed individually, and is always on a certain spectrum. By measuring temperature through thermal cameras, people can be categorised as infected when they are not and find themselves in inconvenient or even discriminatory situations. Although efficiency is important in the context of the current pandemic, certain guarantees for the protection of human rights and fundamental freedoms must exist. If efficiency is the only aim, human rights could easily be violated. Therefore, it is highly significant that the data controllers insure strong guarantees and possible explanations to citizens of the meaningful logic behind their data processing.
Fazit
Der Einsatz von Wärmebildkameras als Massnahme gegen das Coronavirus bringt zwangsläufig die allgemeine Digitalisierung unserer sozialen Interaktionen mit sich. Das Leben mit dem Coronavirus und das Leben nach der Pandemie werden unsere Wahrnehmung und unsere Gedanken über digitale Technologien mit Sicherheit verändern. Die Angst vor Ansteckung hat unsere Prioritäten im Leben verändert.
DSGVO bietet eine flexible Rechtsgrundlage, die die Verarbeitung personenbezogener Daten unter unterschiedlichsten Umständen ermöglicht. Das bloosse Bestehen eines normativen Rahmens führt jedoch nicht zu eindeutigen Lösungen. Wir sehen dies am Verhältnis von Artikel 22 der DSGVO zu den Rechten der betroffenen Personen, insbesondere beim sogenannten «Recht auf Erklärung». Wärmebildkameras und algorithmische Lösungen können zu einer Diskriminierung von Einzelpersonen führen. Effizienz ist notwendig, aber sie ist nicht das einzige Ziel. Daher ist es unter solchen Umständen erforderlich, das allgemeine Bewusstsein ständig zu schärfen und alle relevanten Parteien vor den potenziellen Gefahren der automatisierten Verarbeitung zu warnen. Dies ist in der Tat eine Verpflichtung gemäss DSGVO. Zusammenfassend müssen unsere grundlegenden Menschenrechte geschützt werden, unabhängig von den Umständen, in denen wir uns befinden.
Mihovil Granić ist Partner bei Žurić i Partneri, Zagreb, Kroatien. Kristijan Antunović ist Trainee bei Žurić i Partneri.
Bild, withplex, Pixabay-Lizenz.
