热成像摄像机：疫情期间是否适用 GDPR？

The most common method for measuring body temperature to stop the spread of Covid-19 has been a standard thermometer. However, due to the virus’s fastspreading nature, thermal cameras won many new proponents in Europe. They argue that thie techonology offers an incomparably efficient way of detecting fevers, and thus infections. But what exactly is the legal basis for this type of automatic data profiling? And how has it clashed with citizens’ rights provided under the EU’s General Data Protection Regulation (GDPR)?

一段时间以来，我们在欧盟的实践中已经遇到了这些问题。亚马逊在仓库中通过热成像摄像机测量员工的体温。与此同时，克罗地亚共和国的相关方也在疫情期间推动类似的解决方案。例如，普拉综合医院正在安装两台热成像摄像机。克罗地亚的其他医院也在制定类似的计划。这种普遍的数字化以及随之而来的健康数据处理，对我们的隐私和基本人权产生了多么巨大的影响。

冠状病毒危机期间的个人数据处理

GDPR 规范框架在处理自然人个人数据时，向数据控制者和数据处理者施加了诸多义务。合法处理个人数据的技术和组织措施以及许多其他义务均由控制者承担。疫情等非常规情况增加了处理的复杂性，因为控制者和处理者必须履行额外的义务。关于健康数据尤为如此。GDPR 第 4 条将 健康相关数据 定义为：“与自然人的生理或心理健康相关的个人数据，包括提供医疗卫生服务，且该数据能透露其健康状况的信息”.

然而，冠状病毒大流行对非常规情况下的个人数据处理法律依据提出了质疑。根据 GDPR，无论外部因素如何，个人数据处理的基本原则是必须合法。疫情期间处理个人数据的法律依据可以在 GDPR 第 6 条和第 9 条中找到。

随着去年春天病毒的蔓延，欧洲数据保护委员会（EDPB）和各成员国监管机构迅速采取行动。2020 年 3 月 20 日，EDPB 发表声明，确认 GDPR 第 6 条和第 9 条为疫情期间处理个人数据的相关法律依据。只要非常规情况持续存在，处理行为即属于：

“为保护数据主体或其他自然人的切身利益所必需”，对于“执行公共利益任务或行使赋予控制者的官方权力”而言也很重要， 以及“为控制者或第三方追求的合法利益之目的所必需.”

然而，由于某些数据类别比其他数据类别更为敏感，因此原则上禁止处理。这适用于揭示种族或民族出身、政治观点、宗教或哲学信仰以及工会会员身份的个人数据。它还涵盖基因数据、用于唯一识别自然人的生物识别数据、健康相关数据以及关于自然人性生活或性取向的数据。然而，非常时期需要非常手段。因此，GDPR 第 9 条规定，在特定条件下可以处理个人健康数据。即如果“基于欧盟或成员国法律，出于重大公共利益理由处理属于必需”。如果处理 属于

“基于欧盟或成员国法律，出于预防医学或职业医学目的、员工工作能力评估、医学诊断、提供卫生或社会护理或治疗，或者管理卫生或社会护理系统和服务所必需”也是允许的.

此外， 当处理涉及“应对严重的跨国健康威胁，或确保卫生保健以及药品或医疗器械的高质量和安全标准”时，也是可以进行的”。只要该处理遵循欧盟或国家法律。

如前所述，使用体温计测量是目前处理健康数据的基本方式。在克罗地亚，使用体温计进行的体温测量严格以个人为基础进行，且收集的数据未被存储或仅存储较短时间——符合数据存储限制原则。与所有个人健康数据一样，常态体温测量的法律依据可以在 GDPR 第 6 条和第 9 条中找到，我们认为这为此类方法提供了充分且灵活的法律依据。

热成像摄像机与 GDPR 第 22 条

热成像摄像机在疫情期间至少可以发挥两种不同的作用。它们可以：a) 快速检测出大量体温偏高的人群，以及 b) 将这些数据主体归类为特定类别，例如“可能受感染”或“未受感染”。

However, the excessive introduction of thermal cameras into our everyday life has the potential to trigger GDPR article 22. This article concerns the profiling of data subjects when coupled with automated decisionmaking. The title of the article 22 is: “包括用户画像在内的自动化个人决策”。其中规定：“数据主体有权不受仅基于自动化处理（包括用户画像）作出的决策的约束，只要该决策对其产生法律效力或对其产生类似的重大影响。”

至于特殊类别个人数据的处理，第 22 条包含对其处理的通用禁止规定。对第 9 条和第 22 条进行简单分析可以得出结论：第 9 条处理的是特定 分类 的特别敏感个人数据，而第 22 条处理的是我们如何 处理 数据以及我们作出与其相关决策的方式。这可能包括“常规”个人数据，但也包括属于特殊类别的个人数据。明确第 22 条的构成要件至关重要：首先是用户画像，其次是自动化个人决策。在其中一份建议中，协助起草 GDPR 的第 29 条工作组（A29WP）也针对科学界的诸多反应引用了第 22 条。科学界自该条款首次发布以来就对其存有疑虑。GDPR 将“用户画像”定义为：

“对个人数据进行的任何形式的自动化处理，包括使用个人数据评估与自然人相关的某些个人特征，特别是分析或预测与该自然人的工作表现、经济状况、健康状况、个人偏好、兴趣、可靠性、行为、位置或运动相关的特征”.

可以从该定义中提取出几个构成要素。即：a) 用户画像必须是自动化的，b) 用户画像必须针对个人数据进行，c) 任何画像的目的都必须是评估个人的特定个人特征。使用动词“评估” 表明画像涉及对某人的某种形式的评估或判断。然而，情况并非总是如此。重要的是要具体问题具体分析，并评估是否发生了画像。

自动化个人决策是一个不同的概念，值得单独解释。A29WP将自动化个人决策定义为“无需人类参与、通过技术手段做出决策的能力.”。简单来说，我们允许人工智能基于对我们个人数据的处理做出决策并生成输出，以实现特定目的。尽管画像与自动化个人决策是不同的概念，但它们通常相伴出现。《通用数据保护条例》（GDPR）以以下方式应对上述概念：(a) 一般画像，(b) 基于画像的决策，以及 (c) 包括画像在内的完全自动化决策。(b) 与 (c) 之间的区别在于画像。 决策 由人工做出，而在 包括画像在内的完全自动化决策的情况下，决策则由人工智能做出。我们认为，在抗击新冠病毒的过程中引入热成像摄像机极有可能触发第22条。

如果不允许充分发挥数字技术的潜力，那么通过数字技术追求效率和增长将毫无意义。因此，如果应用热成像摄像机而不同时配套能够导致自动化决策和画像的后续软件解决方案，将无法提供最有效的数据处理手段。鉴于效率是成功战胜疫情的关键，行动方案显而易见。如前所述，第22条下对个人数据的处理原则上是被禁止的。然而，该条第2款在满足以下条件时允许处理个人数据：(a) “数据主体与数据控制者之间订立或履行合同所必需”，或者 (b) “由控制者所受制的欧盟或成员国法律授权，且该法律亦制定了保障数据主体权利、自由和合法权益的妥善措施”。第三种选择也被允许：(c) 当其“基于数据主体的明确同意”。”

第22条第2款规定的此类处理针对的是“常规”个人数据。关于特殊类别的个人数据，第22条第4款规定如下：

“第2款所指的决策不得基于第9条第1款所指的特殊类别个人数据，除非适用第9条第2款第(a)项或第(g)项，并且已具备保障数据主体权利、自由和合法权益的妥善措施。”

因此，如果数据控制者想要处理包含画像和自动化决策的特殊类别个人数据，就必须满足某些额外要求。他们必须保护其数据主体的权利、自由和合法权益。

在新冠疫情期间，满足上述所有条件是有可能的，因为抗击疫情在当前具有至高无上的重要性，且GDPR保留了将保护合法利益置于数据主体权利之上的可能性。这也是GDPR第22条将被触发的另一个原因。用于保障数据主体基本权利、自由和合法权益的妥善且具体措施并非本文讨论的重点，因为它们本身值得进行单独分析。总之，需要指出的是，如果累积满足第9条第2款以及第22条第2款和第4款规定的条件，则可以在第22条下处理特定类别的个人数据。

GDPR第22条与解释权的关系

GDPR规定了相对完备且广泛的法律依据，因为它允许即使在不寻常的情况下也能对个人数据提供保护。然而，通过热成像摄像机处理个人数据以及触发第22条本身并不是问题，问题在于其与GDPR赋予数据主体的权利之间的关系。另一个明显体现这一点的领域是与所谓的“解释权”相关的领域。如果我们考虑到人工智能屡次导致对数据主体隐私权的歧视和侵犯——例如通过“人工智能偏见”——我们就能明白GDPR第22条的重要性以及为什么应该向社会公众普及该条款。虽然有规定列出了数据控制者在处理数据主体的个人数据时必须向其发送的标准信息——例如控制者是谁以及处理目的。然而，除此之外，第13条第2款第(f)项规定，如果存在以下情况，控制者还必须提供补充信息：

“存在第22条第1款和第4款所指的包括画像在内的自动化决策，并且至少在这些情况下，需提供关于所涉及逻辑的实质性信息，以及此类处理对数据主体的重大意义和预期的后果”.

这一规定与第22条一道，自首次公布以来就在学术界引发了强烈反响。

如今，机器学习的发展如此迅速，以至于有时连计算机科学家也不知道计算机是如何得出某种解决方案的。最初，算法解决方案基于计算机遵循的特定规则和程序。算法行动的逻辑是显性的。输入经过特定步骤得出特定输出。然而，机器学习的引入改变了整个系统的逻辑。我们现在向计算机提供一定数量的数据供其学习，并基于其所学生成新的输出。因此，在某些情况下，系统的逻辑往往变得隐性，甚至对专家来说也很难解释。

A29WP tackled this problem in its recommendations. Explaining the logic itself by the data processor does not necessarily mean explaining complex algorithmic procedures to the data subjects, but providing meaningful, significant information in relation to the respondent. Additionally, complexity alone cannot be an excuse for not providing relevant information. From the perspective of the A29WP the whole issue seems somewhat more flexible compared to the original technical discussion. All rights prescribed by GDPR are directed towards data subject, and they are the center of the whole process. Therefore, the exercise of rights prescribed by GDPR should be viewed from the perspective of the data subject, and not from the perspective of the technological complexity. The significance of this to the present discussion is to take into account the high possibility that today’s technology could endanger our fundamental rights, without any human intervention in the process. In the absence of human intervention, measuring body temperature by means of machine learning and profiling can be potentially dangerous and discriminatory. For example, conventional thought considers that a “normal” body temperature is 37 degrees, while the temperature of a person infected with influenza virus is 38 degrees. This distinction arose in 1900 when little was known about thermoregulation, immunology, and microbiology. Today, body temperature is observed individually, and is always on a certain spectrum. By measuring temperature through thermal cameras, people can be categorised as infected when they are not and find themselves in inconvenient or even discriminatory situations. Although efficiency is important in the context of the current pandemic, certain guarantees for the protection of human rights and fundamental freedoms must exist. If efficiency is the only aim, human rights could easily be violated. Therefore, it is highly significant that the data controllers insure strong guarantees and possible explanations to citizens of the meaningful logic behind their data processing.

结论

使用热成像摄像机作为对抗新冠病毒的措施，必然涉及我们社会互动的大规模数字化。与新冠病毒共存的生活以及疫情结束后的生活，必将改变我们对数字技术的认识和思考。对感染的恐惧改变了我们生活的优先事项。

GDPR提供了灵活的法律依据，允许在各种情况下处理个人数据。然而，仅仅存在规范性框架并不能带来明确的解决方案。我们可以从GDPR第22条与数据主体权利的关系中看出这一点，特别是在所谓的“解释权”中。热成像摄像机和算法解决方案可能导致对个人的歧视。效率是必要的，但不是唯一的目标。因此，在这种情况下，有必要不断提高公众意识，并警示所有相关方注意自动化处理的潜在危险。事实上，这是GDPR规定的一项义务。总之，无论我们身处何种境地，我们的基本人权都必须得到保护。

Mihovil Granić 是位于 Žurić i Partneri（克罗地亚萨格勒布）的合伙人。 Kristijan Antunović 是 Žurić i Partneri 的实习生。

图片， withplex，Pixabay 许可。