Retligt ansvar og dataansvar ved smartbriller
Det Europæiske Databeskyttelsesråd har vedtaget en udtalelse om databeskyttelsesudfordringer ved smartbriller. Rådet præciserer, at brugere kan blive dataansvarlige, når behandlingen rækker ud over rent privat brug, fx ved deling på åbne sociale medier eller erhvervsmæssige formål.
Producenter og serviceudbydere kan selv være dataansvarlige eller fælles dataansvarlige og kan ikke kontraktuelt flytte alle GDPR-forpligtelser over på private brugere. Ved højrisikobehandling kan en konsekvensanalyse efter GDPR art. 35 være påkrævet, og krav om privacy by design og default efter art. 25 gør sig gældende.
Privat brug og husholdningsundtagelsen i GDPR
Ren privat brug falder som udgangspunkt uden for GDPR, når behandlingen udelukkende sker som led i personlig eller familiemæssig aktivitet. Grænsen overskrides dog, hvis data offentliggøres eller behandles med et kommercielt sigte.
EDPB fremhæver, at anden regulering kan begrænse privat brug, fx regler om overvågning eller særlige sektorregler. Aktører bør derfor foretage en konkret vurdering af kontekst, formål og distribution for at fastlægge retsgrundlag og rollefordeling.
Gør dit arbejde med sundhedsdata og AI lidt lettere efter Djøfs kursus
Læs mere her →Gennemsigtighed, oplysningspligt og industristandarder
En central udfordring er gennemsigtighed, fordi optagelser med smartbriller kan ske ubemærket. EDPB opfordrer branchen til tydelige optagelsesindikatorer og fælles standarder, så de registrerede kan forstå, hvornår brillerne optager, og hvordan data behandles.
For at styrke compliance bør aktører som minimum adressere følgende områder systematisk:
- Oplysningspligt efter GDPR art. 13-14 og lettilgænglig information til forbipasserende.
- Gyldigt behandlingsgrundlag, herunder vurdering af legitime interesser eller samtykke.
- Privacy by design og default, dataminimering samt dokumenteret DPIA ved forhøjet risiko.
Læs mere i EDPB’s pressemeddelelse på edpb.europa.eu.
