Co robot robi z zebranymi danymi? | Co do zasady

Wstępna faza rewolucji robotów w latach 70. XX wieku przyniosła automatyzację procesów industrialnych i zastosowanie robotów w przemyśle. Pierwsze roboty, fizycznie i funkcjonalnie przywiązane do linii produkcyjnych, nie tylko nie musiały, ale nawet nie mogły ekstensywnie zbierać informacji z otaczającego je świata. Wystarczyło, aby robot dysponował zestawem danych potrzebnych do realizacji przydzielonych mu zadań.

Taki stan rzeczy nie powodował trudności prawnych w związku z przetwarzaniem przez roboty danych osobowych i innych rodzajów informacji. W rzeczywistości robot nie różnił się od innych maszyn używanych w przedsiębiorstwie do operowania na zestawach danych. Nie było też wątpliwości, kto zbierai przetwarza dane. Robot był wszak jedynie narzędziem, wyposażonym w określone algorytmy zaprogramowane przez człowieka.

Kolejne rozdziały rewolucji robotów komplikują ten obraz. Roboty nie tylko przetwarzają z góry określony zestaw danych, ale też za pośrednictwem złożonych sensorów „poznają” otaczający je świat, wybierają dane do pobrania i przetwarzają je na własne potrzeby. Roboty funkcjonujące w przestrzeni publicznej – nowa generacja robotów jest tworzona właśnie do koegzystencji z ludźmi – potrzebują również o wiele więcej danych niż ich industrialni poprzednicy. Nie mamy już do czynienia z automatyzacją i realizacją powtarzalnych, przynajmniej do pewnego stopnia, działań w warunkach ograniczonej przestrzeni laboratorium czy fabryki. Roboty wychodzą z zamkniętych środowisk do skomplikowanego świata ludzi, gdzie otacza je ogrom informacji, które muszą zarejestrować, wyselekcjonować, pobrać i przetworzyć, a następnie odpowiednio zareagować.

Cechą współczesnych robotów staje się także coraz bardziej zaawansowana sztuczna inteligencja. Jedną z jej konsekwencji jest niemożność przewidzenia, co zrobi robot w różnych sytuacjach. Otwarcie robotów na świat powoduje również powstanie nieskończonej liczby sytuacji niestandardowych, w których robot sam podejmie decyzję, jak postąpić.

Robotom pomoże w tym masa danych i informacji dostępnych na wyciągnięcie dłoni (lub jej robotycznego odpowiednika). Niemożliwość przewidzenia wszystkich sytuacji, w których robot może się znaleźć w świecie ludzi, wymaga zaprogramowania go do pobierania ogromnych ilości informacji z otoczenia, tak aby mógł samodzielnie podejmować decyzje. Niektóre z robotów z pewnością będą w procesach przewidywania czy podejmowania decyzji wykorzystywały koncepcję big data i fuzji informacji, czyli używania wielkich zasobów danych i korelowania danych z różnych złożonych zbiorów danych.

Część danych zbieranych i przetwarzanych przez roboty może nas zaskakiwać. Wiele z nich będzie dotyczyć nas samych – właścicieli, operatorów i beneficjentów robotów. Wydaje się to zrozumiałe w przypadku robotów przeznaczonych do opieki nad dziećmi czy osobami starszymi. Aby skutecznie realizować swoje zadania, będą one przecież musiały dobrze poznać swoich podopiecznych oraz ich preferencje i zwyczaje. Mniej oczywiste jest zbieranie i przetwarzanie danych np. przez autonomiczne samochody. Sensory, w które wyposażone są te auta, mogą skutecznie pozyskiwać wiele danych dotyczących zarówno otoczenia (co może, choćby ubocznie, wiązać się ze zbieraniem danych osobowych osób postronnych), jak i samego pojazdu oraz jego użytkowników (pasażerów).

Oczywiście podstawową funkcją zbierania przez roboty różnych informacji, w tym mogących stanowić dane osobowe, będzie realizacja wyznaczonych im zadań. Bogate zbiory danych są jednak zbyt atrakcyjnym dobrem, aby ograniczyć ich wykorzystywanie jedynie do tak podstawowych celów. Pewnych doświadczeń w tym zakresie dostarcza rozwój internetu, w którym początkowo zbieranie danych o użytkownikach stron internetowych służyło celom raczej technicznym, np. szybszemu załadowaniu treści. Za takimi zastosowaniami szybko podąża jednak komercyjne wykorzystanie zgromadzonych danych. Na podstawie historii stron przeglądanych przez użytkownika można np. stworzyć jego dokładny profil i zaoferować mu indywidualnie dopasowany produkt w określonej cenie. Podobny proces zapewne nastąpi w związku z rozwojem robotyki – automatyczny samochód może wybrać akurat tę trasę, przy której znajduje się nasza ulubiona restauracja (określona np. na podstawie analizy wcześniejszych przejazdów), oraz właśnie tam zaproponować postój i posiłek.

Potencjalne sposoby wykorzystania danych zbieranych przez roboty są niemal nieograniczone. Do uruchomienia robota mogą być konieczne nasze dane biometryczne. Niektóre dane osobowe mogą też być niezbędne do korzystania z kolejnych funkcji robotów, na przykład informacje o naszym stylu jazdy pozwolą autonomicznym autom dostosować sposób jazdy do naszych preferencji. Tak samo jak w przypadku internetu mamy więc do czynienia z sytuacją, w której de facto walutą, którą przynajmniej w części płacimy za usługi, są nasze dane osobowe. Kolejne zbiory danych osobowych będą przydatne dla producentów robotów, na potrzeby diagnostyki awarii oraz dalszych badań i rozwoju produktu – np. udoskonalania algorytmów pozwalających urządzeniu odbierać ustne polecenia właściciela. Jeszcze inne zbiory będą chętnie wykorzystywane przez zewnętrznych przedsiębiorców i reklamodawców, którzy na pewno nie przepuszczą okazji, by dotrzeć do użytkowników robotów ze swoimi produktami i usługami.

Ten obraz staje się jeszcze bardziej skomplikowany, gdy weźmiemy pod uwagę wszechotaczający nas internet. Usieciowienie robotów nie tylko powoduje, że dane są zbierane i przekazywane szybciej oraz efektywniej, ale często także utrudnia ustalenie, kto je zebrał i gdzie są one rzeczywiście przetwarzane. Gdy będziemy cierpliwie czekać na zmianę światła na przejściu dla pieszych, mijająca nas autonomiczna taksówka może zarejestrować nasze dane osobowe. Niekoniecznie trafią one na możliwy do wskazania nośnik pamięci – równie prawdopodobne jest, że natychmiast zostaną powielone na serwerach położonych na innym kontynencie.

W reakcji na opisane zjawiska i procesy prawnicy będą starali się wykorzystać dostępne im przepisy, które jednak niekoniecznie są dostosowane do szybko zmieniającej się rzeczywistości technologicznej. Należy jednak odnotować, że w różnych jurysdykcjach, w tym także w Unii Europejskiej prowadzone są prace badawcze nad dostosowaniem regulacji do pojawienia się robotów w świecie ludzi.

Podstawą prawnej analizy zjawiska pozyskiwania i wykorzystywania naszych danych przez roboty będą normy, które najbardziej ogólnie regulują możliwość ingerencji w prywatność człowieka. Zawsze aktualne będzie zatem prawo do ochrony życia prywatnego, chronione nie tylko przez art. 47 Konstytucji RP, lecz także na mocy art. 8 ust. 1 Europejskiej Konwencji Praw Człowieka oraz art. 7 Karty Praw Podstawowych, a także prawo do ochrony danych osobowych ustanowione w art. 51 Konstytucji RP oraz art. 8 ust. 1 Karty.

Powyższe przepisy pokazują, że niezależnie od stopnia informatyzacji i robotyzacji naszego życia prawo do prywatności należy do najsilniej chronionych wartości. Chociaż jego szczegółowa treść może podlegać zmieniającym się interpretacjom, to zasada, zgodnie z którą człowiek ma prawo do poszanowania swojej prywatności, będzie wciąż obowiązywać. A zatem roboty, niezależnie od tego, jaki status na gruncie prawa prywatnego lub publicznego przyznamy im w przyszłości, lub ich właściciele, będą jednostronnie obowiązani do poszanowania prywatności człowieka.

Realizacji tej zasady będą służyć inne przepisy – to na ich poziomie zostanie ona doprecyzowana, to one wyznaczą praktyczne aspekty jej funkcjonowania. Ich oparciem będą dwie koncepcje prawne, które przybiorą ostateczny kształt przepisów w konkretnych aktach prawnych: privacy by design oraz privacy by default.

Privacy by design oznacza takie podejście do projektowania i wdrażania systemów, w którym na każdym etapie tworzenia produktu czy usługi (od najwcześniejszych stadiów projektowania) bierze się pod uwagę kwestię zachowania odpowiedniego poziomu prywatności oraz informowania o tym użytkowników. Privacy by default zakłada natomiast, że przetwarzaniu powinny podlegać wyłącznie dane osobowe konieczne do realizacji danego celu i jedynie przez okres niezbędny do jego realizacji. Pierwsza koncepcja prowadzi zatem do respektowania prywatności jednostki na każdym etapie rozwoju i eksploatacji produktu, a druga służy ograniczeniu ingerencji w prywatność do realizacji jasno określonego celu.

Najbardziej ogólna zasada, zgodnie z którą człowiekowi przysługuje prawo do prywatności oraz ochrony danych osobowych, a także koncepcje takie jak privacy by design oraz privacy by default, same w sobie nie gwarantują jednak realizacji idei, które przyświecały ich sformułowaniu. Ich pochodną będą jednak (lub już są) konkretne reguły prawne. W Unii Europejskiej wynikają one między innymi z dyrektywy 95/46/WE w sprawie ochrony osób fizycznych w zakresie przetwarzania danych osobowych i swobodnego przepływu tych danych (transponowanej do prawa polskiego przede wszystkim ustawą o ochronie danych osobowych). W przyszłości dyrektywę tę ma zastąpić ogólne, bezpośrednio stosowane rozporządzenie o ochronie danych, nad którego ostateczną wersją debata wciąż się toczy.

Obowiązujące przepisy stanowią m.in. o konieczności istnienia podstawy prawnej dla przetwarzania danych osobowych oraz określają obowiązki, które są z tym związane. Ich zastosowanie do działalności robotów zapewne nie będzie proste. Problematyczne może być już wskazanie podmiotu odpowiedzialnego za spełnienie obowiązków związanych z przetwarzaniem danych (administratora danych osobowych) – czy będzie nim użytkownik wydający robotowi konkretne polecenia, producent, a może podmiot zapewniający usługi w chmurze niezbędne dla funkcjonowania robota? Niewykluczone, że robot stworzy kilka zbiorów danych, które będą miały różnych administratorów. Kłopotliwe może być także wskazanie podstawy prawnej przetwarzania danych, zwłaszcza jeśli robot będzie przetwarzał także dane osób postronnych. Niewątpliwie niepraktyczna byłaby konieczność uzyskania odpowiedniej zgody od każdej napotkanej osoby. Z pozostałych przesłanek przetwarzania najbardziej adekwatna wydaje się tzw. klauzula usprawiedliwionego celu, jednak jej zastosowanie powinno się rozważać dopiero znając mechanizm działania konkretnego robota.

Być może powyższe kwestie łatwiej będzie rozstrzygnąć na gruncie nowego unijnego rozporządzenia, którego ostateczne brzmienie nie jest jeszcze znane. Zgodnie jednak z wszelkim prawdopodobieństwem koncepcje privacy by design oraz privacy by default zostaną w nim dobrze zakorzenione (zresztą mają już pewne oparcie w postanowieniach obecnie obowiązującej dyrektywy), stając się tym samym podstawą szczegółowych regulacji. W wersji przyjętej przez Parlament Europejski zachowano główne dotychczasowe regulacje dyrektywy oraz dodano postanowienia wynikające z rozwoju technologii, w tym dotyczące profilowania, zasad wykorzystania danych pseudonimicznych i uwzględniające zasady zapewnienia bezpieczeństwa przechowywanych danych. Nacisk kładziony jest również na zachowanie przez podmiot danych osobowych kontroli nad przetwarzaniem oraz przekazywaniem tych danych. Roboty nie będą od tych regulacji wyjątkiem.

Nie do końca wiadomo, jak ich kwestia zostanie wkomponowana w ogólne ramy kreowane przez przyszłe rozporządzenie. Nie ma jednak wątpliwości, że zastosowania robotyki będą podlegały wyznaczonym przez nie zasadom i regułom. Nierzadko będzie stanowiło to twardy orzech do zgryzienia dla projektantów oraz konstruktorów robotów – już dziś duże firmy technologiczne zgłaszają zastrzeżenia np. do koncepcji privacy by default. Ich zdaniem prowadzi ona do ograniczenia innowacyjności i funkcjonalności, a jej rezultatem ma być nieprzyjazność i nieintuicyjność nowych rozwiązań dla konsumentów.

O ile zatem możemy przewidzieć, że kierunek regulacji kwestii zbierania i przetwarzania danych osobowych przez roboty nie będzie odbiegał od zasadniczych ram prawnej ochrony prywatności jednostki, uszczegółowionych przez takie zasady jak privacy by design oraz privacy by default, to do określenia pozostaje szereg praktycznych kwestii z tym związanych, takich jak techniczne trudności z implementacją tych zasad czy określenie podmiotów odpowiedzialnych za przetwarzanie danych oraz za ich bezpieczeństwo.

Jacek Czarnecki, Rafał Kuchta, praktyka prawa nowych technologii kancelarii Wardyński i Wspólnicy

Artykuł jest częścią Raportu o robotyce