Istotne jest to, czy podmiot dokonujący rejestracji zapisuje dane z takiego monitoringu, czy dane o temperaturze ciała są zestawiane z innymi danymi o osobach oraz czy kamery umożliwiają zidentyfikowanie osoby na podstawie np. danych biometrycznych.
W wielu przypadkach z takich narzędzi mogą zostać wygenerowane dane osobowe – często będą stanowiły one nawet dane wrażliwe, ponieważ rejestracja obrazu daje możliwość zidentyfikowania osoby fizycznej na podstawie jej cech fizycznych oraz przypisania konkretnej osobie danych na temat jej zdrowia (zgodnie z art. 4 pkt 15 RODO). Trudno zatem uniknąć stosowania do takich zapisów wymogów ogólnego rozporządzenia o ochronie danych osobowych. Konieczne jest zatem powiadomienie osób, które są rejestrowane, o samym fakcie dokonywania zapisu lub wykorzystywanej technologii oraz wskazania prawidłowej podstawy dla takiego przetwarzania. W przedmiotowej sytuacji należy rozważyć zastosowanie art. 9 ust. 1 lit i) RODO, który stanowi, że przetwarzanie danych dotyczących zdrowia jest dozwolone, gdy jest niezbędne ze względów związanych z interesem publicznym w dziedzinie zdrowia publicznego, takich jak ochrona przed poważnymi transgranicznymi zagrożeniami zdrowotnymi.
Nie można także zapomnieć o obowiązkach związanych z ryzykiem przetwarzania.
Zgodnie z art. 35 ust. 1 RODO, jeżeli dany rodzaj przetwarzania – w szczególności z użyciem nowych technologii – ze względu na swój charakter, zakres, kontekst i cele z dużym prawdopodobieństwem może powodować wysokie ryzyko naruszenia praw lub wolności osób fizycznych, administrator przed rozpoczęciem dokonuje oceny skutków planowanych operacji przetwarzania dla ochrony danych osobowych. Taka ocena jest wymagana w szczególności w przypadku przetwarzania danych osobowych, o których mowa w art. 9 ust. 1 RODO lub systematycznego monitorowania na dużą skalę miejsc dostępnych publicznie. Wobec powyższych wymogów warto określić pewne procedury wskazujące cel oraz czas przetwarzania danych lub ewentualne zrezygnować w zupełności z utrwalania zapisów z kamer. Należy podkreślić, że przyjęcie takiego mechanizmu wspomagającego prowadzenie walki z SARS-CoV-2 nie ma na celu wykrywania tożsamości określonych osób. Może zatem zostać przyjęta metoda, która technicznie nie będzie prowadziła do identyfikacji konkretnych osób fizycznych - temperatura ciała w oderwaniu od innych danych o osobie fizycznej nie stanowi danych osobowych, bowiem dopiero w wyniku zestawienia z innymi danymi będzie prowadziła do zidentyfikowania konkretnej osoby fizycznej zgodnie z art. 4 pkt 1) RODO, który wprowadza definicję danych osobowych.
W razie wątpliwości jednak lepiej wprowadzić wszystkie wymagane elementy przez RODO, w tym zabezpieczyć należycie zebrane dane – nie wiemy w praktyce, jak mają działać te systemy nowej postaci monitoringu.
Zgodnie z wymaganiami art. 32 RODO konieczne jest zabezpieczenie danych adekwatnie do ryzyka naruszenia praw i wolności osób fizycznych. W szczególności konieczne jest także zapewnienie, aby dane nie były łączone z innymi informacjami o osobach fizycznych, jeżeli jest to zbędne dla zrealizowania celu procesu i zbierane informacji tylko w niezbędnym zakresie (zasada minimalizacji), a także aby do ich przetwarzania były dopuszczone osoby mające elementarną wiedzę o tym jak z danymi osobowymi postępować oraz posiadały odpowiednie upoważnienia. Nie można wykluczyć, że podobne technologie będą kiedyś stosowane powszechnie, warto się jednak zastanowić, czy są one odpowiednim sposobem wykrywania zakażeń wirusem, ponieważ gorączka może wskazywać także na wiele innych dolegliwości.
