EU-toezichthouder wil duidelijkere signalen op slimme brillen

Gewone bril, mogelijke gegevensverwerking

Het Europees Comité voor gegevensbescherming, EDPB, heeft een eerste verklaring over slimme brillen aangenomen. Volgens het comité lijken deze apparaten vaak op gewone brillen, maar bevatten zij camera’s en microfoons en kunnen zij met internet verbonden zijn. Daardoor kunnen mensen worden gefilmd of opgenomen zonder dat zij dit weten. Het EDPB ziet daarin belangrijke vragen voor de bescherming van persoonsgegevens, rechten en vrijheden.

Het comité pleit niet voor een verbod op slimme brillen. De verklaring draait om strengere waarborgen en gedeelde verantwoordelijkheid. Slimme brillen kunnen volgens het EDPB nieuwe mogelijkheden bieden voor communicatie, ondersteuning en innovatie. Tegelijk moeten gebruikers, fabrikanten en aanbieders ervoor zorgen dat omstanders kunnen begrijpen wanneer hun gegevens worden verwerkt.

Next beschrijft de Europese aanpak als een poging om deze apparaten minder onzichtbaar te maken. De vormgeving van slimme brillen maakt het voor omstanders moeilijk om te zien of er een foto, video- of geluidsopname plaatsvindt. Zij weten dan mogelijk niet wie de gegevens verwerkt of voor welk doel. Juist daarom noemt het EDPB transparantie een van de voornaamste uitdagingen.

Werkplek en gevoelige omgevingen

Het EDPB noemt ziekenhuizen, scholen en werkplekken als omgevingen waarin de risico’s groter kunnen zijn. Kinderen zijn volgens de toezichthouder bijzonder kwetsbaar, zowel wanneer zij de bril gebruiken als wanneer zij ermee worden gefilmd. Next noemt daarnaast zorginstellingen, kleedkamers, zwembaden, stranden, toiletten en plaatsen waar minderjarigen aanwezig zijn als contexten die extra voorzichtigheid vereisen.

Op de werkplek kunnen slimme brillen volgens het EDPB zorgen oproepen over toezicht op werknemers. Ook kan de vertrouwelijkheid van informatie van een organisatie onder druk komen te staan. Daarbij gaat het onder meer om bedrijfsgeheimen en intellectueel eigendom. Een draagbaar apparaat dat beeld en geluid kan vastleggen, kan dus gevolgen hebben voor gesprekken, vergaderingen en dagelijkse werkzaamheden.

Dat de Financial Times slimme brillen beschrijft als een risico voor human resources en gegevensbescherming, laat zien dat het vraagstuk verder reikt dan consumententechnologie. De verklaring van het EDPB stelt overigens geen concrete overtreding door een specifieke onderneming vast. Zij biedt voorlopige richtsnoeren voor gebruikers, fabrikanten en dienstverleners nu deze apparaten vaker beschikbaar en gebruikt worden.

De verantwoordelijkheid van de drager

Of een gebruiker onder de AVG als verwerkingsverantwoordelijke geldt, hangt volgens het EDPB af van de manier waarop de bril wordt gebruikt. Iemand die een foto of video deelt via een openbaar account op sociale media, of de bril inzet in officiële, professionele of politieke activiteiten, kan als verwerkingsverantwoordelijke worden beschouwd.

Een andere situatie ontstaat bij zuiver persoonlijk gebruik. Wie familieleden of vrienden opneemt, of de bril in een private context voor vertaling gebruikt, kan onder de huishoudelijke uitzondering vallen. Dan is de AVG mogelijk niet van toepassing. Het EDPB benadrukt echter dat ook buiten de AVG strafrecht, burgerlijk recht, arbeidsrecht of andere sectorale regels kunnen gelden.

Next wijst erop dat gebruikers die verder gaan dan een strikt persoonlijke activiteit zelf AVG-verplichtingen kunnen krijgen. Verwerking van persoonsgegevens moet dan op een geldige rechtsgrond berusten. Toestemming kan een rol spelen, vooral wanneer het portretrecht in het geding is. Bij een apparaat dat nauwelijks opvalt, is het echter ingewikkeld om omstanders op tijd duidelijk te informeren en waar nodig toestemming te vragen.

Een ledlampje is niet altijd voldoende

Het EDPB vraagt fabrikanten en aanbieders om verschillende transparantiemiddelen al in het ontwerp en de ontwikkeling van slimme brillen te combineren. Het noemt felle ledlampjes, geluidssignalen, aanwijzingen bij spraakactivering, privacyvriendelijke meldingen op nabijgelegen smartphones en een herkenbaar ontwerp dat slimme brillen onderscheidt van gewone monturen.

Die waarschuwingen moeten betrouwbaar, moeilijk te negeren en actueel zijn, aldus het comité. Een klein ledlampje is volgens de door Next weergegeven analyse niet noodzakelijk voldoende. Mensen met een visuele beperking kunnen het moeilijk of niet waarnemen. Ook kan het worden verward met een weerspiegeling of zonlicht. Transparantie mag daarom niet afhangen van één discreet lichtpunt.

Het EDPB noemt onder meer de volgende mogelijke maatregelen:

• beperkingen op doorlopende opname van beeld of geluid
• kortere bewaartermijnen voor gegevens
• vervaging of anonimisering van personen in de omgeving
• verwerking op het apparaat zelf wanneer dat mogelijk is
• standaard uitgeschakelde permanente opslag en geografische beperkingen op gevoelige plaatsen

Fabrikanten houden eigen verplichtingen

Fabrikanten en aanbieders van gekoppelde toepassingen of diensten kunnen hun verplichtingen volgens het EDPB niet doorschuiven naar gebruikers. Zij blijven zelf verantwoordelijk voor naleving van het gegevensbeschermingsrecht. Nieuwe gegevensverwerking moet bovendien verenigbaar blijven met het oorspronkelijke doel waarvoor gegevens werden verzameld.

Het comité moedigt ook gezamenlijke industrienormen en publieksvoorlichting aan. Mensen moeten kunnen herkennen wanneer slimme brillen worden gebruikt en welk soort gegevensverwerking in uiteenlopende situaties kan plaatsvinden. Niet alleen de aanwezigheid van een technisch signaal telt, maar ook de vraag of omstanders dat signaal werkelijk begrijpen.

Het gepubliceerde rapport over de verbonden blik is opgesteld door een externe opdrachtnemer binnen het Support Pool of Experts-programma. De opvattingen daarin zijn niet noodzakelijk het officiële standpunt van het EDPB. Het onderzoek beschrijft wel dat slimme brillen soms instrumenten kunnen worden voor interpersoonlijk toezicht en het omgaan met bewijsmateriaal. Verschillen in technische vaardigheid kunnen daarbij machtsverschillen creëren tussen gebruikers en gefilmde personen.

Gevolgen voor organisaties

Voor organisaties en bedrijven in het Nederlandstalige gebied betekent de verklaring dat slimme brillen niet alleen als persoonlijk gadget kunnen worden gezien. Het EDPB noemt expliciet risico’s rond toezicht op werknemers en de vertrouwelijkheid van organisatie-informatie. Organisaties kunnen daarom nagaan in welke werkruimten opnamefuncties gevoelig zijn, hoe werknemers en bezoekers worden geïnformeerd en hoe vertrouwelijke gegevens worden beschermd. Een algemeen verbod is niet de enige mogelijke reactie, maar duidelijke regels, zichtbare waarschuwingen en een zorgvuldige omgang met persoonsgegevens worden wel steeds belangrijker.