RPO: Aplikacja Kwarantanna Domowa zbiera zbyt wiele danych o użytkownikach. Jest bezpieczna i zgodna z RODO – odpowiada Marek Zagórski

Aplikacja Kwarantanna Domowa została przedstawiona przez rząd w marcu 2020 r., z kolei na początku kwietnia stała się obowiązkowa dla wszystkich zdrowych osób, które są objęte przymusową 14-dniową izolacją w warunkach domowych.

Aplikacja po zainstalowaniu w smartfonie ma pozwalać na kontrolowanie, czy jej użytkownicy spełniają warunki domowej kwarantanny w związku z pandemią koronawirusa. Oprócz tego oprogramowanie oferuje także inne funkcjonalności, dzięki którym izolowane osoby mogą zdalnie załatwić bez wychodzenia z domu najbardziej pilne potrzeby, takie jak np. zakupy.

RPO ma wątpliwości

Kwarantanna Domowa budzi pewne wątpliwości dotyczące zbyt szerokich uprawnień tej aplikacji oraz gromadzenia przez nią zbyt wielu informacji na temat użytkowników.

Czytaj także: Resort cyfryzacji wydał więcej na „e-Polak potrafi!” niż na promocję ProteGO Safe

W związku z tym Rzecznik Praw Obywatelskich skierował do Mateusza Morawieckiego i obecnego ministra cyfryzacji pismo, w którym wyraża zastrzeżenia użytkowników.

- Obywatele mają wątpliwości wobec zakresu informacji, do jakich ma dostęp aplikacja Kwarantanna Domowa. Dla prawidłowego działania wymaga ona, aby urządzenie mobilne umożliwiało jej dostęp do: internetu, aparatu, zdjęć, lokalizacji, a nawet mikrofonu – czytamy w komunikacje RPO.

Rzecznik Praw Obywatelskich zaznacza, że nie kwestionuje obowiązku przestrzegania kwarantanny oraz innych działań dla zapobiegania koronawirusowi. Trzeba jednak zapewnić, aby narzędzia wykorzystywane przez państwo mieściły się w konstytucyjnym standardzie ochrony prywatności i autonomii informacyjnej jednostki,  a także spełniały wymogi RODO.

Według RPO 400 tys. obywateli na kwarantannie należą się jasne, zrozumiałe i wyczerpujące informacje co do wpływu aplikacji na ich prywatność.

Marek Zagórski: Aplikacja bezpieczna i zgodna z RODO

Na pismo RPO odpowiedział w imieniu rządu Marek Zagórski, sekretarz stanu w kancelarii premiera oraz pełnomocnik ds. cyberbezpieczeństwa, a wcześniej szef Ministerstwa Cyfryzacji, które przygotowało aplikację Kwarantanna Domowa.

Marek Zagórski przypomina, że aplikacja została udostępnioną głównie w celu wsparcia służb w monitoringu osób odbywających obowiązkową kwarantannę. Rozwiązanie umożliwia, wykorzystując technikę weryfikacji twarzy i koordynatów lokalizacji, na zdalne potwierdzanie przebywania danej osoby w zadeklarowanym miejscu odbywania kwarantanny.

- W kwestii przetwarzania i ochrony danych osobowych należy poinformować, że Minister Cyfryzacji jako administrator danych osobowych użytkowników aplikacji „Kwarantanna Domowa” - projektując aplikację - dołożył wszelkich starań w celu zapewnienia odpowiednich środków technicznych i organizacyjnych, aby przetwarzane były wyłącznie te dane osobowe użytkowników, które są niezbędne dla osiągnięcia celu przetwarzania, jakim jest monitoring realizacji kwarantanny osób, co do których istnieje podejrzenie, że mogą być nosicielami wirusa SARS-CoV-2 wywołującego chorobę Covid-19 – głosi odpowiedź Zagórskiego.

Według strony rządowej w zakresie technicznym zastosowano szyfrowanie danych, jak też szyfrowanie komunikacji pomiędzy aplikacją a środowiskiem, na którym dane są przechowywane.

- Dostęp administracyjny do aplikacji jest ograniczony tylko do niezbędnych osób technicznych, które łączą się bezpiecznymi połączeniami z ograniczonej listy IP – zaznacza Zagórski. - Aplikacja poddana została także m. in. procedurom Privacy by design (art. 25 ust. 1 RODO2) i Privacy by default (art. 25 ust. 2 RODO) oraz DPIA (art. 35 RODO), a ich wyniki skonsultowane zostały z Inspektorem Ochrony Danych byłego Ministerstwa Cyfryzacji. Podsumowując – wdrożony w aplikacji model przetwarzania danych jest zgodny z wymaganiami przetwarzania danych określonymi w art. 5 RODO.

W odpowiedzi czytamy także, że aplikacja do prawidłowego działania wymaga, aby urządzenie mobilne umożliwiało jej w określonych sytuacjach dostęp do:

Internetu – aplikacja korzysta z dostępu do lokalizacji na podstawie GPS, sieci komórkowej i WiFi. Aplikacja nie rejestruje tych danych, tj. nie odnotowuje z jakiej sieci korzysta obywatel.

Aparatu – podczas wykonywania pierwszego zadania widoczne jest pytanie o zgodę na dostęp do robienia i nagrywania filmów.  Zgoda jest niezbędna do wykonywania zdjęć, czyli realizowania zadań potwierdzających przebywanie na kwarantannie.

Lokalizacji – jest to niezbędne do prawidłowego odczytu danych lokalizacyjnych pobytu osoby objętej kwarantanną.

Zdjęć, zapisu, odczytu – jest to wykorzystywane do zapisania wykonanego zdjęcia oraz jego odczytania w celu przesłania do automatycznej weryfikacji.

Według zapewnień Zagórskiego aplikacja nie odczytuje, nie przetwarza i nie korzysta z innych zasobów. Uprawnienia do zasobów są wywoływane dopiero w momencie ich użycia.

Czytaj także: Aplikacja ProteGO Safe współdziała z zagranicznymi wersjami. Wspólny system ostrzeżeń w wybranych krajach unijnych