Ludzie prowadzą swoje życie w wirtualnej, łączącej elementy świata realnego i fikcyjnego, barwnej rzeczywistości. Wyposażeni w specjalne okulary niemalże odcinające ich od prawdziwego świata, symulujące dotyk rękawice, owijające ciała kostiumy lub wielokierunkowe bieżnie, przemierzają bezkres transcendentalnego świata jako swoje spersonalizowane awatary. Wizja ta wydaje się być dzisiaj bardzo znajoma, ale nie jest rzeczą nową. Pojęcie metaverse zostało bowiem nakreślone w 1992 r. przez amerykańskiego autora Neala Stephensona na łamach powieści „Zamieć” (oryg. „Snow Crash”).
To, co 30 lat temu było całkowitą fikcją, w 2021 r. zostało wycenione na 21,83 mld USD (w Polsce – ok. 25 mln USD) z oczekiwaną roczną stopą wzrostu w latach 2022-2030 na poziomie 15,0%. Przyciągnęło również uwagę największych gigantów technologicznych, tj. Facebooka (obecnie – Mety), Microsoftu, Tencentu i NVIDIA, którzy stosują omawiane rozwiązania w projektach z zakresu m.in. architektury, produkcji, edukacji bądź medycyny. Powyższa tendencja została również dostrzeżona przez najbardziej kreatywne i otwarte działy marketingu. Narzędzia wirtualnej rzeczywistości (ang. virtual reality – VR) w ramach swojej promocji wykorzystują już dziś m.in. McDonald, IKEA, Adidas, New York Times, Volvo, Marrell, L’Oréal Paris, Walmart, Samsung, KFC czy nawet Londyńskie Muzeum Historii Naturalnej.
Niemniej, niemalże nieograniczone możliwości rodzą zawsze liczne problemy i wątpliwości. Przykładowo, jak charakter funkcjonowania metaverse i niezbędnych do tego narzędzi VR wpłynie na bezpieczeństwo danych osobowych ich użytkowników?
W tym artykule zarysuję podstawowe problemy, które w perspektywie postanowień RODO mogą napotkać wszyscy zainteresowani wdrożeniem rozwiązań marketingu VR w swoich przedsiębiorstwach.
- Przetwarzanie danych o szczególnym charakterze („danych wrażliwych”)
Wbudowane w zestawy VR sensory, by umożliwić współdziałanie użytkownika z metaverse, korzystają z rozbudowanej sieci czujników pozwalających na zbieranie informacji o reakcjach fizycznego ciała ze światem zaprojektowanym. Należą do nich m.in. systemy rozpoznawania twarzy (jej mimiki, geometrii), śledzenia ruchów gałki ocznej, siatkówki oka, całego ciała (pozycji głowy oraz rąk, odcisków palców, itd.), innych fizjologicznych reakcji organizmu (temperatury, reakcji skóry, tętna, wysycenia krwi, aktywności elektrycznej mięśni – a wkrótce może – fal mózgowych) lub rejestrowania głosu.
Oczywiście, wskazane wycinki będą równocześnie postrzegane jako bezcenny wkład dla reklamodawców. Dzięki nim będą w stanie uczyć się, modelować, przewidywać i manipulować zachowaniem podmiotów danych w stopniu, który obecnie utożsamiamy ze światem zobrazowanym w filmie „Raporcie Mniejszości” i stosowanymi tam spersonalizowanymi reklamami.
W perspektywie prawnej informacje te są uznawane za dane biometryczne (dane o szczególnym charakterze), tj. wynikające ze specjalnego przetwarzania technicznego, dotyczą cech fizycznych, fizjologicznych lub behawioralnych osoby fizycznej oraz umożliwiają, lub potwierdzają jednoznaczną identyfikację tej osoby, takie jak wizerunek twarzy lub dane daktyloskopijne (art. 4 pkt 14 RODO).
Ich przetwarzanie objęte jest tym samym bardziej rygorystycznymi wymaganiami.
Po pierwsze i najważniejsze, co do zasady, jest zakazane. Poza enumeratywnie wymienionymi w RODO celami, np. ze względu na ważny interes publiczny (w tym w dziedzinie zdrowia publicznego), profilaktykę zdrowotną, medycynę pracy lub sprawowanie wymiaru sprawiedliwości przez sądy (por. art. 9 ust. 2 RODO), na dokonanie takich czynności konieczne jest uzyskanie stosownej zgody.
Po drugie, jak podkreśla polski Urząd Ochrony Danych Osobowych, budowa każdego systemu przetwarzania danych tego typu powinna być poprzedzona przeprowadzeniem oceny skutków dla ochrony danych (tzw. DPIA – art. 35 RODO), a ostateczna decyzja o jego zastosowaniu uwzględniać podstawowe zasady ochrony danych osobowych, takie jak niezbędność, celowość oraz proporcjonalność (art. 5 RODO).
Co więcej, w wytycznych europejskich organów nadzoru wskazuje się również na obowiązki administratora w zakresie klauzul informacyjnych (art. 13-14 RODO) oraz zastosowania odpowiednich środków technicznych i organizacyjnych zapewniających stopień bezpieczeństwa odpowiadający potencjalnym ryzykom, np. szyfrowanie lub kontrola dostępu do bazy danych (art. 32 RODO).
- Zgoda podmiotu danych
Zgoda podmiotu danych umożliwia podjęcie przetwarzania danych „wrażliwych” przez administratora. By można było uznać ją za wyrażoną poprawnie, musi spełniać kilka warunków, m.in. być dobrowolna, konkretna, świadoma i jednoznaczna (por. art. 7 RODO; Motywy 32-33 i 42-43 RODO). To właśnie tym warunkom musimy przyjrzeć się szczegółowo w perspektywie marketingu w VR.
Co ważne, zgoda powinna zostać udzielona przed rozpoczęciem przetwarzania danych osobowych. Musi zostać wyrażona wprost, określać osobę, która zgody udziela oraz której dane osobowe mają być udostępnione. Podmiot danych musi wiedzieć komu udziela zgody i znać jej zakres (m.in. okres przetwarzania, zakres danych i zamierzony cel).
Na potrzeby metaverse powyższe łączy się bezsprzecznie z trudnością w postawieniu granicy pomiędzy treściami niezbędnymi a tymi dodatkowymi. Dodatkowo niezmiernie wymagającym zadaniem będzie określenie tego zakresu w treści zgody i klauzuli informacyjnej. Przykładem może być tutaj stworzenie całej platformy VR jako zabiegu marketingowego (treści marketingowe stanowią wówczas istotę rozwiązania) albo korzystanie z reklam wewnątrz innego, publicznie dostępnego świata wirtualnego.
W perspektywie art. 7 ust. 4 RODO pojawiają się również wątpliwości w zakresie możliwości swobodnego wyrażenia zgody w świecie VR. Szczególnie dotyczą one niezbędności przetwarzania danych biometrycznych w perspektywie technicznych aspektów funkcjonowania samego rozwiązania.
