PortálČlánkyLegalita zavedení technologie rozpoznávání obličeje - část II.

Legalita zavedení technologie rozpoznávání obličeje - část II.

31.12.2020 / 05:34

Technologie rozpoznávání obličeje (dále také jako „facial recognition“) se v dnešní době stává čím dál více diskutovanou otázkou, když to reflektuje i nedávná zpráva o úmyslu Magistrátu hlavního města Prahy požádat o konzultaci Úřad pro ochranu osobních údajů (dále jen „ÚOOÚ“) ve věci funkcionality rozpoznávání tváří.

Jan Prokůpek

JUDr. Václav Cidlina

Foto: Shutterstock

Přečtěte si i první část článku věnující se použití technologie facial recognition.

Doba uchovávání

K otázce doby uchovávání osobních údajů v evidenci autoři uvádějí, že v bodě 39 preambule GDPR je uvedena obecná zásada, že „je nezbytné zejména zajistit, aby byla doba, po kterou jsou osobní údaje uchovávány, omezena na nezbytné minimum, a aby se zajistilo, že osobní údaje nebudou uchovávány déle, než je nezbytné, měl by správce stanovit lhůty pro výmaz nebo pravidelný přezkum“. Totožná úprava je uvedena i ve znění bodu 29 preambule směrnice Evropského parlamentu a Rady (EU) 2016/680.

Z textace výše uvedených zásad autoři dovozují, že pokud správce/spravující orgán určí lhůty, které budou proporcionální k zamýšlenému účelu, tedy prevence a odhalování kriminality, splní svoji povinnost dle GDPR. Nadto lze uvést, že ust. § 109 odst. 1 zákona o PČR se užije v případě, že Policie ČR zahájila úkony trestního řízení vedeného pod konkrétní spisovou značkou, když v tomto případě zákon stanoví minimální dobu pro uchovávání záznamů ve výši pěti let; při vedení trestního řízení se tedy neuplatní obecná zásada. V případě užití kamerového systému se záznamem pro účely prevence kriminality je dále spravující orgán vázán zásadami GPDR uvedenými výše a vodítkem budiž i stanovisko ÚOOÚ č. 1/2016,[1] které v případě kamerových systémů v bytových domech stanovuje dobu pro uchovávání záznamů na sedm dnů, v určitých případech na 14 dnů, když v odůvodněných případech může správce tuto dobu prodloužit. „S výjimkou uchovávání záznamu pro kriminalistické účely může být záznam uchováván maximálně 30 dní“, tak stanovisko prezentuje Ministerstvo vnitra ČR,[2] čili tedy doba uchovávání by měla být co nejkratší, třeba i 24 hodin, pokud však správce řádně odůvodní, z jakého důvodu uchovává záznamy až třicet dní, měla by být tato doba ještě akceptována.

Komparace

Ve Spojeném království Velké Británie a Severního Irska bylo GPDR doplněno zákonem Data Protection Act 2018 c 12, když je v pravomoci členských států podrobněji upravit v národních právních předpisech určité aspekty nařízení. Tento právní předpis rozšiřuje okruh činností, na které se vztahuje ochrana osobních údajů, a transponuje také směrnici Evropského parlamentu a Rady (EU) 2016/680. Dále je možné zmínit relevantní rozhodnutí Vrchního soudu Anglie a Walesu (High Court of Justice) ze 4. 9. 2019. V tomto svém rozhodnutí soud posuzoval strojové zpracování podoby žalobce policií Jižního Walesu, a to za použití technologie facial recognition. Soud posoudil takové zpracování za neodporující the Human Rights Act a dále uvedl, že stávající úprava včetně zmíněného Data Protection Act je dostačující, když zde existují dostatečné záruky zabraňující zneužití osobních údajů ze strany policejního spravujícího orgánu. To ovšem dále nebrání další konkretizaci pravidel prostřednictvím nové legislativy.[3] K tomuto se dále vyjádřil Information Commissioner’s Office (ICO – obdoba ÚOOÚ), když vyslovil názor, že používání technologie facial recognition policejními orgány by mělo být striktně omezeno pouze pro účely trestního stíhání a rozhodnutí vrchního soudu nelze považovat za blanketní povolení k používání technologie facial recognition bez omezení.[4] Ke dni publikace článku Metropolitní policie v Londýně na určitých místech v Londýně tuto technologii dále užívá.[5] Za zmínku stojí i používání této technologie nestátními subjekty, když developer projektu King’s Cross přiznal v srpnu 2019 užívání technologie facial recognition na veřejném prostranství, a to v zájmu „veřejného pořádku“. V září 2019 developer na nátlak veřejnosti tuto technologii užívat přestal.[6]

Ke dni publikace článku tedy shrnujeme, že používání technologie facial recognition ve Velké Británii policií v určitých případech mimo trestní stíhání je možné, a neexistuje precedenční rozhodnutí soudu ve Spojeném království ohledně užívání technologie facial recognition nestátním subjektem, byť takové zpracování zvláštní kategorie osobních údajů je momentálně vyšetřováno Úřadem komisaře pro informace (ICO),[7] jenž má podobně jako ÚOOÚ sankční pravomoc.

Ve Francii bylo nařízení GDPR podobně jako ve Spojeném království doplněno a konkretizováno zákonem n°2018-493 z 20. června 2018. Tento zákon také dále provádí směrnici Evropského parlamentu a Rady (EU) 2016/680. Francouzský úřad pro ochranu osobních údajů (CNIL – Commission nationale de l’informatique et des libertés) posoudil možné zkušební používání technologie facial recognition ve středních školách v Nice a Marseille za odporující nařízením GDPR, když uvedl, že použití této technologie by bylo vzhledem ke sledovanému cíli v hrubém nepoměru, když k tomuto cíli (tedy sledování docházky žáků) lze dojít i způsoby nepředstavujícími natolik podstatný zásah do práv na ochranu osobních údajů. CNIL dále uvedl, že toto zpracování školami nejenomže je v hrubém nepoměru ke sledovanému cíli, ale porušuje i zásadu minimalizace zpracování osobních údajů dle zásad nařízení GDPR.[8] Byť toto stanovisko úřadu není závazné, a konečné slovo v použití této technologie na školách má územní samospráva, lze na něj hledět jako na jakési vodítko při aplikaci nařízení GDPR na konkrétní situaci (ode dne aplikovatelnosti nařízení GDPR použití technologie facial recognition nepodléhá předchozímu souhlasu CNIL). Dále se objevily výzvy od poslanců Francouzského národního shromáždění ke stanovení konkrétnějšího právního rámce pro experimentování a používání technologie facial recognition.[9]

CNIL ve svém pozdějším stanovisku z listopadu 2019 uvedl situace, kdy je dle jeho názoru použití technologie facial recognition v souladu s nařízením GDPR.[10] Mezi takové patří mimo jiné použití této technologie pro online přístup do systémů státní správy, na hranicích a na důležitých dopravních uzlech, jako jsou letiště či nádraží. První zmíněný případ se týká situace, kdy francouzská vláda zpřístupnila aplikaci Alicem,[11] která má občanům poskytnout online přístup do systémů státní správy. Nenabízí ovšem alternativní možnost k porovnání krátkého videa uživatele s jeho fotografií v cestovním pase. Objevují se tak hlasy, že možnost svobodného souhlasu, který je jednou z hlavních nosných bodů úpravy ochrany osobních údajů, zde absentuje a celý systém odporuje nařízení GDPR.[12] Na základě uvedených argumentů napadla organizace La Quadrature du net v červnu 2019 zákonnost uvedeného systému, resp. právní předpis, na jehož základě je aplikace v (prozatím testovacím) provozu, když argumentovala kromě výše uvedeného i zákazem užívání technologie facial recognition v San Francisku v USA.[13] Celý systém by měl být uveden do plného provozu v roce 2020.[14]

Ve Francii dal CNIL k využití technologie facial recognition několik vodítek, když obecně řekl, jaké případy použití facial recognition považuje obecně za přípustné a jaké nikoliv. K použití této technologie policií se explicitně nevyjádřil, když autoři jsou toho názoru, že je v pravomoci policie tuto technologii používat pro účely prevence a odhalování kriminality, a to na základě zmocnění ve výše uvedeném zákoně n°2018-493. Je zde patrná také snaha francouzské vlády technologii použít pro zjednodušení a zároveň větší zabezpečení přístupu ke službám veřejné správy, když konečné stanovisko k takovému postupu francouzské vlády zatím není k dispozici,[15] byť je celý postup monitorován jak CNIL, tak nezávislými organizacemi, včetně hlasů volajících po vyhlášení moratoria na používání této technologie ve Francii. Podobné opatření bylo zvažováno také Evropskou komisí.[16]

Závěr

V současné době je zřejmě nejznámější využívání technologie facial recognition na Letišti Václava Havla, když zde je v pozici správce Letiště Praha, a. s. Autoři mají za to, že používání této technologie je v prostorách takového mezinárodního letiště nejen legální, ale i legitimní záležitostí.

Jak je to však s využitím této technologie např. ve městech, resp. ve čtvrtích s vysokou mírou kriminality,[17] je v současné době věcí právně nevyřešenou a nelze dospět k jednoznačným závěrům. Dle autorů je nesporné, že pokud někdo tuto technologii může začít v těchto veřejných prostranstvích využívat jakožto správce, je to zajisté Policie ČR, přičemž dle názorů autorů (a z jejich praktických zkušeností) zejména obyvatelé takových oblastí po zavedení této technologie přímo volají, a to i za cenu určité ztráty soukromí, pokud by taková technologie měla vést ke snížení kriminality v dané lokalitě. Autoři mají za to, že jako správce by teoreticky mohla působit rovněž obecní policie, když taková technologie by přispívala k plnění jejích zákonných cílů; zde však autoři varují před opačným názorem ÚOOÚ.

Na druhou stranu musí být opravdu vždy velmi podrobně posouzen vliv dle ust. § 37, 38 adaptačního zákona, když je pravděpodobné, že takový druh připravovaného zpracování osobních údajů povede vzhledem k jeho povaze, rozsahu, okolnostem nebo účelu k vysokému riziku neoprávněného zásahu do práv a svobod subjektů údajů. Spravující orgán tedy vždy vypracuje posouzení vlivu takového zpracování na ochranu osobních údajů, které obsahuje alespoň obecný popis připravovaného zpracování osobních údajů a jeho operací, posouzení rizika neoprávněného zásahu do práv a svobod subjektů údajů a plánovaná opatření a vhodné záruky ke zmenšení rizika podle písm. b) a splnění povinností podle této hlavy, a toto posouzení vlivu projedná s ÚOOÚ.

Při splnění všech zákonných podmínek a při zachování co nejširší míry osobnostních práv a při minimalizaci zpracování osobních údajů je podle názoru autorů legální a legitimní, aby Policie ČR mohla v městských čtvrtích s vysokou mírou kriminality tuto technologii využívat i za využití zpracovatele z řad kvalifikovaných soukromých osob (ovšem v co nejmenším rozsahu s tím, že by mělo být pravidelně přezkoumáváno, zda nedošlo ke snížení míry kriminality v dané lokalitě na takovou úroveň, kdy už není nasazení této technologie proporční vzhledem k zásahu do osobnostní práv a osobních údajů). Rozhodně si však autoři nedovedou představit zavedení této technologie celoplošně, tzn. po celých obcích a městech, když takové jednání by vedlo ke vzniku policejního státu a tzv. Velkého bratra, což by bylo v přímém rozporu s demokratickým právním státem, kterým Česká republika stále zatím je.

Článek byl publikován na stránkách Advokátního deníku a v časopise Bulletin advokacie.