Úřad pro ochranu osobních údajů („úřad“) vydal dne 16. srpna 2019 na svých internetových stránkách zamítavé stanovisko k biometrické identifikaci nežádoucích osob na fotbalových stadionech[1]. Je ale otázkou, nakolik je toto stanovisko důvodné.

Technologie k rozpoznávání obličejů (tzv. „face recognition“) slouží k rozpoznání a identifikaci obličejů, a to na základě existující databáze. Ověření, jestli se jedná o tvář z databáze, probíhá za pomoci zpracování fyzických či fyziologických znaků rozpoznávané osoby (tzv. biometrických údajů). Použití této technologie u vstupů na fotbalové stadiony se nabízelo jako vhodné řešení četných problémů českých fotbalových klubů s jejich radikálními fanoušky, kteří stojí za výtržnostmi v průběhu zápasů. Fotbalový klub by si mohl vytvořit databázi obličejů problémových fanoušků a v případě, že by takového fanouška systém napojený na kameru rozpoznal, pořadatel zápasu by mu mohl vstup na stadion odepřít, a to i přesto, že výtržník zakoupil platnou vstupenku. Pro tento postup se rozhodly některé fotbalové kluby v Dánsku poté, kdy dánská obdoba českého úřadu rozhodla, že použití technologie face recognition na fotbalových stadionech je ve veřejném zájmu a kluby ji tak mohou při zápasech použít[2].

Právní titul

Dle čl. 9 odst. 1 nařízení Evropského parlamentu a Rady (EU) 2016/679, o ochraně fyzických osob v souvislosti se zpracováním osobních údajů a volném pohybu těchto údajů a o zrušení směrnice 95/46/ES („GDPR“) spadají biometrické údaje do zvláštní kategorie osobních údajů (dřívější úpravou označované jako „citlivé údaje“), které podléhají zvýšené ochraně. Obecně je zpracování takových osobních údajů zakázáno, pokud nenastane některá z výjimek uvedených v čl. 9 odst. 2 GDPR. Pro užití systému face recognition u vstupu na fotbalový stadion by přicházelo do úvahy použití dvou z těchto taxativně vymezených výjimek:

1. Fotbalový fanoušek udělí dle čl. 9 odst. 2 písm. a) GDPR výslovný souhlas.
2. Zpracování biometrických údajů bude klasifikováno dle čl. 9 odst. 2 písm. g) jako nezbytné z důvodu významného veřejného zájmu na základě práva Evropské unie nebo jejího členského státu, které je přiměřené sledovanému cíli, dodržuje podstatu práva na ochranu údajů a poskytuje vhodné a konkrétní záruky pro ochranu základních práv a zájmů subjektu údajů.

Souhlas se zpracováním

Recitál č. 32 GDPR stanovuje, že souhlas by měl být jednoznačným potvrzením, které je vyjádřením svobodného, konkrétního, informovaného a jednoznačného svolení subjektu údajů ke zpracování osobních údajů, které se jej týkají, a to v podobě písemného prohlášení, i učiněného elektronicky, nebo ústního prohlášení. Podle recitálu č. 42 GDPR by souhlas neměl být považován za svobodný, pokud subjekt údajů nemá skutečnou nebo svobodnou volbu nebo nemůže souhlas odmítnout nebo odvolat, aniž by byl poškozen.

Uvedené požadavky na souhlas dle GDPR mimo jiné znamenají, že poskytnutí služby by nemělo být podmíněno dáním souhlasu, fanoušci by tak měli mít právo souhlas neudělit, a přesto být na stadion vpuštěni, proto nestačí konkludentní udělení souhlasu přijmutím návštěvního řádu nebo zakoupením vstupenky.

Umím si představit, že řada sportovních fanoušků by souhlas udělila, aby zápas ochránili před radikálními kolegy a pořadatelé by se tak mohli více zaměřit na kontrolu těch, kteří souhlas neudělili. I pokud by ale souhlas udělila většina návštěvníků stadionu, představa táhnoucích se front fanoušků dávajících informovaný a výslovný souhlas u bran stadionu není příliš atraktivní ani pro samotné fanoušky ani pro fotbalové kluby. Tento problém by nevyřešilo ani udělení souhlasu online při nákupu vstupenky, neboť tak není návštěvník před vstupem na sportoviště jednoznačně identifikován.

Výslovný souhlas s užitím technologie face recognition je tak dle mého názoru za splnění určitých podmínek teoreticky možným, ale z hlediska praxe ne příliš vhodným prostředkem pro zabránění vstupu problémovým fanouškům na stadion.

Veřejný zájem

Zabránění nebezpečného výtržnictví na stadionech, kde jsou častými návštěvníky rodiny s dětmi, je dle mého názoru veřejným zájmem a nabízí se tak užití této výjimky.

Úřad ve svém stanovisku uvádí jako důvod nemožnosti použití této výjimky chybějící výslovné zákonné zmocnění. S tímto důvodem nelze souhlasit, z GDPR ani ze zákona č. 110/2019 Sb., o zpracování osobních údajů („ZoOOÚ“), nijak nevyplývá, že zpracování osobních údajů zvláštní kategorie na základě veřejného zájmu by v českém právním řádu muselo být výslovně zakotveno.

Aspekt, který stanovisko nijak nezmiňuje, ale který nelze při posuzování oprávněnosti technologie face recognition pominout, je otázka, zda užití této technologie není v rozporu se základními lidskými právy[3]. Čl. 9 odst. 2 písm. g) GDPR ale s omezením práva na soukromí sám počítá, když stanovuje takové podmínky jeho užití, aby právo na soukromí nebylo bezdůvodně omezováno, jedná se o tyto podmínky:  

• existence ustanovení zákona, které chrání veřejný zájem;
• přiměřenost sledovanému cíli;
• dodržování podstaty práva na ochranu údajů;
• poskytnutí vhodných a konkrétních záruk pro ochranu základních práv a zájmů subjektu údajů.

Ustanovení, které chrání veřejný zájem, je dle mého v tomto případě § 7a odst. 1 zákona č. 115/2001 Sb., o podpoře sportu („zákon o podpoře sportu“), který ukládá vlastníkovi, příp. provozovateli sportovního zařízení povinnost je-li to nezbytné pro bezpečnost osob a majetku ve sportovním zařízení, přijmout potřebná opatření k zajištění pořádku v průběhu sportovního podniku. Veřejným zájmem je právě ona bezpečnost (zdraví) osob.

Ačkoliv lze jistě pochybovat o přesnosti technologie face recognition, domnívám se, že právě její použití u bran fotbalového stadionu dává smysl a jednalo by se o přiměřené opatření k zajištění pořádku a ochrany života a zdraví návštěvníků v průběhu utkání nejvyšší české fotbalové ligy. Přiměřenost, vhodnost a oprávněnost tohoto prostředku je dána především neustále se opakujícími výtržnostmi problematických fanoušků. Dodržování podstaty práva na ochranu údajů a poskytnutí vhodných a konkrétních záruk pro ochranu základních práv a zájmů návštěvníků stadionu by potom bylo důležitým úkolem pro sportovní kluby, které by musely zpracovat a nastavit taková pravidla, aby minimalizovaly zásah do práv svých fanoušků.

Úřad má ve svém stanovisku pravdu, že český adaptační zákon k GDPR nijak dále nevymezuje, kdy lze výjimku dle čl. 9 odst. 2 písm. g) GDPR použít, ale interpretace, že by tedy v jiném zákoně muselo být výslovné zmocnění správce zpracovávat osobní údaje zvláštní kategorie z důvodu zákonem definovaného veřejného zájmu, je dle mého neúnosná a přepjatě formalistická. Pokud bychom přistoupili na argumentaci úřadu, vyvstávají další otázky o oprávněnosti zpracování osobních údajů zvláštní kategorie v jiných případech. Pokud bychom měli zůstat u sportu, tak se ptám, na základě jakého právního titulu jsou zpracovávány informace získané antidopingovou kontrolou, které bezesporu spadají do osobních údajů zvláštní kategorie, a jen stěží si lze představit, že v tomto případě mohl sportovec udělit svobodný a informovaný souhlas.

Závěr

Pokud úřad své stanovisko nezmění, nezbývá fotbalovým klubům než toto stanovisko respektovat a pokusit se zajistit bezpečnost a pořádek na stadionech jiným způsobem nebo se případně vystavit riziku vysokých pokut.

Pro úplnost upozorňuji, že stanovisko úřadu neznamená absolutní zákaz identifikovat návštěvníky zápasu, úřad se pouze zamítavě vyjádřil k použití technologie face recognition.

Mgr. Michaela Mosnáková,
advokátní koncipientka
 

GPS legal v.o.s.

Dukelských hrdinů 567/52
170 00 Praha 7

Tel.:    +420 734 180 502
e-mail:   mosnakova@gpslegal.cz