Kamery s rozpoznáváním obličejů na stadionech? Po derby znovu stejná otázka

Události kolem posledního derby mezi Slavií a Spartou znovu otevřely otázku, zda mají české kluby dostatečné nástroje k identifikaci osob, které se dopouštějí násilností nebo jiného nevhodného chování na stadionech. Debata se dnes především soustředí na možnost využití technologie rozpoznávání obličejů, tedy systémů biometrické identifikace fyzických osob.

Přitom nejde o zcela nové téma. Sama Ligová fotbalová asociace (LFA) ve svých infrastrukturních požadavcích pro stadiony počítá s kamerovými systémy jako se „základním stavebním kamenem bezpečnostní koncepce“ a ve čtvrté fázi implementace výslovně zmiňuje využití systémů rozpoznávání tváří pro identifikaci osob se zákazem vstupu a zabránění jejich vstupu na stadion. Česká právní úprava však na takové nasazení zatím není připravena.

Biometrické údaje zpracovávané za účelem jedinečné identifikace osoby představují podle GDPR zvláštní kategorii osobních údajů. Jejich zpracování je v zásadě zakázáno, ledaže je splněna některá z výjimek. V případě fotbalových a obecně sportovních událostí se nabízí zdůvodnění významným veřejným zájmem. Ten ale musí být výslovně stanoven v unijní nebo vnitrostátní legislativě.

Inspirace v zahraničí

Reálné nasazení systémů rozpoznávání obličejů není v evropském prostředí vyloučené, jak ukazuje dánský příklad FC Kodaň. Dánský model stojí na výjimce podle čl. 9 odst. 2 písm. g) GDPR, tedy na zpracování biometrických údajů z důvodu výše zmíněného významného veřejného zájmu. Tento veřejný zájem je přitom konkrétně zakotven v dánské národní legislativě. Soukromý subjekt, jako je fotbalový klub, může takové zpracování provádět pouze tehdy, pokud mu jej povolí dánský dozorový úřad pro ochranu osobních údajů. Právě ten v případě FC Kodaň povolil automatické rozpoznávání obličejů za účelem vymáhání zákazů vstupu na stadion.

Jako varování naopak slouží španělský případ fotbalového klubu CA Osasuna. Klub zavedl na stadionu El Sadar systém rozpoznávání obličejů pro vstup fanoušků, přičemž argumentoval mimo jiné tím, že fanoušci udělovali s použitím biometrie výslovný souhlas. Španělský dozorový úřad AEPD však dospěl k závěru, že samotný souhlas v takové situaci nepředstavuje dostatečný právní základ zpracování. Podle úřadu nebyla splněna zejména podmínka nezbytnosti a proporcionality, protože stejného účelu bylo možné dosáhnout méně invazivními prostředky. Klubu byla uložena pokuta 200 000 EUR. Případ tak ukazuje, že u biometrické identifikace na stadionech v zásadě nebude postačovat pouhý „opt-in“ fanoušků, ale pravděpodobnější je zpracování s ohledem na veřejný zájem jako v případu FC Kodaň.

Dopad AI Aktu

Vedle GDPR bude navíc při jakémkoliv budoucím nasazení nutné posoudit také soulad s AI Aktem. Systémy biometrické identifikace mohou podle konkrétního nastavení spadat mezi vysoce rizikové AI systémy. To by pro jejich provozovatele znamenalo zejména povinnost řízení rizik, vedení technické dokumentace, zajištění kvality dat, logování, transparentní informování dotčených osob, lidský dohled, kybernetickou bezpečnost, průběžný monitoring fungování systému a případně i registraci v evropské databázi vysoce rizikových AI systémů. Na unijní úrovni se přitom aktuálně projednává odklad a úprava části povinností pro vysoce rizikové systémy, mimo jiné proto, že dosud nejsou plně připraveny související technické standardy ani implementační nástroje. I přes tyto odklady však platí, že implementace biometrie na stadionech musí respektovat i požadavky unijní regulace umělé inteligence.

Co dál?

Je zřejmé, že vhodná technologie pro zabránění podobným excesům ze strany problémových fanoušků již existuje a fotbalové prostředí včetně klubů s ní již počítá. Biometrická identifikace však může představovat významný zásah do soukromí jednotlivců, a proto je nezbytné jasně vymezit podmínky jejího využívání. Dánský přístup k nastavení pravidel pro nasazování systémů biometrické identifikace je pro nás díky členství v EU dobře přenositelným příkladem a nabízí inspiraci pro funkční řešení.