Programska oprema za primerjavo obrazov v prekrškovnem postopku

Informacijski pooblaščenec (v nadaljevanju IP) je po elektronski pošti prejel vaš dopis, v katerem nas sprašujete, ali smete kot prekrškovni organ v prekrškovnem postopku uporabljati programsko opremo za primerjavo obrazov. Pojasnjujete, da v primeru kršitve cestnoprometnih predpisov s samodejno merilno napravo za nadzor hitrosti (radar) fotografirate voznika vozila, s katerim je storjen prekršek, fotografiran, zajeto fotografijo pa primerjate s fotografijo iz evidenc, do katerih dostopate prek aplikacije eRisk (fotografija iz vozniškega dovoljenja, osebne izkaznice oziroma potnega lista). Poudarjate, da bi izvajali izključno primerjavo zajete fotografije voznika s fotografijo lastnika vozila z namenom ugotavljanja podobnosti obeh oseb in ne z namenom ugotavljanja identitete voznika vozila. Ugotovitev bi v primeru visoke podobnosti posredovali sodišču v primeru vložene zahteve za sodno varstvo, v kateri voznik vozila trdi, da ni upravljal z vozilom, s katerim je bil storjen prekršek.

Na podlagi informacij, ki ste nam jih posredovali, vam v nadaljevanju na podlagi 58. člena Uredbe (EU) 2016/679 Evropskega parlamenta in Sveta z dne 27. aprila 2016 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov ter razveljavitvi Direktive 95/46/ES (v nadaljevanju: Splošna uredba), 7. točke prvega odstavka 49. člena Zakona o varstvu osebnih podatkov (Uradni list RS, št. 94/07, uradno prečiščeno besedilo, v nadaljevanju ZVOP-1) ter 2. člena Zakona o informacijskem pooblaščencu (Uradni list RS, št. 113/05, v nadaljevanju ZInfP) posredujemo naše neobvezno mnenje v zvezi z vašim vprašanjem. Ob tem IP poudarja, da izven postopka inšpekcijskega nadzora konkretnih obdelav osebnih podatkov ne more presojati.

IP meni, da za sam dostop do fotografij obstaja pravna podlaga v Zakonu o prekrških, kadar je to seveda potrebno v konkretnem primeru. Dostop do fotografij po tej podlagi pa omogoča le klasično primerjavo fotografij, ki jo izvede uradna oseba, brez uporabe programske opreme za avtomatsko primerjavo zajetih fotografij.

Pri avtomatski prepoznavi in primerjavi obrazov pa bi potrebovali zakonsko določbo, ki bi izrecno dovoljevala obdelavo biometričnih osebnih podatkov, ki so opredeljeni kot posebne vrste osebnih podatkov.

Obrazložitev

Uvodoma IP poudarja, da je treba imeti za vsako obdelavo osebnih podatkov ustrezno in zakonito pravno podlago. Te so določene v prvem odstavku 6. člena Splošne uredbe in za posebne vrste osebnih podatkov v drugem odstavku 9. člena Splošne uredbe.

Za vsako obdelavo osebnih podatkov mora torej obstajati ustrezna pravna podlaga, ki jo mora že pred obdelavo osebnih podatkov natančno razčistiti upravljavec osebnih podatkov, ki mora biti zmožen tudi dokazati zakonitost obdelave osebnih podatkov.

V vašem primeru je treba v prvi vrsti razčistiti, ali obstaja ustrezna pravna podlaga za obdelavo osebnih podatkov, in sicer:

(1) za sam dostop do fotografij iz evidenc, do katerih naj bi dostopali prek aplikacije e-Risk, ter

(2) za avtomatsko primerjavo zajetih fotografij voznika vozila ter lastnika vozila.  

Glede točke (1) zgoraj, torej pravne podlage za dostop do fotografij iz evidenc prek aplikacije eRisk za prekrškovne organe, je IP v preteklosti že izdal nekaj mnenj, na primer mnenje št. 07121-1/2020/763 z dne 28. 4. 2020 (dostopno na https://www.ip-rs.si/mnenja-gdpr/6048a57a32f78). Iz navedenega mnenja izhaja, da ima mestno, medobčinsko ali občinsko redarstvo kot prekrškovni organ z vidika (e) točke prvega odstavka 6. člena Splošne uredbe v četrtem odstavku 45. člena ZP-1 pravno (zakonsko) podlago, da od državnih organov in upravljavcev osebnih podatkov brezplačno pridobiva tiste osebne podatke, ki so potrebni za ugotovitev in presojo dejstev v konkretnem prekrškovnem postopku in za izvršitev sankcij. Pri tem je treba poudariti, da gre skladno s četrtim odstavkom 45. člena ZP-1 za dostop do fotografij, kadar je ta v posameznem primeru potreben "za ugotovitev dejstev v zvezi s postopkom in za izvršitev sankcij", vendar pa se lahko fotografije nadalje obdelujejo le na klasičen način, ko primerjavo fotografij opravi uradna (pooblaščena) oseba s fizično primerjavo, brez uporabe programske opreme, ki temelji na avtomatski prepoznavi obrazov.

Glede točke (2), torej obdelave osebnih podatkov z uporabo tehnologije avtomatske prepoznave in primerjave biometričnih značilnosti, pa mora biti podlaga izrecno določena z zakonom, ki mora takšno avtomatizirano uporabo biometričnih podatkov tudi predvideti. Policija, na primer, ima za takšno obdelavo biometričnih osebnih podatkov izrecno določbo v prvem odstavku 112. člena Zakona o nalogah in pooblastilih policije (Uradni list RS, št. 15/13, s sprem. in dop.; v nadaljevanju ZNPPol).

Pri uvedbi in uporabi tehnologije, ki predstavlja veliko tveganje za pravice in svoboščine posameznikov, je namreč potrebna še posebna previdnost, posebej ob upoštevanju okoliščine, da se namerava rezultate avtomatske primerjave fotografij uporabiti v prekrškovnem oziroma sodnem postopku, torej v represivnih postopkih, kjer država nasproti posameznika deluje z vso oblastno močjo in je razmerje med njo in posameznikom neuravnoteženo.

Iz Splošne uredbe namreč izhaja, da fotografija, kadar je obdelana s posebnimi tehničnimi sredstvi, ki omogočajo edinstveno identifikacijo ali avtentikacijo posameznika, sodi v opredelitev biometričnih podatkov in s tem posebnih vrst osebnih podatkov (uvodna izjava Splošne uredbe št. 51). Poleg tega, da bi posebne vrste osebnih podatkov obdelovali z avtomatiziranimi sredstvi, pa bi bili rezultati obdelave uporabljeni celo za sprejemanje odločitev o posamezniku, in to v postopku izrekanja kaznovalne sankcije. Zaradi navedenega mora biti podana izrecna zakonska podlaga, ki je sorazmerna "z zastavljenim ciljem, spoštuje bistvo pravice do varstva podatkov ter zagotavlja ustrezne in posebne ukrepe za zaščito temeljnih pravic in interesov posameznika, na katerega se nanašajo osebni podatki" (točka (g) drugega odstavka 9. člena Splošne uredbe).

Ob tem je treba poudariti tudi določbo prvega odstavka 79. člena ZVOP-1, ki (še vedno veljavno) določa, da se lahko biometrijske ukrepe v javnem sektorju določi le z zakonom, če je to nujno potrebno za varnost ljudi ali premoženja ali za varovanje tajnih podatkov ter poslovne skrivnosti, tega namena pa ni možno doseči z milejšimi sredstvi.

Pomembnost ustrezne pravne podlage ter močnih varovalk poudarjajo tudi Smernice Evropskega odbora za varstvo podatkov št. 05/2022 o uporabi tehnologije obrazne prepoznave na področju kazenskega pregona (https://edpb.europa.eu/system/files/2022-05/edpb-guidelines_202205_frtlawenforcement_en_1.pdf). Kljub temu, da v opisanem primeru ne gre za kazenski, temveč za prekrškovni pregon, veljajo enaka načela in varovalke za varstvo temeljnih človekovih pravic. Prag dopustnosti uvedbe biometričnih ukrepov in ukrepov avtomatizirane prepoznave obrazov je za prekrškovno področje pravzaprav še višji, saj je nujnost v demokratični družbi nižja kot pri pregonu (težjih) kaznivih dejanj. Kot izhaja iz zgoraj omenjenih Smernic št. 05/2022 je treba namreč pri uvedbi tehnologije za prepoznavo obrazov upoštevati resnost kaznivega dejanja, pri čemer pregon manj resnih kaznivih dejanj toliko manj opravičuje uvedbo takšne tehnologije kot pregon resnejših kaznivih dejanj. V vašem primeru pa ne gre niti za kazniva dejanja, temveč za prekrške, ki predstavljajo blažji poseg posameznika v skupne vrednote družbe, ki jih varujejo predpisi.

Presojo o dopustnosti uvedbe tehnologije za avtomatsko prepoznavo obrazov pa mora opraviti zakonodajalec in se posamezni prekrškovni organ ne more sam odločiti za uporabo programske opreme za avtomatsko prepoznavo obrazov. Poleg tega, da je potrebno zagotoviti izrecno zakonsko podlago, mora biti ta premišljena po postopku, kot velja za (zakonodajno) oceno učinkov v zvezi z varstvom podatkov. Brez tehtanja in presoje nujnosti in sorazmernosti posegov v človekove pravice zakonodajalec ne bi mogel zagovarjati posega v te pravice. V vsakem primeru (če bi zakonodajalec izvedel takšno oceno učinkov ali ne), pa bi moral takšno oceno učinkov, kot jo opredeljuje 35. člen Splošne uredbe, izvesti tudi sam upravljavec osebnih podatkov pred dejansko uvedbo tehnologije oziroma začetkom obdelave osebnih podatkov.

Lepo vas pozdravljamo.

Mojca Prelesnik, univ.dipl.prav.,                                                 

informacijska pooblaščenka

Pripravila:                                                                                                                                

mag. Polona Merc, univ. dipl. prav.,

svetovalka IP za varstvo osebnih podatkov