WYTYCZNE W SPRAWIE WYKORZYSTANIA TECHNOLOGII ROZPOZNAWANIA TWARZY W OBSZARZE ŚCIGANIA PRZESTĘPSTW
Coraz więcej organów ścigania wykorzystuje technologię rozpoznawania twarzy (FRT). Umożliwia ona uwierzytelnienie lub identyfikację osoby i stosuje się ją na nagraniach wideo (np. CCTV) lub zdjęciach. Używana jest m.in. do wyszukiwania osób znajdujących się na policyjnych listach zagrożeń lub do monitorowania ruchów danej osoby w przestrzeni publicznej.
FRT opiera się na przetwarzaniu danych biometrycznych, a zatem obejmuje przetwarzanie szczególnych kategorii danych osobowych. Często wykorzystuje komponenty sztucznej inteligencji (AI) lub uczenia maszynowego, co umożliwia przetwarzanie danych na dużą skalę, ale stwarza również ryzyko dyskryminacji i błędnych wyników. FRT może być stosowana w kontrolowanych sytuacjach, ale również w przypadku tłumów i ważnych węzłów transportowych.
Technologia rozpoznawania twarzy jest narzędziem wrażliwym z punktu widzenia organów ścigania, które są organami wykonawczymi i posiadają suwerenne uprawnienia. Metoda ta może ingerować w prawa podstawowe – również wykraczać poza prawo do ochrony danych osobowych – i wpływać na społeczną i demokratyczną stabilność polityczną.
Wymogi dyrektywy 2016/680
W odniesieniu do ochrony danych osobowych w kontekście ścigania przestępstw należy spełnić wymogi dyrektywy 2016/680 w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych przez właściwe organy do celów zapobiegania przestępczości, prowadzenia postępowań przygotowawczych, wykrywania i ścigania czynów zabronionych i wykonywania kar, w sprawie swobodnego przepływu takich danych. Pewne ramy dotyczące korzystania z FRT określono w ww. dyrektywie, w szczególności w art. 3 ust. 13 dyrektywy (termin „dane biometryczne”), art. 4 (zasady dotyczące przetwarzania danych osobowych), art. 8 (zgodność przetwarzania z prawem), art. 10 (przetwarzanie szczególnych kategorii danych osobowych) i art. 11 dyrektywy (zautomatyzowane podejmowanie decyzji w indywidualnych przypadkach).
FRT a prawa podstawowe
Zastosowanie technologii rozpoznawania twarzy może mieć również wpływ na inne prawa podstawowe. Dlatego też Karta praw podstawowych Unii Europejskiej ma zasadnicze znaczenie dla interpretacji dyrektywy 2016/680, w szczególności prawa do ochrony danych osobowych, o którym mowa w art. 8 Karty, ale także prawa do poszanowania życia prywatnego, o którym mowa w art. 7 Karty. Wszelkie ograniczenia w korzystaniu z praw podstawowych i wolności muszą być przewidziane ustawą i szanować istotę tych praw i wolności. Zanim prawodawca krajowy stworzy nową podstawę prawną dla jakiejkolwiek formy przetwarzania danych biometrycznych z wykorzystaniem rozpoznawania twarzy, powinien skonsultować to z organem nadzorczym ds. ochrony danych. Fakt, że fotografia została w sposób oczywisty upubliczniona przez osobę, której dane dotyczą (art. 10 dyrektywy 2016/680), nie oznacza, że związane z tym dane biometryczne, które można uzyskać z fotografii za pomocą określonych środków technicznych, zostały w sposób oczywisty upublicznione. Domyślne ustawienia usługi nie powinny być w żaden sposób interpretowane jako dane w sposób oczywisty upublicznione.
Obowiązki administratora
Administrator musi dokładnie rozważyć, w jaki sposób (lub czy może) spełnić wymogi dotyczące praw osoby, której dane dotyczą, przed rozpoczęciem jakiegokolwiek przetwarzania FRT, ponieważ stosowanie tej technologii często wiąże się z przetwarzaniem szczególnych kategorii danych osobowych bez widocznej interakcji z osobą, której dane dotyczą. Skuteczne wykonywanie praw osoby, której dane dotyczą, zależy od tego, czy administrator wypełnia swoje obowiązki informacyjne (art. 13 dyrektywy 2016/680). Oceniając, czy istnieje „konkretny przypadek” zgodnie z art. 13 ust. 2 dyrektywy 2016/680, należy wziąć pod uwagę kilka czynników, w tym to, czy to jedyny sposób, aby osoby, których dane dotyczą, mogły skutecznie wykonywać przysługujące im prawa. Jeżeli decyzje podejmowane są wyłącznie na podstawie zastosowania FRT, osoby, których dane dotyczą, muszą zostać poinformowane o funkcjach zautomatyzowanego podejmowania decyzji.
Więcej informacji znajduje się w Wytycznych EROD 5/2022 dostępnych na stronie organu.
