Ny afgørelse

F.C. København får tilladelse til brug af automatisk ansigtsgenkendelse

Dato: 18-12-2024

Datatilsynet har – efter ansøgning fra F.C. København – givet tilladelse til, at klubben kan anvende ansigtsgenkendelse ved F.C. Københavns fodboldkampe

Journalnummer: 2024-51-0012.

Resumé

F.C. København anmodede i sin ansøgning den 5. april 2024 om tilladelse til at behandle følsomme oplysninger i henhold til databeskyttelseslovens § 7, stk. 4. Ansøgningen omfattede behandling af biometriske data med det formål entydigt at identificere en person ved brug af automatisk ansigtsgenkendelse ved afvikling af ethvert arrangement i Parken og til F.C. Københavns udebanekampe på andre stadions end Parken Stadion.

Datatilsynet godkender ansigtsgenkendelse til F.C. Københavns kampe

Datatilsynet har – efter behandling af sagen i Datarådet – givet tilladelse til, at F.C. København kan anvende automatisk ansigtsgenkendelse ved klubbens kampe med henblik på at understøtte håndhævelsen af reglerne om klubkarantæner og generelle karantæner i forbindelse med fodboldkampe.

Teknologien kan derved benyttes ved adgangskontrollen ved indgangene til Parken Stadion, på stadion og ved mobile anlæg i forbindelse med afvikling af F.C. Københavns fodboldkampe, herunder træningskampe, med deltagelse af hold fra superligaen, 1. og 2. division, samt ved fodboldkampe i UEFA-regi.

Krav om konsekvensanalyse

Af tilladelsen fremgår det bl.a., at behandlingen skal overholde reglerne om udarbejdelse af en konsekvensanalyse – herunder særligt om kravene til indholdet af en konsekvensanalyse. Konsekvensanalysen skal være foretaget, inden behandlingen påbegyndes.

Endvidere har Datatilsynet, for god ordens skyld, gjort opmærksom på, at anvendelsen af billeder fra overvågningskameraer kan være omfattet af tv-overvågningslovens § 4c, stk. 4 og 5.

Tilladelsen omfatter ikke fodboldlandskampe

Datatilsynet er i øjeblikket ved at behandle den del af ansøgningen, der omhandler anvendelse af ansigtsgenkendelse i forbindelse med fodboldlandskampe. Datatilsynet har stillet F.C. København et par supplerende spørgsmål herom og forventer at træffe afgørelse om denne del af ansøgningen snarest.

For øvrige arrangementer, der ikke er fodboldkampe, har Datatilsynet afgjort, at behandling af biometriske data – og dermed anvendelse af ansigtsgenkendelsesteknologi – efter tilsynets opfattelse ikke kan anses for nødvendig af hensyn til væsentlige samfundsinteresser.

Afgørelse

Datatilsynet vender hermed tilbage til sagen, hvor advokatfirmaet Danders & More den 5. april 2024 har ansøgt om tilladelse til behandling af følsomme oplysninger i medfør af databeskyttelseslovens § 7, stk. 4, på vegne af F.C. København P/S (herefter F.C. København).

Indledningsvist skal Datatilsynet bemærke, at Datatilsynet dags dato har meddelt F.C. København tilladelse i medfør af databeskyttelsesforordningens § 7, stk. 4, til behandling af biometriske data ved brug af automatisk ansigtsgenkendelse på Parken Stadion i forbindelse med F. C. Københavns hjemmebanekampe og F.C. Københavns udebanekampe under nogle nærmere fastsatte vilkår. Det fremgår af den pågældende tilladelse, at den gælder ved afvikling af fodboldkampe, herunder træningskampe, med deltagelse af hold fra superligaen 1. og 2. division samt ved fodboldkampe i UEFA-regi. Datatilsynet har samtidig sendt en supplerende høring til advokatfirmaet Danders & More med henblik på færdigbehandling af F.C. Københavns ansøgning om tilladelse til at behandle biometriske data i forbindelse med fodboldlandskampe.

Datatilsynet skal bemærke, at i denne delafgørelse anvendes udtrykket ”øvrige arrangementer” om de arrangementer, der ikke er omfattet af Datatilsynets tilladelse af dags dato (som nævnt umiddelbart ovenfor), og som ikke er fodboldlandskampe.

1. Afgørelse

Efter en gennemgang af sagen har Datatilsynet – efter sagen har været forelagt for Datarådet – afgjort at F. C. København ikke meddeles tilladelse til at behandle biometriske data ved brug af automatisk ansigtsgenkendelse i forbindelse med afvikling af øvrige arrangementer på Parken Stadion.

2. Sagsfremstilling

Det fremgår af F.C. Københavns ansøgning, at F.C. København anmoder om tilladelse til at behandle biometriske data - med det formål entydigt at identificere en fysisk person ved brug af automatisk ansigtsgenkendelse - i forbindelse med afvikling af ethvert arrangement afviklet på Parken Stadion, herunder, men ikke begrænset til, koncerter, fodboldlandskampe, F.C. Københavns fodboldkampe, andre fodboldkampe og enhver anden type af begivenhed eller arrangement.

F.C. København har også ansøgt om tilladelse til at anvende automatisk ansigtsgenkendelse i forbindelse med F.C. Københavns udebanekampe på andre stadions end Parken Stadion.

F.C. København påtænker at implementere et ansigtsgenkendelsessystem, der kan foretage automatisk ansigtsgenkendelse ved at analysere og sammenligne optagelser fra overvågningskameraerne med fotos af uidentificerede og identificerede karantæneramte personer på henholdsvis 1) F.C. Københavns interne karantæneliste og 2) politiets generelle karantæneliste. Ansigtsgenkendelsessystemet skal benyttes med henblik på at øge sikkerheden på stadion.

F.C. København har endvidere oplyst, at F.C. København er dataansvarlig for behandling af personoplysninger i forbindelse med tv-overvågning på Parken Stadion ved ethvert arrangement på stadion, samt for sin interne karantæneliste og det påtænkte ansigtsgenkendelsessystem. Endvidere har F.C. København oplyst, at tredjeparter, der måtte have adgang til stadion, som udgangspunkt ikke anvender overvågningen til egne formål, og at disse tredjeparter ikke er ansvarlige for karantænelisterne.

2.1. F.C. Københavns bemærkninger for så vidt angår nødvendigheden af at behandle biometriske data ved anvendelse af ansigtsgenkendelsesteknologi ved enhver begivenhed afholdt på Parken Stadion

F.C. København har i sin ansøgning oplyst, at der endnu ikke er udstedt karantæner i forbindelse med afvikling af øvrige arrangementer. Årsagen hertil er, at fokus tidligere har været på tildeling af karantæner til fodboldkampe. I takt med den negative udvikling i de besøgendes adfærd, har F.C. København oplevet et øget behov for at håndhæve ordensreglementet til øvrige arrangementer i Parken, og dermed ikke kun i forbindelse med fodboldkampe. For så vidt angår nødvendigheden og proportionaliteten af at anvende ansigtsgenkendelse ved ethvert arrangement afviklet på Parken Stadion, har F.C. København anført i sit høringssvar af 20. august 2024, at:

”I henhold til Parken Stadions ordensreglement, forbeholder F.C. København sig ret til at tildele karantæne til enhver begivenhed på stadion, uanset om det er

  1. C. Københavns kampe, landsholdskampe, andre offentlige fodboldrelaterede arrangementer (fremvisninger, åbne træninger, fan-cups etc.) eller øvrige arrangementer (koncerter etc.).

F.C. København ønsker ikke, at personer, der har overtrådt ordensreglementet eller i øvrigt har begået strafbare forhold, på noget tidspunkt skal have adgang til Parken Stadion.

For at kunne håndhæve ordensreglementet, herunder karantænerne, er det nødvendigt at anvende automatisk ansigtsgenkendelse i forbindelse med enhver begivenhed på Parken Stadion og ikke alene ved fodboldkampe, idet F.C. København har samme udfordring med manuelt at identificere til øvrige arrangementer. Som beskrevet ovenfor, er ønsket, at karantæne til ethvert arrangement har en præventiv effekt.

Det vurderes således, at anvendelsen af ansigtsgenkendelse er proportional i forhold til det ønskede formål om at sikre ro og orden på stadion ved enhver begivenhed, hvilket blandt andet søges opnået ved tildeling og håndhævelse af karantæner.”

3. Begrundelse for Datatilsynets afgørelse

Begrebet biometriske data defineres ifølge databeskyttelsesforordningens artikel 4, nr. 14, som personoplysninger, der som følge af en specifik teknisk behandling vedrørende en fysisk persons fysiske, fysiologiske eller adfærdsmæssige karakteristika muliggør eller bekræfter en entydig identifikation af vedkommende, f.eks. ved ansigtsbillede eller fingeraftrykoplysninger.

Efter databeskyttelsesforordningens artikel 9, stk. 1, gælder der et forbud mod behandling af følsomme oplysninger, herunder behandling af biometriske data med det formål entydigt at identificere en fysisk person.

Forbuddet i stk. 1, finder ifølge bestemmelsens stk. 2 ikke anvendelse, hvis et af de i litra a-j nævnte forhold gør sig gældende, bl.a. hvis:

”g) Behandling er nødvendig af hensyn til væsentlige samfundsinteresser på grundlag af EU-retten eller medlemsstaternes nationale ret og står i rimeligt forhold til det mål, der forfølges, respekterer det væsentligste indhold af retten til databeskyttelse og sikrer passende og specifikke foranstaltninger til beskyttelse af den registreredes grundlæggende rettigheder og interesser.”

Databeskyttelsesforordningens artikel 9, stk. 2, litra g, kan ikke anvendes direkte, men forudsætter at bestemmelsen er forankret i national ret eller i EU-retten for, at udgangspunktet i artikel 9, stk. 1, om forbud mod behandling af følsomme oplysninger, kan fraviges.

Efter databeskyttelseslovens § 7, stk. 4, kan følsomme oplysninger omfattet af forbuddet i databeskyttelsesforordningens artikel 9, stk. 1, behandles, hvis behandlingen er nødvendig af hensyn til væsentlige samfundsinteresser, jf. artikel 9, stk. 2, litra g. Hvis behandlingen foretages af en privat dataansvarlig, er der et krav om indhentelse af en tilladelse hertil fra Datatilsynet. Tilsynet kan fastsætte nærmere vilkår for behandlingen.

Af de specielle bemærkninger til databeskyttelseslovens § 7, stk. 4, fremgår følgende[1]:

”I stk. 4 foreslås det at videreføre muligheden i persondatalovens § 7, stk. 7, for, at der kan behandles følsomme oplysninger med tilladelse fra tilsynsmyndigheden. Der kan således efter bestemmelsen behandles oplysninger omfattet af databeskyttelsesforordningens artikel 9, stk. 1, hvis behandling af oplysninger er nødvendig af hensyn til væsentlige samfundsinteresser, jf. databeskyttelsesforordningens artikel 9, stk. 2, litra g.

[…]

Bestemmelsen har karakter af en opsamlingsbestemmelse og forudsættes at have et snævert anvendelsesområde. Det er en betingelse for behandling efter bestemmelsen, at Datatilsynet giver tilladelse hertil, når behandlingen foretages af en privat dataansvarlig. Det er således overladt til tilsynet at foretage en vurdering af, om den pågældende behandling af oplysninger kan tillades af grunde, der kan siges at være nødvendige af hensyn til væsentlige samfundsinteresser.”

Efter en gennemgang af sagen er det Datatilsynets vurdering, at anvendelse af automatisk ansigtsgenkendelse – og dermed behandling af biometriske data - ved afholdelse af øvrige arrangementer på Parken Stadion, ikke kan anses for at stå i rimeligt forhold til formålet med behandlingen, og at der dermed ikke er tale om en behandling, der efter Datatilsynets opfattelse er nødvendig af hensyn til væsentlige samfundsinteresser.

Datatilsynet har herved lagt vægt på, at de hensyn, der gør sig gældende i forhold til at sikre ro og orden i forbindelse med fodboldkampe, ikke efter det oplyste er til stede for så vidt angår afholdelse af øvrige arrangementer i Parken. Datatilsynet har i denne forbindelse lagt særlig vægt på, at de hensyn, som F.C. København har angivet som begrundelse for anvendelse af automatisk ansigtsgenkendelse, ikke – efter det oplyste - ses at være baseret på konkrete problemer med sikkerheden ved andre arrangementer end afvikling af fodboldkampe. Endvidere har Datatilsynet lagt vægt på, at der efter det oplyste endnu ikke har været grundlag for at udstede en karantæne i forbindelse med afholdelse af øvrige arrangementer på Parken Stadion.

Endvidere har Datatilsynet lagt vægt på, at bestemmelsen i databeskyttelseslovens § 7, stk. 4, har et snævert anvendelsesområde. Der skal således foreligge tungtvejende grunde, hvis behandlingen skal kunne anses for at være nødvendig af hensyn til væsentlige samfundsinteresser.

Det er herefter Datatilsynets vurdering, at anvendelsen af automatisk ansigtsgenkendelse – og dermed behandlingen af biometriske data – i forbindelse med afholdelse af øvrige arrangementer på Parken Stadion, ikke står i rimeligt forhold til formålet om at sikre ro og orden på stadion ved øvrige arrangementer.  

[1]   Forslag til lov nr. 502 af 23. maj 2018, lovforslag nr. 68, FT 2017/2018, specielle bemærkninger til § 7, stk. 4.