Journalnummer: 2024-51-0014.
Resumé
Divisionsforeningen anmodede i sin ansøgning af 3. oktober 2024 på vegne af klubberne i Superligaen og 1. division om tilladelse til at behandle biometriske data i henhold til databeskyttelseslovens § 7, stk. 4. Ansøgningen omfattede behandling af biometriske data med det formål entydigt at identificere en person ved brug af automatisk ansigtsgenkendelse ved afvikling af fodboldlandskampe, fodboldkampe, herunder træningskampe, med deltagelse af hold fra Superligaen, 1. og 2. division, samt ved fodboldkampe i UEFA-regi.
Datatilsynet godkender ansigtsgenkendelse til Superligaklubbernes kampe
Datatilsynet har – efter behandling af sagen i Datarådet – givet tilladelse til, at klubberne i Superligaen (sæson 2025/2026) kan anvende automatisk ansigtsgenkendelse ved klubbernes fodboldkampe med henblik på at understøtte håndhævelsen af reglerne om klubkarantæner og generelle karantæner i forbindelse med fodboldkampe.
Ét af vilkårene i tilladelsen til Superligaklubberne er, at tilladelsen alene gælder, når den pågældende klub er en del af Superligaen.
Da Brøndbyernes I.F. Fodbold A/S og F.C. København P/S i forvejen har eksisterende tilladelser, har Datatilsynet ikke meddelt ny tilladelse til disse to klubber.
Datatilsynet meddeler afslag på ansigtsgenkendelse til klubberne i 1. division
Datatilsynet har samtidig afgjort, at klubberne i 1. division ikke meddeles tilladelse, da anvendelse af ansigtsgenkendelsesteknologi – og dermed behandling af biometriske data – generelt i 1. division ikke kan anses for at stå i rimeligt forhold til formålet med behandlingen, og at der dermed ikke er tale om en behandling, der efter Datatilsynets opfattelse er nødvendig af hensyn til væsentlige samfundsinteresser.
Krav om konsekvensanalyse
Af tilladelserne til Superligaklubberne fremgår det bl.a., at behandlingen skal overholde reglerne om udarbejdelse af en konsekvensanalyse – herunder særligt om kravene til indholdet af en konsekvensanalyse. Konsekvensanalysen skal være foretaget, inden behandlingen påbegyndes.
Endvidere har Datatilsynet, for god ordens skyld, gjort opmærksom på, at anvendelsen af billeder fra overvågningskameraer kan være omfattet af tv-overvågningslovens § 4c, stk. 4 og 5.
Tilladelserne omfatter ikke fodboldlandskampe
Efter Datatilsynet traf afgørelse i sagen har Divisionsforeningen oplyst, at der ikke på nuværende tidspunkt er et konkret behov for at anvende automatisk ansigtsgenkendelse i forbindelse med fodboldlandskampe på andre stadions end Parken og Brøndby Stadion.
Det bemærkes i den forbindelse, at F.C. København P/S og Brøndbyernes I.F. Fodbold A/S allerede har tilladelse til at behandle biometriske data i forbindelse med fodboldlandskampe.
Datatilsynet har på den baggrund meddelt Divisionsforeningen, at såfremt der opstår et konkret behov på andre stadions, har Divisionsforeningen mulighed for at ansøge om tilladelse til at behandle biometriske data ved fodboldlandskampe på disse stadions.
Afgørelse
Datatilsynet vender hermed tilbage til sagen, hvor DLA Piper Denmark Advokatpartnerselskab den 3. oktober 2024 på vegne af Divisionsforeningen og de 12 fodboldklubber i Superligaen og 12 fodboldklubber i 1. division har ansøgt om tilladelse i medfør af databeskyttelseslovens § 7, stk. 4, til behandling af biometriske data.
Da F.C. København P/S[1] og Brøndbyernes Fodbold I.F. A/S[2] i forvejen har en eksisterende tilladelse til at behandle biometriske data med henblik på håndhævelse af karantæner ved afvikling af fodboldkampe, har Datatilsynet ikke meddelt endnu en tilladelse til disse to Superliga-klubber.
1. Afgørelse
Efter en gennemgang af sagen har Datatilsynet – efter at sagen har været behandlet i Datarådet – afgjort, at der ikke meddeles tilladelse til de 12 fodboldklubber, som er en del af 1. division, til at behandle biometriske data ved brug af automatisk ansigtsgenkendelse med henblik på håndhævelse af karantæner.
Datatilsynet har samtidig afgjort, at der meddeles tilladelse til de fodboldklubber, som er en del af Superligaen i sæson 2025/2026 – og som ikke allerede har tilladelse hertil – til at behandle biometriske data ved brug af automatisk ansigtsgenkendelse ved afvikling af fodboldkampe, herunder træningskampe, med deltagelse af hold fra Superligaen, 1. og 2. division, samt ved fodboldkampe i UEFA-regi, med henblik på håndhævelse af karantæner. Et af vilkårene i tilladelsen er, at tilladelsen alene gælder, når den pågældende klub er en del af Superligaen, og når den pågældende klub er selvstændig dataansvarlig for behandling af personoplysninger for så vidt angår tv-overvågningen og ansigtsgenkendelsessystemet.
2. Sagsfremstilling
2.1. Om Divisionsforeningens ansøgning
Divisionsforeningen har den 3. oktober 2024 på vegne af de 12 fodboldklubber, der på det tidspunkt var en del af Superligaen og de 12 fodboldklubber, der var en del af 1. division, ansøgt om tilladelse til behandling af biometriske data ved brug af automatisk ansigtsgenkendelse i forbindelse med afviklingen af fodboldkampe, hvor reglerne om udstedelse af karantæne finder anvendelse[3].
Det omfatter (1) fodboldlandskampe, (2) fodboldkampe, herunder træningskampe, med deltagelse af hold fra Superligaen, 1. og 2. division samt (3) internationale fodboldkampe i UEFA-regi.
Divisionsforeningen har endvidere i forhold til ansøgningens omfang oplyst, at:
”Det ikke er hensigten generelt at etablere automatisk ansigtsgenkendelse for alle klubber i 1. division.
Formålet med at søge tilladelse på vegne af klubberne i 1. division er således dels et ønske om at sikre, at de to klubber, der rykker op i Superligaen i sommeren 2025 vil have den nødvendige tilladelse for at kunne introducere automatisk ansigtsgenkendelse fra starten af sæsonen 2025/2026, og dels at klubber, som rykker ned fra Superligaen vil have mulighed for at opretholde en effektiv håndhævelse af karantæner, så karantæner pålagt inden nedrykning ikke mister værdi og dermed præventiv effekt efter en nedrykning.”
2.2. Om dataansvaret
Divisionsforeningen har oplyst, at den enkelte klub er selvstændig dataansvarlig for behandlingen af personoplysninger i forbindelse med egne karantænelister, og at den enkelte klub vil være selvstændig dataansvarlig for behandling af personoplysninger i forbindelse med brug af det påtænkte ansigtsgenkendelsessystem.
Divisionsforeningen har også oplyst, at flertallet af klubberne lejer stadionfaciliteter, og at de enkelte klubber er dataansvarlige for tv-overvågningen på stadion i lejeperioden.
Divisionsforeningen har således generelt oplyst, at den klub, som er hjemmehørende på stadion, er dataansvarlig for tv-overvågningen og anvendelsen af automatisk ansigtsgenkendelse, f.eks. også i de tilfælde, hvor der afvikles en fodboldkamp på et neutralt stadion, f.eks. ved pokalfinalen.
Endvidere har Divisionsforeningen oplyst, at politiet er dataansvarlig for så vidt angår oplysninger, der registreres i det nationale karantæneregister (det såkaldte ”hooligan-register”).
2.3. Om udstedelse af karantæner
Divisionsforeningen har oplyst, at når der opstår uroligheder ved fodboldkampe på de stadions, hvor fodboldhold fra Superligaen og 1. division deltager, kan der meddeles karantæne efter to forskellige karantænelister – politiets generelle karantæneliste og klubbernes interne karantænelister.
En klubkarantæne kan meddeles, hvis en person har overtrådt den enkelte klubs ordensreglement (stadionreglement) eller Superligaens ordensreglement. En klub kan kun tildele karantæne i forhold til egne tilskuere og/eller kampe på eget stadion.
Divisionsforeningen har oplyst, at alle klubberne i Superligaen og 1. division har forpligtet sig til at efterleve Superligaens ordensreglement, og at de enkelte klubbers stadionreglementer derfor overordnet set er identiske.
Klubberne fører en intern karantæneliste, hvor de personer, der er meddelt karantæne af klubben, registreres. De personer, som skal meddeles karantæne, men hvor dette endnu ikke er sket, registreres også på en såkaldt interesseliste.
Efter lov om sikkerhed ved bestemte idrætsbegivenheder[4] kan politiet, når det er nødvendigt af hensyn til opretholdelse af ro og orden, meddele personer generel karantæne. Meddeles en person generel karantæne, registreres oplysninger om vedkommende i politiets register. Ved afholdelse af idrætsbegivenheder kan politiet i medfør af loven videregive de registrerede oplysninger til autoriserede kontrollører hos de relevante fodboldklubber med henblik på håndhævelse af karantæner.
2.4. Om baggrunden for Divisionsforeningens ansøgning
Divisionsforeningen har bl.a. i sin ansøgning af 3. oktober 2024 oplyst følgende om baggrunden for ansøgningen:
”I løbet af de seneste 2 år har der i alt været lidt over 3,9 millioner tilskuere til fodboldkampe i den danske Superliga, svarende til ca. 1,96 millioner tilskuere pr. sæson eller ca. 10.160 tilskuere til hver af i alt 386 kampe, der er afviklet i løbet af de to sæsoner.
Desværre synes der i samme periode at være sket en negativ udvikling i visse dele af miljøet omkring de største danske fodboldklubber på herresiden. Således har der været uroligheder på og omkring stadions, som har ført til, at flere betjente er kommet til skade, ligesom der er set eksempler på forulempelse af borgere og – formentlig planlagte – sammenstød mellem grupperinger på offentlige pladser og i offentlig transport, hvor tilfældige borgere har lidt skade på person og/eller ejendom.”
Endvidere har Divisionsforeningen oplyst følgende i sin supplerende udtalelse af 14. marts 2025:
”Med et stigende antal tilskuere til fodboldkampe i Danmark – særligt kampe i Superligaen og internationale kampe, samt et stigende antal overtrædelse af Superligaens ordensreglement – har klubberne imidlertid brug for forbedrede værktøjer for at sikre en effektiv håndhævelse af karantæner, samtidig med at det fortsat er muligt at sikre et smidigt forløb ved adgangskontrol til stadion, idet en større ophobning af personer ved indgangene til stadion alt andet lige vil øge risikoen for uroligheder allerede ved indgangen til stadion.
For de klubber, der på nuværende tidspunkt ikke kan benytte automatisk ansigtsgenkendelse, foregår kontrollen ved, at kontrollører med udgangspunkt i fysiske lister manuelt skal forsøge at genkende de personer, der skal hindres i at opnå adgang til stadion, hvilket i praksis er umuligt, når et meget stort antal personer skal passere indgangen indenfor kort tid.
Baseret på erfaringer fra Brøndbyernes I.F. Fodbold A/S, som har benyttet automatisk ansigtsgenkendelse siden 2019, ser klubberne denne teknologi som et – og sandsynligvis det eneste – redskab, der på en hensigtsmæssig måde kan understøtte en effektiv håndhævelse af karantæner, uden at dette har væsentlig negativ effekt på smidigheden ved adgangskontrollen. Automatisk ansigtsgenkendelse vil langt bedre end det menneskelige øje kunne genkende personer, uanset at de eventuelt har forsøgt at ændre deres udseende (f.eks. ændret frisure eller skæg) og vil samtidig kunne gøre dette med en hastighed, som ikke påvirker flowet ved indgangene negativt. Ydermere vil brugen af automatisk ansigtsgenkendelse fjerne behovet for, at der findes fysiske karantænelister ved indgangene, og dermed eliminere en ikke ubetydelig risiko for, at indholdet af karantænelisterne kommer til uvedkommendes kendskab.
Klubberne anser derfor anvendelsen af automatisk ansigtsgenkendelse som både nødvendig og saglig for på en effektiv måde at understøtte lovgivers bestræbelser på at bekæmpe uro og utryghedsskabende adfærd ved fodboldkampe.
For så vidt angår proportionalitet lægger klubberne vægt på, at behandling af biometriske oplysninger for personer, der ikke er registreret på en relevant karantæneliste, har en varighed på højst nogle få sekunder, hvorefter data – i form af den biometriske repræsentation af personens ansigt – er uigenkaldeligt slettet og herefter kun findes på almindelig videoovervågning på stadion.
Det er klubbernes opfattelse, at behandlingen for de mange, om hvem systemet alene skal fastslå, at de ikke er afskåret fra at få adgang, er så kortvarig, at det – uanset at behandlingen omfatter behandling af biometriske oplysninger – vil være en proportional foranstaltning for at pågribe personer, der er pålagt karantæne, og derved forhindre de relativt få problematiske tilskuere i at ødelægge oplevelsen for de mange, der blot ønsker en god og tryg oplevelse ved at overvære en fodboldkamp.”
Divisionsforeningen har oplyst, at der er opsat tv-overvågning på de enkelte stadions, og at overvågningen har stor betydning i de situationer, hvor det vil være forbundet med fare for flere tilskuere og kontrollører, hvis kontrolløren forsøger at pågribe en person med fare- eller utryghedsskabende adfærd, og hvor pågribelse derfor undlades af hensyn til den samlede sikkerhed. Billederne fra tv-overvågningen giver derefter mulighed for at pågribe de relevante personer og pålægge dem karantæne ved senere forsøg på at opnå adgang til stadion. Effektiviteten af dette er dog begrænset, bl.a. da antallet af tilskuere er højt, og tilskuerne på kort tid passerer indgangene til stadion, hvor kontrollørernes identifikation på nuværende tidspunkt sker ved manuel genkendelse ved brug af fysiske lister. Det betyder, at overvågningsbillederne i praksis bruges som redskab til at undersøge og dokumentere hændelser. Divisionsforeningen har oplyst, at den manuelle identifikation ved hjælp af billeder fra overvågningen i praksis ikke er tilstrækkelig effektiv til at håndhæve karantæner, hvorfor Divisionsforeningen og klubberne ønsker at implementere det påtænkte ansigtsgenkendelsessystem med henblik på håndhævelse af karantæner.
Derudover har Divisionsforeningen oplyst, at en af de grundlæggende overvejelser bag ønsket om at indføre generel brug af automatisk ansigtsgenkendelse i Superligaen er at forsøge at komme på forkant med udviklingen, så løsningen – ud over at understøtte reglerne om håndhævelse af karantæner – også er med til at forebygge en forskydning af de voldelige og utryghedsskabende tilskuere. Divisionsforeningen har anført, at hvis der ikke er ensartet adgangskontrol på stadions, vil problemerne med de voldelige og utryghedsskabende tilskuere flytte eller brede sig, f.eks. så der sker en forskydning af fangrupper, der opsøger stadions, som har en mindre effektiv adgangskontrol.
Divisionsforeningen har også oplyst, at den nuværende udvikling i fodboldmiljøet påvirker alle klubber i Superligaen, og at det bl.a. ses ved hyppigheden og alvorligheden af tilfælde, hvor større grupperinger deltager i deres tilhørende klubs kampe på andre stadions, hvor grupperinger tilsyneladende opsøger steder, hvor grupperinger fra andre klubber befinder sig – og at der f.eks. er set eksempler på sammenstød mellem grupperinger fra to klubber fra hovedstadsområdet i forbindelse med fodboldkampe på forskellige stadions i Jylland.
Ifølge Divisionsforeningen rammer denne tendens klubber, der selv har begrænsede udfordringer med egne tilhængere, da personer, som pålægges en klubkarantæne, kan udnytte, at det er svært at håndhæve karantænen i forbindelse med de fodboldkampe, hvor klubben spiller på udebane. Dette betyder, at en person meddelt en klubkarantæne kan opnå adgang til disse stadions, og igen her udvise en uønsket adfærd i strid med ordensreglementet. Derfor er det klubbernes vurdering, at det – for at opnå den ønskede effekt af klubkarantænerne – er nødvendigt at disse håndhæves konsekvent (på samme effektive måde), uanset hvor i landet en kamp afvikles, og at dette endvidere vil øge karantænernes præventive effekt.
Divisionsforeningen har endvidere oplyst, at det er nødvendigt, at en klub, som rykker ned fra Superligaen til 1. division, fortsat kan gøre brug af automatisk ansigtsgenkendelse med henblik på håndhævelse af karantæner, da der efter hver sæson sker en op- og nedrykning mellem de to ligaer. Udover de ovenstående mere generelle betragtninger er begrundelsen for den fortsatte brug, at de nedrykkede klubber ofte har et relativt højt tilskuerantal (særligt på hjemmebane), og fordi karantæne af flere års varighed ellers vil være vanskelig at håndhæve uden automatisk ansigtsgenkendelse.
Endvidere har Divisionsforeningen oplyst, at det planlægges, at kameraerne med den automatiske ansigtsgenkendelse alene implementeres ved indgange til de afsnit, hvor de særligt uroskabende grupperinger befinder sig – de såkaldte stemningstribuner – inklusive ved indgangen til udebaneafsnittet. Udgangspunktet er således, at kameraerne ikke vil blive opsat ved indgange til andre dele af stadion, hvor dette segment ikke forventes at færdes, f.eks. ved familietribuner, VIP- og sponsorområder og lignende, men at brugen afgrænses til de områder, hvor problemerne befinder sig.
Endelig har Divisionsforeningen fremsendt bilag til ansøgningen med data for de pågældende klubbers antal af meddelte karantæner m.v. Bilaget viser bl.a., hvor mange karantæner en klub har meddelt samt antallet af overtrædelser af ordensreglementet, som ikke har ført til pågribelse. Det fremgår bl.a. af bilaget, at problemerne er størst for klubberne i Superligaen. Divisionsforeningen har oplyst, at klubberne i 1. division historisk set i mindre omfang har gjort brug af karantæner, herunder at det primært er blevet brugt af klubber, som de seneste 2-3 år har været en del af Superligaen. Divisionsforeningen har også oplyst, at klubberne imidlertid også oplever adfærd i strid med ordensreglementet ved fodboldkampe i 1. division, om end omfanget er mindre end i Superligaen.
3. Begrundelse for Datatilsynets afgørelse
Begrebet biometriske data defineres ifølge databeskyttelsesforordningens artikel 4, nr. 14, som personoplysninger, der som følge af en specifik teknisk behandling vedrørende en fysisk persons fysiske, fysiologiske eller adfærdsmæssige karakteristika muliggør eller bekræfter en entydig identifikation af vedkommende, f.eks. ved ansigtsbillede eller fingeraftrykoplysninger.
Efter databeskyttelsesforordningens artikel 9, stk. 1, gælder der et forbud mod behandling af følsomme oplysninger, herunder behandling af biometriske data med det formål entydigt at identificere en fysisk person.
Forbuddet i stk. 1 finder ifølge bestemmelsens stk. 2 ikke anvendelse, hvis et af de i litra a-j nævnte forhold gør sig gældende, bl.a. hvis:
”g) Behandling er nødvendig af hensyn til væsentlige samfundsinteresser på grundlag af EU-retten eller medlemsstaternes nationale ret og står i rimeligt forhold til det mål, der forfølges, respekterer det væsentligste indhold af retten til databeskyttelse og sikrer passende og specifikke foranstaltninger til beskyttelse af den registreredes grundlæggende rettigheder og interesser.”
Databeskyttelsesforordningens artikel 9, stk. 2, litra g, kan ikke anvendes direkte, men forudsætter at bestemmelsen er forankret i national ret eller i EU-retten, for at udgangspunktet i artikel 9, stk. 1, om forbud mod behandling af følsomme oplysninger kan fraviges.
Efter databeskyttelseslovens § 7, stk. 4, kan følsomme oplysninger omfattet af forbuddet i databeskyttelsesforordningens artikel 9, stk. 1, behandles, hvis behandlingen er nødvendig af hensyn til væsentlige samfundsinteresser, jf. artikel 9, stk. 2, litra g. Hvis behandlingen foretages af en privat dataansvarlig, er der et krav om indhentelse af en tilladelse hertil fra Datatilsynet. Tilsynet kan fastsætte nærmere vilkår for behandlingen.
Af de specielle bemærkninger til databeskyttelseslovens § 7, stk. 4, fremgår følgende[5]:
”I stk. 4 foreslås det at videreføre muligheden i persondatalovens § 7, stk. 7, for, at der kan behandles følsomme oplysninger med tilladelse fra tilsynsmyndigheden. Der kan således efter bestemmelsen behandles oplysninger omfattet af databeskyttelsesforordningens artikel 9, stk. 1, hvis behandling af oplysninger er nødvendig af hensyn til væsentlige samfundsinteresser, jf. databeskyttelsesforordningens artikel 9, stk. 2, litra g.
[…]
Bestemmelsen har karakter af en opsamlingsbestemmelse og forudsættes at have et snævert anvendelsesområde. Det er en betingelse for behandling efter bestemmelsen, at Datatilsynet giver tilladelse hertil, når behandlingen foretages af en privat dataansvarlig. Det er således overladt til tilsynet at foretage en vurdering af, om den pågældende behandling af oplysninger kan tillades af grunde, der kan siges at være nødvendige af hensyn til væsentlige samfundsinteresser.”
Efter en gennemgang af sagen – og efter at sagen har været behandlet i Datarådet – er det Datatilsynets vurdering, at anvendelse af automatisk ansigtsgenkendelse (og herved behandlingen af biometriske data) generelt i 1. division ikke kan anses for at stå i rimeligt forhold til formålet med behandlingen, og at der dermed ikke er tale om en behandling, der efter Datatilsynets opfattelse er nødvendig af hensyn til væsentlige samfundsinteresser.
Datatilsynet har fundet grundlag for at meddele tilladelse i medfør af databeskyttelseslovens § 7, stk. 4, til behandling af biometriske data til klubber i Superligaen i sæson 2025/2026.
Datatilsynet har ved sin vurdering af alene at meddele tilladelse til klubberne i Superligaen – og ikke til de 12 fodboldklubber i 1. division – lagt vægt på, at der efter det oplyste ikke er de samme udfordringer med uroligheder m.v. ved afvikling af fodboldkampe i 1. division. Datatilsynet har i den forbindelse også lagt vægt på det oplyste om verserende karantænesager i forbindelse med afvikling af fodboldkampe i 1. division, og at antallet af tilskuere ved afvikling af fodboldkampe i 1. division generelt er signifikant lavere end ved afvikling af fodboldkampe i Superligaen. Endvidere har Datatilsynet lagt vægt på det oplyste om, at behovet for at sikre ro og orden ved at anvende automatisk ansigtsgenkendelse i forbindelse med håndhævelse af karantæner er større i Superligaen.
Datatilsynet har i forlængelse af ovenstående endvidere lagt vægt på, at bestemmelsen i databeskyttelseslovens § 7, stk. 4, har et snævert anvendelsesområde, og at der således skal foreligge tungtvejende grunde, hvis behandlingen skal kunne anses for at være nødvendig af hensyn til væsentlige samfundsinteresser.
Da F.C. København P/S og Brøndbyernes Fodbold I.F. A/S i forvejen har en eksisterende tilladelse til at behandle biometriske data med henblik på håndhævelse af karantæner i forbindelse med afvikling af fodboldkampe, har Datatilsynet ikke meddelt en ny tilladelse til disse to Superliga-klubber.
[1] Datatilsynets j.nr. 2024-51-0012.
[2] Datatilsynets j.nr. 2018-51-0332 og 2022-51-0375.
[3] Bekendtgørelse nr. 650 af 26. juni 2008 om sikkerhed ved bestemte begivenheder som senest ændret ved bekendtgørelse
nr. 1110 af 29. juni 2023.
[4] Lovbekendtgørelse nr. 1216 af 27. oktober 2015 om sikkerhed ved bestemte idrætsbegivenheder mv. senest ændret ved lov nr. 742 af 13. juni 2023.
[5] Forslag til lov nr. 502 af 23. maj 2018, lovforslag nr. 68, FT 2017/2018, specielle bemærkninger til § 7, stk. 4.