1. DLA Piper Denmark Advokatpartnerselskab har den 30. november 2022 på vegne af Brøndby IF rettet fornyet henvendelse til Datatilsynet om udvidet brug af automatisk ansigtsgenkendelse.
Datatilsynet meddelte den 24. maj 2019 – i henhold til databeskyttelseslovens § 7, stk. 4 – tilladelse til behandling af følsomme personoplysninger omfattet af databeskyttelsesforordningens 9 – biometriske data med det formål entydigt at identificere en fysisk person – i forbindelse med etableringen af automatisk ansigtsgenkendelse som led i adgangskontrol ved indgangene til Brøndby Stadion.
2. Brøndby IF’s anmodning
2.1. I henvendelsen af 30. november 2022 anmodes der om, at Brøndby IF kan anvende automatisk ansigtsgenkendelse ved kampe på andre stadions end Brøndby Stadion.
Som baggrund herfor fremgår det af henvendelsen, at erfaringerne med anvendelsen af automatisk ansigtsgenkendelse generelt har været gode.
Brøndby IF har imidlertid konstateret, at personer, der med baggrund i ordensreglementet for Brøndby Stadion er meddelt forbud mod tilstedeværelse til fodboldkampe med deltagelse af Brøndby IF – uanset hvor disse kampe spilles – har formået at opnå adgang til kampe på andre stadions, hvor de har udvist en adfærd svarende til den, der førte til, at de blev meddelt forbud mod tilstedeværelse til kampe med deltagelse af Brøndby IF, herunder udøvelse af vold og hærværk samt anden utryghedsskabende adfærd – såvel inde på stadion som i området omkring stadion og på rejsestrækningen til og fra stadion.
Anvendelsen af systemet vil – som følge af tilhængernes placering ved udebanekampe og fremgangsmåden ved køb af billetter mv. – alene vedrøre personer, der er identificeret som tilhængere af Brøndby IF, og som er genstand for en tilsvarende behandling i forbindelse med kampe på Brøndby Stadion.
2.2. Der anmodes endvidere om, at Brøndby IF kan udvide brugen af automatisk ansigtsgenkendelse på Brøndby Stadion.
Som baggrund herfor fremgår det af henvendelsen, at den oprindelige ansøgning, som lå til grund for Datatilsynets tilladelse af 24. maj 2019, tog udgangspunkt i et ønske om at kunne afvise personer, der allerede var meddelt forbud mod ophold på Brøndby Stadion.
Det kan imidlertid være vanskeligt at pågribe personer, der i forbindelse med en lovlig adgang til stadion overtræder ordensreglementet for Brøndby Stadion eller Superligaens ordensreglement på en sådan måde, at de skal meddeles karantæne – ofte fordi det vurderes at være sikkerhedsmæssigt uforsvarligt, såfremt kontrollører forsøger at pågribe de pågældende under kampen, da dette kan medføre fare eller betydelig gene for andre tilskuere, der befinder sig i området.
Brøndby IF ønsker derfor at kunne benytte billeder fra overvågningskameraer på stadion som grundlag for at registrere personer, der overtræder ordensreglementet, i systemet til automatisk ansigtsgenkendelse, således at de pågældende kan pågribes, når de efterfølgende forsøger at få adgang til Brøndby Stadion igen.
3. Datatilsynets vurdering
Sagen har været behandlet på et møde i Datarådet
3.1. Det er Datatilsynets opfattelse, at de forhold, som begrundede, at tilsynet meddelte tilladelse til den omhandlede behandling i forbindelse med brugen af automatisk ansigtsgenkendelse som led i adgangskontrol ved indgangene til Brøndby Stadion, også må anses for at gøre sig gældende i forhold til Brøndby IF’s udebanekampe, dvs. kampe på andre stadions end Brøndby Stadion.
Når der samtidig henses til, at der ikke – eller kun i meget begrænset omfang – vil ske behandling af særlige kategorier af personoplysninger – biometriske data med det formål entydigt at identificere en fysisk person – om andre, f.eks. hjemmeholdets tilhængere, er det Datatilsynets vurdering, at Brøndby IF – inden for rammerne af den af 24. maj 2019 meddelte tilladelse – også kan anvende (mobil) ansigtskendelse ved kampe på andre stadions end Brøndby Stadion.
Brøndby IF skal i den forbindelse være opmærksom på den fysiske sikkerhed omkring det mobile system til automatisk ansigtsgenkendelse, således at uvedkommende ikke kan få adgang til personoplysninger i systemet.
3.2. Det er endvidere Datatilsynets vurdering, at Brøndby IF – inden for rammerne af den meddelte tilladelse – kan anvende billeder fra overvågningskameraer på stadion som grundlag for i systemet til automatisk ansigtsgenkendelse at registrere personer, der overtræder ordensreglementet.
Brøndby IF er imidlertid stadig forpligtet til at overholde vilkårene i tilladelsen.
Det indebærer bl.a., at meddelelse af karantæne – og herunder anvendelsen af billeder fra overvågningskameraer på stadion – skal ske på et sagligt og proportionalt grundlag i forhold til overtrædelse af ordensreglementet for Brøndby IF og Superligaen.
Endvidere indebærer det, at Brøndby IF skal iagttage oplysningspligten ved indsamling af personoplysninger. Brøndby IF skal desuden ved skiltning eller på anden tydelig måde give oplysning om, at der foretages adgangskontrol, herunder behandling af biometriske data ved brug af et automatisk ansigtsgenkendelsessystem.
Datatilsynet skal herudover for god ordens skyld henlede Brøndby IF’s opmærksomhed på, at anvendelsen af billeder fra overvågningskameraerne kan være omfattet af reglerne i tv-overvågningslovens § 4 c, stk. 4 og 5. Dette vil være tilfældet, hvis overvågningskameraerne på stadion er sat op i kriminalitetsforebyggende øjemed, og hvis Brøndby IF – fremfor en template – anvender, herunder i systemet til automatisk ansigtsgenkendelse, et egentligt billede, som hidrører fra overvågningskameraerne på stadion.
Hvis dette er tilfældet, skal Brøndby IF være opmærksom på det nedenstående.
Af tv-overvågningslovens § 4 c, stk. 4, følger det, at optagelser som nævnt i stk. 1, dvs. billed- og lydoptagelser med personoplysninger, der optages i forbindelse med tv-overvågning i kriminalitetsforebyggende øjemed, skal slettes, senest 30 dage efter at optagelserne er foretaget, jf. dog stk. 5.
Med billed- og lydoptagelser forstås såvel stillbilleder som levende billeder.
Dette indebærer efter Datatilsynets opfattelse, at de billeder fra overvågningskameraerne på stadion, der ønskes registreret i systemet til automatisk ansigtsgenkendelse, som udgangspunkt skal slettes senest 30 dage efter at optagelserne er foretaget. Dette gælder også billeder, som er ”overført” til ansigtsgenkendelsessystemet.
Det følger imidlertid af tv-overvågningslovens § 4 c, stk. 5, at optagelser kan opbevares i et længere tidsrum end nævnt i stk. 4, hvis det er nødvendigt af hensyn den dataansvarliges behandling af en konkret tvist. Er opbevaring nødvendig af hensyn til en konkret tvist, skal den dataansvarlige inden for den frist, der er angivet i stk. 4, underrette den, som tvisten vedrører, og på anmodning udlevere en kopi af optagelsen til den pågældende.
Det er efter Datatilsynets opfattelse nærliggende at anse Brøndby IF’s meddelelse og håndhævelse af en karantæne som behandling af en konkret tvist. Billeder – hidrørende fra overvågningskameraerne på stadion – vil således kunne opbevares i længere tid end 30 dage.
Det er derfor Datatilsynets vurdering, at tv-overvågningslovens § 4 c, stk. 4, ikke vil være til hinder for, at Brøndby IF anvender billeder fra overvågningskameraer på stadion som grundlag for i systemet til automatisk ansigtsgenkendelse at registrere personer, der overtræder ordensreglementet.
I modsætning til oplysningspligten efter databeskyttelsesforordningens artikel 14 ses underretningspligten i tv-overvågningslovens § 4 c, stk. 5, 2. pkt. ikke at indeholde undtagelser.
De personer, der fremgår af et billede, som opbevares i længere tid end 30 dage, hidrørende fra overvågningskameraerne på stadion, vil derfor skulle underrettes herom og vil kunne anmode om en kopi af billedet.