Ny tilladelse

F.C. København får tilladelse til brug af automatisk ansigtsgenkendelse

Dato: 18-12-2024

Datatilsynet har – efter ansøgning fra F.C. København – givet tilladelse til, at klubben kan anvende ansigtsgenkendelse ved F.C. Københavns fodboldkampe.

Ovenstående behandling indebærer behandling af biometriske data omfattet af forbuddet i databeskyttelsesforordningens artikel 9, stk. 1. I medfør af forordningens artikel 9, stk. 2, litra g, gælder forbuddet mod behandling af følsomme oplysninger ikke, såfremt behandlingen er nødvendig af hensyn til væsentlige samfundsinteresser. I medfør af databeskyttelseslovens § 7, stk. 4, skal Datatilsynet give tilladelse til en sådan behandling, når den ikke foretages for en offentlig myndighed.

Datatilsynet meddeler – efter at sagen har været forelagt for Datarådet – hermed F.C. København P/S.

Tilladelse til behandling af biometriske data i medfør af databeskyttelseslovens § 7, stk. 4, ved brug af automatisk ansigtsgenkendelse på Parken Stadion i forbindelse med F. C. Københavns hjemmebanekampe og i forbindelse med F.C. Københavns udebanekampe

Tilladelsen til behandling af biometriske data med det formål entydigt at identificere en fysisk person, ved brug af automatisk ansigtsgenkendelse, gives på følgende vilkår:

  1. Tilladelsen gælder ved afvikling af fodboldkampe, herunder træningskampe, med deltagelse af hold fra superligaen, 1. og 2. division, samt ved fodboldkampe i UEFA-regi.

  2. Meddelelse af karantæne skal ske på et sagligt og proportionalt grundlag i forhold til den begåede overtrædelse af ordensreglementet for Parken Stadion og Superligaen.

  3. Personoplysninger, der behandles som led i ansigtsgenkendelsessystemet, der ikke resulterer i et match med oplysninger hidrørende fra 1) F.C. Københavns interne karantæneliste eller 2) politiets generelle karantæneliste, må ikke lagres.

  4. Personoplysninger, der behandles som led i ansigtsgenkendelsessystemet, der resulterer i et match med oplysninger hidrørende fra 1) F.C. Københavns interne karantæneliste eller 2) politiets generelle karantæneliste, skal slettes umiddelbart efter enhver kamp.

  5. C. København skal iagttage oplysningspligten ved indsamling af personoplysninger. F.C. København skal desuden ved skiltning eller på anden tydelig måde give oplysning om, at der foretages adgangskontrol, herunder behandling af biometriske data ved brug af et automatisk ansigtsgenkendelsessystem.

  6. Personoplysninger, der behandles som led i ansigtsgenkendelsessystemet, skal transporteres til og opbevares krypteret på serveren med ajourførte og bredt anerkendte krypteringsalgoritmer. Dette gælder også for så vidt angår brug af mobilt udstyr ved udebanekampe.

  7. Overvågningskameraerne skal installeres på et separat VLAN og må ikke være eksponeret mod internettet.

  8. C. København skal føre adgangskontrol med ansigtsgenkendelsessystemet, herunder sikre
  • autorisation af medarbejdere til betjening af ansigtsgenkendelsessoftwaren og logning af manuelle opslag i log-in processen.
  • anvendelse af multifaktorautentifikation i log-in processen.

  1. Eventuelle ændringer i de forhold, der er omfattet af tilladelsen, skal meddeles Datatilsynet.

Ovenstående vilkår gælder indtil videre. Datatilsynet forbeholder sig ret til at tage vilkår op til revision, såfremt der skulle vise sig behov herfor.

Ovenstående vilkår er supplerende og præciserende i forhold til reglerne i databeskyttelsesforordningen og databeskyttelsesloven. Det skal understreges, at databeskyttelsesforordningen og databeskyttelsesloven således finder anvendelse i det omfang, at der er tale om forhold, som ikke er reguleret i de ovenstående vilkår. Behandlingen skal således i øvrigt ske under iagttagelse af reglerne om bl.a. udarbejdelse af konsekvensanalyse vedrørende databeskyttelse, jf. databeskyttelsesforordningens artikel 35, herunder særligt artikel 35, stk. 7, om kravene til indholdet af en konsekvensanalyse. Konsekvensanalysen skal være tilendebragt, inden behandlingen påbegyndes. Såfremt risikoen ved behandlingen ikke kan nedbringes til et niveau, der er lavere end højt, skal F.C. København iagttage kravet om forudgående høring i databeskyttelsesforordningens artikel 36.

Datatilsynet må endvidere forbeholde sig sin stillingtagen i tilfælde af en eventuel klagesag.

Datatilsynet skal herudover for god ordens skyld henlede F.C. Københavns opmærksomhed på, at anvendelsen af billeder fra overvågningskameraerne kan være omfattet af tv-overvågningslovens § 4 c, stk. 4 og 5.

Det vil være tilfældet, hvis overvågningskameraerne på stadion er opsat i kriminalitetsforebyggende øjemed, og hvis F.C. København – fremfor en template – anvender, herunder i ansigtsgenkendelsessystemet, et egentligt billede, som hidrører fra overvågningskameraerne på stadion.

Af tv-overvågningslovens § 4 c, stk. 4, følger det, at optagelser som nævnt i stk. 1, dvs. billed- og lydoptagelser med personoplysninger, der optages i forbindelse med tv-overvågning i kriminalitetsforebyggende øjemed, skal slettes, senest 30 dage efter at optagelserne er foretaget, jf. dog stk. 5.

Med billed- og lydoptagelser forstås såvel stillbilleder som levende billeder.

Dette indebærer efter Datatilsynets opfattelse, at de billeder fra overvågningskameraerne på stadion, der ønskes registreret i systemet til automatisk ansigtsgenkendelse, som udgangspunkt skal slettes senest 30 dage, efter at optagelserne er foretaget. Dette gælder også billeder, som er ”overført” til ansigtsgenkendelsessystemet.

Det følger imidlertid af tv-overvågningslovens § 4 c, stk. 5, at optagelser kan opbevares i et længere tidsrum end nævnt i stk. 4, hvis det er nødvendigt af hensyn til den dataansvarliges behandling af en konkret tvist. Er opbevaring nødvendig af hensyn til en konkret tvist, skal den dataansvarlige inden for den frist, der er angivet i stk. 4, underrette den, som tvisten vedrører, og på anmodning udlevere en kopi af optagelsen til den pågældende.

Det er efter Datatilsynets opfattelse nærliggende at anse F.C. Københavns meddelelse og håndhævelse af en karantæne som behandling af en konkret tvist. Billeder – hidrørende fra overvågningskameraerne på stadion – vil således kunne opbevares i længere tid end 30 dage.

Det er derfor Datatilsynets vurdering, at tv-overvågningslovens § 4 c, stk. 4, ikke vil være til hinder for, at F.C. København anvender billeder fra overvågningskameraer på stadion som grundlag for i systemet til automatisk ansigtsgenkendelse at registrere personer, der overtræder ordensreglementet.

I modsætning til oplysningspligten efter databeskyttelsesforordningens artikel 14 ses underretningspligten i tv-overvågningslovens § 4 c, stk. 5, 2. pkt., ikke at indeholde undtagelser.

De personer, der fremgår af et billede, som opbevares i længere tid end 30 dage, hidrørende fra overvågningskameraerne på stadion, vil derfor skulle underrettes herom og vil kunne anmode om en kopi af billedet.