Ovenstående behandling indebærer behandling af biometriske data omfattet af forbuddet i databeskyttelsesforordningens artikel 9, stk. 1. I medfør af forordningens artikel 9, stk. 2, litra g, gælder forbuddet mod behandling af følsomme oplysninger ikke, såfremt behandlingen er nødvendig af hensyn til væsentlige samfundsinteresser. I medfør af databeskyttelseslovens § 7, stk. 4, skal Datatilsynet give tilladelse til en sådan behandling, når den ikke foretages af en offentlig myndighed.
Datatilsynet meddeler – efter at sagen har været forelagt for Datarådet – hermed F. C. København P/S og Dansk Boldspil-Union.
Tilladelse til behandling af biometriske data i medfør af databeskyttelseslovens § 7, stk. 4, ved brug af automatisk ansigtsgenkendelse på Parken Stadion i forbindelse med afvikling af fodboldlandskampe
Tilladelsen til behandling af biometriske data med det formål entydigt at identificere en fysisk person, ved brug af automatisk ansigtsgenkendelse, gives på følgende vilkår:
- Tilladelsen gælder ved afvikling af fodboldlandskampe inden for herreidræt.
- Meddelelse af karantæne skal ske på et sagligt og proportionalt grundlag i forhold til den begåede overtrædelse af Dansk Boldspil-Unions ordensregler og ordensreglementet for Parken Stadion.
- Personoplysninger, der behandles som led i ansigtsgenkendelsessystemet, der ikke resulterer i et match med oplysninger hidrørende fra 1) F. C. Københavns interne karantæneliste, 2) Dansk Boldspil-Unions karantæneliste eller 3) politiets generelle karantæneliste, må ikke lagres.
- Personoplysninger, der behandles som led i ansigtsgenkendelsessystemet, der resulterer i et match med oplysninger hidrørende fra 1) F. C. Københavns interne karantæneliste, 2) Dansk Boldspil-Unions karantæneliste eller 3) politiets generelle karantæneliste, skal slettes umiddelbart efter enhver kamp.
- Dansk Boldspil-Union skal – i henhold til aftalen om fælles dataansvar mellem parterne – iagttage oplysningspligten ved indsamling af personoplysninger. F. C. København og Dansk Boldspil-Union skal desuden ved skiltning eller på anden tydelig måde give oplysning om, at der foretages adgangskontrol, herunder behandling af biometriske data ved brug af et automatisk ansigtsgenkendelsessystem.
- Personoplysninger, der behandles som led i ansigtsgenkendelsessystemet, skal transporteres til og opbevares krypteret på serveren med ajourførte og bredt anerkendte krypteringsalgoritmer.
- Overvågningskameraerne skal installeres på et separat VLAN og må ikke være eksponeret mod internettet.
- F.C. København og Dansk Boldspil-Union skal føre adgangskontrol med ansigtsgenkendelsessystemet, herunder sikre:
- autorisation af medarbejdere til betjening af ansigtsgenkendelsessoftwaren og logning af manuelle opslag i log-in processen.
- anvendelse af multifaktorautentifikation i log-in processen.
- Eventuelle ændringer i de forhold, der er omfattet af tilladelsen, skal meddeles Datatilsynet.
Ovenstående vilkår er supplerende og præciserende i forhold til reglerne i databeskyttelsesforordningen og databeskyttelsesloven. Det skal understreges, at databeskyttelsesforordningen og databeskyttelsesloven således finder anvendelse i det omfang, at der er tale om forhold, som ikke er reguleret i de ovenstående vilkår. Behandlingen skal således i øvrigt ske under iagttagelse af reglerne om bl.a. udarbejdelse af konsekvensanalyse vedrørende databeskyttelse, jf. databeskyttelsesforordningens artikel 35, herunder særligt artikel 35, stk. 7, om kravene til indholdet af en konsekvensanalyse. Konsekvensanalysen skal være tilendebragt, inden behandlingen påbegyndes. Såfremt risikoen ved behandlingen ikke kan nedbringes til et niveau, der er lavere end højt, skal F. C. København og Dansk Boldspil-Union iagttage kravet om forudgående høring i databeskyttelsesforordningens artikel 36.
Datatilsynet må endvidere forbeholde sig sin stillingtagen i tilfælde af en eventuel klagesag.
Datatilsynet skal herudover for god ordens skyld henlede parternes opmærksomhed på, at anvendelsen af billeder fra overvågningskameraerne kan være omfattet af tv-overvågningslovens § 4 c, stk. 4 og 5.
Det vil være tilfældet, hvis overvågningskameraerne på stadion er opsat i kriminalitetsforebyggende øjemed, og hvis F.C. København eller Dansk Boldspil-Union – fremfor en template – anvender, herunder i ansigtsgenkendelsessystemet, et egentligt billede, som hidrører fra overvågningskameraerne på stadion.
Af tv-overvågningslovens § 4 c, stk. 4, følger det, at optagelser som nævnt i stk. 1, dvs. billed- og lydoptagelser med personoplysninger, der optages i forbindelse med tv-overvågning i kriminalitetsforebyggende øjemed, skal slettes, senest 30 dage efter at optagelserne er foretaget, jf. dog stk. 5.
Med billed- og lydoptagelser forstås såvel stillbilleder som levende billeder. Dette indebærer efter Datatilsynets opfattelse, at de billeder fra overvågningskameraerne på stadion, der ønskes registreret i systemet til automatisk ansigtsgenkendelse, som udgangspunkt skal slettes senest 30 dage, efter at optagelserne er foretaget. Dette gælder også billeder, som er ”overført” til ansigtsgenkendelsessystemet.
Det følger imidlertid af tv-overvågningslovens § 4 c, stk. 5, at optagelser kan opbevares i et længere tidsrum end nævnt i stk. 4, hvis det er nødvendigt af hensyn til den dataansvarliges behandling af en konkret tvist. Er opbevaring nødvendig af hensyn til en konkret tvist, skal den dataansvarlige inden for den frist, der er angivet i stk. 4, underrette den, som tvisten vedrører, og på anmodning udlevere en kopi af optagelsen til den pågældende.
Det er efter Datatilsynets opfattelse nærliggende at anse F.C. Københavns og Dansk Boldspil-Unions meddelelse og håndhævelse af en karantæne som behandling af en konkret tvist. Billeder – hidrørende fra overvågningskameraerne på stadion – vil således kunne opbevares i længere tid end 30 dage.
Det er derfor Datatilsynets vurdering, at tv-overvågningslovens § 4 c, stk. 4, ikke vil være til hinder for, at F.C. København og Dansk Boldspil-Union anvender billeder fra overvågningskameraer på stadion som grundlag for i systemet til automatisk ansigtsgenkendelse at registrere personer, der overtræder ordensreglementet.
I modsætning til oplysningspligten efter databeskyttelsesforordningens artikel 14 ses underretningspligten i tv-overvågningslovens § 4 c, stk. 5, 2. pkt., ikke at indeholde undtagelser.
De personer, der fremgår af et billede, som opbevares i længere tid end 30 dage, hidrørende fra overvågningskameraerne på stadion, vil derfor skulle underrettes herom og vil kunne anmode om en kopi af billedet.