Francúzsko - Prvé rozhodnutie súdu vo vzťahu ku kamerovým systémom umožňujúcim rozpoznávanie tvári (facial recognition)

Jedná sa vôbec o prvé aplikovanie nariadenia Európskeho Parlamentu a Rady 2016/679 o ochrane fyzických osôb pri spracúvaní osobných údajov a o voľnom pohybe takýchto údajov („GDPR“) francúzskym súdom - TRIBUNAL ADMINISTRATIF DE MARSEILLE („Súd“), vo vzťahu k systémom na rozpoznávanie tvárí. Súd zrušil rozhodnutie jedného z regiónov vo Francúzsku („PACA región“), ktorý sa týkal zavedenia testovacieho systému na rozpoznávanie tvárí („SRT systém“) pred vchodom do dvoch stredných škôl. Existuje niekoľko metód ako systémy rozpoznávania tváre fungujú ale vo všeobecnosti fungujú porovnaním vybraných čŕt tváre z daného obrazového (digitálneho) záznamu s tvárami, resp. črtami tvárí v databáze. Spracúvanie takýchto biometrických údajov je obzvlášť citlivé, čo odôvodňuje zvýšenú ochranu jednotlivcov. V súčasnosti sa tento systém najčastejšie využíva ako druh bezpečnostného zariadenia.

V decembri 2018 sa PACA región rozhodol, že pred strednú školu v Nice a pred strednú školu v Marseille, umiestni experimentálny testovací SRT systém. Systém sa mal zameriavať iba na študentov stredných škôl a ich zamestnancov, ktorí s experimentálnym testovacím systémom predtým súhlasili (prípadne súhlasili ich zákonní zástupcovia) a mali byť testovaní počas celého školského roka. Účelom SRT systému malo byť poskytnutie pomoci personálu školy, zodpovednému za kontrolu vstupu, aby sa uľahčilo a skrátilo trvanie týchto kontrol, účinne bojovalo proti zneužitiu alebo krádeži identity študentov stredných škôl a tiež nechcenému pohybu neidentifikovaných návštevníkov školy. Právne kroky proti zavedeniu SRT systému podnikli tri francúzske neziskové organizácie a tiež federácia rodičovských rád žiakov verejných škôl.

K problematike sa vyjadril aj francúzsky dozorný orgán, v oblasti ochrany osobných údajov - Úrad na ochranu osobných údajov, tzv. CNIL („Úrad“), ktorý vo svojom stanovisku, uverejnenom dňa 29. októbra 2019, vyslovil hlboké znepokojenie nad zavedením SRT systému určenému na identifikáciu detí. Kontrolór Úradu pomenoval SRT systém ako biometrický mechanizmus, ktorý neprimerane hlboko zasahuje do súkromia a základných ľudských práv a slobôd, najmä ak sa týka maloletých osôb, ktorým sa v národných a európskych textoch priznáva osobitná ochrana. GDPR vyžaduje splnenie zásady nevyhnutnosti a test proporcionality – teda či existujú aj iné, menej zasahujúce prostriedky na dosiahnutie požadovaného cieľa. Podľa Úradu sa cieľ efektívnejšej a rýchlejšej kontroly dá dosiahnuť aj opatreniami, ktoré narúšajú súkromie v menšom rozsahu, ako napríklad prostredníctvom kontroly odznakov/identifikačných kariet kontrolovaných osôb. Na záver stanoviska Úrad konštatuje, že SRT systém je v rozpore so zásadou proporcionality a zásadou minimalizácie, a tým pádom SRT systém nie je primeraným systémom kontroly.

Predseda PACA regiónu vo svojom vyjadrení pomenoval stanovisko Úradu ako „zastaralé“ a ako „z minulého storočia“. Rovnako aj primátor Nice označil Úrad ako „štát v štáte, autonómny orgán mimo reality a mimo predstáv občanov“ a požiadal premiéra Francúzska o obmedzenie právomoci Úradu.

Súd svojim rozhodnutím zo dňa 27. februára 2020 potvrdil stanovisko Úradu, zrušil rozhodnutie regiónu z decembra 2018 o zavedení experimentálneho SRT systému a potvrdil námietky francúzskych neziskových organizácii. Navyše súd rozhodol, že právomoc zaviesť SRT systém majú len riaditelia škôl a nie regióny vo Francúzsku. Súhlas ako právny základ spracúvania osobných údajov, ktorý mal odôvodniť zákonnosť spracúvania biometrických údajov dotknutých študentov, prípadne iných osôb sa mal udeľovať vo forme formuláru s menom študenta a jeho podpisu (poprípade podpisu zákonného zástupcu), čo podľa stanoviska Úradu nie je dostatočne v súlade s GDPR. Skutočnosť, že študenti sú pod priamym dosahom riaditeľov škôl, neposkytuje dostatočné záruky, že ich súhlas bol udelený slobodne, určite a vážne. Rozhodnutie PACA regiónu neprešlo ani testom proporcionality, keďže Súd rovnako ako Úrad vo svojom stanovisku konštatoval, že účel sa dá dosiahnuť aj menej zasahujúcimi opatreniami. Podľa Súdu, PACA región dostatočne nevysvetlil, prečo kontroly odznakov/identifikačných kariet (prípadne tiež sprevádzané monitorovaním kamerovým systémom) nie sú dostačujúce, resp. prečo sa SRT systém rozhodol zaviesť. Súd rozhodol, že PACA región zavedením SRT systému, ktorým dochádza ku spracúvaniu biometrických údajov dotknutých osôb porušil článok 9 GDPR. Dotknutý PACA región sa zatiaľ proti rozhodnutiu Súdu neodvolal.