Policie ČR (UOOU-04892/21)
Kamerový systém na letišti Václava Havla Praha
V roce 2025 Úřad ukončil kontrolu zpracování osobních údajů v souvislosti s provozováním kamerového systému na letišti Václava Havla Praha. V době kontroly Policie ČR využívala pro toto zpracování technologii automatického biometrického rozpoznávání obličejů (tzv. facial recognition). Rozpoznané obličeje fyzických osob zaznamenaných kamerami rozmístěnými v prostorách veřejné i neveřejné části letiště byly porovnávány se snímky obličejů fyzických osob vložených v referenční databázi. Referenční databáze je tvořena údaji o tzv. „zájmových osobách“, tedy o osobách, u kterých lze důvodně předpokládat, že informace o jejich výskytu v prostorách letiště může přispět k plnění konkrétního úkolu v oblasti předcházení, šetření, prověřování a vyšetřování trestných činů, anebo při pátrání po osobách. Z hlediska ochrany osobních údajů se jedná o zpracování zvláštní kategorie osobních údajů (biometrické údaje zpracovávané za účelem jedinečné identifikace fyzické osoby) a zároveň o zpracování spadající pod úpravu dle hlavy III zákona č. 110/2019 Sb., která transponuje tzv. trestněprávní směrnici[1].
Kontrolující dospěli k závěru, že předmětné zpracování biometrických údajů je v rozporu s čl. 10 trestněprávní směrnice, neboť žádné z ustanovení zákona č. 273/2008 Sb., o Policii České republiky, na která Policii ČR odkazovala z hlediska právního základu, explicitně nestanoví oprávnění zpracovávat biometrické údaje za účelem jedinečné identifikace fyzické osoby. Porušení čl. 10 trestněprávní směrnice nadto kontrolující spatřovali i v uchování bio indexů všech osob po dobu delší než nezbytně nutnou. Kontrola se zaměřila též na plnění povinnosti provedení posouzení vlivu na ochranu osobních údajů dle § 37 zákona č. 110/2019 Sb. (čl. 27 trestněprávní směrnice) a na provedení předchozí konzultace s Úřadem ve smyslu ustanovení § 38 odst. 1 písm. b) zákona č. 110/2019 Sb. (čl. 28 trestněprávní směrnice). Porušení těchto povinností však nebylo konstatováno, a to s ohledem na termín spuštění systému, který předcházel nabytí platnosti a účinnosti zákona č. 110/2019 Sb.
Vyjma zjištění v oblasti uchování bio indexů, stran kterého bylo vyhověno námitkám podaným Policií ČR, byly závěry kontrolního protokolu předsedou Úřadu potvrzeny. Po skončení kontroly Policie ČR Úřad informovala, že v souvislosti s přijetím novely zákona č. 110/2019 Sb. byl k 1. srpnu 2025 systém automatického rozpoznávání obličejů na letišti deaktivován a veškeré biometrické údaje smazány.
Doplňující informace: Zákonem č. 230/2025 Sb. došlo s účinností od 1. srpna 2025 k novelizaci zákona č. 110/2019 Sb. mimo jiné vložením nových § 39a až 39c, týkajících se tzv. „izolovaného systému“. Izolovaným systémem se rozumí systém umělé inteligence pro vzdálenou biometrickou identifikaci fyzických osob v reálném čase podle čl. 3 bodu 42 nařízení (EU) 2024/1689 (Akt o umělé inteligenci) používaný spravujícím orgánem v prostoru, který má stálý územní rozsah a je omezen na objekty a prostory, které jsou součástí mezinárodního letiště. Izolovaný systém se může skládat z více územně oddělených součástí, pravidla jeho použití pro identifikaci fyzických osob a povolení jeho používání jsou upraveny ve shora uvedených ustanoveních zákona č. 110/2019 Sb.
[1] Směrnice Evropského parlamentu a Rady (EU) 2016/680 ze dne 27. dubna 2016 o ochraně fyzických osob v souvislosti se zpracováním osobních údajů příslušnými orgány za účelem prevence, vyšetřování, odhalování či stíhání trestných činů nebo výkonu trestů, o volném pohybu těchto údajů a o zrušení rámcového rozhodnutí Rady 2008/977/SVV