Obec (UOOU-04351/21)

Kontrola byla zahájena na základě informací dostupných v médiích, dle kterých mělo město údajně využívat k monitorování ulic kamery, které jsou vybaveny umělou inteligencí, a to včetně software pro rozpoznávání obličeje osob. Předmětem kontroly bylo dodržování povinností stanovených GDPR a zákonem č. 110/2019 Sb., o zpracování osobních údajů, v souvislosti se zpracováním osobních údajů subjektů údajů při využívání kamerového systému. Kontrola se zaměřila na potenciální využívání technologie pro rozpoznávání obličeje, tzv. facial recognition.

V rámci kontroly bylo realizováno ústní jednání a místní šetření, v rámci kterého bylo představeno softwarové řešení, resp. systém s pokročilými funkcemi pro práci s kamerovými záznamy. Mezi funkcemi využívaného systému jsou výrobcem prezentovány funkce pro zpracování obličeje prostřednictvím automatizovaného rozpoznávání. Konkrétně jde o dva moduly, a to modul pro vyhledávání obličeje a modul pro rozpoznávání obličeje. Instalace těchto modulů však nebyla v obslužném systému během místního šetření identifikována. Stejně tak nebyly identifikovány funkce pro vyhodnocování chůze ani jiné metody biometrického rozpoznávání prostřednictvím kamerových záznamů s cílem jednoznačné automatizované identifikace konkrétních osob. Lze tak konstatovat, že funkce tzv. facial recognition není městem využívána.

Kontrolou nebylo zjištěno porušení povinností v oblasti zabezpečení osobních údajů (čl. 24 odst. 1, čl. 25 odst. 1 a 2 a čl. 32 GDPR). Dále nebylo zjištěno porušení zákonnosti zpracování osobních údajů (čl. 6 odst. 1 GDPR), ani porušení informační povinnosti (čl. 12 odst. 1 a čl. 13 GDPR).

Drobné pochybení kontrolující shledali u záznamů o činnostech zpracování (čl. 30 GDPR), v rámci kterých nebylo uvedeno označení a kontaktní údaje správce a pověřence pro ochranu osobních údajů (povinnost vyplývající z čl. 30 odst. 1 písm. a) GDPR).

Proti kontrolním zjištěním kontrolovaná osoba nepodala námitky.

Doplňující informace: Vedení záznamů o činnostech zpracování je upraveno čl. 30 GDPR. Informace, které mají záznamy obsahovat, jsou vyjmenovány v odstavci prvním (pro správce) a druhém (pro zpracovatele). Záznamy se vyhotovují vždy písemně (vč. elektronické formy) a na požádání musí být poskytnuty Úřadu.