С Т А Н О В И Щ Е
НА
КОМИСИЯТА ЗА ЗАЩИТА НА ЛИЧНИТЕ ДАННИ
рег. № ПНМД-01-52/2025 г.
гр. София 30.04.2025 г.
ОТНОСНО: Използване на система за видеонаблюдение с функционалност за лицево разпознаване в търговски обекти (магазини)
Комисията за защита на личните данни (КЗЛД) в състав – председател: Венцислав Караджов и членове: Мария Матева и Веселин Целков, на свое редовно заседание, проведено на 30.04.2025 г., разгледа писмо от охранително дружество, с което се отправя молба за изразяване на становище относно допустимостта на използване на система за видеонаблюдение с функционалност за лицево разпознаване в търговски обекти (магазини).
Фактическа страна:
Дружеството информира, че оперира в сферата на частната охранителна дейност, като предоставя специализирани охранителни услуги с действащ лиценз, съобразно Закона за частната охранителна дейност (ЗЧОД). Като част от своето клиентско портфолио на дружеството се възлага и охраняването на множество магазини за търговия на дребно на територията на Република България, включително от страна на клиенти-възложители, разполагащи с широка търговска мрежа и многобройни обекти в цялата страна.
В искането се посочва, че към настоящия момент на територията на магазините, охранявани от дружеството, обичайно се осъществява видеонаблюдение чрез видеокамери, обхващащи търговските зони с цел опазване на имуществото в търговските обекти и осигуряване на обществения ред в тях. Дружеството счита това за ,,стандартно видеонаблюдение“.
То разяснява, че хардуерната и софтуерната инфраструктура за това „стандартно видеонаблюдение“ се осигуряват от самия клиент, записите се съхраняват в законово установения допустим срок на сървъри, които също по правило са собственост на клиента. Самият фактически контрол чрез „стандартното видеонаблюдение“ се осъществява от охранителното дружество, което е легитимирано чрез своя лиценз да упражнява тази дейност.
В писмото се информира, че на ежедневна база през търговските обекти преминава огромен поток от клиенти/посетители – стотици хиляди души на ден. Дружеството, в изпълнение на своите задължения като лицензирана охранителна фирма, ежедневно се опитва да и на практика предотвратява всякакви дребни кражби или опити за изнасяне на различни по вид и стойност продукти, без същите да бъдат заплатени на каса, както и всевъзможни други противообществени прояви (напр. агресия, вандалски актове и т.н.). Въпросните кражби касаят не само собственост на клиентите му – юридически лица, но и джебчийски посегателства към други крайни клиенти, респ. посетители в хипермаркетите. В нередки случаи се стига и до физическа конфронтация с охранителите или други крайни клиенти на магазините.
По гореописаните причини дружеството счита „стандартното видеонаблюдение“ за недостатъчно, така че качествено да изпълнява възложените му задължения, тъй като охранителите в отделните хипермаркети обективно и физически не могат да осигурят адекватен контрол спрямо обема на човекопотока с цел минимизиране на рисковете. Дружеството желае да предложи на своите клиенти – юридически лица, услуга с добавена стойност под формата на продажба на лицензи и интегриране[1] към вече изградената система за стандартно видеонаблюдение, на допълнителни функционалности на камерите и свързания с тях софтуер (дружеството го нарича „разширено видеонаблюдение“), а именно:
- При констатиран опит за кражба от магазин на посетител и/или нарушаване на обществения ред в търговски обект на клиент, клиентът ще използва записите от „стандартното видеонаблюдение“ за въвеждане на лицето на нарушителя в специализирана база данни за целите на неговата последваща уникална идентификация;
- Въвеждането ще се извършва „ръчно“ от служител на клиента – чрез човешка намеса, а самата специализирана база данни ще се съхранява на локални сървъри на клиента, който е и остава администратор на данните по смисъла на действащото законодателство, като достъпът до нея ще бъде строго ограничен и осъществяван при стриктно спазване на принципа „необходимост да се знае“, а именно – служителите на дружеството няма да имат достъп до цялата база данни, а единствено ще могат да наблюдават вече въведени лица, както е описано по-долу;
- След въвеждането на лицето в специализираната база данни, при повторно негово влизане в търговски обект на клиент камерите, в чийто обхват попада той, ще идентифицират (разпознаят) лицето и ще индикират на локалните охранители, че същото е с предходни противообществени прояви на територията на този или други търговски обекти, собственост на клиента. От самото отбелязване няма да следват други преки, вкл. негативни последици за съответния човек – единствено ще бъде обърнато внимание на дежурния охранител на съответния магазин за присъствието му на територията на охранявания от него обект с цел непосредствено осъществяване на целенасочено по-завишено наблюдение и контрол;
- Данните на лицата, въведени за целите на т.нар. „разширено видеонаблюдение“, ще бъдат съхранявани за период от 3 години, след което ще бъдат автоматично изтривани;
- Клиентът, като администратор на данните по смисъла на действащото законодателство, ще предоставя подробна информация за този процес по обработване, като постави информацията по чл. 13 от Регламент (ЕС) 2016/679 (ОРЗД) на видно място във всеки свой магазин, както и чрез публикуването ѝ на официалния си уебсайт.
Правна обосновка на дружеството:
То пояснява, че при разширеното видеонаблюдение ще се използва лицевият образ на физически лица за целите на уникалната им автоматизирана идентификация от системата.
Дружеството отчита, че съгласно чл. 4, т. 14 от ОРЗД „биометрични данни“ са лични данни, получени в резултат на специфично техническо обработване, които са свързани с физическите, физиологичните или поведенческите характеристики на дадено физическо лице и които позволяват или потвърждават уникалната идентификация на това физическо лице, като лицеви изображения или дактилоскопични данни. Дружеството приема за безспорно, че в настоящия случай би било налице обработване на биометрични лични данни, които съставляват и „специална категория данни“ по смисъла на чл. 9, пар. 1 от ОРЗД, тъй като:
- данните са свързани с физическите, физиологичните или поведенческите характеристики на дадено физическо лице;
- данните са „получени в резултат на специфично техническо обработване“; и
- данните се използват с цел уникално идентифициране на физическо лице.
Дружеството отбелязва, че използването на биометрични данни и по-конкретно на разпознаване на лица е свързано с повишени рискове за правата на субектите на данните. То счита, че от решаващо значение е използването на такива технологии да се предприема при надлежно зачитане на залегналите в ОРЗД принципи на законосъобразност, необходимост, пропорционалност и свеждане на данните до минимум, като в този смисъл са и Насоки № 3/2019 на Европейския комитет по защита на данните относно обработването на лични данни чрез видеоустройства.
По отношение на законосъобразността: Съгласно чл. 9, пар. 1 от ОРЗД, обработването на специални категории данни по общо правило е забранена. Параграф 2 от същата разпоредба въвежда редица изключения, от анализа на които става ясно, че обработването на специални категории данни може да се извършва на различни основания спрямо тези по чл. 6 от ОРЗД. Сред тях обаче не са включени легитимните интереси на администратора, което правно основание обичайно намира приложение, когато се използва „стандартно видеонаблюдение“ от страна на клиентите на дружеството в качеството им на администратори.
От възможностите за законосъобразно обработване на специални категории лични данни за целите на уникално лицево разпознаване чрез система за разширено видеонаблюдение дружеството счита, че следното правно основание би било относимо и излага принципните си съображения за приложимост на изключението:
Чл. 9, пар. 2, б. „ж“ от ОРЗД
Дружеството посочва, че съгласно визираната разпоредба обработването на специални категории данни (включително биометрични такива) е допустима, когато „обработването е необходимо по причини от важен обществен интерес на основание правото на Съюза или правото на държава членка, което е пропорционално на преследваната цел, зачита същността на правото на защита на данните и предвижда подходящи и конкретни мерки за защита на основните права и интересите на субекта на данните“.
От дружеството изразяват мнение, че за всяко едно общество от съществен интерес е запазването на реда и безопасността на гражданите на публични места. Основни характеристики относно определянето на това дали един процес е от съществен обществен интерес са:
- Възможният брой и категории засегнати лица;
- Интересите на обществото, които могат да бъдат накърнени;
- Местата, на които може да се реализира рискът.
Ежедневно през търговски обекти, собственост на клиенти на дружеството, преминава огромен поток от хора (става дума за стотици хиляди души на ден), като немалка част от тях традиционно са възрастни хора, семейства с малки деца и други уязвими групи граждани. Съобщава, че почти ежедневно се установяват различни по вид и характер противообществени прояви.
Дружеството счита, че обществените интереси, които могат да бъдат накърнени, при липса на система за разширено видеонаблюдение, засягат основни човешки права съгласно Хартата на основните права на ЕС и Европейската конвенция за правата на човека, а имено: правото на лична неприкосновеност (напр. при нападение), правото на собственост (при кражби) и т.н.
Визираните по-горе търговски обекти, които се охраняват от дружеството, са обществено достъпни места за гражданите/находящите се лица на територията на Република България, без ограничение от какъвто и да било характер. Дружеството излага доводи, че дори и при предходни противообществени прояви, с оглед правото на всеки човек да се поправи, клиентите му по правило не спират достъпа на тези лица до своите търговски обекти, като все пак същият би могъл по изключение да бъде ограничен по преценка на клиент. По този начин и с оглед огромния брой посетители е възможно да бъде засегнат неограничен кръг от лица.
Дружеството акцентира, че общественият интерес е застъпен и в правото на Съюза – в Европейската конвенция за правата на човека, както и в националното законодателство на Република България. Така например, съгласно чл. 2 от ЗЧОД, „частната охранителна дейност е търговска дейност, насочена към опазване на живота и здравето на физическите лица, охраняване на имуществото на физическите и юридическите лица“. Дружеството е на мнение, че дори законово вменената функция на лицата, които биха били ангажирани с използването на система за разширено видеонаблюдение, е именно да опазват обществения ред, здравето, живота и имуществото на физически и юридически лица.
С оглед гореизложеното дружеството счита, че правно основание за обработване на биометрични лични данни на лицата, извършили всякакъв вид противообществени прояви на територията на охранявани търговски обекти на негови клиенти, чрез система за разширено видеонаблюдение, включваща лицево разпознаване, намира изражение в чл. 9, пар. 2, буква ,,ж“ от ОРЗД.
По отношение на необходимостта: Дружеството счита обработването на лични данни чрез въпросната система за разширено видеонаблюдение за категорично необходима, тъй като единствено чрез нейното внедряване би могло да се осигури подходящ и адекватен контрол на лица, за които има обосновано повишен риск от извършване на противообществени прояви. Някои от търговските обекти на негови клиенти са със значителна площ, която трябва да се контролира от лицата, ангажирани със сигурността. Контролът върху т.нар. стандартно видеонаблюдение, както и физическата охрана на хипермаркетите се осъществява от ограничен брой служители на дружеството. Отчитайки броя хора, които ежедневно преминават през охраняваните от дружеството търговски обекти, то счита, че е необходима диверсификация на лицата, което единствено може да позволи ефективна защита на здравето и неприкосновеността на посетителите, а и на служителите в магазините. По този начин служители на дружеството – охранители биха могли да реагират много по-бързо при евентуална повторяемост в незаконосъобразното поведение на лицето.
С оглед на това дружеството счита, че обработването на личните данни чрез система за разширено видеонаблюдение се явява необходима.
По отношение на пропорционалността: За да се докаже пропорционалността на мярката, е необходимо да се демонстрира, че използването на системата за разширено видеонаблюдение би осигурила значително по-ефективна защита срещу повторни нарушения в сравнение с алтернативни, по-малко инвазивни методи, като например стандартно видеонаблюдение без автоматизирана идентификация. Дружеството е на мнение, че в този случай системата ще е строго ограничена до лица, за които има обективна предходна информация, че са извършвали противообществени прояви в обекти, собственост на негови клиенти, което гарантира, че останалите крайни клиенти – физически лица, не са подложени на ненужно следене. Освен това, според дружеството, обработването на биометричните данни е времево ограничено и се извършва само докато съществува реален и обоснован риск от повторни нарушения, което означава, че данните няма да се съхраняват за неопределен период, а ще се заличават при отпадане на необходимостта. Достъпът до системата би бил строго регулиран и предоставен само на оторизирани лица, които имат право да реагират при установяване на конкретна заплаха, без да се допуска неоправдано широк кръг лица да разполага с тази чувствителна информация. Нещо повече, достъп до базата данни ще имат единствено служители на клиента. Според дружеството тези мерки ще засегнат възможно най-малък брой субекти на данни, ще ограничат въздействието върху личната сфера на гражданите и ще гарантират, че обработването остава в рамките на необходимото за постигане на легитимната цел – предотвратяване на нарушения и защита на имуществото и сигурността в обекта. Друг основен аргумент на подателя на искането е, че дори лицата, които ще бъдат засичани от разширеното видеонаблюдение, няма да бъдат подлагани на рестриктивни мерки. За дружеството единствената цел на обработването на личните им данни е по-бърза и ефективна реакция от страна на охранителите на място в обект при необходимост.
По отношение на свеждането на данните до минимум: Дружеството информира, че в базата данни, използвана от системата за разширено видеонаблюдение, ще бъдат въвеждани единствено лица, които имат доказани предходни противообществени прояви на територията на магазини на негови клиенти. Техните противообществени прояви ще са доказани с констативни протоколи от представители на наетите охранителни дружества, действащи съгласно ЗЧОД. В самата база данни няма да има информация за имена или друга идентифицираща съответното лице информация. Информацията за характера на предходното незаконосъобразно поведение на лицето – напр. дали е направило опит за кражба, проява на насилие, хулиганство и т.н. ще бъде криптирана и достъпна единствено за лицата, които имат фактически контрол върху базата данни, но не и за охранителите. По този начин клиентите на дружеството ще свеждат обработваните данни до абсолютен минимум, който все пак да позволява функционирането на системата. Налице ще е и определен срок за съхранение на данните, който е съобразен например с принципа за ограничаване на съхранението съгласно ОРЗД.
Допълнителна информация от дружеството:
Дружеството отчита факта, че използването на система за разширено видеонаблюдение, включваща технологии за лицево разпознаване, представлява нововъведение, което изисква внимателна и задълбочена оценка на въздействието върху защитата на данните (ОВЗД). В съответствие с изискванията на ОРЗД и принципа на отчетност, дружеството съобщава, че клиентите му ще извършат ОВЗД преди внедряване на системата, като основният фокус ще бъде анализът на потенциалните рискове за правата и свободите на субектите на данни и определянето на адекватни и детайлни технически и организационни мерки за тяхното минимизиране. Оценката ще включва повторно индивидуално за юридическото лице – администратор подробно разглеждане на необходимостта и пропорционалността на системата, ефективността на предвидените мерки за защита на личните данни, както и потенциалното въздействие върху засегнатите лица. Дружеството изтъква, че въз основа на резултатите от ОВЗД и евентуално положително становище на КЗЛД по настоящото искане, всеки отделен негов клиент ще вземе информирано решение дали внедряването на системата е оправдано и дали рисковете за субектите на данни са сведени до приемливо ниво. Дружеството заявява, че имплементирането на разширеното видеонаблюдение ще се осъществи единствено при наличие на ясни доказателства, че обработването на лични данни няма да създаде непропорционални рискове за правата на физическите лица и след като администраторът въведе всички необходими предпазни мерки за осигуряване на законосъобразност, прозрачност и защита на личната неприкосновеност.
За пълнота на изложението си дружеството подчертава, че в случай на положително становище от КЗЛД относно законосъобразността и пропорционалността на внедряването на разширеното видеонаблюдение, клиентите му ще пристъпят към разработване и въвеждане на конкретни индивидуални вътрешни политики, уреждащи всички аспекти, свързани с функционирането на системата. Тези политики ще включват подробни правила за събиране, съхранение, достъп и обработване на биометрични данни, както и ясни процедури за защита на правата на субектите на данни, включително упражняване на правото на достъп, коригиране, заличаване и възражение срещу обработването. Освен това, политиките ще регламентират вътрешните механизми за сигурност, като например ограничения за достъп до базата данни, мерки за предотвратяване на неоторизирано разкриване или злоупотреба с данни, както и редовни одити и оценки на ефективността на въведените мерки. Дружеството декларира, че ще бъде отделено специално внимание на обучението на лицата, които ще работят със системата, за да се гарантира, че те са наясно с изискванията на ОРЗД и могат да прилагат процедурите за защита на личните данни в практиката, в това число на лицата, които ще обработват данните по възлагане по смисъла на чл. 28 от ОРЗД. Наред с това ще бъде осигурена прозрачност за субектите на данни чрез предоставяне на достъпна информация за начина, по който работи системата, целите на обработването и гаранциите за защита на техните права. Въвеждането на подобни политики ще бъде неразделна част от процеса по имплементиране на системата, като те ще бъдат редовно преглеждани и актуализирани в зависимост от евентуални промени в законодателството, указанията на КЗЛД или идентифицирани рискове при експлоатацията на системата.
С оглед на гореизложеното дружеството отправя молба за изразяване на становище по следните въпроси:
- „Допустимо ли е използването на система за видеонаблюдение, която включва лицево разпознаване на субекти на данни, чиито биометрични данни са въведени ръчно в база данни поради предходни техни противообществени прояви на територията на магазин(и), собственост на клиенти на Дружеството?“
- „В случай че е допустимо, може ли администраторът на лични данни, по чието възлагане Дружеството ще обработва личните данни като „обработващ“ да основава този тип обработка на лични данни на чл. 9, параграф 2, буква „ж“ от ОРЗД?“
- „Ако не е допустимо, има ли друго конкретно правно основание, на което клиентите на Дружеството могат да се позоват, за да интегрират системата за Разширено Видеонаблюдение?“
Правен анализ:
Видеонаблюдението е дейност, свързана със събиране и съхранение на образни и/или аудио данни за лица, попадащи в обхвата на наблюдавана зона, които подлежат на пряко или косвено идентифициране въз основа на техния външен вид или други специфични признаци. Съществен елемент от тази дейност е, че самоличността на лицата може да бъде установена въз основа на тези данни, а също така се създава възможност за обработване на данни относно присъствието и поведението на лицата в съответната зона. Събирането и съхранението на образни и/или аудио данни за лицата, представлява обработване на лични данни чрез автоматични средства – оптични или аудиовизуални устройства (камери). Именно поради това то се приема като дейност по обработване на лични данни, попадаща съгласно чл. 2, пар. 1 от Регламент (ЕС) 2016/679 (Общ регламент относно защитата на данните, ОРЗД) в неговия материален обхват, респ. следва да се осъществява съобразно неговите изисквания.
Обичайно, конвенционалното видеонаблюдение[2] (наричано в искането „стандартно“) се осъществява за охранителни цели, като напр. за защита от противоправни посегателства на имущество на администратора, защита на здравето и живота на служители, посетители и др. категории субекти на данни. В повечето случаи тези цели обуславят наличието на легитимен интерес за обработване на данните от администратора, който има преимущество пред интересите или основните права и свободи на субектите на данни (чл. 6, пар. 1, първа алинея, б. „е“ от ОРЗД).
Видеонаблюдение, включващо и функционалност за лицево разпознаване на субектите, попадащи в обхвата на заснемане обаче, освен събирането и съхранението на „общи“ категории лични данни, предполага обработването и на специални категории данни от вида на биометричните. Биометричните данни са лични данни, получени в резултат на специфично техническо обработване, които са свързани с физическите, физиологичните или поведенческите характеристики на дадено физическо лице и които позволяват или потвърждават уникалната идентификация на това физическо лице, като лицеви изображения или дактилоскопични данни (чл. 4, т. 14 от ОРЗД). Те могат да позволят удостоверяване на самоличността, идентифициране или категоризиране на физически лица, както и разпознаване на емоции на физически лица.
В обобщение, с оглед на текста на чл. 4, т. 14 и чл. 9, пар. 1 от ОРЗД трябва да бъдат отчетени три критерия:
– характер на данните: данни, свързани с физическите, физиологичните или поведенческите характеристики на дадено физическо лице,
– средства и начин на обработване: данни, „получени в резултат на специфично техническо обработване“,
– цел на обработването: данните трябва да се използват с цел уникално идентифициране на физическо лице.
Обработването на специални категории лични данни винаги е свързано с повишени рискове за правата и свободите на субектите на данни, поради това, прагът за тяхната защита е много по-висок. Повишените рискове при обработване на тези данни са обусловени от много по-тясната връзка между тях и притежателя им – субектът на данни. Така например при инцидент, свързан със сигурността на общи категории лични данни (напр. тел. номер, имейл адрес и пр.) субектът на данни би могъл да предприеме сравнително лесно действия за евентуална промяна на тези данни с „нови“, докато подмяната на специални категории данни в много случаи се явява обективно невъзможна.
Системите за видеонаблюдение обикновено събират големи обеми данни, които могат да разкрият информация с подчертано личен характер, и дори специални категории данни. Трябва да се подчертае, че на пръв поглед събрани чрез видеонаблюдение данни без особено значение могат да се използват за получаване на друга информация за постигане на различни цели (напр. за анализ на навиците и поведението на физическо лице). Въпреки това, видеонаблюдението не във всички случаи се счита за обработване на специални категории лични данни. Видеозапис на физическо лице не може да се счита сам по себе си за биометрични данни, ако той не е бил подложен на специфична техническа обработка, за да може да допринесе за идентифицирането на това лице. Когато система за видеонаблюдение се използва за обработване на специални категории данни, администраторът на данните трябва да определи както изключение за обработване на специални категории данни по чл. 9, пар. 2 (изключения от общото правило за недопустимост на обработването на специални категории данни), така и правно основание по чл. 6 от ОРЗД[3].
Както се посочи по-горе, използването на биометрични данни и по-конкретно на разпознаване на лица е свързано с повишени рискове за правата на субектите на данните. От решаващо значение е използването на такива технологии да се предприема при надлежно зачитане на залегналите в ОРЗД принципи на законосъобразност, необходимост, пропорционалност и свеждане на данните до минимум. Макар че използването на такива технологии може да се разглежда като особено ефективно, администраторите на данните следва преди всичко да оценят въздействието върху основните права и свободи, и да преценят възможностите за използване на алтернативи средства за постигане на законната цел на обработването, които представляват по-малка намеса в правата и свободите на субекта на данни.
Системите за видеонаблюдение могат да са полезни както за частния, така и за публичния сектор, повишавайки сигурността и позволявайки анализиране на лицата, попадащи в обхвата му и дори за извършването на персонализирана реклама. Ефективността им се увеличава с интелигентен видео анализ, включващ както комплексни биометрични технологии, така и прости алгоритми. Запазването на анонимността и личния живот е предизвикателство, а правният анализ варира в зависимост от използваната технология. Наред с въпросите, свързани с неприкосновеността на личния живот, съществуват и рискове, свързани с възможно неправилно функциониране на тези системи и с предубеденост, която те могат да породят. Според данните от научни изследвания, софтуерът, който се използва за идентифициране, разпознаване или анализ на лица, функционира с различна ефективност в зависимост от възрастта, пола и етническия произход на лицата. Алгоритмите могат да се използват по отношение на различни демографски групи, поради което наличието на необективност или отклонения при разпознаването на лица може да задълбочи предразсъдъците в обществото.
Какво всъщност представлява лицевото разпознаване?
Лицевото разпознаване е технология, която използва изкуствен интелект (ИИ), за да разпознае или потвърди самоличността на човек чрез анализ на неговите лицеви характеристики. Системата за лицево разпознаване засича лице в снимка или видео, измерва уникални характеристики като разстоянието между очите, формата на носа или линията на челюстта и ги сравнява с вече съхранени данни. Често се използва за отключване на телефони, видеонаблюдение, летищен контрол, сигурност и дори за автоматично отбелязване (тагване) на хора в снимки в социалните мрежи.
Доколкото лицевото разпознаване се осъществява на базата на изкуствен интелект, приложение намира и Регламент (ЕС) 2024/1689 на Европейския парламент и на Съвета от 13 юни 2024 година за установяване на хармонизирани правила относно изкуствения интелект (Акт за изкуствения интелект), чиито основи разпоредби (глави I и II) вече се прилагат, считано от 2 февруари 2025 г. В съображение 15 от същия се посочва, че понятието „биометрична идентификация“, следва да се определи като автоматизираното разпознаване на физически, физиологични и поведенчески характеристики на човека, например лице, движение на очите, форма на тялото, глас, ритъм и интонация на говора, походка, стойка, сърдечен ритъм, кръвно налягане, мирис и особености на натиска на клавиши, с цел установяване на самоличността на дадено лице чрез сравняване на биометрични данни на това лице със съхранени биометрични данни на лица в референтна база данни.
Актът за ИИ въвежда и понятието „биометрично категоризиране“. То се дефинира като отнасяне на физически лица към конкретни категории въз основа на техните биометрични данни. Подобни конкретни категории могат да са свързани с аспекти като пол, възраст, цвят на косата, цвят на очите, татуировки, поведенчески или личностни черти, език, религия, принадлежност към национално малцинство, сексуална или политическа ориентация. В този смисъл въвеждането в системата за видеонаблюдение на един магазин на данни за лицевите изображения на лица, които са извършили кражба на стоки от същия, води несъмнено до тяхното биометрично категоризиране.
Тъй като биометричните данни представляват специална категория лични данни, е целесъобразно да се класифицират като високорискови няколко случая на критично използване на биометрични системи, доколкото тяхното използване е разрешено съгласно съответното право на Съюза и национално законодателство. Техническите неточности на системите с ИИ, предназначени за дистанционна биометрична идентификация на физически лица, могат да доведат до опорочени от предубеденост резултати и до дискриминация. Рискът от такива опорочени от предубеденост резултати и дискриминация е от особено значение във връзка с възраст, етническа принадлежност, раса, пол или увреждане. Поради това системите за дистанционна биометрична идентификация следва да бъдат класифицирани като високорискови с оглед на рисковете, които пораждат. Тази класификация изключва системите с ИИ, предназначени да бъдат използвани за биометрична проверка, включително за удостоверяване на самоличността, чиято единствена цел е да се потвърди, че конкретно физическо лице е лицето, за което се представя, и да се потвърди самоличността на физическо лице единствено за да се получи достъп до услуга, да се отключи устройство или да се придобие сигурен достъп до помещения. Освен това следва да бъдат класифицирани като високорискови системите с ИИ, предназначени да се използват за биометрично категоризиране в съответствие с чувствителни признаци или характеристики, защитени съгласно чл. 9, пар. 1 от Регламент (ЕС) 2016/679, въз основа на биометрични данни, доколкото те не са забранени съгласно Акт за изкуствения интелект, и системи за разпознаване на емоции, които не са забранени съгласно същия акт. Биометричните системи, които са предназначени да се използват единствено с цел да се позволи предприемането на мерки за киберсигурност и за защита на личните данни, не следва да се считат за високорискови системи с ИИ (съображение 54 от Акта за ИИ).
За целите на настоящия анализ заслужава да се отбележи, че Актът за ИИ, като специален нормативен акт за защита на физическите лица по отношение на обработването на лични данни чрез използването на системи с ИИ, въвежда множество рестрикции за дистанционна биометрична идентификация, дори когато се извършва от правоохранителните органи за целите на предотвратяването, разследването, разкриването или наказателното преследване на престъпления[4] (вж. чл. 5 „Забранени практики в областта на ИИ“ от Акта за ИИ).
В т. 82 от своите Насоки № 3/2019 относно обработването на лични данни чрез видеоустройства Европейският комитет по защита на данните счита (ЕКЗД) посочва, че когато администратор на данни желае да установи повторно влизане на субект на данни в зоната под наблюдение, целта би била уникално идентифициране на физическо лице, което означава, че от самото начало операцията попада в обхвата на чл. 9 от ОРЗД. Тъй като системата използва физически характеристики, за да установи конкретни физически лица, които навлизат повторно в обхвата на камерите (напр. посетители на търговски център) и да ги проследява, се използва технология за биометрично идентифициране, тъй като целта е разпознаване посредством специфично техническо обработване.
ЕКЗД отбелязва, че някои биометрични системи са инсталирани в неконтролирана среда[5], което означава, че системата заснема в движение лицата на всички физически лица, които влизат в обхвата на камерите, включително лицата, които не са дали съгласието си за използване на биометричното устройство, и по този начин създава биометрични модели. Тези модели се сравняват с моделите, създадени за субект на данни, чиито образи са предварително въведени в база данни, за да може администраторът на данните да установи дали съответното лице е потребител на биометричната технология. В подобни случаи, какъвто е и настоящият, често системата е настроена да разграничава физическите лица, които трябва да разпознава въз основа на база данни, от лицата, които не са регистрирани. Тъй като целта е уникално идентифициране на физически лица и в този случай е необходимо изключение от разпоредбата на чл. 9, пар. 2 от ОРЗД за всички лица, заснети (сканирани) от камерите.
За да бъде обработването на лични данни законосъобразно, то трябва да се осъществява въз основа на някое от правните основания, посочени в чл. 6, пар. 1, първа алинея и/или чл. 9, пар. 2 от ОРЗД, както и да бъдат приложени ефективно принципите за обработването им, прогласени в чл. 5 от същия. Обработването на биометрични данни за целите единствено на идентифицирането на физическо лице по правило е забранено (вж. чл. 9, пар. 1 от ОРЗД), но може да се осъществява при наличие на някое от изключенията по чл. 9, пар. 2, б. „а“ – „й“ от ОРЗД.
Изложеният в искането правен анализ за приложимост на условието по чл. 9, пар. 2, б. „ж“ от ОРЗД (обработването е необходимо по причини от важен обществен интерес на основание правото на Съюза или правото на държава членка, което е пропорционално на преследваната цел, зачита същността на правото на защита на данните и предвижда подходящи и конкретни мерки за защита на основните права и интересите на субекта на данните) не може да бъде споделен поради следните съображения:
Освен правна, понятието „обществен интерес“ има и нравствено-етична величина, която се променя с развитието на едно общество, поради което е изключително трудно, а и рисковано, да бъде дефинирано в нормативен акт, който има за цел да урежда трайни обществени отношения. Както много други нормативни актове, в които се използва, така и ОРЗД не въвежда легална дефиниция на понятието „обществен интерес“. Въпреки това неговите основни характеристики могат да бъдат извлечени от правната доктрина и юриспруденция. Според тях „обществен интерес“ означава това, което е важно, полезно или необходимо за доброто на обществото като цяло, а не за отделен човек, група или организация. Общественият интерес следва да се разбира като съвкупност от ценности, цели или действия, които служат за защита, развитие или благосъстояние на цялото общество или на значителна част от него.
Общественият интерес намира проявление в области като:
- сигурността и здравето на гражданите;
- опазване на околната среда;
- осигуряване на прозрачност в управлението;
- подобряване на образованието и здравеопазването;
- гарантиране свободата на словото и правото на информация;
- противодействие на корупцията и изпирането на пари;
- обезпечаване на демократичността на изборния процес и пр.
ОРЗД изисква общественият интерес или критериите за неговото определяне да бъдат установени в правото на Съюза или в правото на държава членка, което е пропорционално на преследваната цел, зачита същността на правото на защита на данните и предвижда подходящи и конкретни мерки за защита на основните права и интересите на субекта на данните. Това правно основание може да включва конкретни разпоредби за адаптиране на прилагането на ОРЗД, inter alia общите условия, които определят законосъобразността на обработването от администратора, видовете данни, които подлежат на обработване, съответните субекти на данни; образуванията, пред които могат да бъдат разкривани лични данни, и целите, за които се разкриват; ограниченията по отношение на целите на разкриването; периодът на съхранение и операциите и процедурите за обработване, включително мерки за гарантиране на законосъобразното и добросъвестно обработване, като тези за други конкретни случаи на обработване, предвидени в глава IX на ОРЗД. Правото на Съюза или правото на държавата членка трябва да се съобразява с обществения интерес и да е пропорционално на преследваната легитимна цел.
Въвеждането и последващото обработване на данни за лицевите изображения на клиенти, за които е констатирано, че са направили опит или са извършили кражба на стока от магазин, или са имали друго противоправно поведение, за целите на тяхното лицево разпознаване от система за видеонаблюдение при следващо посещение в обект на търговската верига, не може да представлява причина от важен обществен интерес по смисъла на чл. 9, пар. 2, б. „ж“ от ОРЗД. Такава причина, от една страна, трябва да е установена в законодателството, а от друга страна, трябва да отчита естеството на дейност на администратора на лични данни и да се явява необходима, подходяща и пропорционална мярка в едно демократично общество, която да гарантира отношения от важен обществен интерес. Кражбата или опитът за кражба в условията на „маловажен случай“ по Наказателния кодекс[6] не може да бъде причина от важен обществен интерес по смисъла на ОРЗД, която да превърне клиентите на един магазин в „ходещи баркодове“.
Такава причина от важен обществен интерес може да бъде обезпечаването на сигурността в обекти на националната сигурност или елементи от критичната инфраструктура на страната. Например в атомна електроцентрала или в друго предприятие, чиято дейност е свързана с генериране на изключително високи рискове за живота и здравето на субектите на данни (напр. в областта на фармацевтичното производство, производството на оръжия и боеприпаси, химическата промишленост, самолетостроенето и др. под.).
За пълнота на настоящия анализ трябва да се отбележи, че и никое от останалите по чл. 9, пар. 2 от Регламент (ЕС) 2016/679 условия за допустимост на обработването на биометрични данни, за целите единствено на идентифицирането на физическо лице, не намира приложение, и не може да обоснове планираното обработване на такива данни за посочените от искателя цели. В това число не е приложимо и съгласието на субектите на данни. Уведомяването на субектите на данни (чрез указателни табели/стикери и публикуването на известия за защита на личните данни), че се извършва видеонаблюдение с лицево разпознаване и тяхното фактическо влизане в търговски обект, не могат да бъдат тъждествени на даването на изрично съгласие по смисъла на чл. 9, пар. 1, б. „а“ от ОРЗД.
Формирането на отделен регистър с лицеви изображения на клиенти, за които е констатирано, че са направили опит или са извършили кражба на стока от магазин, като форма на последващо обработване на лични данни, не отговаря и на принципа за „ограничение на целите“ по чл. 5, пар. 1, б. „б“ от ОРЗД, както и на изискванията за обработване на данни за цели, различни от първоначалните, за които са били събрани (арг. чл. 6, пар. 4 от ОРЗД). Не на последно място, освен че обработването на данни за лицевите изображения на клиенти накърнява правото на защита на личните данни и неприкосновеността на личния им живот, то би породило и форми на дискриминация спрямо тях.
Поради всички тези причини планираното обработване се явява незаконосъобразно.
В подкрепа на това заключение е и практиката на други европейски надзорни органи по защита на личните данни:
- През 2020 г. нидерландският надзорен орган по защита на личните данни (Autoriteit Persoonsgegevens) упражнява корективните си правомощия, като отправя към супермаркет официално предупреждение за това, че използваната от него система за видеонаблюдение с лицево разпознаване нарушава изискванията на ОРЗД. Информация за случая е публикувана на интернет страницата на ЕКЗД: https://www.edpb.europa.eu/news/national-news/2021/dutch-dpa-issues-formal-warning-supermarket-its-use-facial-recognition_en (Dutch DPA issues Formal Warning to a Supermarket for its use of Facial Recognition Technology);
- През 2021 г. испанският надзорен орган по защита на личните данни (Agencia Española de Protección de Datos) налага имуществена санкция в размер на 2,5 млн. евро на верига супермаркети за използването на система за видеонаблюдение с лицево разпознаване. Информация за случая е публикувана в интернет портала GDPRhub на следния линк: https://gdprhub.eu/index.php?title=AEPD_(Spain)_-_PS/00120/2021
По тези съображения и на основание чл. 58, пар. 3, б. „б“ от Регламент (ЕС) 2016/679 във вр. с чл. 10а, ал. 1 от Закона за защита на личните данни и чл. 51, т. 2 от Правилника за дейността на КЗЛД и на нейната администрация, Комисията за защита на личните данни изразява следното
СТАНОВИЩЕ:
- Въвеждането и последващото обработване на данни за лицевите изображения на клиенти, за които е констатирано, че са направили опит или са извършили кражба на стока от магазин, или са имали друго противоправно поведение, за целите на тяхното лицево разпознаване от система за видеонаблюдение при следващо посещение в обект на търговската верига, не представлява причина от важен обществен интерес по смисъла на чл. 9, пар. 2, б. „ж“ от Регламент (ЕС) 2016/679.
- Никое от останалите по чл. 9, пар. 2 от Регламент (ЕС) 2016/679 условия за допустимост на обработването на биометрични данни, за целите единствено на идентифицирането на физическо лице, не намира приложение, и не може да обоснове планираното обработване на такива данни за посочените от искателя цели. В това число не е приложимо и съгласието на субектите на данни. Това налага извода, че планираното обработване не съответства на изискванията на Регламент (ЕС) 2016/679, поради което се явява недопустимо.
- Обработването на биометрични данни посредством технология за лицево разпознаване може да се осъществява въз основа на причина от важен обществен интерес, когато тя е установена в правото на ЕС или националното законодателство, отчита естеството на дейност на администратора на лични данни и се явява необходима, подходяща и пропорционална мярка в едно демократично общество, която гарантира цел от важен обществен интерес.
- Такава причина от важен обществен интерес може да бъде обезпечаването на сигурността в обекти на националната сигурност или елементи от критичната инфраструктура на страната.
ПРЕДСЕДАТЕЛ: ЧЛЕНОВЕ:
ВЕНЦИСЛАВ КАРАДЖОВ МАРИЯ МАТЕВА
ВЕСЕЛИН ЦЕЛКОВ
[1] След продажбата и интеграцията дружеството няма да отговаря за контрола върху разширеното видеонаблюдение с лицево разпознаване, нито за поддръжката му.
[2] Съгласно § 1, т. 3 от ДР на ЗЧОД „Видеонаблюдение“ е техническа форма на обработка и съхранение в предвидения в закона срок на лични данни, извършвани при спазване на изискванията за защита на личните данни и на разпоредбите и на този закон, свързани с изискванията при обработката на лични данни съгласно чл. 5 от Регламент (ЕС) 2016/679 на Европейския парламент и на Съвета от 27 април 2016 г. относно защитата на физическите лица във връзка с обработването на лични данни и относно свободното движение на такива данни и за отмяна на Директива 95/46/ЕО (Общ регламент относно защитата на данните) (ОВ, L 119/1 от 4 май 2016 г.), включваща заснемане на лица в охраняван обект и запис на получените данни.
[3] Вж. т. 68 от Насоки № 3/2019 на Европейския комитет по защита на данните (ЕКЗД) относно обработването на лични данни чрез видеоустройства, публикувани на интернет страниците на ЕКЗД и КЗЛД.
[4] Повече информация може да се намери в Насоки № 05/2022 на Европейския комитет по защита на данните относно използването на технология за лицево разпознаване в областта на правоприлагането, публикувани на интернет страниците на ЕКЗД и КЗЛД.
[5] Това означава, че камерата е инсталирана в пространство с обществен достъп и може да регистрира всички лица, които преминават през нейния обсег, за разлика от биометричните системи, функциониращи в контролирана среда, които могат да се използват само с участието на лицата, които са дали съгласието си за това.
[6] Посегателството върху щафета салам и парче кашкавал не може да бъде причина от важен обществен интерес по смисъла на ОРЗД.
