ÚOOÚ: nasazení biometrické identifikace na fotbalových stadionech naráží na přísné podmínky GDPR
Úřad pro ochranu osobních údajů zveřejnil konzultační stanovisko k nasazení kamerových systémů zpracovávajících biometrické charakteristiky na fotbalových stadionech. Závěr je jednoznačný: běžný kamerový záznam zákon dovoluje, ale biometrická identifikace v reálném čase je přísně regulovaná záležitost, na kterou dosud chybí dostatečný zákonný základ.
Debata o biometrickém sledování na sportovních akcích nabírá v Česku na intenzitě. Bezpečnostní argumenty – zamezení vstupu zakázaným divákům, předcházení výtržnostem – se střetávají s ochranou soukromí všech ostatních přítomných, kteří do žádného monitorování nesouhlasili. Právě na tuto kolizi reaguje ÚOOÚ vydáním konzultačního stanoviska ze dne 20. 5. 2026.
Prvním krokem analýzy je rozlišení mezi dvěma typy kamerových systémů. Kamerový záznam pořízený a zpracovávaný standardním způsobem – bez automatické extrakce biometrických charakteristik – nepředstavuje zpracování zvláštní kategorie osobních údajů. Zákonným základem pro takové zpracování je zpravidla oprávněný zájem správce podle čl. 6 odst. 1 písm. f) GDPR, přičemž správce je povinen provést test proporcionality (balanční test). Takové kamerové systémy jsou tedy za splnění podmínek přípustné.
Situace se zásadně mění v okamžiku, kdy kamera nebo navazující software zpracovává biometrické charakteristiky – obličejové markanty, parametry chůze nebo jiné biometrické rysy – za účelem identifikace konkrétní osoby. Tím vstupuje zpracování do kategorie zvláštních osobních údajů podle čl. 9 GDPR, u nichž platí obecný zákaz. ÚOOÚ zdůrazňuje, proč je tato kategorie dat obzvlášť citlivá: biometrické charakteristiky jsou neoddělitelně spjaty s konkrétní fyzickou osobou a nelze je – na rozdíl od hesla nebo průkazu – po kompromitaci vyměnit. Každý neoprávněný přístup k jednou shromážděným biometrickým datům tak představuje trvalé riziko.
Z obecného zákazu zpracování biometrických údajů lze uplatnit výjimky vyjmenované v čl. 9 odst. 2 GDPR. V kontextu stadionů a bezpečnostních cílů připadá v úvahu zejména výjimka pro zpracování ve výrazném veřejném zájmu podle písm. g). Tato výjimka ovšem není samospouštěcí. Výslovně vyžaduje zákonný základ v právu EU nebo členského státu, který musí být přiměřený sledovanému cíli, nesmí popírat podstatu práva na ochranu údajů a musí zajišťovat konkrétní záruky pro práva dotčených osob. Jinými slovy: bez příslušného zákona s těmito kvalitami výjimku nelze uplatnit.
ÚOOÚ upozorňuje také na souběh s nařízením AI Act. Vzdálená biometrická identifikace fyzických osob v reálném čase prostřednictvím umělé inteligence je tam klasifikována jako mimořádně rizikové zpracování a pro ne-bezpečnostní účely je v zásadě zakázána. Výjimka ve prospěch orgánů činných v trestním řízení je striktní. V české právní úpravě ji konkretizuje § 39a a násl. zákona č. 110/2019 Sb. o zpracování osobních údajů: reálný čas biometrické identifikace prostřednictvím AI mohou využívat pouze Policie ČR, a to výhradně na mezinárodních letištích a pouze na základě předchozího písemného povolení předsedy senátu vrchního soudu, přičemž každé povolení je vydáváno na nejdéle 12 měsíců. Policie navíc musí ÚOOÚ o zahájení provozu takového systému informovat do 72 hodin.
Kluby, provozovatelé stadionů ani soukromé bezpečnostní agentury tedy momentálně nemají zákonný základ, který by biometrickou identifikaci v reálném čase na fotbalových stadionech umožňoval. ÚOOÚ opakuje, že je připraven poskytovat správcům předběžnou konzultaci podle čl. 36 GDPR i konzultovat se zákonodárci v průběhu legislativního procesu. Vytvoření samotné nové legislativy je nicméně věcí vlády a parlamentu, nikoli dozorového úřadu.
Stojí za zmínku, že ÚOOÚ se k biometrickým kamerovým systémům na stadionech vyjadřuje opakovaně – poprvé v roce 2019 a znovu v roce 2020 v kontextu návrhu regulace fotbalového násilí. Vydání nového stanoviska naznačuje, že poptávka po takových systémech ze strany pořadatelů nesportovních i sportovních akcí přetrvává a otázka zákonného základu zůstává otevřená.
Zdroj
Další články
Belgický dozorový úřad uložil pokutu 120 000 eur za záměnu role správce a zpracovatele osobních údajů
Nové zranitelnosti v katalogu CISA KEV – vydání 21, druhá dávka
