Kamera napojená na policii + AI = GDPR, AI Act i společná odpovědnost najednou. Kdy je nutná DPIA a kdy je systém AI přímo zakázán.
Kamerový systém napojený na městskou policii nebo ministerstvo už dávno není jen o GDPR. Pokud se k tomu navíc přidá umělá inteligence – rozpoznávání obličejů, automatická detekce podezřelého chování, sledování registračních čísel – ocitne se firma nebo město v průsečíku tří samostatných právních režimů najednou, přičemž každý z nich má své vlastní, přísné podmínky. Kombinace „AI + kamera + propojení se státem“ proto vyžaduje výrazně důkladnější posouzení než běžný kamerový systém na parkovišti.
První vrstva: GDPR a povinnost PIA/DPIA
Záznam z kamery je osobním údajem vždy, když je na něm osoba identifikovatelná. Při systematickém monitorování veřejně přístupných prostor ve velkém rozsahu je vypracování posouzení dopadu na ochranu osobních údajů (DPIA, lidově také PIA – Privacy Impact Assessment) podle čl. 35 GDPR povinné – jedná se o jeden z výslovně uvedených příkladů v nařízení i v seznamu Úřadu pro ochranu osobních údajů SR. Pokud se navíc zpracovávají biometrické údaje(např. biometrický otisk obličeje pro účely rozpoznávání), jedná se o zvláštní kategorii údajů zpracovávanou ve velkém rozsahu – což povinnost provést DPIA činí ještě nezpochybnitelnější.
Právním základem takového zpracování bývá u orgánů veřejné moci veřejný zájem (čl. 6 odst. 1 písm. e) GDPR), zatímco soukromý provozovatel kamer se na něj nemůže odvolat – musí vycházet z oprávněného zájmu a prokázat jej testem proporcionality. Právě zde vzniká první praktický problém: pokud soukromá firma provozuje kamery a následně záznamy zpřístupňuje policii, musí mít pro každý z těchto dvou kroků samostatný, jasně definovaný právní základ – jeden pro samotné nahrávání, druhý pro předání záznamu třetí straně.
Druhá úroveň: AI Act a otázka, zda se vůbec jedná o povolenou technologii
Teprve zde přichází klíčové rozlišení, které je v praxi nejčastěji podceňováno. AI Act (nařízení EU 2024/1689) rozlišuje mezi:
- biometrickou identifikací na dálku v reálném čase ve veřejně přístupných prostorách pro účely vymáhání práva – ta je podle čl. 5 AI Actu v zásadě zakázána, s úzce vymezenými výjimkami (např. pátrání po obětech únosu, hrozba teroristického útoku), a to pouze na základě soudního povolení a pod nezávislým dohledem;
- následnou (post) biometrickou identifikací, tedy vyhodnocením předem zaznamenaného záznamu s časovým odstupem – tato není zakázána, ale spadá mezi vysoce rizikové systémy AI podle přílohy III zákona o AI, pokud se používá pro účely vymáhání práva, s celou řadou povinností (registrace, lidský dohled, technická dokumentace, posouzení shody).
Rozdíl mezi těmito dvěma kategoriemi není pouze kosmetický – porušení zákazu podle čl. 5 patří mezi nejpřísněji sankcionovaná porušení v celém nařízení, s pokutami až do výše 35 milionů eur nebo 7 % celosvětového obratu. Pokud tedy kamerový systém propojený s policií funguje v reálném čase a dokáže automaticky rozpoznávat konkrétní osoby, je nezbytné nejprve vyřešit otázku klasifikace podle AI Act – teprve poté má smysl řešit DPIA, protože v případě zakázané praxe žádné posouzení dopadů nezachrání zákonnost.
Zvláště je třeba připomenout, že necílené shromažďování obličejů z kamerových záznamů za účelem vytvoření databáze pro rozpoznávání obličejů je podle čl. 5 zákona o umělé inteligenci zcela zakázáno, a to bez výjimky pro orgány činné v trestním řízení.
Třetí úroveň: kdo je vlastně správcem, když data proudí na více míst
Je-li kamerový systém napojen současně na obec, policii i ministerstvo, vyvstává otázka společné odpovědnosti (čl. 26 GDPR). Pokud tyto subjekty společně určují účely a prostředky zpracování (například se dohodnou, kdy a za jakých podmínek získá policie přístup k živému přenosu), jedná se o společné správce, kteří musí mít transparentní dohodu upravující, kdo plní jaké povinnosti vůči dotčeným osobám. Pokud policie pouze příležitostně vyžádá konkrétní záznam při vyšetřování konkrétního incidentu, jedná se spíše o jednorázové poskytnutí údajů třetí straně než o společné zpracování – rozdíl je zásadní, protože určuje, kdo odpovídá za informování dotčených osob a kdo vede záznamy o poskytnutých údajích.
Co musí PIA/DPIA v takovém případě reálně obsahovat
Při kombinaci umělé inteligence, kamer a propojení se státní správou nestačí formální DPIA – musí obsahovat:
- systematický popis operací zpracování včetně přesného toku dat (kdo data vidí, kde se ukládají, kdo k nim má přístup),
- posouzení nezbytnosti a přiměřenosti ve vztahu ke sledovanému účelu (test proporcionality),
- samostatné posouzení klasifikace systému podle AI Act a souvisejících rizik,
- vyhodnocení rizika pro práva a svobody dotčených osob a opatření k jejich zmírnění.
Pokud DPIA i přes přijatá opatření prokáže vysoké zbytkové riziko, GDPR (čl. 36) vyžaduje předchozí konzultaci s Úřadem pro ochranu osobních údajů SR ještě před zahájením zpracování – tedy dříve, než se kamery skutečně zapnou.
Co si z toho vzít
U kamer s umělou inteligencí napojených na policii nebo ministerstvo je pořadí kroků přesně opačné, než si většina provozovatelů myslí: nejprve je třeba vyřešit, zda technologie vůbec smí fungovat tak, jak je navržena (klasifikace podle AI Act), poté nastavit, kdo je za co zodpovědný v rámci toku dat mezi subjekty (společná odpovědnost), a teprve následně vypracovat samotné posouzení dopadu na ochranu osobních údajů (DPIA) nebo posouzení dopadu na soukromí (PIA). Obrácené pořadí – nejprve nasadit technologii a dodržování předpisů řešit až dodatečně – je přesně ten scénář, který u systémů této citlivosti vede k nejvyšším pokutám v celém regulačním rámci EU.
S klasifikací systému umělé inteligence, nastavením společné odpovědnosti i se zpracováním samotného posouzení dopadu na ochranu osobních údajů (DPIA) vám rádi pomůžeme – podívejte se na naši službu Soulad s legislativními požadavky (DORA, NIS2, AI Act).
