Kamera napojená na políciu + AI = GDPR, AI Act aj spoločná zodpovednosť naraz. Kedy treba DPIA a kedy je AI systém rovno zakázaný.
Kamerový systém pripojený k mestskej polícii alebo ministerstvu už dávno nie je len o GDPR. Ak sa doň navyše pridá umelá inteligencia – rozpoznávanie tvárí, automatická detekcia podozrivého správania, sledovanie evidenčných čísel – firma alebo mesto sa ocitá v priesečníku troch samostatných právnych režimov naraz, a každý z nich má vlastné, prísne podmienky. Kombinácia „AI + kamera + prepojenie so štátom“ preto vyžaduje výrazne dôkladnejšie posúdenie než bežný kamerový systém na parkovisku.
Prvá vrstva: GDPR a povinnosť PIA/DPIA
Kamerový záznam je osobný údaj vždy, keď je osoba na ňom identifikovateľná. Pri systematickom monitorovaní verejne prístupných priestorov vo veľkom rozsahu je vypracovanie posúdenia vplyvu na ochranu údajov (DPIA, ľudovo aj PIA – Privacy Impact Assessment) podľa čl. 35 GDPR povinné – ide o jeden z výslovne menovaných príkladov v nariadení aj v zozname Úradu na ochranu osobných údajov SR. Ak sa navyše spracúvajú biometrické údaje (napr. biometrický odtlačok tváre na účely rozpoznávania), ide o osobitnú kategóriu údajov spracúvanú vo veľkom rozsahu – čo povinnosť DPIA robí ešte nespochybniteľnejšou.
Právnym základom takéhoto spracúvania býva pri orgánoch verejnej moci verejný záujem (čl. 6 ods. 1 písm. e) GDPR), zatiaľ čo súkromný prevádzkovateľ kamier sa oň oprieť nemôže – musí vychádzať z oprávneného záujmu a preukázať ho testom proporcionality. Práve tu vzniká prvý praktický problém: ak súkromná firma prevádzkuje kamery a následne záznamy sprístupňuje polícii, musí mať pre každý z týchto dvoch krokov samostatný, jasne definovaný právny základ – jeden pre samotné nahrávanie, druhý pre odovzdanie záznamu tretej strane.
Druhá vrstva: AI Act a otázka, či ide vôbec o povolenú technológiu
Až tu prichádza kľúčové rozlíšenie, ktoré sa v praxi najčastejšie podceňuje. AI Act (nariadenie EÚ 2024/1689) rozlišuje medzi:
- diaľkovou biometrickou identifikáciou v reálnom čase vo verejne prístupných priestoroch na účely presadzovania práva – táto je podľa čl. 5 AI Actu v zásade zakázaná, s úzko vymedzenými výnimkami (napr. pátranie po obetiach únosu, hrozba teroristického útoku), a to len na základe súdneho povolenia a pod nezávislým dohľadom;
- následnou (post) biometrickou identifikáciou, teda vyhodnotením vopred nahratého záznamu s časovým odstupom – táto nie je zakázaná, ale spadá medzi vysokorizikové AI systémy podľa Prílohy III AI Actu, ak sa používa na účely presadzovania práva, s celým radom povinností (registrácia, ľudský dohľad, technická dokumentácia, posúdenie zhody).
Rozdiel medzi týmito dvoma kategóriami nie je kozmetický – porušenie zákazu podľa čl. 5 patrí medzi najprísnejšie sankcionované previnenia v celom nariadení, s pokutami až do 35 miliónov eur alebo 7 % celosvetového obratu. Ak teda kamerový systém prepojený s políciou beží v reálnom čase a dokáže automaticky rozpoznávať konkrétne osoby, je nevyhnutné najprv vyriešiť otázku AI Act klasifikácie – až potom má zmysel riešiť DPIA, pretože pri zakázanej praktike žiadne posúdenie vplyvu legalitu nezachráni.
Osobitne treba pripomenúť, že necielené vyzbieranie tvárí z kamerových záznamov na vytvorenie databázy na rozpoznávanie tvárí je podľa čl. 5 AI Actu zakázané úplne, bez výnimky pre orgány presadzovania práva.
Tretia vrstva: kto je vlastne prevádzkovateľ, keď dáta tečú na viacero miest
Keď je kamerový systém napojený súčasne na obec, políciu aj ministerstvo, vzniká otázka spoločnej zodpovednosti (čl. 26 GDPR). Ak tieto subjekty spoločne určujú účely a prostriedky spracúvania (napríklad sa dohodnú, kedy a za akých podmienok polícia dostane prístup k živému prenosu), ide o spoločných prevádzkovateľov, ktorí musia mať transparentnú dohodu upravujúcu, kto plní ktoré povinnosti voči dotknutým osobám. Ak polícia len príležitostne vyžiada konkrétny záznam pri vyšetrovaní konkrétneho incidentu, ide skôr o jednorazové poskytnutie údajov tretej strane než o spoločné prevádzkovanie – rozdiel je zásadný, pretože určuje, kto zodpovedá za informovanie dotknutých osôb a kto vedie záznamy o poskytnutých údajoch.
Čo musí PIA/DPIA v takomto prípade reálne obsahovať
Pri kombinácii AI, kamier a prepojenia so štátnou správou nestačí formálne DPIA – musí obsahovať:
- systematický opis spracovateľských operácií vrátane presného toku dát (kto dáta vidí, kde sa ukladajú, kto k nim má prístup),
- posúdenie nevyhnutnosti a primeranosti vo vzťahu k sledovanému účelu (test proporcionality),
- samostatné posúdenie AI Act klasifikácie systému a súvisiacich rizík,
- vyhodnotenie rizika pre práva a slobody dotknutých osôb a opatrenia na ich zmiernenie.
Ak DPIA napriek prijatým opatreniam ukáže vysoké zostatkové riziko, GDPR (čl. 36) vyžaduje predchádzajúcu konzultáciu s Úradom na ochranu osobných údajov SR ešte pred spustením spracúvania – teda skôr, než sa kamery reálne zapnú.
Čo si z toho odniesť
Pri AI kamerách napojených na políciu alebo ministerstvo je poradie krokov presne opačné, než si väčšina prevádzkovateľov myslí: najprv treba vyriešiť, či technológia vôbec smie fungovať tak, ako je navrhnutá (AI Act klasifikácia), potom nastaviť, kto je za čo zodpovedný pri toku dát medzi subjektmi (spoločná zodpovednosť), a až následne vypracovať samotné DPIA/PIA. Obrátené poradie – najprv nasadiť technológiu a riešiť súlad dodatočne – je presne ten scenár, ktorý pri systémoch tejto citlivosti končí najvyššími pokutami v celom regulačnom rámci EÚ.
S klasifikáciou AI systému, nastavením spoločnej zodpovednosti aj so spracovaním samotného DPIA vám radi pomôžeme – pozrite si našu službu Súlad s legislatívnymi požiadavkami (DORA, NIS2, AI Act).
