Ítélet az arcfelismerő rendszer rendőri használatáról

Augusztus 11-én a Brit Fellebbviteli Bíróság ítéletet hirdetett egy ügyben, melynek tárgya a Dél-Walesi Rendőrség (SWP) által használt arcfelismerő rendszer alkalmazásának jogszerűsége volt. Az arcfelismerő technológiát alkalmazó rendszerek használatával kapcsolatban egyre több hatóság foglal állást, az ezzel kapcsolatos cikkeink itt találhatóak.

Fontos már az elején rögzíteni, hogy az ügynek kifejezett GDPR vonatkozása nincs, hiszen a bűnüldözési célú adatkezelés a 2. cikk (2) bekezdés d) pontjára tekintettel nem tartozik a GDPR hatálya alá.

A szóban forgó rendszer a „Locate” névre hallgat, és úgy működik, hogy képes valós idejű felvételeken elemezni a megjelenő arcokat, majd ezeket egy rendőrségi adatbázissal összehasonlítani. Amennyiben a rögzített kép nem egyezik egyetlen az adatbázisban található arccal sem, a rendszer automatikusan törli a képet. Ha a szoftver egyezést talál, figyelmeztetést küld a rendszer működtetőjének – legtöbbször egy rendőrtisztnek – aki döntést hozhat a további teendőkről.

A rendőrség a rendszert 2017 májusa és 2019 áprilisa között körülbelül 50 alkalommal használta, ezen alkalmakkor a rendszer sosem került álcázásra, annak működése transzparensen történt. A rendőrségi adatbázisban tipikusan olyan személyek arcképe található meg, akiket valamilyen okból köröznek, gyanúsítanak, vagy más módon fontosak a rendőrség munkája szempontjából. Jelenleg 400-800 közötti az adatbázisban található személyek száma, maximálisan 2.000 arcot tud a rendszer tárolni.

A Locate szoftver a telepítését követően mintegy 50 arcról képes felvételt készíteni másodpercenként, és a korábban említett 50 alkalommal összesen körülbelül 500.000 arcról készített felvételt. Ezeknek a döntő többségében a rendszer nem talált egyezést az arcképek között, ezért a rögzített felvételeket azonnal automatikusan törölte.

Az ügy felperese egy cardiffi szabadságjogi aktivista, bizonyos Edward Bridges, akit állítása szerint két alkalommal is rögzített a Locate rendszer – bár mivel arcképe nem szerepelt a rendőrségi adatbázisban, a róla készített felvételt a rendszer automatikusan törölte. A rendőrség nem vonta kétségbe ennek megtörténtét, amennyiben a felperes a megadott időben valóban azon a helyen tartózkodott, ahol az adatkezelést végezte a rendőrség.

Mr. Bridges azonban beperelte a rendőrséget, arra hivatkozva, hogy a rendszer használata sérti az Az emberi jogok európai egyezményének (EJEE) 8. cikkét (Magán- és családi élet tiszteletben tartásához való jog), illetve az Állami Szektor Egyenlőségére vonatkozó törvényt (PSED), mely szerint egy állami szervezetnek úgy kell tevékenységét végeznie, hogy az ne járjon diszkriminációval az állampolgárok számára. Az utóbbira a felperes azért hivatkozott, mert véleménye szerint az arcfelismerő rendszerek több hamis pozitív eredményt produkálnak női, illetve fekete bőrű állampolgárok esetében. Hasonló okok miatt tiltotta be egyébként az arcfelismerő rendszerek használatát számos amerikai város, köztük Boston is. Az ügyet 2019. szeptember 4-én tárgyalta az illetékes elsőfokú kerületi bíróság, melyben Mr. Bridges keresetét minden pontban elutasította.

A felperes öt hivatkozási alapon nyújtott be fellebbezést, mely alapján az a következő ítéletet hozta:

– A felperes javára döntött a bíróság, és kimondta, hogy a kerületi bíróság hibázott, amikor úgy döntött, hogy a megfigyelőrendszer használata összhangban van a jogszabályokban (DPA 2018, EJEE 8.cikk) foglaltakkal, ugyanis nem áll rendelkezésre kellő iránymutatás, hogy hasonló rendszerek milyen területeken használhatók, illetve, hogy mi a feltétele a rendőrségi adatbázisba történő bekerülésnek.
– Elutasította a bíróság a felperes fellebbezését azzal kapcsolatban, hogy a megfigyelőrendszer használata aránytalanul sértené személyiségi jogait. A kerületi bíróság helyesen mérte fel, hogy az arcfelismerő rendszer használatával kapcsolatos előnyök túlsúlyban vannak a felperes jogainak korlátozásával.
– Harmadik pontban ismét a felperes javára döntött a bíróság, és kimondta, hogy a rendőrség által végzett adatvédelmi hatásvizsgálat nem volt elégséges, ugyanis az azon az alapon íródott, hogy nem történt meg az EJEE 8. cikkének megsértése.
– A fellebbezés negyedik pontját is elutasította a bíróság, mely szerint a rendőrség nem rendelkezett a DPA 2018 által megkövetelt adatvédelmi dokumentumokkal. A bíróság megjegyezte, hogy a kérdésben nincs ok döntést hozni, mivel a felperes beadványában szereplő időpontokban, amikor a rendszer használatban volt, a DPA 2018 még nem volt hatályban.
– Végül a felperes javára döntött a bíróság a PSED megsértésével kapcsolatban, kiemelve, hogy a rendőrség nem végzett vizsgálatot arra vonatkozóan, hogy az arcfelismerő rendszer valóban más eredményeket produkál-e nőnemű, vagy feketebőrű állampolgárok esetében. Hozzátette azonban, hogy nincs világos bizonyíték arra vonatkozóan, hogy a rendszer működése nemi vagy faji alapon diszkriminatív lenne.

Az ICO külön közleményben üdvözölte a bíróság döntését, mely hozzájárul az arcfelismerő rendszerekkel kapcsolatos átlátható jogi keretrendszer kialakításához. Véleményük szerint ennek a megléte elengedhetetlen, hogy a társadalom megbízzon a rendvédelmi erőkben és munkájukban. A Dél Walesi Rendőrség elfogadta az ítéletet, azzal kapcsolatban fellebbezést nem kíván benyújtani.