Potřebujeme národní zákon o kamerách na stadionech, vzkazuje strážce soukromí

Incident na stadionu Slavie znovu otevřel debatu o využívání kamer s rozpoznáváním obličejů. Místopředseda Úřadu pro ochranu osobních údajů Josef Mička v Rozstřelu na iDNES.cz popsal, proč Česko stále nemá potřebný zákon a jak by mohlo fungovat biometrické kontrolování fanoušků při vstupu na stadion.

Pane místopředsedo, incident na stadionu Slavie znovu otevřel debatu o kamerách. Kde je ten problém?
Je potřeba rozlišit, jaké údaje kamery zpracovávají. Máte klasické kamery, které zpracovávají údaje v tom smyslu, že zobrazují naši podobu a někam ji vysílají. Potom jsou tu biometrické kamery, které zpracovávají biometrické osobní údaje sloužící k jedinečné identifikaci člověka. A ty podléhají výrazně vyšší ochraně než standardní kamerové záznamy.

Jen laicky vysvětlete, co jsou to biometrické údaje…
Biometrické údaje jsou osobní údaje týkající se fyzických či fyziologických znaků nebo znaků chování fyzické osoby, které umožňují nebo potvrzují její jedinečnou identifikaci.

To znamená?
Typicky to mohou být otisky prstů, krevní řečiště nebo biometrické markanty obličeje, které má každý člověk jedinečné. Jejich zpracování podléhá výrazně vyšší ochraně, protože jakmile jednou uniknou, už je nelze změnit. Otisky prstů nezměníte, stejně tak obličej. Proto je tomu potřeba věnovat zvýšenou ochranu už od začátku, aby se nestalo, že budou údaje zpracovávány neoprávněně nebo nedostatečně zabezpečeně a následně uniknou.

45 fotografií

Tohle všechno svazuje ruce pořadatelům sportovních akcí?
V zásadě to svazuje ruce každému, kdo by chtěl biometrické osobní údaje zaznamenávat prostřednictvím kamer. GDPR říká, že takové údaje lze zpracovávat pouze tehdy, pokud to povoluje právo Evropské unie nebo členského státu. A právě proto se ta debata vede už řadu let. Úřad dlouhodobě říká, že biometrické údaje skrze kamerové systémy zpracovávat lze, ale je k tomu potřeba národní zákon.

Jak jsme na tom jako Česká republika?
Pořád jsme ve fázi debat, i když se teď zdá, že se situace po událostech na fotbalové Slavii posune.

Takže incident na Slavii, kdy fanoušci vtrhli na hřiště před koncem utkání, nás posunul blíže k nové legislativě?
Ano, sport se stává průkopníkem zpracování biometrických údajů v soukromém sektoru. Jednali jsme se Slavií, s předsedou představenstva Jaroslavem Tvrdíkem, s ministrem Borisem Šťastným i s Ministerstvem vnitra ČR, které se na tom také podílí. Shoda je v zásadě stejná a byla stejná vždy – je potřeba zákon na národní úrovni, který takové zpracování upraví.

Majitel Slavie Pavel Tykač: o budoucnosti Tvrdíka, Tribuně Sever i o kamerách

Máte za sebou jednání s již zmiňovaným ministrem Šťastným. Bude nová legislativa během tohoto volebního období?
Všechno začíná tím, co vlastně chcete skrze biometriku řešit. Jedna z možností je řešit vstupy na stadion, aby určitá skupina lidí, která bude v databázi, nebyla na stadion vpuštěna. Další možností, výrazně invazivnější, je skenování osob přímo na tribunách. To už by se nám úplně nelíbilo. My tlačíme na to, aby zásah byl co nejméně invazivní, ale zároveň splnil to, co si od něj jednotliví aktéři slibují. Těch variant je mnoho. Kluby si musí samy rozmyslet, co chtějí, a pak hledat nejmenší společný jmenovatel, jak toho dosáhnout při co nejmenším zásahu do práv a svobod lidí.

Vy budete při připomínkování klíčovým aktérem…
Naše role je ale rolí dozorového orgánu. My pravidla nenastavujeme.

Ale budete připomínkovat.
Rozhodně. Účastníme se procesu od začátku a doufáme, že budeme i u samotného nastavování systému, abychom případně mohli říct, že už je něco za hranou. Za nás platí jednoduché pravidlo: méně údajů je lepší, žádné údaje nejlepší. Aktuální debaty se týkají minimalistické verze při vstupu. Tam bude osoba naskenována a systém zjistí shodu s nějakou databází. Pak je samozřejmě otázka, co bude součástí databáze, kdo ji bude naplňovat, kdo ji bude spravovat, kde budou údaje uchovávány a podobně. Těch detailů je obrovské množství a vždy je potřeba myslet na to, že máme používat jen to, co je nezbytně nutné k dosažení účelu.

Dobře, tak postupně. Kde by podle vás měla být data uchovávána? Měly by je mít kluby, policie, nebo třeba váš úřad?
V žádném případě ne náš úřad. Preferovaná varianta je, aby to bylo pod dohledem státu. Citlivost biometrických údajů jsem už zmínil. Navíc biometrické údaje z obličeje mohou být zneužívány třeba pro tvorbu deepfaků. Z toho důvodu preferujeme, aby databáze byla v rukou státu a chráněna prostředky, které má stát k dispozici. Diskutovalo se například o tom, že by správcem mohla být Národní sportovní agentura.

A Národní sportovní agentura by pracovala s anonymizovanými daty?
Ne úplně anonymizovanými. Patrně by tam musel být biometrický profil, jméno i důvod zařazení do databáze. Člověk by měl vědět, že tam je zařazen. A měl by mít možnost se proti tomu bránit. Může dojít k omylu. Na stadionu by pak možná stačilo jen červené nebo zelené světlo – pustit, nepustit. Kluby by v zásadě víc údajů ani nepotřebovaly.

Klidně necháme Tribunu Sever zavřenou rok. Tykač vzkázal: Začněte sebereflexí

Kdo a za co by mohl lidi do databáze zařazovat?
I to je předmětem debat. Nemělo by to být za jakýkoli prohřešek. Za hození kelímku asi ne. Ale třeba vběhnutí na hřiště už je jiná situace. Možná by měla existovat celorepubliková pravidla, aby každé hřiště nemělo jiná kritéria. Teď je otázka, co bude upraveno zákonem a co zůstane na klubové úrovni.

Týká se to jen fotbalu, nebo třeba i hokeje či jiných sportů?
To bude záležet na legislativě. Pokud bude zákon zaměřen na fotbal, bude se týkat fotbalu. Nejsem si vědom, že by stejné problémy byly i jinde. A vzhledem k citlivosti údajů bychom měli řešit jen problém, který skutečně existuje.

Jak dlouho podle vás může legislativní proces trvat?
Ve veřejném prostoru zaznělo, že k 1. lednu 2027 chtějí mít zákon hotový.

Věříte tomu?
V principu to možné je. Ale technické detaily budou představovat obrovskou práci. Jedna věc je napsat zákon a druhá věc je implementace – technologie, zabezpečení databáze, pravidla pro vstup do databáze i výstup z ní. To bude běh na dlouhou trať.

Slávisté na trávníku, Ritchie i Sparta s Plzní. Když český fotbal řeší fanoušky

Co se dnes na stadionu vlastně smí? Může bezpečnostní agentura návštěvníka detailně natočit, identifikovat a případně záznam předat policii?
Pokud se nebavíme o biometrických údajích, tak ano. GDPR takové zpracování nezakazuje. Vždy ale musíte uvažovat nad tím, co je nutné k účelu, kvůli kterému kamery máte. To se týká třeba i doby uchování záznamu. Pokud ho potřebuji pro případné předání policii nebo kvůli škodě na majetku, nemusím ho uchovávat pět let. Může stačit několik dní.

Hodně se v souvislosti s používáním kamer na stadionech argumentuje pozitivními případy v Polsku a Velké Británii. Sledujete jejich přístup?
Obě země nestaví hlavně na biometrice, ale spíše na tvrdých postizích za chování na stadionech. Lidé ze Slavie nám říkali, že v Británii přichází trest v řádu dnů, což pomáhá prostředí kultivovat.

Když jste na vlastní oči viděl záběry ze Slavie, co jste si říkal?
Je to nepochybně problém, který si zaslouží řešení. Kamery mohou pomoci, ale nejsou samospásné. Kamera vám nezabrání vběhnout na hřiště, nezabrání pyrotechnice. Ani tomu, že někdo někoho udeří. Je to doplňující opatření. Je potřeba o tom uvažovat v širších souvislostech.

Takže kluby by se měly soustředit i na další bezpečnostní opatření?
Určitě ano.

V Rozstřelu se dále dozvíte:
Jak dnes fungují kamery na letištích? Může si dnes každý dát kameru na dům nebo auto? Jak časté jsou spory kvůli sousedským kamerám? Kde by kamery vůbec být neměly? Mohou být ve sprchách nebo saunách? A může zaměstnavatel sledovat zaměstnance kamerami? I na to odpovídal Josef Mička v Rozstřelu.