Nowoczesne technologie kuszą administratorów obiektów sportowo-rekreacyjnych wizją większego bezpieczeństwa i szybszej reakcji na zagrożenia. W praktyce oznacza to coraz częstsze pytania o możliwość stosowania kamer z funkcjami sztucznej inteligencji (AI), które potrafią rozpoznać osobę po wizerunku. Jednak w świetle obowiązujących przepisów RODO i prawa krajowego, taka forma monitoringu na basenach czy kąpieliskach jest obecnie niedopuszczalna.
Poniżej wyjaśniam dlaczego, jakie przepisy to regulują i jakie są alternatywy.
Dlaczego AI z funkcją rozpoznawania twarzy narusza prawo
Aby system kamer potrafił zidentyfikować konkretną osobę, musi korzystać z danych biometrycznych – czyli cech fizycznych, fizjologicznych lub behawioralnych pozwalających jednoznacznie rozpoznać człowieka (np. rysy twarzy).
RODO w art. 9 ust. 1 wyraźnie zakazuje przetwarzania danych szczególnych kategorii, w tym biometrycznych, z wyjątkiem sytuacji określonych w art. 9 ust. 2. W praktyce, dla administratora basenu lub kąpieliska żadna z tych przesłanek nie jest obecnie dostępna, jeśli mówimy o ogólnym bezpieczeństwie obiektu.
Przykład 1 – Basen „AquaBlue” w Zielonej Dolinie
Właściciel chciał zainstalować system kamer z AI, który automatycznie namierzałby osobę zaginioną na terenie obiektu na podstawie jej twarzy. Po analizie prawnej okazało się, że:
- system przetwarzałby dane biometryczne gości,
- nie istniała żadna podstawa prawna do takiego przetwarzania (brak ustawowej przesłanki),
- uzyskanie skutecznej zgody od wszystkich przebywających na terenie basenu było niewykonalne.
Projekt został odrzucony, a zamiast tego wdrożono tradycyjny monitoring plus patrole ratowników.
Dlaczego zgoda też nie rozwiązuje problemu
Teoretycznie art. 9 ust. 2 lit. a RODO dopuszcza przetwarzanie danych biometrycznych za zgodą osoby, ale:
- zgoda musi być dobrowolna, świadoma i możliwa do wycofania,
- nie może być warunkiem korzystania z usług,
- musiałaby być uzyskana od każdej osoby przebywającej w zasięgu kamer – co jest nierealne, szczególnie w przypadku osób postronnych, gości jednodniowych czy dzieci.
Regulacje krajowe – dodatkowe ograniczenia
W Polsce zasady monitoringu wizyjnego w miejscu pracy reguluje m.in. art. 222 § 2 Kodeksu pracy. Choć dotyczy to głównie pracowników, wskazuje ono istotną zasadę – monitoring nie może prowadzić do nadmiernej ingerencji w prywatność, a rozpoznawanie twarzy w czasie rzeczywistym jest traktowane jako ingerencja skrajna.
Ponadto monitoring nie może obejmować pomieszczeń takich jak:
- szatnie,
- toalety,
- stołówki,
- palarnie,
chyba że jest to absolutnie konieczne i przy zastosowaniu technik uniemożliwiających rozpoznanie osób.
Przykład 2 – Kąpielisko „Słoneczna Plaża”
Administrator kąpieliska chciał wdrożyć system AI, który w razie bójki pozwoliłby szybko odnaleźć sprawcę. Po analizie:
- ustalono, że system analizowałby rysy twarzy, czyli dane biometryczne,
- brak było podstawy prawnej z art. 9 ust. 2 RODO,
- nawet hipotetyczna zgoda nie mogłaby zostać uzyskana w sposób zgodny z prawem.
Efekt? Wdrożono dodatkowe punkty obserwacyjne i monitoring bez funkcji rozpoznawania.
Jak wyglądałby regulamin i klauzula informacyjna, gdyby przepisy pozwalały
Jeśli w przyszłości ustawodawca dopuściłby taki monitoring, regulamin obiektu musiałby zawierać m.in.:
- cel przetwarzania – np. ochrona życia i zdrowia, zapobieganie wypadkom,
- zakres danych – np. wizerunek, dane biometryczne,
- podstawę prawną – np. zgoda lub przepis szczególny,
- okres przechowywania nagrań i wyników analizy,
- informację o odbiorcach danych (np. policja, firma ochroniarska),
- procedurę realizacji praw osób (dostęp, sprzeciw, usunięcie).
Klauzula informacyjna musiałaby wprost wskazywać:
- administratora danych,
- dane kontaktowe inspektora ochrony danych,
- podstawę prawną,
- informację o prawach użytkownika,
- możliwość cofnięcia zgody (jeżeli byłaby podstawą),
- okres przechowywania danych,
- informację o zautomatyzowanym podejmowaniu decyzji.
Obecnie jednak taki regulamin byłby sprzeczny z prawem, więc tworzenie go ma charakter wyłącznie hipotetyczny.
Podsumowanie – kluczowe wnioski
- Rozpoznawanie twarzy przez AI w obiektach sportowo-rekreacyjnych jest obecnie nielegalne.
- RODO w art. 9 ust. 1 zakazuje przetwarzania danych biometrycznych, a brak jest przesłanki z ust. 2 pozwalającej na takie działanie.
- Zgoda jako podstawa prawna jest w praktyce niewykonalna.
- Prawo krajowe dodatkowo ogranicza stosowanie monitoringu w miejscach szczególnie chronionych.
- Alternatywą są klasyczne systemy kamer i zwiększenie liczby pracowników ochrony lub ratowników.
Podstawa prawna
- art. 9 ust. 1 i ust. 2 – Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679 (RODO)
- art. 222 § 2, art. 221b § 2 – ustawa z dnia 26 czerwca 1974 r. – Kodeks pracy
Tematy porad zawartych w poradniku
- RODO monitoring wizyjny basen
- dane biometryczne a prawo
- sztuczna inteligencja w monitoringu
- ochrona prywatności w obiektach sportowych
- zakaz rozpoznawania twarzy w Polsce
Przydatne adresy urzędowe
- Urząd Ochrony Danych Osobowych – https://uodo.gov.pl
- Europejska Rada Ochrony Danych – https://edpb.europa.eu
- Ministerstwo Cyfryzacji – https://www.gov.pl/cyfryzacja