Z nastankom novih tehnologij in s sprejetjem politične odločitve za njihovo uvedbo v delo državnih organov se pojavi tudi potreba po pravni ureditvi tega področja. Enako velja tudi za FRT, pri čemer zanjo zaradi njene odvisnosti od osebnih podatkov veljajo pravni akti s področja varstva osebnih podatkov. V EU je to področje urejeno že z varstvom posameznih pravic v primarnih pravnih aktih, obširneje pa norme vsebujejo pravni akti sekundarnega prava, katerih pomen sooblikuje tudi Sodišče EU. Slovenijo kot del EU zavezujejo njeni pravni akti, hkrati pa ima tudi sama razvito zakonsko podlago, ki deloma služi prenašanju pravnih norm sekundarnega prava v nacionalni pravni sistem, deloma pa jih dopolnjuje. V nadaljevanju bodo predstavljeni relevantni pravni akti, kasneje pa še primerjani z zahtevami varstva človekovih pravic.
Osrednji pravni akt varstva osebnih podatkov v EU je Splošna uredba o varstvu osebnih podatkov (v nadaljevanju GDPR), ki pa se za obdelavo osebnih podatkov s strani pristojnih organov za namene pregona in preiskovanja kaznivih dejanj ne uporablja.180 Za preprečevanje, preiskovanje, odkrivanje in pregon kaznivih dejanj ter izvrševanje kazenskih sankcij, vključno z varovanjem pred grožnjami javni varnosti in njihovim preprečevanjem,181 varstvo osebnih podatkov na ravni EU ureja Direktiva (EU) 2016/680 (v nadaljevanju: LED).182 LED velja za organe držav članic in nosilce javnih pooblastil, pristojne za v LED določene namene.183 Osrednji zakon, ki ureja vprašanja, ki niso urejena v GDPR, je Zakon o varstvu osebnih podatkov.184 Z 31. 12. 2020 pa je začel veljati bolj specialen ZVOPOKD,185 katerega osrednji namen je implementacija LED. 186 ZVOPOKD v večji meri prevzema opredelitve po LED, prav tako pa je njegova veljavnost enaka kot veljavnost LED.
Osebni podatek je v obeh opredeljen široko, in sicer kot »katera koli informacija v zvezi z določenim ali določljivim posameznikom.«187 Obdelava združuje vsa dejanja v zvezi z osebnimi podatki.188 Osebe, ki so zavezane k spoštovanju določenih obveznosti, so pristojni organi189 v vlogi upravljalcev,190 obdelovalcev191 in uporabnikov.192 Upravičenci pravic so posamezniki, na katere se podatki nanašajo.193 Določena so temeljna načela, ki jih morajo zavezanci spoštovati.194 Zavezanci imajo tudi določene obveznosti, ki zagotavljajo spoštovanje človekovih pravic.195 Upravičenci imajo pravico do informacij glede obdelave osebnih podatkov,196 pravico do dostopa197 in pravico do popravka in izbrisa osebnih podatkov ter omejitev njihove obdelave198 in
180 Člen 2 (2) (d) GDPR.
181 V nadaljevanju predpisani nameni.
182 Direktiva (EU) 2016/680 Evropskega parlamenta in Sveta z dne 27. aprila 2016 o varstvu posameznikov pri obdelavi osebnih podatkov, ki jih pristojni organi obdelujejo za namene preprečevanja, preiskovanja, odkrivanja ali pregona kaznivih dejanj ali izvrševanja kazenskih sankcij, in o prostem pretoku takih podatkov ter o razveljavitvi Okvirnega sklepa Sveta 2008/977/PNZ, OJ L 119/89, 4. 5. 2016, str. 1–88.
183 Čl. 3 (1) (7) LED.
184 Zakon o varstvu osebnih podatkov (ZVOP-1), Ur. l. RS, št. 94/07 – uradno prečiščeno besedilo in 177/20.
185 Zakon o varstvu osebnih podatkov na področju obravnavanja kaznivih dejanj(ZVOPOKD), Ur. l. RS, št. 177/20.
186 4. odst. 1. čl. ZVOPOKD.
187 Čl. 3 (1) (1) LED in 1. tč. 1. odst. 4. čl. ZVOPOKD.
188 Čl. 3 (1) (2) LED in 2. tč. 1. odst. 4. čl. ZVOPOKD.
189 Policija, državna tožilstva, Uprava Republike Slovenije za probacijo, Uprava Republike Slovenije za izvrševanje kazenskih sankcij in drugi državne organe, zakonsko določene kot pristojne za predpisane namene (1.
odst. 1. čl. ZVOPOKD).
195 Poglavje IV LED in V. poglavje ZVOPOKD.
196 Čl. 13 LED in 23. čl. ZVOPOKD.
197 Čl. 14 in 15 LED in 24. in 25. čl. ZVOPOKD.
198 Čl. 16 LED in 26. čl. ZVOPOKD.
19
dopustne omejitve. 199 Odpravo kršitev oziroma preizkus upravičenosti obdelave posamezniku omogočajo tudi pravico do vložitve pritožbe pri Informacijskem pooblaščencu,200 pravica do vložitve tožbe v upravnem sporu zoper odločitev nadzornega organa,201 ter pravica do odškodnine,202 upravljavec in obdelovalec pa sta lahko za kršitev tudi kaznovana.203
Pri uporabi FRT je podoba obraza biometričen podatek.204 Kot taka je del posebnih vrst osebnih podatkov,205 obdelava teh pa je prepovedana.206 Izjemoma je dovoljena, ko je spoštovano načelo zakonitosti207 in varstvo pravic in svoboščin posameznika.208 Slovenski zakonodajalec pri tem uvaja izjemo od izjeme in posebej varuje podatke, ki predstavljajo komunikacijo znotraj dejansko ožjega kroga oseb, kar predstavlja višjo raven varstva od LED.209 Razlog za slednjo razliko je mogoče pripisati predlogu Informacijskega pooblaščenca v zakonodajnem postopku za večje varstvo podatkov, ki jih posamezniki objavijo na spletu.210 Za posebne vrste posebnih podatkov veljajo tudi strožje zahteve v okviru avtomatiziranega odločanja, ki je sicer prepovedano.211 Med temi zahtevami je tudi dopuščeno, da posameznik privoli v tako uporabo, kar pa je treba ozko razlagati. 212 Iz LED namreč izhaja opozorilo, da soglasje posameznika ne sme biti (edina) pravna podlaga pri obdelavi občutljivih osebnih podatkov.213 Pri podaji soglasja osebe je namreč podana neenakost moči med posameznikom in javnimi organi.214 Pred uvedbo FRT pa je treba vedno opraviti oceno učinka, ker gre pri tem za obdelavo posebne vrste osebnih podatkov,215 v določenih primerih pa se je treba posvetovati z Informacijskim pooblaščencem. 216
Izmed pristojnih organov največje breme preiskovanja kaznivih dejanj nosi policija.217 Temeljni zakon, ki ureja njena pooblastila, je Zakon o nalogah in pooblastilih policije.218 Med pooblastili, ki jih ZNPPol omogoča, je tudi ugotavljanje identitete osebe,219 ki se lahko izvede tudi takrat, ko sta podana razloga vzbujanja suma z ravnanjem ali zadrževanjem, da bo oseba storila, izvršuje ali je storila kaznivo dejanje in da bi oseba lahko dala koristne podatke za opravljanje policijskih nalog.220 Postopek ugotovitve identitete je sestavljen iz treh korakov.221 Najprej policist ustavi osebo, nato ji pojasni razlog ustavitve in zahteva izročitev javne listine s fotografijo osebe, ki je bila izdana s strani državnega organa. Če listine nima ali identitete ni mogoče z gotovostjo ugotoviti, se opravi razgovor s primerjavo ostalih oseb. Privedba v policijske prostore in identifikacijski postopek se izvede samo, če sta bila prejšnja koraka neuspešna. Pri izvedbi
199 Čl. 13 (3) in 15 LED ter 20., 3. odst. 24. čl. in 25. čl. ZVOPOKD.
210 Ministrstvo za pravosodje (2020) Predlog Zakona, 26.
211 1. odst. 11. čl. ZVOPOKD.
212 2. odst. 11. čl. ZVOPOKD.
213 Recital 37 LED.
214 Consultative Committee, Convention 108 (2021), Guidelines on Facial Recognition. 6.
215 2. odst. 49. čl. ZVOPOKD.
216 50. čl. ZVOPOKD.
217 Gre za posplošitev za potrebe lažje predstavitve zakonske ureditve v Sloveniji. Glej 1. odst. 148. čl. ZKP.
218 Zakon o nalogah in pooblastilih policije (ZNPPol), Ur. l. RS, št. 15/13, 23/15 – popr., 10/17, 46/19 – odl. US in 47/19.
219 40. – 42. čl. ZNPPol.
220 1. odst. 40. čl. ZNPPol.
221 41. čl. ZNPPol.
20
identifikacijskega postopka222 je število nalog, ki jih lahko policist izvede, večje. Med navedenimi je tudi pooblastilo, da fotografira osebo in opravi primerjavo fotografije s fotografijami drugih oseb, pri čemer lahko posneto fotografijo tudi objavi.
Primerjavo oseb po fotografijah lahko med preiskavo kaznivih dejanj opravi priča. Gre za t. i.
kriminalistično primerjavo, ki izključuje možnost ponovne izvedbe v kazenskem postopku.223 Policist najprej pridobi opis osebe, ki ga navede priča, nato pa na podlagi tega iz evidence fotografij in drugih fotografij, zbranih na zakonit način, izbere fotografije za prepoznavo. Šele nato oseba pregleda izbrane fotografije in izjavi, ali na kateri izmed njih prepozna opisano osebo.224 Sodna prepoznava poteka na primerljiv način, razlika pa je v tem, da jo vodi sodnik in da se zaradi njene neposredne izvedbe na glavni obravnavi lahko zmanjšajo dvomi v njeno neverodostojnost.225
Pri analizi pravne podlage za dopustnost uporabe FRT pri preiskavi in pregonu kaznivih dejanj je treba ugotoviti, ali obstaja pravna podlaga za vsak korak obdelave osebnih podatkov posebej.226 Za uporabo tehnologije je treba v prvem koraku pridobiti fotografijo za primerjavo. Tako fotografijo je mogoče pridobiti tudi iz videoposnetka s pomočjo ustreznih računalniških orodij za obdelavo videoposnetkov. Policija lahko sama pridobi fotografijo med ogledom,227 spremljanjem javnih zbiranj,228 identifikacijskim postopkom,229 in z njeno vednostjo230 fotografira osebo, za katero so podani razlogi za sum, da je storila kaznivo dejanje.231 Policija pa lahko pridobi fotografijo tudi s strani drugih oseb. Fizične osebe, ki fotografijo ali videoposnetek posnamejo za zasebne potrebe, niso zavezane z določili GDPR,232 lahko pa kljub temu s tem izvršijo kaznivo dejanje neupravičenega slikovnega snemanja.233 Zakonskih znakov omenjenega kaznivega dejanja pa ne izpolni oseba, ki drugo osebo posname z njenim soglasjem ali ki s tem ne izvede občutnega posega v zasebnost druge osebe.234 Drugače je z osebami, tako fizičnimi kot pravnimi, ki posnetke naredijo za druge namene, za katere veljajo določila GDPR. Tako je dopuščena obdelava235 posnetkov tudi za namene zaščite življenjskih interesov posameznikov236 in za uveljavljanje, izvajanje, obrambo pravnih zahtevkov ali kadar koli sodišča izvajajo svojo sodno oblast. 237 Če gre za posnetek osebe, pridobljen s sistemom videonadzora, je treba upoštevati posebno ureditev ZVOP-1.238
222 42. čl. ZNPPol.
223 Maver (2004) Kriminalistika – uvod, taktika, tehnika. 341-348.
224 46. čl. ZNPPol.
225 242. in 243. čl. ZKP.
226 Primerjaj z 32. tč. obrazložitve delne odločbe USRS, št. U-I-152/17-30 z dne 4. 7. 2019.
227 245. čl. – 247. čl. ZKP.
228 114. in 114.a čl. ZNPPol.
229 42. čl. ZNPPol.
230 Sicer gre za ukrep prikritih preiskovalnih ukrepov, za katere pa v določbah ZKP ni mogoče najti podlage za primerjavo posnetkov s posnetki ostalih oseb (glej 149.a in 155. čl. ZKP, primerjaj s sodbo Upravnega sodišča Republike Slovenije, opr. št. I U 2749/2017-23 z dne 13. 5. 2020). Po zaključku opravljanja teh, policija podatkov ne obdrži, temveč jih preda državnemu tožilcu (1. odst. 153. čl. ZKP), ta pa te preda preiskovalnemu sodniku (2.
in 4. odst. 153. čl. ZKP), ki se nato hranijo na sodišču (154. čl. ZKP).
231 2. odst. 149. čl. ZKP; v kolikor osumljenec ne ve, da ga policija snema pa se to zgodi, gre za prikrito delovanje policije in s tem za enega izmed prikritih preiskovalnih ukrepov (primerjaj z 149.a in 155.a čl. ZKP).
232 Čl. 2 (2) (c) GDPR.
233 138. čl. Kazenskega zakonika (KZ-1), Ur. l. RS, št. 50/12 – uradno prečiščeno besedilo, 6/16 – popr., 54/15, 38/16, 27/17, 23/20 in 91/20.
234 Gre za primere, ko je druga oseba prizadeta, tako da so posnetki žaljivi, smešni, izdajajo karkoli iz njegovega osebnega življenja in podobno (4. tč. obrazložitve sklepa Višjega sodišča v Ljubljani, opr. št. VII Kp 39584/2014 z dne 31.03.2015).
235 Pod katero sodi tudi zbiranje podatkov (člen 4 (1) (2) GDPR).
236 Člen 9 (2) (c) GDPR.
237 Člen 9 (2) (f) GDPR.
238 74. – 77. čl. ZVOP-1.
21
Drugi korak pred uporabo tehnologije FRT vključuje pridobitev relevantnih fotografij za primerjavo. Za večjo možnost zadetka je treba pridobiti čim večje število fotografij, te pa so v velikem številu v javnih in drugih evidencah. Pri ureditvi kriminalistične prepoznave je urejeno, da policisti pridobijo fotografije iz evidence fotografiranih oseb in na druge zakonite načine.239 V pravni normi, ki ureja avtomatizirano primerjavo fotografij, ni določenega obsega fotografij, ki jih lahko policisti uporabijo za primerjavo. V tem delu je namreč navedeno zgolj, da se podatki pri delu policije zbirajo tudi iz zbirk osebnih podatkov, uradnih evidenc, javnih knjig ali drugih zbirk podatkov.240 V tem delu tako ni jasne in določne norme, ki policiji ne bi omogočala presoje pri izbiri fotografij za primerjavo.241 Policija vodi številne evidence, v katerih se hranijo tudi fotografije oseb.242 Dostop do drugih evidenc pa je različno omejen glede na določene zakonske namene, za katere se lahko te uporabljajo.243
Tretji korak je uporaba FRT na pridobljenih fotografijah.244 ZNPPol podaja podlago, da policisti pri odkrivanju in preiskovanju kaznivih dejanj, če je to glede na okoliščine storitve konkretnega kaznivega dejanja nujno in potrebno, avtomatizirano primerjajo fotografije s fotografijami drugih oseb.245 Glede na zapis pogojev za izvedbo primerjave je mogoče razumeti, da policija primerjav fotografij ne more opravljati za namene preprečevanja kaznivih dejanj, saj mora upoštevati okoliščine storitve konkretnega kaznivega dejanja. Ob tem je treba dodati, da mora policija opraviti tudi test nujnosti in potrebnosti. S strogo razlago zahteve po zakonitosti vsakega koraka obdelave pa je mogoče ugotoviti, da je zgolj primerjava kot zadnji del delovanja FRT uzakonjena.246 Drugi koraki delovanja FRT (normalizacija obraza, obdelava obraza in pridobivanje obraznih značilk)247 v ZNPPol niso urejeni.
Po pridobitvi izsledkov uporabe FRT je treba slediti zgoraj predstavljeni prepovedi avtomatiziranega odločanja in izdelave osebnostnih profilov,248 ki je konkretizirana tudi v ZNPPol.249 Prepoznava obraza pri preiskavi kaznivih dejanj lahko vodi v identificiranje osebe in s tem osredotočenost preiskave kaznivega dejanja na posamezno osebo. 250 Neznana oseba na fotografiji tako postane osumljenec. Do prepoznave zato ne sme priti zgolj na podlagi odločitve, ki jo v celoti sprejme sistem. Glede na to je treba ohraniti vpliv človeka pri sprejemanju odločitev o osebah in s tem varovati človekove pravice. Pri uporabi FRT se to doseže tako, da sistem policistu ponudi izbor fotografij in verjetnost, da je oseba na posamezni fotografiji prepoznavna
239 46. čl. ZNPPol.
240 2. odst. 112. čl. ZNPPol.
241 23. tč. obrazložitve delne odločbe USRS, št. U-I-152/17-30 z dne 4. 7. 2019.
242 Tč. 1., 2., 3., 6., 9., 15., 21., 25., 27. in 29. 1. odst. 125. čl. ZNPPol.
243 Podobe obraza iz evidence izdanih potnih listin kot ene izmed najobsežnejših evidenc se lahko uporablja samo za preverjanje verodostojnosti potne listine in istovetnosti imetnika potne listine pri prehajanju državne meje (31.
čl. Zakona o potnih listinah (ZPLD-1), Ur. l. RS, št. 29/11 – uradno prečiščeno besedilo). Podlage za uporabo fotografij iz evidenc pri preiskavi in pregonu kaznivih dejanj ne vsebujeta niti Zakon o osebni izkaznici (ZOIzk-1), Ur. l. RS, št. 35/11 in 41/21 in Zakon o voznikih (ZVoz-(ZOIzk-1), Ur. l. RS, št. 85/16, 67/17, 21/18 – ZNOrg, 43/19 in 139/20.
244 Podrobneje o delovanju FRT glej 2. poglavje. Sprva mora biti obraz zaznan, sledi normalizacija obraza in nazadnje še implementacija modula tehnologije, pri čemer je šele zadnji korak pri implementaciji modula tehnologije primerjava oz. ujemanje obrazov.
245 1. odst. 112. čl. ZNPPol.
246 Gre za ujemanje obrazov (ang. face matching).
247 Wang, Deng (2021) Deep face recognition Neurocomputing. 218.
248 11. čl. ZVOPOKD.
249 122. čl. ZNPPol.
250 O tem tudi 9. tč. obrazložitve sodbe VSRS, opr. št. I Ips 7536/2017 z dne 3. 9. 2020.
22
oseba, nato pa policist sam presodi, ali katera izmed fotografij prikazuje prepoznavno osebo.251 Jasne določbe, ki bi narekovala tako uporabo tehnologije pa v ZNPPol, ni.
Iz navedenih določb ZNPPol ni mogoče najti ustreznega pooblastila policiji za uporabo sprotne FRT. Za to bi bila potrebna jasna določba, ki bi določevala uporabo take vrste tehnologije. Zaradi večje nevarnosti posega v človekove pravice se pri tem zahteva določnejša ureditev in jasne smernice za uporabo, pa tudi strožji test nujnosti in sorazmernosti.252 Pred uvedbo take tehnologije mora biti omogočena razprava v demokratični družbi,253 jasno morajo biti določena merila za sestavo watchlista in vrsto uporabe (verifikacija ali identifikacija oseb). Na organih pregona, ki bodo uporabljali to tehnologijo, pa mora biti obveznost, da izkažejo, da okoliščine utemeljujejo strogo nujnost in sorazmernost uporabe.254 Pred uvedbo take tehnologije in ob uporabi mora biti javnost primerno obveščena.255 Pred začetkom uporabe bi morala biti izvedena ocena učinka256 in posvetovanje z Informacijskim pooblaščencem.257 Pri izbiri oziroma razvoju pa je treba upoštevati tudi ustrezne zahteve za razvijalce, izdelovalce in ponudnike storitev.258
V Sloveniji se pri presoji zakonitosti uporabe FRT uporablja predvsem zakonodaja na področju varstva osebnih podatkov. ZNPPol kot področni zakon ureja tudi vprašanja varstva osebnih podatkov pri delu policije. Določbe glede varstva osebnih podatkov temeljijo na ureditvi v ZVOP-1. Od njihove uveljavitve pa je bil oblikovan in sprejet tudi nov zakon, ki ureja varstvo osebnih podatkov na področju preiskave in pregona kaznivih dejanj, ZVOPOKD. Gre za implementacijo LED v slovenski pravni red. Zaradi tega je prišlo do dvojne ureditve nekaterih področji varstva osebnih podatkov, tako da določbe iz ZNPPol urejajo nekatera ista vprašanja kot ZVOPOKD.
Opisana ureditev je zato deloma nedosledna. Ob analizi ZNPPol glede možnosti uporabe FRT pri preiskavi in pregonu kaznivih dejanj je mogoče ugotoviti, da v njem ni določb, ki bi celovito urejale FRT na enem mestu, temveč je treba upoštevati določbe glede na posamezne korake uporabe FRT. Ureditev glede nekaterih vprašanj v zvezi s FRT (predvsem v delu pridobivanja fotografij) pa v ZNPPol ni, temveč so relevantne določbe drugih zakonov. Ob tem je mogoče še ugotoviti, da ureditev avtomatizirane primerjave fotografij ne ustreza najstrožjim standardom glede določnosti ureditve vsake faze uporabe FRT, saj ta ne ureja začetnih korakov FRT (normalizacije obraza, obdelave obraza in pridobivanje obraznih značilk), temveč zgolj primerjavo (gre za zadnji korak FRT, ujemanje obrazov). ZNPPol ne ureja niti obveznosti, da je končna odločitev o identifikaciji na policistu. Ne nazadnje pa iz ZNPPol ne izhaja jasna opredelitev, katera vrsta FRT je dovoljena. Do tega je mogoče priti zgolj na podlagi sklepa, da uporaba sprotne FRT ni jasno in določno uzakonjena.
251 Tak način delovanja uporablja tudi slovenska policija (Prelesnik (2021) Policijski sistem Face Trace.). Enako pa deluje tudi mobilni sistem FRT, uporabljen v ZDA s strani policistov, imenovan MORIS. Težava pri tem nastane, ko policist občuti pritisk, da mora izbrati eno izmed ponujenih možnosti (Lochner (2013) Saving Face.
223-224.).
252 Agencija Evropske unije za temeljne pravice (2019), Facial Recognition Technology. 24.
253 Consultative Committee, Convention 108 (2021), Guidelines on Facial Recognition. 5.
254 Prav tam 6.
255 Prav tam 8.
256 2. odst. 49. čl. ZVOPOKD.
257 50. čl. ZVOPOKD in Consultative Committee, Convention 108 (2021), Guidelines on Facial Recognition. 8.
258 Prav tam 9-10. Glej tudi 42. čl. ZVOPOKD.
23