Har Datatilsynet taget stilling til brugen af ansigtsgenkendel­se?

Der henvises til besvarelsen af spørgsmål nr. 1222 (Alm. del) fra Folketingets Retsudvalg.

Justitsministeriet har til brug for besvarelsen af spørgsmålet desuden indhentet en udtalelse fra Datatilsynet, der har oplyst følgende:

”Datatilsynet kan i kraft af sin tilsynsvirksomhed føre tilsyn med, om en dataansvarlig lever op til de databeskyttelsesretlige regler ved anvendelse af ansigtsgenkendelsesteknologi.

Der gælder ingen forpligtelse i medfør af databeskyttelsesreglerne for dataansvarlige til at orientere Datatilsynet, hvis man gør brug af ansigtsgenkendelsesteknologi, og tilsynet har derfor ikke et samlet overblik over, hvor og i hvilket omfang der i dag bruges ansigtsgenkendelsesteknologi.

Datatilsynet vil således som udgangspunkt kun blive opmærksom på anvendelsen af ansigtsgenkendelsesteknologi i forbindelse med eventuelle konkrete tilsynssager (klagesager) eller generelle tilsynssager (sager af egen drift). Derudover kan Datatilsynet blive opmærksom på brugen af ansigtsgenkendelsesteknologi i forbindelse med, at en (privat) dataansvarlig anmoder om en tilladelse fra Datatilsynet i medfør af databeskyttelseslovens § 7, stk. 4. Det følger af denne bestemmelse, at behandling af oplysninger omfattet af databeskyttelsesforordningens artikel 9, stk. 1, herunder biometriske data med det formål entydigt at identificere en fysisk person, kan ske, hvis behandling af oplysninger er nødvendig af hensyn til væsentlige samfundsinteresser, jf. databeskyttelsesforordningens artikel 9, stk. 2, litra g. Endvidere følger det af bestemmelsen, at der i en tilladelse kan fastsættes nærmere vilkår for behandlingen.

Det bemærkes i den forbindelse, at bestemmelsen i databeskyttelseslovens § 7, stk. 4, som forudsættes at have et snævert anvendelsesområde, ikke er eneste undtagelse til forbuddet mod at behandle særlige kategorier af oplysninger, herunder biometriske data med det formål entydigt at identificere en fysisk person.

En anden undtagelse er f.eks. den registreredes udtrykkelige samtykke. Anvendes anden undtagelse, skal Datatilsynets tilladelse ikke indhentes.”