Francuski organ za zaštitu podataka o ličnosti (Commission Nationale de l’Informatique et des Libertés – „CNIL“), nedavno je doneo važnu odluku o zakonitosti korišćenja tzv. augmentovanih kamera u prodavnicama duvana. Ovi sistemi, opremljeni algoritmima veštačke inteligencije za procenu starosti kupaca, uvedeni su kao sredstvo sprečavanja prodaje duvanskih proizvoda maloletnicima. Ipak, CNIL smatra da ovakav način obrade podataka nije ni neophodan ni srazmeran cilju koji se želi postići.

Odluka otvara važno pitanje granice između zaštite javnog interesa i očuvanja osnovnih prava pojedinaca, posebno prava na privatnost i zaštitu podataka o ličnosti.

Srazmera između svrhe obrade i zaštite prava pojedinaca

Augmentovane kamere koje koriste algoritme veštačke inteligencije za procenu starosti zasnivaju se na obradi podataka o ličnosti koji se smatraju biometrijskim podacima i koji podležu strogim pravilima prema Opštoj uredbi o zaštiti podataka (General Data Protection Regulation – „GDPR“). Biometrijski podaci, kao što su podaci dobijeni skeniranjem lica, smatraju se posebno osetljivim i njihova obrada zahteva postojanje pravnog osnova obrade i zakonite svrhe, uz poštovanje principa proporcionalnosti i neophodnosti.

Prema članu 5. GDPR-a, obrada podataka mora biti ograničena na ono što je neophodno za ostvarenje opravdane svrhe, dok član 6. propisuje da se mora osigurati pravična ravnoteža između interesa rukovaoca i osnovnih prava i sloboda lica na koja se podaci odnose. U kontekstu zaštite maloletnika od prodaje duvanskih proizvoda, svrha se nesumnjivo može smatrati opravdanom. Međutim, način na koji se taj cilj ostvaruje mora biti proporcionalan u odnosu na zadiranje u privatnost svih kupaca.

Takođe, odredbama GDPR-a propisano je i da izbor sredstva i načina obrade podataka treba da bude posledica procene da li postoji manje invazivan način obrade kojom se može postići ista svrha.

Odluka CNIL-a

CNIL je reagovao na pritužbe kupaca zbog upotrebe ovih kamera koje automatski označavaju kupce crvenim ili zelenim svetlom u zavisnosti od procenjene starosti. Iako svrha – sprečavanje prodaje duvanskih proizvoda maloletnicima – jeste opravdana i zakonski regulisana, CNIL je ocenio da postoji manje invazivna i jednako efikasna alternativa: jednostavno traženje ličnog dokumenta.

CNIL je doneo sledeće zaključke:

• Obrada podataka putem analize lica nesporno predstavlja obradu podataka o ličnosti u smislu odredaba GDPR-a;
• Vlasnici prodavnica nisu dokazali da je korišćenje ovakvih kamera neophodno – svrha se može ostvariti jednostavnijim, manje invazivnim merama, poput provere ličnog dokumenta.
• Oslanjanje isključivo na algoritam nosi rizik od pogrešnih procena, bez dodatne ljudske kontrole.
• Ovakav način obrade zahteva od svih kupaca da “dokažu” punoletstvo, čime se obrađuju podaci i onih osoba koje nesporno imaju pravo da kupe duvanske proizvode.
• Postoji rizik od ograničavanja prava na prigovor predviđenog GDPR-om, jer se snimanje i analiza dešavaju u realnom vremenu, bez mogućnosti jednostavnog izuzimanja iz obrade.

CNIL u svojoj odluci nije eksplicitno naveo da je ovakva obrada „zabranjena“, niti su preduzete korektivne mere kojima bi se naložilo uklanjanje kamera. Ipak, stavovi izneti u obrazloženju jasno ukazuju da CNIL ovakvu praksu ne smatra usklađenom sa pravilima o zaštiti podataka o ličnosti, ostavljajući vrlo malo prostora za drugačije tumačenje.

Značaj odluke CNIL-a i njen uticaj na praksu drugih država članica EU

Ova odluka CNIL-a oslikava širi trend u evropskoj praksi – insistiranje na jasnom dokazivanju neophodnosti i proporcionalnosti svake obrade podataka koja zadire u privatnost. Iako Srbija nije članica EU, Zakon o zaštiti podataka o ličnosti („ZZPL“) u velikoj meri prati GDPR standarde, uključujući i obavezu procene proporcionalnosti obrade.

Za domaće privredne subjekte, posebno one u maloprodaji ili sektorima sa ograničenom prodajom, poput alkohola i duvana, odluka francuskog regulatora može poslužiti kao upozorenje: inovativne tehnološke mere moraju biti usklađene sa osnovnim pravima građana, a pre uvođenja sistema zasnovanih na veštačkoj inteligenciji neophodno je razmotriti sve manje invazivne alternative.

Pitanje ravnoteže između zaštite javnog interesa i privatnosti građana nije novo, ali sa razvojem tehnologije postaje sve složenije. Praksa poput ove pokazuje da regulatorna tela sve češće stavljaju privatnost pojedinca u ravnopravan položaj sa zaštitom društva u celini – i da “tehnički napredna” rešenja nisu automatski i zakonita.

Ovaj članak je isključivo informativne prirode i ne predstavlja pravni savet. Ukoliko su Vam potrebne dodatne informacije, budite slobodni da nas kontaktirate.