Decyzja austriackiego organu ochrony danych wyznacza wyraźną granicę dla policyjnego korzystania z rozpoznawania twarzy: pełna treść decyzji w bazie Judykatura pokazuje, że ogólne upoważnienie do przetwarzania danych w ewidencji policyjnej nie wystarcza przy automatycznym porównaniu zdjęć. Datenschutzbehörde (DSB) uznał, że taka operacja na danych biometrycznych wymaga dostatecznie konkretnej podstawy ustawowej oraz ustawowo przewidzianych szczególnych gwarancji.

Ten wpis udostępniamy w całości bezpłatnie. Zapisz się do newslettera — przed 1 września 2026 r. wyślemy w nim subskrybentom kod z 10% rabatem na pierwszy zakup dostępu.

Czego dotyczyła sprawa?

Skarga dotyczyła porównania 5 kwietnia 2023 r. zdjęcia osoby zatrzymanej podczas demonstracji z wizerunkami zgromadzonymi w Zentralen Erkennungsdienstlichen Evidenz, czyli centralnej policyjnej ewidencji danych identyfikacyjnych. Porównanie wykonano przy użyciu oprogramowania do rozpoznawania twarzy; wynik wskazał zdjęcie skarżącego na pierwszym miejscu z wynikiem 91,15%.

Przedmiot postępowania został jednak wyraźnie ograniczony. DSB nie oceniał ani samego wykonania zdjęcia, ani przechowywania danych w ewidencji. Kontroli podlegało wyłącznie automatyczne porównanie wizerunku.

Dlaczego RODO nie miało zastosowania?

Operacja pozostawała w bezpośrednim związku z postępowaniem karnym prowadzonym przez właściwy organ. DSB zastosował więc austriackie przepisy wdrażające dyrektywę 2016/680 dotyczącą przetwarzania danych przez właściwe organy do celów ścigania, z wyłączeniem RODO.

Nie oznaczało to jednak obniżenia standardu ochrony. Organ podkreślił, że automatyczne porównanie zdjęć jest przetwarzaniem danych osobowych, a wizerunki twarzy są danymi biometrycznymi. Ich wykorzystanie do jednoznacznej identyfikacji wymaga spełnienia kumulatywnych przesłanek ustawowych.

Czy wystarczy przepis o ewidencji policyjnej?

Landespolizeidirektion Wien powoływała się na przepis upoważniający organy bezpieczeństwa do przetwarzania danych zapisanych w centralnej ewidencji identyfikacyjnej. DSB nie podzielił tego stanowiska.

Organ stwierdził, że przepis ten jest jedynie ogólnym upoważnieniem do przetwarzania danych zgromadzonych w ewidencji. Nie normuje natomiast w sposób dostatecznie konkretny automatycznego porównania wizerunków ani nie ustanawia szczególnych zabezpieczeń dla tej formy przetwarzania danych biometrycznych.

DSB wskazał: „Przepis stanowi jedynie ogólne upoważnienie do przetwarzania danych przechowywanych w ewidencji i w szczególności nie zawiera żadnych bardziej szczegółowych uregulowań dotyczących szczególnych środków ochrony lub szczególnych gwarancji”. (tłum. red.)

Dlaczego środki organizacyjne organu nie wystarczą?

Istotą rozstrzygnięcia jest rozróżnienie między gwarancjami przewidzianymi przez ustawę a środkami faktycznie stosowanymi przez administratora. Policja wskazywała, że wdrożyła środki proceduralne i organizacyjne. Nie sprecyzowała jednak ich treści.

Według DSB takie środki nie mogą wypełnić wymogu ustawowych gwarancji. Organ uznał, że odpowiednie zabezpieczenia powinny być przede wszystkim przewidziane na poziomie prawnym, a działania techniczne i organizacyjne administratora mogą je jedynie realizować lub uzupełniać.

DSB wyjaśnił, że „same środki techniczne i organizacyjne faktycznie zastosowane przez administratora nie mogą spełnić tych wymagań”. (tłum. red.)

Czy niezbędność operacji rozstrzyga sprawę?

Nie. DSB zaakceptował co do zasady twierdzenie policji, że w konkretnych okolicznościach automatyczne porównanie wizerunków miało duże znaczenie, a identyfikacji nie dało się osiągnąć środkami mniej ingerującymi. Uznał jednak, że bezwzględna konieczność jest tylko jedną z kilku przesłanek przewidzianych dla przetwarzania danych biometrycznych.

Nie usuwa ona odrębnego wymogu szczególnej, ustawowej podstawy oraz skutecznych gwarancji ochrony praw i wolności osoby, której dane dotyczą.

Co zostało rozstrzygnięte?

W decyzji z 22 lipca 2026 r. DSB stwierdził naruszenie prawa skarżącego do poufności danych. Według organu automatyczne porównanie jego zdjęcia z zasobem ewidencji policyjnej odbyło się bez podstawy prawnej wymaganej dla tak ingerującego przetwarzania danych biometrycznych.

Decyzja nie jest prawomocna; w chwili jej publikacji termin na wniesienie skargi do Bundesverwaltungsgericht, austriackiego federalnego sądu administracyjnego, jeszcze nie upłynął.

Niniejsze opracowanie powstało częściowo z wykorzystaniem modelu sztucznej inteligencji ogólnego przeznaczenia i mimo dołożonej staranności może zawierać błędy. Przekazane informacje nie stanowią porady prawnej — przedstawiają wyłącznie pogląd Autora.