Det er delte meninger om når, hvor og hvordan teknologien bør kunne tas i bruk. Praksis fra det danske datatilsynet kan tale for

• Økt aksept for bruk av ny teknologi
• Personvern må avveies mot andre viktige samfunnshensyn
• Sikkerhetsformål kan – etter omstendighetene – gå foran den enkeltes rett til personvern

Norsk rett

For å kunne behandle biometriske data må virksomheten ha et behandlingsgrunnlag etter personvernforordningen art. 6 nr. 1 og et unntak fra forbudet mot å behandle biometriske data for identifikasjonsformål i art. 9.  Norsk lovgivning supplerer også EU/EØS-retten, da personopplysningsloven § 12 inneholder tilleggsvilkår til hvordan biometriske opplysninger kan brukes til identifikasjonsformål, og derav hvordan ansiktsgjenkjenningsteknologi kan benyttes i Norge.

Datatilsynets tillatelser i Danmark

Den 18. desember 2024 ble det kjent at fotballklubben F.C. København hadde fått tillatelse av det danske datatilsynet til å benytte ansiktsgjenkjenningsteknologi på fotballkamper. Bakgrunnen er en negativ utvikling i de besøkendes adferd under kamper og andre fotballarrangementer. Teknologien skal brukes som et verktøy for å håndheve klubbens karantenebestemmelser, ikke bare i form av adgangskontroll ved inngangene til Parken Stadion, men også inne på stadion og ved mobile enheter under kampene. Datatilsynet har vurdert at tiltaket er i samsvar med gjeldende personvernlovgivning, gitt at klubben gjennomfører en risikoanalyse, nødvendige sikkerhetstiltak er på plass og at de registrertes rettigheter ivaretas.

Dette er imidlertid ikke første gang det danske datatilsynet gir grønt lys for bruk av ansiktsgjenkjenning på fotballkamper. Den 25. mai 2019 fikk Brøndby IF tillatelse til å benytte ansiktsgjenkjenningsteknologi ved inngangene til Brøndby Stadion. Den 22. juni 2023 ble tillatelsen utvidet til bruk av ansiktsgjenkjenning på andre stadioner enn Brøndby Stadion. Avgjørelsene illustrerer en åpenhet i Danmark for bruk av ansiktsgjenkjenningsteknologi til sikkerhetsformål ved større offentlige sportsarrangementer, og reiser spørsmålet om en tilsvarende utvikling vil kunne finne sted i Norge.  

Rettslig grunnlag for bruk av teknologien

Tillatelsene gitt til F.C København og Brøndby IF bygger på § 7 (4) ledd i den danske databeskyttelsesloven. Her fremgår det at:

Behandling af oplysninger omfattet af databeskyttelsesforordningens artikel 9, stk. 1, kan ske, hvis behandling af oplysninger er nødvendig af hensyn til væsentlige samfundsinteresser, jf. databeskyttelsesforordningens artikel 9, stk. 2, litra g. Tilsynsmyndigheden giver tilladelse hertil, hvis behandlingen efter 1. pkt. ikke foretages for en offentlig myndighed. Der kan i en tilladelse efter 2. pkt. fastsættes nærmere vilkår for behandlingen.

I samsvar med personvernforordningen art. 9 nr. 2 bokstav g er det lovlig å behandle særlige kategorier av personopplysninger dersom behandlingen er «nødvendig» av hensyn til «viktige allmenne interesser». Forordningen krever også at slik behandling skjer «på grunnlag av unionsretten eller medlemsstatenes nasjonale rett». Etter ordlyden er det et krav om supplerende rettsgrunnlag.

I de danske avgjørelsene utgjør § 7 det supplerende rettsgrunnlaget, da den slår fast at tilsynsmyndigheten skal gi tillatelse til behandling etter art. 9 nr. 2 bokstav g dersom behandlingen utføres av en privat virksomhet. Etter ordlyden gir bestemmelsen det danske datatilsynet fritt spillerom til å gi slik tillatelse, så lenge vilkårene i art. 9 nr. 2 bokstav g er oppfylt.

Avgjørelsene om å gi tillatelse til F.C København og Brøndby IF indikerer at det danske datatilsynet mener at bruk av ansiktsgjenkjenningsteknologi under fotballkampene er nødvendig av hensyn til viktige allmenne interesser, i realiteten sikkerheten til spillere og tilskuere. Det gis imidlertid ingen nærmere begrunnelse for vurderingen av vilkårene på tilsynets hjemmesider.

Norsk lovgivning – en ekstra barriere?

En lignende bestemmelse finnes i den norske personopplysningsloven § 7, hvor det fremgår at datatilsynet i «særlige tilfeller» kan gi tillatelse til å behandle særlige kategorier av personopplysninger dersom behandlingen er «nødvendig» av hensyn til «viktige allmenne interesser».

Bestemmelsen skiller seg fra den danske § 7 (4), da det norske datatilsynets handlingsrom begrenses til «særlige tilfeller». I forarbeidenes merknad til personopplysningsloven § 7 presiseres det at bestemmelsen er ment til å være en sikkerhetsventil. Videre heter det at tillatelse «skal som den klare hovedregel bare gis i tilfeller der det ikke er tilstrekkelig tid til å forberede og vedta lov eller forskrift som regulerer behandlingen, eller der behandlingssituasjonen er så unik at det ikke vil være naturlig å regulere den gjennom generelle regler i lov eller forskrift».

Det er altså en svært snever adgang for Datatilsynet til å gi tillatelse etter personopplysningsloven § 7. Tidligere har det blitt gitt tillatelse til 22. juli-kommisjonens behandling av personopplysninger. I lys av den høye terskelen er det mer tvilsomt om Datatilsynet vil gå så langt i å gi private fotballklubber tillatelse til å benytte ansiktsgjenkjenningsteknologi, da forarbeidene gir klart uttrykk for at det er en lovgiveroppgave å ta stilling til når en behandling av særlige kategorier av personopplysninger er nødvendig av hensyn til viktige allmenne interesser. Unntak kan tenkes der sikkerhetssituasjonen på fotballkamper blir så prekær at det nærmest kan sammenliknes med en krisesituasjon.  

Dersom tillatelse etter personopplysningsloven § 7 ikke er aktuelt, må fotballklubber og andre arrangører i Norge bygge på et annet supplerende rettsgrunnlag. Ordlyden i personvernforordningen art. 9 nr. 2 bokstav g krever at behandlingen skjer «på grunnlag av» av unionsretten eller nasjonal rett. En problemstilling er hvor tydelig den ønskede behandlingsaktiviteten må fremgå av det supplerende rettsgrunnlaget.

Forordningens ordlyd gir liten veiledning, men i fortalepunkt 41 presiseres det at lovgrunnlaget bør være «tydelig og presist» og forutsigbart for personer som omfattes av det. Videre heter det i fortalepunkt 45 at det ikke kreves en særlig lovbestemmelse for hver enkelt behandling og en lov kan være tilstrekkelig som grunnlag for flere behandlingsaktiviteter. Basert på fortalen er det mye som tyder på at behandlingen kan følge indirekte av lovteksten, og dette understøttes av forarbeidene til personopplysningsloven.

Norges Fotballforbund har gitt egne sikkerhetsbestemmelser, og brudd på disse kan medføre sanksjoner etter Norges Fotballforbunds lov. I tråd med sikkerhetsbestemmelsene, punkt 2.2.13, skal alle arenaer som benyttes i eliteserien være utstyrt med fastmonterte overvåkingskameraer og disse skal gjøre det mulig å identifisere enkeltpersoner. Det er videre en forutsetning for å få klubblisens at stadionet har overvåkingskameraer, og det følger av instruks fra Norges Fotballforbund og Politidirektoratet at overvåkingskameraene skal ha en zoom-funksjon slik at ansiktsgjenkjenning er mulig.

Det kan diskuteres om det i lys av samfunnsutviklingen er mulig å innfortolke behandling av biometriske data i en slik bestemmelse. Bestemmelsen er imidlertid gitt av Norges Fotballforbund og er ikke norsk lov. Det samme gjelder Norges Fotballforbunds lov, som er vedtatt av Forbundstinget, et internt organ i Norges Fotballforbund og er ikke formell lov. Selv om fortalepunkt 41 presiserer at det ikke nødvendigvis kreves en regelverksakt vedtatt av et parlament, har det formodningen mot seg at slike bestemmelser skal kunne utgjøre et supplerende rettsgrunnlag til å benytte ansiktsgjenkjenningsteknologi, når det er helt uten demokratisk forankring.

Veien videre

Det er vanskelig å se for seg at ansiktsgjenkjenningsteknologi vil bli aktuelt i Norge i forbindelse med fotballkamper, med mindre det skjer en lovendring. Datatilsynet i Danmark har et større handlingsrom enn det Datatilsynet har i Norge etter den norske personopplysningsloven § 7.

I 2024 sendte Kultur- og likestillingsdepartementet forslag til Lov om behandling av personopplysninger i organisasjonsledd tilknyttet Norges idrettsforbund på høring. Formålet med loven er å forebygge seksuelle overgrep, trakassering og vold i idretten. Departementet uttalte at det ikke ser grunn til å åpne for behandling av biometriske data og foreslår derfor å avgrense hjemmelen mot biometriske opplysninger. Datatilsynet var enig. Videre foreslo departementet å ikke inkludere tilskuere i persongruppen det kan behandles personopplysninger om, selv om det anerkjennes at det kan være aktuelt for å forebygge eller reagere mot trakassering og vold. Dette illustrerer en tilbakeholdenhet og signaliserer at behandling av biometriske data, inkludert ansiktsgjenkjenningsteknologi, trolig ikke vil bli tatt i bruk for idrettsarrangementer i Norge i nær fremtid.