o povolení používání izolovaného systému na Letišti /Anonymizováno

Dne 12. 12. 2025 byla Vrchnímu soudu v Praze, jako soudu místně i věcně příslušnému, doručena žádost spravujícího orgánu (dále jen „žadatel“) o povolení používání izolovaného systému, jenž má být součástí integrovaného bezpečnostního systému na Letišti [Anonymizováno], přičemž žadatel je správcem tohoto bezpečnostního systému. Daná žádost byla podána ve smyslu § 39b odst. 2 zákona č. 110/2019 Sb., o zpracování osobních údajů, ve znění po novele provedené zákonem č. 230/2025 Sb., kterým se mění zákon č. 273/2008 Sb., o [právnická osoba] a některých dalších zákonů (dále jen „z. o. ú.“).

V žádosti dále žadatel uvedl, že účelem integrovaného bezpečnostního systému je zvýšení bezpečnosti na letišti [Anonymizováno] a dále získávání informací důležitých pro plnění úkolů na úseku předcházení, šetření, prověřování a vyšetřování trestných činů, zajištění vnitřního pořádku a bezpečnosti včetně pátrání po osobách a vozidlech a zajištění bezpečnosti.

Součástí tohoto integrovaného bezpečnostního systému má být izolovaný systém v podobě technologie pro vzdálenou biometrickou identifikaci fyzických osob v reálném čase podle čl. 3 bodu 42 nařízení Evropského parlamentu a Rady (EU) 2024/1689 ze dne 13. června 2024, kterým se stanoví harmonizovaná pravidla pro umělou inteligenci a mění nařízení (ES) č. 300/2008, (EU) č. 167/2013, (EU) č. 168/2013, (EU) 2018/858, (EU) 2018/1139 a (EU) 2019/2144 a směrnice 2014/90/EU, (EU) 2016/797 a (EU) 2020/1828 (akt o umělé inteligenci) (dále jen „AI akt“).

Tento izolovaný systém umožní biometrické rozpoznávání osob vyskytujících se v monitorovaných prostorech [Anonymizováno] Letiště [Anonymizováno] a jejich porovnání s osobami zařazenými do referenční databáze spravované policií, a to jen na základě jejich biometrických parametrů obličeje, a to v reálném čase.

Záchyt takových osob pomocí izolovaného systému je nezbytný k efektivnímu plnění úkolů Policie ČR, přičemž tuto kontrolu nejsou schopné plně nahradit další typy kontrol jako je validace palubních vstupenek či bezpečnostní nebo hraniční kontrola, neboť při hraniční kontrole se mohou osoby prokazovat falešnými doklady. Ostatně cestující v rámci schengenského prostoru (terminál [Anonymizováno]) hraniční kontrolou neprochází. [adresa] izolovaného systému může jako jediný pokrýt kontrolu i dalších osob v prostorách Letiště [Anonymizováno] mimo cestující, jako jsou např. zaměstnanci nebo návštěvníci letiště.

Provoz Letiště [Anonymizováno] je upraven zákonem č. 49/1997 Sb., o civilním letectví a dále jeho prováděcími předpisy (např. vyhláška č. 108/1997 Sb. nebo letecký předpis Úřadu pro civilní letectví L14, č. j. 641/2009-220-SP/4), územní rozsah Letiště [Anonymizováno] je specifikován zákonem č. 69/2010 Sb. o vlastnictví letiště [adresa], status mezinárodního letiště vychází ze správního rozhodnutí Úřadu pro civilní letectví.

Následně žadatel uvedl k náležitostem této žádosti podle § 39b odst. 3 z. o. ú., že:

a) Správcem izolovaného systému je

[Anonymizováno], sídlem [adresa],

b) Povinnosti spravujícího orgánu vykonává na základě zmocnění [Anonymizováno]

Úřad služby kriminální policie a vyšetřování [Anonymizováno] sídlem tamtéž,

c) Přesné územní vymezení prostoru nebo všech územně oddělených součástí, v nichž má být izolovaný systém používán

Izolovaný systém pokrývá prostory terminálů [Anonymizováno] Letiště [Anonymizováno], a to části veřejné i části neveřejné ve smyslu čl. 3 odst. 13) nařízení Evropského parlamentu a Rady (ES) č. 300/2008 ze dne 11. března 2008, o společných pravidlech v oblasti ochrany civilního letectví před protiprávními činy a o zrušení nařízení (ES) č. 2320/2002 (dále jen „nařízení o ochraně letectví“). Pro účely územního vymezení v této žádosti a odůvodnění potřebnosti umístění jednotlivých komponent proto policie rozděluje izolovaný systém do dvou funkčních oblastí – neveřejný a veřejný prostor.

Neveřejný prostor Letiště [Anonymizováno]

Pohyb osob v neveřejném prostoru je cestujícím umožněn výhradně po úspěšném absolvování kontroly oprávněnosti vstupu validací palubní letenky a průchodem bezpečnostní kontrolou v případě letů do schengenského prostoru (terminál [Anonymizováno]) nebo hraniční kontrolou v případě letů mimo schengenský prostor (terminál [Anonymizováno]). U zaměstnanců se jedná o elektronické kontroly oprávněnosti vstupu.

Monitoring těchto prostor má zajišťovat [Anonymizováno] stacionárních kamer, jež budou na základě biometrických údajů identifikovat osoby dle § 39a odst. 3 písm. a) až d) z. o. ú. (dále jen „zájmové osoby“).

Bude se zde jednat o kamery:

[Anonymizováno][Anonymizováno]

[Anonymizováno]

9) [Anonymizováno]

Dále sem bude spadat [Anonymizováno] kamer z bran [Anonymizováno] systému [Anonymizováno], jež zajišťují provedení automatické hraniční kontroly osob. Záběr těchto kamer je nastaven tak, aby snímal jen konkrétní kontrolovanou fyzickou osobu, která přikládá svůj cestovní doklad k načtení.

Veřejný prostor Letiště [Anonymizováno]

Pohyb osob ve veřejném prostoru je umožněn volně bez nutnosti určitého druhu kontroly, přičemž se jedná o příletové a odletové haly, check-in přepážky a prostory před kontrolními stanovišti. Zde budou monitorováni možní cestující, a to včetně doprovázejících osob s tím, že i ty mohou být zájmové.

Obecně jsou letiště ve svých veřejně přístupných částech typickým měkkým cílem s vysokou koncentrací civilního obyvatelstva, když bezpečnostní incidenty v zahraničí prokazují, že k útokům dochází často ještě před průchodem bezpečnostní či hraniční kontrolou. Umístění kamer v tomto prostoru bude plnit z preventivního hlediska funkci včasného varování před rizikovými osobami z referenční databáze, a také bude sloužit k reaktivní činnosti policie, tedy informovat o výskytu dalších zájmových osob v z referenční databázi při pátrání po podezřelých, obviněných nebo obžalovaných osobách z dané skupiny trestných činů (viz příloha č. [Anonymizováno]) nebo po obětech trestného činu proti lidské důstojnosti v sexuální oblasti, únosu dítěte, obchodování s lidmi či osobách pohřešovaných.

Umístění kamer v tomto prostoru umožní policii reagovat již při prvotním pohybu takové osoby, což poskytuje kritický časový prostor pro reakci. Organizátoři trestné činnosti nebo osoby jinak zapojené do obchodování s lidmi či drogami často samy letecky necestují, a tedy nevstupují do neveřejného prostoru letiště s nějakou formou kontroly, nýbrž tento prostor využívají pro anonymní kontaktní zónu pro setkávání s dalšími aktéry, pro předávání instrukcí nebo pro vyzvedávání či doprovod obětí trestné činnosti[Anonymizováno]

Bude se zde jednat o [Anonymizováno][Anonymizováno]

[adresa]

Kamery budou technicky upraveny tak, že nerozpoznávají obličeje osob mimo vymezený prostor terminálů – např. při zaostření kamery na rovinu vchodových dveří nelze užít obraz mimo tuto oblast, neboť nesplňuje minimální požadavky pro úspěšnou detekci a případnou identifikaci osoby.

Identifikace osob bude probíhat jen v těchto prostorech Letiště [Anonymizováno], a to na základě umístění kamer tak, jak vyplývá ze Schéma systému detekce obličejů, jež je přílohou č. 1a žádosti; specifikace záběru kamer spolu s určením příslušnosti k neveřejnému či veřejnému prostoru jsou obsaženy v kamerové knize, jež je přílohou č. 1b žádosti. Obě tyto přílohy jsou neveřejné, tedy nepřístupné ve smyslu § 11 odst. 4 písm. c) a odst. 6 písm. a) zákona č. 106/1999 Sb., o svobodném přístupu k informacím.

Rozmístění jednotlivých kamer izolovaného systému je koncipováno restriktivně s ohledem na přiměřenost zásahu do základních práv subjektů údajů. Nejedná se o plošný či kontinuální dohled nad chováním osob v prostorách letiště. Kamery se nachází v taktických bodech letiště, jež se vyznačují vysokou fluktuací cestujících a kde dochází k přirozenému či provozně vynucenému usměrnění toku osob.

Pro minimalizaci dopadů na soukromí osob byly z izolovaného systému vyloučeny prostory s pobytovým, relaxačním či komerčním charakterem (např. čekárny, restaurace či obchody). Systém tak bude sloužit výhradně k detekci výskytu zájmových osob při jejím průchodu kontrolním bodem, nikoliv k monitorování jejich chování či trávení času. Intenzita zásahu do práv subjektů údajů je omezena na nezbytné minimum potřebné pro dosažení bezpečnostního účelu dle § 39a z. o. ú. přičemž pod vymezení trestných činů podle AI aktu jsou podřazeny konkrétní skutkové podstaty zákona č. 40/2009 Sb., trestní zákoník.

d) Časové období, po které má být izolovaný systém používán

Žadatel žádá o povolení jeho používání na období [Anonymizováno], neboť to odpovídá kontrolní a evaluační činnosti spravujícího orgán, jež probíhá ve stanovených intervalech. To bude mít vliv na parametry žádosti pro následující období, kdy bude posuzována kvalita rozpoznávacího softwaru i jednotlivých kamer, včetně oprávněnosti a adekvátnosti jejich začlení a umístěni v izolovaném systému.

e) Kategorie fyzických osob, které mají být zařazovány do referenční databáze izolovaného systému

Kategorie osob jsou definovány v dokumentu Kategorie osob, jenž je přílohou č. 2 žádosti. Kategorizace vychází z § 39b odst. 1 z. o. ú. s tím, že pod vymezení trestných činů podle AI aktu jsou podřazeny konkrétní skutkové podstaty zákona č. 40/2009 Sb., trestní zákoník. Využití izolovaného systému je omezeno jen pro účely biometrické identifikace osob, jejichž biometrické údaje jsou nezbytné pro plnění cílů systému, a jsou definované v § 39a odst. 3 písm. a) až d) z. o. ú.

f) Jméno, příjmení a kontaktní údaje pověřence, který je pověřen dohledem nad referenční databází

Odbor pověřence pro ochranu osobních údajů Policejního prezídia České republiky

[Anonymizováno]. [tituly před jménem] [Anonymizováno]

pošt. [Anonymizováno]

[adresa]

e-mail: [e-mail]

ISDS: [Anonymizováno]

g) Shrnutí posouzení vlivu izolovaného systému na základní práva podle čl. 27 AI aktu

K tomu žadatel uvedl, že shrnutí je přílohou č. 3 žádosti.

h) Potvrzení o tom, že spravující orgán provedl registraci podle čl. 49 AI aktu

Zde žadatel uvedl, že registrace nemohla být provedena, neboť nebyl dosud zřízen příslušný registr. Z důvodu zajištění vnitřní bezpečnosti České republiky je nutné zahájit používání izolovaného systému před provedením registrace.

i) Informace o zařazování osob do referenční databáze, pokud byl izolovaný systém používán v předcházejícím období

K tomu žadatel uvedl, že izolovaný systém nebyl používán v předchozím období, nicméně [Anonymizováno] byl jím na Letišti [Anonymizováno] užíván systém rozpoznávání obličejů, jenž byl ukončen vzhledem k účinnosti novelizace z. o. ú.

Posouzení žádosti

Vrchní soud v Praze (dále jen „soud“) posoudil předsedou příslušného senátu podle § 39 odst. 4 a 5 z. o. ú. předmětnou žádost žadatele o povolení používání izolovaného systému v Terminálech [Anonymizováno] Letiště [Anonymizováno], jež je mezinárodní letištěm a jež se nachází na adrese [adresa] (dále jen „předmětné letiště nebo letiště“).

Předmětem žádosti o soudní povolení je izolovaný systém upravený v § 39a odst. 1 z. o. ú., jímž se dle tohoto ustanovení rozumí systém umělé inteligence pro vzdálenou biometrickou identifikaci fyzických osob v reálném čase podle čl. 3 bodu 46 AI aktu používaný spravujícím orgánem v prostoru, který má stálý územní rozsah a je omezen na objekty a prostory, které jsou součástí mezinárodního letiště.

Podle čl. 3 odst. 42 AI aktu se rozumí systémem biometrické identifikace na dálku v reálném čase systém biometrické identifikace na dálku, kdy zachycení biometrických údajů, porovnání a identifikace probíhají bez zbytečného odkladu a zahrnují nejen okamžitou identifikaci, ale také omezená krátká zpoždění, jejichž cílem je zabránit obcházení pravidel.

Jedná se tedy o tzv. technologii rozpoznávání obličejů (tzv. facial recognition), jež za pomoci algoritmů systému umělé inteligence provádí ve veřejném prostoru v reálném čase vzdálenou biometrickou identifikaci (zájmových) fyzických osob z množiny osob nacházejících se v tomto veřejném prostoru předmětného letiště.

Je beze všech pochybností, že při této biometrické identifikaci fyzických osob dochází k automatizovanému zpracování biometrických údajů v podobě obličejového identifikátoru (vedle toho se může jednat např. o sken sítnice či duhovky nebo o otisk prstu). Takový biometrický údaj je nutné považovat za tzv. zvláštní osobní údaj ve smyslu čl. 9 nařízení Evropského parlament a Rady 2016/679 ze dne 27. dubna 2016 o ochraně fyzických osob v souvislosti se zpracováním osobních údajů a o volném pohybu těchto údajů a o zrušení směrnice 95/46/ES (dále jen „nařízení GDPR“).

Osobní údaj i v této podobě podléhá ochraně, když daný čl. 9 odst. 1 nařízení GDPR zakazuje jeho zpracování i za účelem jedinečné identifikace fyzické osoby. Výjimku z uvedeného pak představuje situace popsaná v čl. 9 odst. 2 písm. g) nařízení GDPR, kdy takové zpracování je nezbytné z důvodu významného veřejného zájmu na základě práva Unie nebo členského státu, které je přiměřené sledovanému cíli, dodržuje podstatu práva na ochranu údajů a poskytuje vhodné a konkrétní záruky pro ochranu základních práv a zájmů subjektu údajů.

Směrnice Evropského parlamentu a Rady (EU) 2016/680 ze dne 27. 4. 2016, o ochraně fyzických osob v souvislosti se zpracováním osobních údajů příslušnými orgány za účelem prevence, vyšetřování, odhalování či stíhání trestných činů nebo výkonu trestů, o volném pohybu těchto údajů a o zrušení rámcového rozhodnutí Rady 2008/977/SVV (dále jen „policejní směrnice“), jež zavádí obecnou úpravu zpracování a ochrany osobních údajů státních orgánů činných v trestněprávní oblasti (AI akt hovoří o příslušných donucovacích orgánech na úseku trestního práva za účelem vymáhání práva). I zde jsou biometrické údaje považovány za zvláštní kategorii osobních údajů.

Těmto právním úpravám jsou pak vlastní některé nosné zásady pro jejich interpretaci, jako je zásada zákonnosti, korektnosti, transparentnosti, účelového omezení, minimalizace údajů, přesnosti, omezení uložení, integrity, důvěrnosti a odpovědnosti správce.

V obdobném duchu se nese i judikatura Evropského soudu pro lidská pro lidská práva (viz jeho rozhodnutí ze dne 4. 7. 2023 ve věci č. 11519/20, Glukhin proti Rusku), v němž je uvedeno, že zásah do čl. 8 odst. 2 Úmluvy o ochraně lidských práv a základních svobod, pod který spadá i ochrana osobních údajů fyzických osob, tedy i jejich biometrických údajů, lze odůvodnit jen tehdy, je-li v souladu se zákonem, sleduje jeden nebo více legitimních cílů, na který odkazuje článek 8 odst. 2 Úmluvy, a je-li v demokratické společnosti nezbytný k dosažení takového cíle.

Neustálý rychlý rozvoj moderních technologií využívajících umělou inteligenci nutně přináší potřebu vytvoření právního rámce jejího používání. Uvedené je dáno tím, že může docházet k jejímu zneužití proti fyzickým osobám, což ostatně dokládají informace ze států s totalitním režimem (viz rozsáhlé využívání této technologie v Číně či v Rusku) o jejich častém zneužívání za účelem trestního stíhání takovému režimu nepohodlných osob (viz také v předchozím odstavci uvedené rozhodnutí Evropského soudu pro lidská práva). Z tohoto důvodu se v Evropě ozývaly hlasy, že by tyto technologie měly být zásadně regulovány, případně zakázány.

Výsledkem diskusí nad podobou evropského jednotného právního rámce pravidel využívání umělé inteligence je právě AI aktu, v němž je vyslovena jak snaha o podporu inovací v této oblasti, tak také potřeba zavedení přiměřeného a účinného souboru závazných pravidel pro systémy AI, založených na jasně definovaném přístupu prostřednictvím posouzení rizik.

I AI akt je postaven na obdobných principech jako nařízení GDPR či policejní směrnice. AI akt v bodu 27 hovoří o lidském faktoru a dohledu (systémy AI jsou vyvíjeny a používány jako nástroj, který slouží lidem, respektuje lidskou důstojnost a osobní autonomii a který funguje způsobem, jenž může být řádně ovládán a kontrolován člověkem), technické spolehlivosti a bezpečnosti (vývoj a použití systémů AI musí zajistit jejich spolehlivost a odolnost před protiprávním použitím třetí stranou či minimalizovat neúmyslnou újmu), ochraně soukromí a správě dat (systémy AI jsou vyvíjeny a používány v souladu s pravidly pro ochranu soukromí a osobních údajů při současném zpracovávání údajů, které splňují vysoké standardy kvality a integrity), transparentnosti (systémy AI jsou vyvíjeny a používány tak, aby umožňovaly patřičnou sledovatelnost a vysvětlitelnost, aby lidé byli informování o tom, že komunikují nebo interagují se s takovým systémem, a aby zavádějící subjekt věděl o schopnostech a omezeních tohoto systému a dotčené osoby o svých právech), rozmanitosti, nediskriminaci a spravedlnosti (systémy AI jsou vyvíjeny a používány tak, aby zahrnovaly nejrůznější aktéry a podporovaly rovný přístup, genderovou rovnost a kulturní rozmanitost a zároveň bránil diskriminačním dopadům a nespravedlivé zaujatosti), dobrých sociálních a enviromentálních podmínkách (vývoj a využití systému AI musí být šetrné k životnímu prostředí a ve prospěch všech lidí s tím, že musí být sledovány a posuzovány dlouhodobé dopady na jednotlivce, společnost a demokracii) a odpovědnosti. AI akt dále zakazuje některé nepřijatelné postupy v oblasti AI a také stanoví požadavky na vysoce rizikové systémy AI a povinnosti příslušných provozovatelů, jakož i povinnosti transparentnosti pro určité systémy AI.

Systémy AI pro biometrickou identifikaci fyzických osob na dálku v reálném čase ve veřejně přístupných prostorech pro účely vymáhání práva (jímž je také zde posuzovaný systém) obzvláště zasahují do práv a svobod dotčených osob, neboť mohou ovlivnit soukromý život velké části populace, vyvolávat pocit neustálého sledování a nepřímo odrazovat od využívání svobody shromažďování a dalších základních práv. Nepřesnosti tohoto systému AI mohou vést ke zkresleným výsledkům a mít diskriminační účinky. Bezprostřednost dopadu a omezené možnosti dalších kontrol nebo oprav při používání těchto systémů fungujících v reálném čase mohou více ohrožovat práva a svobody osob, jichž se týkají činnosti v oblasti vymáhání práva nebo jsou jimi dotčeny (srov. bod 32 AI aktu).

Používání takových systémů pro účely vymáhání práva by proto mělo být zakázáno s výjimkou taxativně vyjmenovaných a úzce definovaných situací, pokud je to nezbytné k dosažení významného veřejného zájmu, jehož význam převažuje nad uvedenými riziky. Půjde o situace zahrnující hledání určitých obětí trestných činů, včetně pohřešovaných osob, některé případy ohrožení života nebo fyzické bezpečnosti fyzických osob nebo hrozby teroristického útoku a lokalizaci nebo identifikaci pachatelů nebo osob podezřelých ze spáchání trestných činů uvedených v příloze tohoto nařízení s horní hranicí trestní sazby trestu odnětí svobody nejméně 4 roky podle právní úpravy v dotčeném státě (shodně platí i pro ochranné opatření). Tato hranice pro trest odnětí svobody nebo ochranné opatření zajišťuje to, že použití těchto systémů bude možno potenciálně odůvodnit jen dostatečnou závažností trestného činu. Seznam trestných činů je založen na rámcovém rozhodnutí Rady 2002/584/SVV. Významným veřejný zájmem je i ochrana kritické infrastruktury či oblast ochrany státních hranic, imigrace a azylu (srov. bod 33 AI aktu).

Pro odpovědné a přiměřené používání těchto systémů v uvedených situacích je třeba zohlednit určité prvky, zejména pokud jde o povahu situace, která vedla k žádosti, o důsledky užití těchto systémů pro práva a svobody všech dotčených osob a o záruky a podmínky zajištěné při tomto použití. Kromě toho by používání systémů biometrické identifikace na dálku v reálném čase ve veřejně přístupných prostorech pro účely vymáhání práva mělo být nasazeno jen k potvrzení totožnosti konkrétně cílené fyzické osoby a mělo by být omezeno na to, co je nezbytně nutné, pokud jde o dobu, jakož i zeměpisný a osobní rozsah, zejména s ohledem na důkazy nebo údaje týkající se daných hrozeb, obětí nebo pachatele. Příslušný donucovací orgán musí posoudit dopad na základní práva a musí systém registrovat v databázi podle tohoto nařízení. Pro každý případ použití v každé z výše uvedených situací by mělo být vhodné využití referenční databáze osob (viz bod 34 AI aktu).

Dále AI akt hovoří o nutnosti výslovného a konkrétního povolení použití takového systému justičním orgánem nebo nezávislým správním orgánem členského státu, jehož rozhodnutí je závazné, a to v zásadě před jeho použitím za účelem identifikace určité osoby nebo osob. Výjimka z tohoto pravidla je možná jen v řádně odůvodněných situacích z důvodu naléhavosti s tím, že je nutná dodatečná žádost do 24 hodin. Pokud nebude získán dodatečný souhlas, pak musí být použití systémů biometrické identifikace zastaveno a veškeré údaje související s tímto použitím by měly být vyřazeny a vymazány (viz bod 35 AI aktu).

Nutné je i informování příslušného orgánu dozoru na trhem a vnitrostátního orgánu pro ochranu osobních údajů o každém použití systému biometrické identifikace v reálném čase (viz bod 36 AI aktu).

Použití systému AI na území členského státu by mělo být možné jen v případě, že se dotčený členský stát rozhodl výslovně stanovit možnost povolit toto použití v podrobných pravidlech svého vnitrostátního práva, a v míře zde stanovené (viz bod 37 AI aktu).

Používání systémů AI pro biometrickou identifikaci fyzických osob na dálku v reálném čase ve veřejně přístupných prostorech pro účely vymáhání práva nutně zahrnuje i zpracování biometrických údajů. Toto použití je až na určité výjimky zakázáno, přičemž pravidla AI aktu o zpracování biometrických údajů jsou lex specialis oproti úpravě pravidel zpracování biometrických údajů dle čl. 10 policejní směrnice. Toto použití a zpracování je tak možné jen v případě, že je slučitelné s rámcem stanoveným tímto nařízením AI, mimo tento rámec by neměl existovat prostor pro to, aby příslušné orgány, pokud jednají za účelem vymáhání práva, tyto systémy používaly a zpracovávaly v souvislosti s nimi uvedené údaje z důvodů uvedených v čl. 10 policejní směrnice. Použití pro jiné účely, než vymáhání práva proto nebude podléhat požadavku na povolení podle AI aktu a použitelným podrobným pravidlům vnitrostátního práva, která mohou toto povolení uvést v účinnost. Na používání systémů AI pro účely biometrické identifikace nikoliv na dálku v reálném čase ve veřejně přístupných prostorech pro účely vymáhání práva dopadají požadavky dle čl. 10 policejní směrnice. Pokud nejde o vymáhání práva, pak je zpracování biometrických údajů takovým systémem v zásadě zakázáno (viz body 38 a 39 AI aktu).

Jak již bylo výše uvedeno, systémy AI pro biometrickou identifikaci fyzických osob na dálku v reálném čase klasifikuje AI akt jako vysoce rizikové, protože s ohledem na zamýšlený účel představují vysoké riziko újmy na základních právech osob chráněných Listinou, a to zejména do práva na soukromý život a na ochranu osobních údajů (viz čl. 6 odst. 2 a příloha III AI aktu).

Podle čl. 5 AI aktu mohou členské státy plně nebo částečně povolit používání systémů biometrické identifikace na dálku v reálném čase na veřejně přístupných prostorech pro účely vymáhání práva v mezích a za podmínek uvedených v odst. 1 prvním pododstavci písm. h) a odst. 2 a 3 AI aktu. První podmínkou je, že musí jít o vyhledávání obětí únosů, obchodování s lidmi nebo sexuálního vykořisťování lidí, i vyhledávání pohřešovaných osob, předcházení závažného bezprostředního ohrožení života či skutečného a předvídatelného teroristického útoku a dále lokalizace a identifikace osoby podezřelé ze spáchání trestného činu za účelem trestního vyšetřování, stíhání nebo výkonu trestu s danou sazbou trestu odnětí svobody. Další podmínkou dle odst. 2 je nutnost zhodnocení situace, která vede k použití systému, zejména závažnost a pravděpodobnost a rozsah újmy, která by byla způsobena v případě, že bys systém použit nebyl, a důsledky používání systému pro práva svobody dotčených osob s tím, že donucovací orgán posoudí dopady na základní práva podle čl. 27 AI aktu a zaregistruje systém v databázi EU podle čl. 49 AI aktu. Konečně třetí podmínkou je dle zmiňovaného odst. 3 to, že je nutné předchozí povolení ze strany justičního orgánu nebo nezávislého správního orgánu.

Tento článek dále nařizuje, že členské státy ve svém vnitrostátním právu stanoví nezbytná podrobná pravidla upravující žádosti o povolení, vydávání a výkon těchto povolení, jakož i dohled nad nimi a podávání zpráv o nich. Musí být stanoveny cíli a ke kterému trestnému činu lze příslušným orgánům používání těchto systémů pro účely vymáhání práva povolit. Členské státy tato pravidla oznámí nejpozději 30 dnů po jejich přijetí Komisi.

Nedostatek absence právní úpravy biometrické identifikace na dálku v reálném čase na veřejně přístupných prostorech v českém právním řádu byl odstraněn přijetím zákona č. 230/2025 Sb., kterým se mění zákon č. 273/2008 Sb., o Policii České republiky a některých dalších zákonů. Těmito dalšími zákony je zejména z. o. ú. Důvodová zpráva k této novele uvádí, že potřeba právní úpravy izolovaného systému v z. o. ú. a jeho následné používání odpovídá aktuálním naléhavým potřebám vnitřní bezpečnosti. Právní úprava izolovaného systému je obsažena v § 39a a násl. z. o.ú.

Procesní úprava řízení o povolení používání izolovaného systému je pak konkrétně obsažena v § 39b z. o. ú., dle něhož

1) Izolovaný systém lze používat pro identifikaci fyzických osob,

a) u kterých jsou v okamžiku zařazení do referenční databáze splněny všechny podmínky pro omezení osobní svobody podle právních předpisů upravujících trestní řízení11), pokud jsou

1. podezřelé, obviněné nebo obžalované ze spáchání některého z trestných činů uvedených v příloze II nařízení Evropského parlamentu a Rady (EU) 2024/1689, pokud za něj trestní zákoník stanoví trest odnětí svobody s horní hranicí trestní sazby nejméně 4 roky, nebo odsouzené za takový trestný čin, nebo

2. podezřelé, obviněné nebo obžalované ze spáchání trestného činu neuvedeného v bodě 1, pokud je důvodná obava, že by dokonáním, vykonáním nebo opakováním takového trestného činu způsobily ublížení na zdraví, těžkou újmu na zdraví nebo smrt, nebo

b) po kterých bylo vyhlášeno pátrání a

1. lze se důvodně domnívat, že je ohrožen jejich život nebo zdraví, nebo

2. u kterých jsou v okamžiku zařazení do referenční databáze splněny všechny zákonné podmínky pro omezení osobní svobody, s výjimkou osob, u kterých takové podmínky souvisejí s podezřením, obviněním nebo obžalobou ze spáchání trestného činu nebo s odsouzením za trestný čin.

2) Spravující orgán může používat izolovaný systém podle odstavce 1 jen po předchozím písemném povolení předsedy senátu vrchního soudu příslušného podle sídla spravujícího orgánu (dále jen „příslušný soudce“).

3) Rozhodnutí o povolení používání izolovaného systému vydává příslušný soudce na základě písemné odůvodněné žádosti, která obsahuje

a) označení spravujícího orgánu, adresu sídla nebo jinou adresu pro doručování,

b) přesné územní vymezení prostoru nebo všech územně oddělených součástí, ve kterých má být izolovaný systém používán,

c) časové období, po které má být izolovaný systém používán,

d) kategorie fyzických osob, které mají být zařazovány do referenční databáze izolovaného systému,

e) jméno, příjmení a kontaktní údaje pověřence, který je pověřen dohledem nad referenční databází,

f) shrnutí posouzení vlivu izolovaného systému na základní práva podle čl. 27 nařízení Evropského parlamentu a Rady (EU) 2024/1689,

g) potvrzení o tom, že spravující orgán provedl registraci podle čl. 49 nařízení Evropského parlamentu a Rady (EU) 2024/1689, ledaže je používání ze závažných naléhavých důvodů potřebné zahájit před provedením registrace, a

h) informaci o zařazování osob do referenční databáze, pokud byl izolovaný systém používán v předcházejícím období.

4) Nemá-li žádost náležitosti podle odstavce 3 nebo trpí-li jinými vadami, vyzve příslušný soudce žadatele k jejich odstranění a poskytne mu k tomu přiměřenou lhůtu. Příslušný soudce vydá rozhodnutí o žádosti o povolení používání izolovaného systému do 30 dnů ode dne podání úplné žádosti.

5) Při rozhodování o žádosti o povolení používání izolovaného systému příslušný soudce posoudí důvody pro používání izolovaného systému, jakož i to, zda je používání izolovaného systému nezbytné a přiměřené k dosažení cíle uvedeného v § 39a odst. 3 a zda je omezeno na nezbytně nutný územní rozsah a dobu, po kterou bude používání izolovaného systému trvat. Příslušný soudce rovněž vezme v úvahu závažnost, pravděpodobnost a rozsah újmy, ke které by mohlo dojít v případě, že k používání izolovaného systému nedojde, jakož i důsledky používání izolovaného systému pro práva a svobody všech dotčených osob, zejména závažnost, pravděpodobnost a rozsah těchto důsledků.

6) Rozhodnutí o žádosti o povolení používání izolovaného systému obsahuje označení žadatele, výrok, zda se používání izolovaného systému povoluje, povoluje částečně nebo nepovoluje, a odůvodnění. Rozhodnutí o povolení nebo částečném povolení izolovaného systému musí obsahovat vymezení izolovaného systému podle hledisek uvedených v odstavci 3 písm. b) až d).

7) Účastníkem řízení o žádosti o povolení používání izolovaného systému je pouze žadatel. Proti rozhodnutí o žádosti o povolení používání izolovaného systému není přípustný opravný prostředek. Na rozhodování o žádosti o povolení používání izolovaného systému se správní řád nepoužije.

8) Používání izolovaného systému lze povolit nejdéle na 12 měsíců. Tuto dobu lze na žádost prodloužit vždy nejdéle na dalších 12 měsíců, a to i opakovaně; odstavce 3 až 7 se použijí obdobně.

9) Spravující orgán oznámí pověřenci zařazení biometrických údajů každé konkrétní osoby do referenční databáze do 24 hodin od zařazení. Pokud pověřenec s takovým zařazením nesouhlasí, je spravující orgán povinen konkrétní osobu z referenční databáze vyřadit.

Formální předpoklady pro vyhovění žádosti

Podle § 39a odst. 3) z. o. ú. vydává rozhodnutí o povolení používání izolovaného systému příslušný soudce na základě písemné odůvodněné žádosti, která obsahuje

a) označení spravujícího orgánu, adresu sídla nebo jinou adresu pro doručování,

b) přesné územní vymezení prostoru nebo všech územně oddělených součástí, ve kterých má být izolovaný systém používán,

c) časové období, po které má být izolovaný systém používán,

d) kategorie fyzických osob, které mají být zařazovány do referenční databáze izolovaného systému,

e) jméno, příjmení a kontaktní údaje pověřence, který je pověřen dohledem nad referenční databází,

f) shrnutí posouzení vlivu izolovaného systému na základní práva podle čl. 27 nařízení Evropského parlamentu a Rady (EU) 2024/1689,

g) potvrzení o tom, že spravující orgán provedl registraci podle čl. 49 nařízení Evropského parlamentu a Rady (EU) 2024/1689, ledaže je používání ze závažných naléhavých důvodů potřebné zahájit před provedením registrace, a

h) informaci o zařazování osob do referenční databáze, pokud byl izolovaný systém používán v předcházejícím období.

Z výše uvedeného obsahu žádosti žadatele je zřejmé, že je v něm označen spravující orgán. Žadatel také přesně vymezil prostor, v němž bude izolovaný systém používán, a to za pomoci plánu předmětného letiště s umístěním monitorujících kamer v daných „veřejných“ i „neveřejných“ prostorách předmětného letiště, k čemuž přiložil Schéma systému detekce obličejů (příloha č. [Anonymizováno] žádosti) a kamerovou knihu se záběry jednotlivých kamer (příloha č. [Anonymizováno] žádosti). Obě tyto přílohy obsahují citlivé informace z pohledu taktiky výkonu činností policie i zpravodajských služeb, a proto jsou (podle žadatele) vyňaty z působnosti § 11 odst. 4 písm. c) a odst. 6 písm. a) zákona č. 106/1999 Sb., o svobodném přístupu k informacím. Soud proto přizpůsobil uvedené skutečnosti výrokovou část svého rozhodnutí.

Jen pro úplnost pak soud dodává, že tímto rozhodnutím není nahrazeno případné rozhodnutí o (zamítnutí) žádosti o informace podle zákona č. 106/1999 Sb., o svobodném přístupu k informacím, kterou by žadatel tyto (neveřejné) informace požadoval.

Dále je zde vhodné zmínit, že v souvislosti s územním vymezením daného žadatelem užitý termín „neveřejný prostor“ neodpovídá definici tohoto pojmu dle AI aktu, neboť z ní je zřejmé, že i zde se jedná o prostor veřejný (k tomu odůvodnění níže).

Žadatel také uvedl časové období, po něž by měl být izolovaný systém používán, definoval v souladu s příslušnou právní úpravou kategorie fyzických osob, jež mají být zařazeny do referenční databáze izolovaného systému, uvedl jméno a příjmení a kontaktní údaje pověřence pro dohled nad referenční databází.

Jako přílohu č. 3 žádosti žadatel předložil shrnutí posouzení vlivu izolovaného systému na základní práva. Absentuje pouze potvrzení podle čl. 49 AI aktu o provedení registrace tohoto izolovaného systému /ve smyslu čl. 6 odst. 2 ve spojení s přílohou III odst. 1 písm. a) AI aktu/ do databáze EU vedené podle čl. 71 AI aktu. Nicméně zde je třeba uvést, že tato databáze skutečně zatím nebyl k datu rozhodnutí soudu zřízen (pozn. uvažuje se o odkladu jeho zřízení na rok 2026, respektive na rok 2027). Zároveň zde lze shledat (viz dále) naléhavé vnitrostátní důvody pro provoz systému bez této (zatím nemožné) registrace, jelikož systém je využíván pro zajištění vnitřní a vnější bezpečnosti. Neschválení systému by podle soudu jen z důvodu nepředložení (prozatím nemožné) registrace by bylo v rozporu s cíli uvedenými v recitálu AI aktu.

Projednání žádosti soudem bez této registrace a neexistence této databáze však nezbavuje žadatele povinnosti provést registraci bezodkladně po spuštění databáze EU podle čl. 71 AI aktu.

Konečně žádost obsahuje i informaci o tom, že obdobný izolovaný systém byl používán v předcházejícím období, a to od 14. 6. 2018 do 1. 8. 2025.

Vrchní soud v Praze s ohledem na uvedené tak uzavírá, že předmětná žádost žadatele obsahuje veškeré zákonem požadované formální náležitosti.

Materiální předpoklady pro vyhovění žádosti

Výše citovaný § 39b odst. 5) z. o. ú ukládá příslušnému soudci, aby v tomto řízení posoudil důvody pro používání izolovaného systému, jakož i to, zda je používání izolovaného systému nezbytné a přiměřené k dosažení cíle uvedeného v § 39a odst. 3 téhož zákona, a zda je povolení omezeno na nezbytně nutný územní rozsah a dobu, po kterou bude používání izolovaného systému trvat. Zároveň je nutné vzít v úvahu závažnost, pravděpodobnost a rozsah újmy, ke které by mohlo dojít v případě, že k používání izolovaného systému nedojde, jakož i důsledky používání izolovaného systému pro práva a svobody všech dotčených osob, zejména závažnost, pravděpodobnost a rozsah těchto důsledků.

Posouzení důvodů pro používání izolovaného systému

Předmětná žádost o povolení používání izolovaného systému byla podána žadatelem, jenž je organizačním článkem [Anonymizováno], jako řídícího útvaru [právnická osoba]. Žadatel je zároveň spravujícím orgánem izolovaného systému.

Podle zákona č. 273/2008 Sb., o Policii České republiky, se jedná o ozbrojený bezpečnostní sbor, jenž slouží veřejnosti a jehož úkolem je chránit bezpečnost osob a majetku a veřejný pořádek, předcházet trestné činnosti, plnit úkoly podle trestního řádu a další úkoly na úseku vnitřního pořádku a bezpečnosti svěřené mu zákony, přímo použitelnými předpisy Evropské unie nebo mezinárodními smlouvami, které jsou součástí právního řádu. Policie České republiky působí na celém území České republiky.

Policie České republiky je podle § 79 zákona o policii oprávněna zpracovávat osobní údaje za účelem předcházení, vyhledávání a odhalování trestné činnosti, stíhání trestných činů, zajišťování bezpečnosti České republiky nebo zajišťování veřejného pořádku a vnitřní bezpečnosti, včetně pátrání po osobách a věcech. Podle § 62 odst. 1 zákona o policii může policie, je-li to nezbytné pro plnění jejích úkolů, pořizovat zvukové, obrazové nebo jiné záznamy osob a věcí nacházejících se na místech veřejně přístupných a zvukové, obrazové nebo jiné záznamy o průběhu úkonu.

Z uvedeného je tedy zřejmé, že žadatel je donucovacím orgánem, jenž je ve smyslu čl. 3 odst. 45 AI aktu veřejným orgánem příslušným k prevenci, vyšetřování, odhalování či stíhání trestných činů či výkonu trestů, včetně ochrany před hrozbami pro veřejnou bezpečnost a jejich předcházení. Tyto činnosti je třeba považovat za vymáhání práva podle čl. 3 odst. 46 AI aktu.

Žadatel požaduje schválení používání izolovaného systému za účelem provádění biometrické identifikace osob ve veřejném prostoru v reálném čase, jejichž biometrické údaje jsou zařazeny do referenční databáze, a to s cílem je vypátrat, což je součástí jeho činností uvedených v předchozím odstavci. Takovými zájmovými osobami jsou osoby podezřelé, obviněné nebo obžalované ze spáchání některého z trestných činů uvedených v příloze II. AI aktu, pokud za něj trestní zákoník stanoví trest odnětí svobody s horní hranicí trestní sazby nejméně 4 roky, nebo odsouzené za ně, dále osob podezřelých, obviněných nebo obžalovaných ze spáchání jiných trestných činů, pokud je důvodná obava, že by dokonáním, vykonáním nebo opakováním takového trestného činu způsobily ublížení na zdraví, těžkou újmu na zdraví nebo smrt, nebo po kterých bylo vyhlášeno pátrání pokud je důvod se domnívat o ohrožení jejich života nebo zdraví nebo pokud jsou u nich splněny všechny zákonné podmínky pro omezení osobní svobody.

Shodný cíl jako v AI aktu, tedy vypátrání zájmových osob, je pak stanoven v § 39a odst. 3 z. o. ú., dle něhož je cílem používání izolovaného systému pátrání po zmizelé osobě nebo po oběti trestného činu proti lidské důstojnosti v sexuální oblasti, únosu dítěte a osoby stižené duševní poruchou, zavlečení nebo obchodování s lidmi, dále pátrání po osobě podezřelé, obviněné nebo obžalované ze spáchání některého z trestných činů uvedených v příloze II AI aktu, pokud za něj trestní zákoník stanoví trest odnětí svobody s horní hranicí trestní sazby nejméně 4 roky, nebo odsouzené za takový trestný čin, předcházení konkrétnímu, závažnému a bezprostřednímu ohrožení života nebo zdraví fyzické osoby, nebo předcházení teroristickému útoku, který na základě zjištěných skutečností hrozí nebo jej lze důvodně předpokládat.

Požadavek žadatele na biometrickou identifikaci na dálku v reálném čase na veřejně přístupných prostorech předmětného letiště takového okruhu fyzických osob v souvislosti s pátráním po nich pro jejich závažnou trestnou činnost jejich danou závažnou trestnou činností či pro zabránění život ohrožujícímu protiprávnímu jednání (včetně terorismu). Uvedené tak představuje zásadní důvod pro používání izolovaného systému, přičemž je i splněna první podmínka, jež je obsažena v čl. 5 odst. 1 písm. h) AI aktu.

Soud úvodem připomíná, že kamerový dohled, a tím spíše kamerový dohled propojený se zpracováním biometrických údajů, představuje zásah do práva na respektování soukromého života a do práva na ochranu osobních údajů. Již judikatura Evropského soudu pro lidská práva dovodila, že i záznam a další nakládání se záznamem z kamerového systému může spadat do „soukromého života“ ve smyslu čl. 8 Úmluvy, a proto musí být každý takový zásah opřen o zákonný základ, sledovat legitimní cíl a být „nezbytný v demokratické společnosti“ (srov. např. rozhodnutí Evropského soudu pro lidská práva, rozsudek ze dne 28. 1. 2003, Peck proti Spojenému království, stížnost č. 44647/98).

V rámci unijního práva SD EU opakovaně zdůrazňuje, že při střetu práva na ochranu osobních údajů a požadavků veřejné bezpečnosti je nutno provést skutečné vážení dotčených práv a zájmů a použít pouze takové prostředky, které jsou způsobilé sledovaný cíl naplnit a současně jsou k tomuto cíli přiměřené. Zvláště u biometrických identifikátorů, které mohou vést k jednoznačné identifikaci osoby a jejichž zpracování je svou povahou citlivé, považuje SD EU za klíčové, aby byl účel jasně vymezen a aby byly zavedeny účinné záruky proti zneužití; i proto akceptoval zahrnutí otisků prstů do cestovních dokladů pouze při respektu k účelu a omezením zpracování (srov. rozsudek SD EU ze dne 9. 11. 2010, Volker und Markus Schecke a Eifert, spojené věci C-92/09 a C-93/09 nebo rozsudek SD EU ze dne 17. 10. 2013, Michael Schwarz v Stadt Bochum, C-291/12).

Uvedené požadavky jsou v projednávané věci naplněny tím, že používání izolovaného systému je výslovně podmíněno předchozím povolením soudu, je vázáno na taxativně vymezené účely podle § 39a odst. 3 z. o. ú. a na předem určené kategorie „zájmových osob“, a je doprovázeno kontrolními mechanismy uvnitř spravujícího orgánu (zejména dohledem pověřence pro ochranu osobních údajů, evidencí přístupů a průběžnou kontrolou oprávněnosti využívání systému). Požadavek existence srozumitelného a dostatečně určitého rámce, který omezuje policejní uvážení při nasazení biometrické identifikace a stanoví záruky proti svévoli, výslovně akcentovala i judikatura zahraničních soudů ve věcech „živého“ rozpoznávání obličejů (srov. např. rozhodnutí Court of Appeal (England and Wales), rozsudek ze dne 11. 8. 2020, R (Bridges) v Chief Constable of South Wales Police).

Soud k tomu doplňuje, že povaha prostředí mezinárodního letiště, jako uzlu s vysokou koncentrací osob, časovým tlakem, přeshraničním pohybem a zvýšenou atraktivitou pro pachatele závažné kriminality, zakládá legitimní a zvlášť naléhavý veřejný zájem na posílení schopnosti včasné identifikace osob, u nichž je podle zákona a na základě podkladů žadatele dáno riziko, že jsou spojeny se závažnými trestnými činy nebo s bezprostřední bezpečnostní hrozbou.

Zároveň je významné, že žadatel výslovně váže použití izolovaného systému na účely vymezené v § 39a odst. 3 z. o. ú. a na režim soudního povolení; tím je vyloučeno nasazení k obecnému dohledu nebo k běžným bezpečnostním incidentům nízké závažnosti. Účelové omezení je v souladu s požadavkem, aby výjimky z obecného zákazu vzdálené biometrické identifikace ve veřejně přístupných prostorech byly vykládány restriktivně a aplikovány pouze v situacích, kde je prokázána zvláštní naléhavost.

Dostupná judikatura též zdůrazňuje, že moderní technologie mohou i při pohybu ve veřejném prostoru významně proměnit dosah sledování tím, že umožní systematické, automatizované a opakované vytěžování informací o pohybu jednotlivce. I zahraniční judikatura proto upozorňuje, že kumulativní sběr a analýza dat může zasáhnout do soukromí podstatně intenzivněji než jednotlivé izolované úkony pozorování, a vyžaduje přísnější kontrolu zákonnosti a proporcionality (srov. např. rozhodnutí Nejvyššího soudu USA, rozsudek ze dne 22. 6. 2018, Carpenter v. United States nebo rozhodnutí Nejvyššího soudu USA, rozsudek ze dne 23. 1. 2012, United States v. Jones).

Soud proto považuje za podstatné, že žadatel nežádá o plošné rozpoznávání všech osob, nýbrž o nástroj cílené detekce osob zúžené na zákonně vymezené účely a okruh zájmových osob, a to při současné existenci ex ante soudního povolení. Tím je posílena předvídatelnost zásahu a vyloučena svévole při rozhodnutí o nasazení technologie.

Nezbytnost a přiměřenost používání izolovaného systému

Soud se také domnívá, že používání izolovaného systému na předmětném letišti je pro naplnění činnosti spravujícího orgánu nezbytné a přiměřené. Je nutné si uvědomit, že s prostorem mezinárodního letiště je spjata vysoká koncentrace lidí, což nesouvisí jen s možností dostat se velmi rychle do jiného státu, a to dokonce i v jiném světadíle, ale také s možností v takovém v takovém anonymním prostředí páchat různou protiprávním činnost, a to i tu nejzávažnější (viz např. události ze dne 11. 9. 2001 ve Spojených státech amerických, jež měly závažné důsledky pro tuto oblast civilního letectví, dále také veřejnosti známé únosy osob nebo nelegální převozy omamných látek či peněz do jiných států).

Proto je třeba přijmout co nejúčinnější opatření, jež by tomu mohly efektivním způsobem zabránit. Tento izolovaný systém lze přitom považovat za efektivnější a také méně invazivní oproti namátkovým detekčním kontrolám osob ve veřejně přístupných prostorech letišť.

V této souvislosti je třeba také uvést, že Nařízení Evropského parlamentu a Rady (ES) č. 300/2008 ze dne 11. března 2008 o společných pravidlech v oblasti ochrany civilního letectví před protiprávními činy a o zrušení nařízení (ES) č. 2320/2002 (dále jen „nařízení o ochraně letectví“) samo hovoří o potřebě větší pružnosti při přijímání bezpečnostních opatření a postupů s cílem zohlednit měnící se posouzení rizik a umožnit zavádění nových technologií za účelem ochrany civilního letectví před protiprávními činy. Členské státy mohou za tímto účelem přijmout přísnější opatření, než jaké jsou společné základní normy, jež se vztahují mj. i na metody detekčních kontrol a kontrol vstupu. Členský stát musí v takovém případě jednat na základě posouzení rizika a v souladu s právem Společenství.

Konečně se soud domnívá, že i pouhé obecné povědomí veřejnosti o provozování izolovaného systému v prostorách předmětného letiště může následně odradit určité procento osob od spáchání zamýšleného protiprávního činu, při němž by byl různým způsobem využit i posuzovaný prostor.

Jak již bylo výše uvedeno, izolovaný systém má používán žadatelem pro cílené vyhledávání určitých obětí únosů, obchodování s lidmi nebo sexuálního vykořisťování lidí i vyhledávání pohřešovaných osob, dále k prevenci konkrétního závažného a bezprostředního ohrožení života nebo fyzické bezpečnosti fyzických osob nebo skutečného a bezprostředního či skutečného a předvídatelného teroristického útoku a také pro lokalizaci nebo identifikaci osoby podezřelé ze spáchání trestného činu, za účelem trestního vyšetřování, stíhání nebo výkonu trestu za trestné činy uvedené v příloze II. AI aktu, za něž lze v dotčeném členském státě uložit trest odnětí svobody nebo ochranné opatření spojené s odnětím svobody v maximální délce nejméně čtyři roky.

Používání izolovaného systému za účelem naplnění uvedených cílů tak dopadá pouze na úzce vymezené kategorie osob, jež jsou za tímto účelem zařazeny do referenčního seznamu (v rozsahu přílohy č. 2 žadatele), což je zcela v souladu s AI aktem.

Z výše uvedených důvodů lze považovat používání izolovaného systému za nezbytné a přiměřené.

Soud dále zdůrazňuje, že při posuzování nezbytnosti nelze zůstat pouze u obecné vhodnosti opatření, ale je třeba zkoumat, zda existují jiné, pro práva dotčených osob méně zatěžující prostředky dosažení téhož cíle. V prostředí mezinárodního letiště, kde se v krátkém čase pohybuje vysoký počet osob a kde se zároveň pohybují i osoby, které nepodléhají hraniční kontrole (zejména cestující v rámci schengenského prostoru, zaměstnanci či doprovod), není standardní kamerový systém bez schopnosti biometrické identifikace schopen v reálném čase selektivně upozornit na výskyt konkrétní zájmové osoby. Naopak rozšiřování fyzických kontrol nebo plošných namátkových kontrol osob by představovalo zásah intenzivnější a plošnější, a současně by nebylo při stávající průchodnosti letiště funkčně srovnatelné.

Nezbytnost izolovaného systému je rovněž podpořena tím, že jeho funkční nastavení obsahuje prvky, které zásah do práv minimalizují a zároveň zvyšují spolehlivost zásahu vůči „zájmovým osobám“. Z podkladů žadatele plyne, že automatizované porovnání vyvolá notifikaci teprve při dosažení předem nastavené míry shody (skóre nejméně 0,7) a že každý potenciální záchyt je bez zbytečného odkladu vizuálně ověřován, a to alespoň dvěma náležitě proškolenými pracovníky, přičemž výstup systému je chápán pouze jako operativní informace, nikoliv jako jednoznačné ztotožnění; bez dalšího ověření tedy nemá být podkladem pro přímý zásah do práv konkrétní osoby. Tyto „human-in-the-loop“ záruky odpovídají požadavkům, které soudy v zahraničí kladou na live facial recognition, zejména pokud jde o omezení svévole, ověřitelnost postupu a předejití nepřiměřeným zásahům vyvolaným automatizovaným výstupem (srov. např. Court of Appeal (England and Wales), rozsudek ze dne 11. 8. 2020, R (Bridges) v Chief Constable of South Wales Police).

K testu nezbytnosti soud doplňuje, že nelze vycházet pouze z abstraktní možnosti alternativ, ale z jejich reálné účinnosti v konkrétním prostředí a při konkrétním typu hrozby. Z podkladů vyplývá, že standardní bezpečnostní režimy (validace palubních vstupenek, bezpečnostní kontrola, případně hraniční kontrola) nejsou schopny spolehlivě zachytit osoby používající falešné doklady či osoby pohybující se výlučně v režimu vnitřních schengenských letů, kde hraniční kontrola typicky neprobíhá.

Izolovaný systém poskytuje funkčně odlišnou schopnost: umožňuje v reálném čase provést porovnání biometrických šablon obličeje osob v monitorovaných prostorech s referenční databází a v případě shody vyvolat upozornění pro následné ověření a zákrok. Tato schopnost není při zachování srovnatelné účinnosti nahraditelná běžným vizuálním dohledem či kontrolami totožnosti prováděnými pouze namátkově nebo v omezených bodech letiště.

Proporcionalitu soud posuzuje s ohledem na kvalitu použité technologie a intenzitu zásahu: u technologií, které vytvářejí nebo zpřístupňují informace, jež dříve nebyly bez zásadních nákladů dostupné, je třeba vyžadovat přísnější ospravedlnění a robustnější záruky. Tento přístup je patrný i v zahraniční judikatuře, která zdůrazňuje, že technologický pokrok nemůže obcházet ústavní limity a že míra zásahu se posuzuje i podle kvalitativní novosti použitého prostředku (srov. např. rozhodnutí Nejvyššího soudu USA ze dne 11. 6. 2001, Kyllo v. United States nebo rozhodnutí Nejvyššího soudu USA ze dne 25. 6. 2014, Riley v. California).

V projednávané věci soud shledává, že zásah je zúžen zejména: (i) omezením referenční databáze na zákonné kategorie osob; (ii) oddělením izolovaného systému od jiných informačních systémů (minimalizace sekundárního využití); (iii) nastavením režimu uchovávání údajů podle výsledku vyhodnocení shody; a (iv) požadavkem následného lidského ověření každého pozitivního záchytu a dokumentace postupu. Kombinace těchto opatření s předchozím soudním povolením představuje účinný soubor záruk.

Soud dále přihlíží k tomu, že i v zahraničí jsou biometrické identifikátory (včetně obličejových šablon) považovány za údaje s mimořádnou citlivostí, neboť jsou trvalé a jejich kompromitace je pro jednotlivce obtížně napravitelná; tato judikaturní linie podporuje závěr, že nezbytnost a přiměřenost musí být podložena konkrétními omezeními účelu, okruhu osob, přístupových režimů a uchování (srov. např. U.S. Court of Appeals for the Ninth Circuit (en banc), rozsudek ze dne 8. 8. 2019, Patel v. Facebook, Inc. nebo Supreme Court of Illinois, rozsudek ze dne 25. 1. 2019, Rosenbach v. Six Flags Entertainment Corp).

Územní rozsah izolovaného systému

Žadatel požaduje povolení užívání izolovaného systému na předmětném letišti, jež, jak již bylo výše uvedeno, má status mezinárodního letiště, v rámci Terminálů [Anonymizováno]. Na Terminálu [Anonymizováno] se odbavují lety mimo schengenský prostor, na Terminálu [Anonymizováno] v rámci schengenského prostoru a na Terminálu [Anonymizováno] soukromé a charterové lety.

Žadatel ve své žádosti uvádí, že součástí izolovaného systému je [Anonymizováno] kamer umístěných v „neveřejných“ prostorech předmětného letiště a [Anonymizováno] kamer v jeho „veřejných“ prostorách. K tomu žadatel předložil Schéma systému detekce obličejů s plánkem umístění jednotlivých stacionárních kamer a kamer z bran [Anonymizováno] (příloha č. [Anonymizováno] žádosti) a kamerovou knihu se záběry jednotlivých kamer (příloha č. [Anonymizováno] žádosti). S těmito pojmy pak pracuje zmiňované Schéma systému detekce obličejů s vymezením jednotlivých kamer.

Jelikož sám žadatel umístění [Anonymizováno] kamer označil v žádosti za kamery umístěné v „neveřejných“ prostorách, které však nepodléhají zákazu a možné následné regulaci povolení podle čl. 5 odst. 3 AI aktu, zabýval se soud skutečným charakterem obsahu izolovaného systému podle bodu 19 recitálu Aktu AI.

Uvedená skutečnost vyplývá z okolnosti, že podle AI aktu nelze povolit používání izolovaného systému v neveřejných prostorech, neboť tento systém je systémem biometrické identifikace na dálku v reálném čase na veřejně přístupných prostorech; je proto nutné zabývat se tím, jak definuje veřejně přístupný prostor AI akt a o jaké prostory se skutečně na posuzovaném letišti jedná, a to bez ohledu na jejich označení žadatelem a obsah samotné žádosti.

Použití systémů umělé inteligence využívajících biometrické údaje na letištích vyžaduje pečlivé právní posouzení, které musí reflektovat jak sektorovou regulaci civilního letectví, tak horizontální regulaci umělé inteligence AI aktu. Klíčovým aspektem tohoto posouzení je vymezení prostoru, v němž je biometrický systém provozován, neboť AI akt rozlišuje právní režim zejména podle toho, zda se jedná o prostor „veřejně přístupný“.

Právní předpisy Evropské unie v oblasti ochrany civilního letectví nepracují s pojmy „veřejný“ a „neveřejný“ prostor v tradičním smyslu, nýbrž zavádějí funkční a bezpečnostní členění letiště. Základní rámec je stanoven nařízením o ochraně letectví, které vyžaduje rozdělení letiště na landside (v českém znění označeném jako „veřejná část“), airside (v českém znění označeném jako „neveřejná část“) a dále na security restricted areas (vyhrazené bezpečnostní prostory), případně jejich kritické části. Za „vyhrazený bezpečnostní prostor“ je podle čl. 3 bod 13 považována část neveřejného prostoru letiště, kde jsou kromě omezení vstupu uplatňovány další normy ochrany letectví před protiprávními činy.

Toto členění je dále konkretizováno Prováděcím nařízením Komise (EU) 2015/1998 ze dne 5. listopadu 2015, kterým se stanoví prováděcí opatření ke společným základním normám letecké bezpečnosti, jež stanoví požadavky na fyzické oddělení těchto zón, kontrolu přístupu a podmínky vstupu oprávněných osob. V bodě 1.1.2.1. téhož prováděcího nařízení je uvedeno, že vyhrazené bezpečnostní prostory zahrnují přinejmenším část letiště, do níž mají přístup odletoví cestující, kteří byli podrobeni detekční kontrole. Za detekční kontrolu podle nařízení o ochraně letectví jsou považováno použití technických nebo jiných prostředků určených k zjištění nebo odhalení zakázaných předmětů, tedy prostory následující za prostorem, kde je prováděna jak kontrola letenek ([Anonymizováno]) a následně i kontrola bezpečnostní a detekční a vstup (i výstup) do ní (z ní) je omezen fyzickou i mechanickou zábranou (turnikety).

Landside tak představuje část letiště, která není podrobena bezpečnostní kontrole a je obecně přístupná široké veřejnosti, typicky se jedná o vstupní haly terminálů, veřejné části příletových hal či komerční prostory před bezpečnostní kontrolou.

Naproti tomu airside zahrnuje prostory letiště, do nichž je vstup podmíněn absolvováním bezpečnostní kontroly a splněním dalších přístupových podmínek, přičemž v rámci airside jsou vymezeny zvlášť chráněné bezpečnostně omezené prostory, v nichž platí nejpřísnější režim přístupu (většinou přístupné pouze prověřeným pracovníkům, v nařízení označené jako „vymezený prostor“).

Na rozdíl od nařízení o ochraně letectví AI akt pracuje s pojmem „publicly accessible space“, tedy „veřejně přístupný prostor“, jako s určujícím kritériem pro regulaci některých typů biometrických systémů, zejména systémů dálkové biometrické identifikace osob. Tento pojem není v AI aktu navázán na vnitrostátní kategorie veřejného prostoru, nýbrž má autonomní unijní význam. Definice veřejně přístupného prostoru je rozvedena v bodu 19 recitálu AI aktu, která výslovně uvádí, že pro účely tohoto nařízení by se pod pojmem „veřejně přístupný prostor“ měl rozumět jakýkoli fyzický prostor, který je přístupný neurčenému počtu fyzických osob, bez ohledu na to, zda je daný prostor v soukromém, nebo veřejném vlastnictví, bez ohledu na činnost, pro kterou může být prostor využíván, jako je obchodní činnost, například obchody, restaurace, kavárny; služby, například banky, profesní činnosti, pohostinství; sport, například plavecké bazény, tělocvičny, stadiony; doprava, například zastávky autobusu a metra a železniční nádraží, letiště, dopravní prostředky; zábava, například kina, divadla, muzea, koncertní a konferenční haly nebo volný čas či jiné, například veřejné komunikace a náměstí, parky, lesy, hřiště. Prostor by měl být klasifikován jako veřejně přístupný i v případě, že přístup podléhá bez ohledu na potenciální kapacitu nebo bezpečnostní omezení určitým předem stanoveným podmínkám, které mohou být splněny neurčeným počtem osob, jako je nákup jízdenky nebo přepravního dokladu, předchozí registrace nebo dosažení určitého věku. Prostor by naopak neměl být považován za veřejně přístupný, pokud je přístup omezen na konkrétní a vymezené fyzické osoby buď prostřednictvím práva Unie, nebo vnitrostátního práva přímo souvisejícího s veřejnou ochranou a bezpečností, nebo prostřednictvím jasného projevu vůle osobou, která má v daném prostoru příslušnou pravomoc. Samotná faktická možnost přístupu (jako jsou odemčené dveře nebo otevřená brána v plotu) neznamená, že prostor je veřejně přístupný, existují-li indikace nebo okolnosti naznačující opak, jako jsou značky zakazující nebo omezující přístup. Prostory společností a továren, jakož i kanceláře a pracoviště, do nichž mají mít přístup pouze příslušní zaměstnanci a poskytovatelé služeb, jsou prostory, které nejsou veřejně přístupné. Veřejně přístupné prostory by neměly zahrnovat věznice ani stanoviště hraniční kontroly. Některé další prostory mohou zahrnovat jak veřejně nepřístupné, tak veřejně přístupné prostory, jako je hala soukromé obytné budovy, která je nezbytná pro přístup do lékařské ordinace, anebo letiště. Tento pojem nezahrnuje ani on-line prostory, protože se nejedná o prostory fyzické. To, zda je daný prostor přístupný veřejnosti, by však mělo být určováno případ od případu s ohledem na zvláštnosti dané konkrétní situace.

Při aplikaci této definice na prostředí letiště, v rozsahu, jak požaduje žadatel, lze dospět k závěru, že landside zjevně splňuje znaky veřejně přístupného prostoru ve smyslu AI aktu. V těchto částech letiště se pohybuje široká veřejnost bez předchozí kontroly a bez nutnosti disponovat zvláštním oprávněním. Použití systémů dálkové biometrické identifikace osob v reálném čase je zde proto zásadně zakázáno, s výjimkou úzce vymezených situací, které AI akt připouští zejména pro orgány činné v trestním řízení a za splnění přísných zákonných podmínek. Ostatní biometrické systémy mohou být v landside provozovány pouze v režimu vysoce rizikových systémů umělé inteligence, za splnění všech povinností stanovených AI aktem.

Naopak ne všechny prostory airside a zejména bezpečnostně omezené prostory lze považovat za neveřejně přístupné ve smyslu AI aktu. Přístup pouze do některých airside prostor je omezen na osoby, které splní zákonem a letištním bezpečnostním programem stanovené podmínky, jako např. zaměstnanecké karty či jiného oprávnění, a které jsou podrobeny bezpečnostní a detekční kontrole. Pouze tyto prostory proto představují neveřejné, kontrolované prostředí, v němž se neuplatní zákaz používání dálkové biometrické identifikace osob ve veřejně přístupných prostorech.

Ani toto rozdělení však není pro účely posouzení „veřejnosti“ dostatečné.

Definice uvedená v AI aktu je záměrně široká a počítá s různými podmínkami vstupu. AI Akt totiž definuje „publicly accessible space“ jako jakékoli fyzické místo (veřejné i soukromé), které je přístupné neurčitému počtu osob, bez ohledu na to, že mohou platit určité podmínky přístupu (např. lístek, registrace, bezpečnostní kontrola) a omezení kapacity.

Tuto definici je pak nutné použít i na prostor airside zóně, kdy vstup je sice podmíněn boarding pasem a bezpečnostní kontrolou, ale pořád jde o prostor přístupný “neurčitému počtu” cestujících (není to uzavřený okruh předem určených osob). Proto i bod 19 recitálu nařízení výslovně zmiňuje letiště jako příklad „smíšeného“ místa. Veřejně přístupná může být jak landside (hala), tak část airside pro cestující; neveřejné bývají např. provozní chodby, zázemí personálu apod. Čl. 5 AI aktu proto používá pojem „publicly accessible spaces“ zejména u „real-time remote biometric identification“ pro účely vymáhání práva. V prostoru airside jde typicky o čekárny před odletem, gaty, koridory k nástupům apod.

Naopak v airside zóně zóny vyhrazené jen pro zaměstnance nebo servisní dodavatele (přístup na průkaz, konkrétně určený okruh osob) budou typicky prostorem neveřejným.

Proto i prostory za bezpečnostní kontrolou, které jsou standardně přístupné všem cestujícím s platnou letenkou/boarding pasem, je proto nutné považovat za „veřejně přístupné prostory“ podle čl, 5 AI Actu.

Pro úplnost je nutné dodat, že biometrické systémy provozované v airside „neveřejné“ zóně nebo v dalších bezpečnostně omezených prostorech letiště, jsou z hlediska AI aktu přípustné, typicky jako vysoce rizikové systémy umělé inteligence. Jejich nasazení je však podmíněno splněním všech požadavků AI aktu, zejména zavedením systému řízení rizik, zajištěním kvality dat, transparentnosti, lidského dohledu a odpovídající technické dokumentace. Současně je nutné respektovat požadavky obecného nařízení o ochraně osobních údajů, včetně povinnosti provést posouzení vlivu na ochranu osobních údajů, neboť biometrické údaje představují zvláštní kategorii osobních údajů.

Lze proto uzavřít, že z hlediska AI aktu je rozhodující nikoli formální označení prostoru letiště žadatelem, ale jeho faktická přístupnost veřejnosti. Zatímco landside letiště je veřejně přístupným prostorem, v němž je použití biometrických identifikačních systémů zásadně omezeno, neveřejné prostory airside a bezpečnostně omezené prostory představují neveřejné prostředí, v němž je použití biometrických systémů právně přípustné, avšak podléhá přísnému režimu regulace vysoce rizikových systémů umělé inteligence.

Je tedy zřejmé, že žadatelem v žádosti použitý pojem „neveřejný prostor“ ve skutečnosti znamená, že se jedná ve smyslu AI aktu o „publicly accessible spaces“, tedy veřejně přístupný prostor, byť je třeba splnit pro vstup do něj předem stanovené podmínky (zde tedy předložit letenku a projít danou bezpečnostní kontrolou).

Co se týká počtu nepohyblivých kamer a kamer bran [Anonymizováno] a jejich umístění a záběry (viz dané dvě přílohy), ty jsou umístěny v prostoru žadatelem označeným v příloze 1a žádosti jako hraniční/celní kontrola, která je však z definici veřejných prostor podle bodu 19 recitálu AI aktu vyloučeny (veřejně přístupné prostory by neměly zahrnovat věznice ani stanoviště hraniční kontroly). Toto označení žadatelem však neznamená, že zde probíhá hraniční nebo celní kontrola, ale to že kamery jsou v tomto prostoru umístěny, jelikož svým záběrem zasahují i do prostor veřejných (landside). Proto i v tomto případě se soud domnívá, že uvedené odpovídá záměru žadatele pro taktické pokrytí uvedeného „veřejného“ prostoru. Zároveň žadatel uvádí, že se nejedná o plošný či kontinuální dohled nad chováním osob v prostorách letiště, ale jde o pokrytí taktických bodů letiště s vysokou fluktuací cestujících a kde dochází k přirozenému či provozně vynucenému usměrnění toku osob. Současně nejsou kamerami pokryty prostory s pobytovým, relaxačním či komerčním charakterem (např. čekárny, restaurace či obchody).

Podle soudu tak lze uzavřít, že používání izolovaného systému v předmětném letišti je omezeno na nezbytně nutný rozsah pouze v prostorech přístupných veřejnosti.

Soud přitom považuje za podstatné, že územní rozsah v žádosti je vymezen nejen „názvem místa“, ale i konkrétní konfigurací záběrů jednotlivých kamer podle schématu a kamerové knihy; to umožňuje ex ante i ex post kontrolu, zda byl systém nasazen pouze v určených územně oddělených součástech. Takové konkrétní vymezení reaguje na požadavky, které kladou soudy na použití technologií živé biometrické identifikace, zejména aby nasazení bylo geograficky přesně specifikováno a nebylo ponecháno na volné úvaze vykonavatele práva (srov. např. Court of Appeal (England and Wales), rozsudek ze dne 11. 8. 2020, R (Bridges) v Chief Constable of South Wales [adresa]).

K územnímu rozsahu soud doplňuje, že přiměřenost zásahu je podmíněna i tím, zda je vymezen na prostory, kde je riziko výskytu zájmových osob a současně kde lze očekávat nejvyšší preventivní účinek. Podle předloženého schématu a kamerové knihy je nasazení omezeno na konkrétní monitorované prostory terminálů [Anonymizováno], tedy na místa s přirozenou koncentrací příchozích a odchozích cestujících a návazností na bezpečnostní režimy letiště.

Soud současně zdůrazňuje, že prostorové omezení je významné i z hlediska minimalizace rizika vytvoření plošného sledovacího ekosystému. Zahraniční judikatura upozorňuje, že teprve kombinace rozsahu pokrytí, automatizace a možnosti následné analýzy může vést k zásahu kvalitativně odlišnému od tradičního pozorování; tomu musí odpovídat i přísná prostorová a funkční omezení.

Zvolený územní rozsah je navíc vázán na konkrétní účel a nenavazuje na komerční či obecně administrativní databáze, čímž se snižuje riziko rozšíření účelu. Soud proto považuje územní vymezení za dostatečně konkrétní a odůvodněné.

Požadavek žadatele na dobu používání izolovaného systému

Žadatel žádá o povolení používání izolovaného systému na období [Anonymizováno]. Vrchní soud v Praze se domnívá, že jsou zde důvody pro povolení jeho používání v maximálně možné délce [Anonymizováno] měsíců. Uvedené je podle žadatele dáno tím, že je třeba tento kontrolní systém prověřit v co nejdelším možném, aby mohla být řádně zjištěna jeho účinnost a jeho případné nedostatky, což bude mít dopad na rozhodování o jeho dalším použití, neboť další žádost se bude opírat o data z jeho reálného provozu.

Vrchní soud v Praze má též za to, že časové omezení povolení plní dvojí funkci: (i) omezuje rozsah zásahu do soukromí na dobu skutečně potřebnou k dosažení sledovaných účelů, a (ii) vytváří institucionální prostor pro pravidelnou revizi účinnosti a přiměřenosti opatření na základě reálných provozních dat. Judikatura Evropského soudu pro lidská práva ve vztahu k uchovávání biometrických identifikátorů a k režimům skrytého sledování opakovaně zdůrazňuje, že plošné či časově neomezené zásahy bez skutečné možnosti přezkumu zpravidla neobstojí v testu nezbytnosti a proporcionality, a že významnou roli hraje existence časových limitů, pravidel přezkumu a nezávislého dohledu /k této otázce např. rozsudek Evropského soudu pro lidská práva (velký senát) ze dne 4. 12. 2008, S. a Marper proti Spojenému království, stížnosti č. 30562/04 a 30566/04, rozsudek Evropského soudu pro lidská práva ze dne 13. 2. 2020, Gaughran proti Spojenému království, stížnost č. 45245/15 nebo rozsudek Evropského soudu pro lidská práva (velký senát) ze dne 25. 5. 2021, Big Brother Watch a ostatní proti Spojenému království, stížnosti č. 58170/13, 62322/14 a 24960/15/.

Uvedený požadavek je v projednávané věci naplněn jednak zákonným limitem povolení na dobu nejdéle [Anonymizováno] měsíců, jednak tím, že případné pokračování používání izolovaného systému bude možné pouze na základě nové žádosti a nového soudního posouzení, které se bude opírat o výsledky evaluační činnosti spravujícího orgánu (včetně vyhodnocování přesnosti a případných falešných záchytů).

K časovému omezení soud doplňuje, že žadatelem požadované období [Anonymizováno] je vázáno na plánovanou kontrolní a evaluační činnost spravujícího orgánu, a je proto racionálně odůvodněno cílem ověřit funkčnost, chybovost a účinnost přijatých záruk v reálném provozu. Časové omezení na jeden rok současně brání tomu, aby se povolení fakticky změnilo v trvalý režim bez periodické soudní revize.

Soud má za to, že periodická soudní revize nutnosti existence a rozsahu izolovaného systému je u technologií s rychlým vývojem a proměnlivými riziky nezbytnou součástí proporcionality. V průběhu povoleného období lze průběžně vyhodnocovat zejména četnost pozitivních záchytů, míru false positive, výsledky lidského ověření a incidenty související s bezpečností dat, aby případné další prodloužení bylo již opřeno o empirická zjištění. Toto posouzení však bude nutné případně až v následujícím období existence tohoto izolovaného systému.

Proto je pro první období nasazení systému i AI aktem uváděná maximální doba [Anonymizováno] měsíců podle soudu přijatelná.

Závažnost, pravděpodobnost a rozsah újmy, ke které by mohlo dojít v případě, že k používání izolovaného systému nedojde

Jak již bylo výše uvedeno s provozem předmětného letiště (a samozřejmě i jakéhokoliv jiného mezinárodního letiště) je také spjata možná protiprávní činnost, a to různé intenzity.

Veřejnosti jsou známé události ze dne 11. 9. 2001 ve Spojených státech amerických, kdy teroristé využili průnik do letadla ke spáchání trestných činů vysoké míry společenské nebezpečnosti. Známé jsou i případy únosů dětí, které umožnila rychlost přesunu únosce s dětmi prostřednictvím letecké přepravy (včetně přepravy linkové). Existence izolovaného systém tak umožňuje rychlou reakci policejních orgánů a zajištění případné nápravy.

Při hodnocení závažnosti, pravděpodobnosti a rozsahu újmy soud přihlíží k povaze objektu, v němž má být izolovaný systém používán. Mezinárodní letiště představuje z hlediska bezpečnosti typicky vysoce exponované prostředí: jde o prostor s vysokou koncentrací osob, s přirozeně anonymním charakterem a s možností rychlého přesunu osob do jiných států. Újma, které má být nasazením izolovaného systému předcházeno, může mít charakter nejen majetkový, nýbrž i újmu na životě a zdraví, případně závažné zásahy do osobní svobody či integrity jednotlivců, a to v řádech, které nelze srovnávat s běžnými bezpečnostními incidenty v jiných veřejných prostorech.

Z podkladů žadatele současně vyplývá, že rizika se mohou materializovat i ve veřejně přístupných částech terminálů před bezpečnostní či hraniční kontrolou, přičemž u cestujících v rámci schengenského prostoru k hraniční kontrole ani nedochází. V takové situaci je schopnost včasné identifikace „zájmové osoby“ v reálném čase zásadní pro možnost okamžitého nasazení hlídek, provedení ztotožnění či jiných úkonů a pro minimalizaci dopadů případného útoku nebo jiné závažné protiprávní činnosti. Nelze proto mít za to, že by nevyužití izolovaného systému bylo pro spravující orgán bezvýznamné; naopak by mohlo reálně vést k tomu, že varovný signál o přítomnosti vysoce rizikové osoby nebude zachycen včas, případně vůbec.

Soud doplňuje, že v prostředí mezinárodního letiště má potenciální újma při selhání včasné identifikace vysoce závažný charakter; může jít o újmu na životě a zdraví velkého počtu osob, o ohrožení kritické infrastruktury a o významné sekundární dopady na veřejný pořádek. Pravděpodobnost takových incidentů nelze hodnotit jako čistě hypotetickou, neboť letiště je typicky místem, kde se prolínají migrační toky, trestná činnost se zahraničním prvkem a rizika spojená s terorismem.

Závažnost možných následků se promítá i do posouzení preventivních bezpečnostních opatření. Americká judikatura v oblasti letištní bezpečnosti akcentuje, že některé kontrolní mechanismy v letištním režimu mají preventivní povahu a jsou ospravedlnitelné právě vzhledem k mimořádné závažnosti následků, jimž předcházejí; i zde však platí, že preventivní opatření musí být účelově vymezeno a doprovázeno odpovídajícími zárukami (srov. např. rozsudek U.S. Court of Appeals for the Ninth Circuit (en banc) ze dne 3. 8. 2007, United States v. Aukai).

V tomto světle soud hodnotí izolovaný systém jako prostředek, který může v konkrétních případech rozhodujícím způsobem zkrátit reakční dobu, umožnit okamžité nasměrování hlídek a zabránit tomu, aby se vysoce riziková osoba volně pohybovala v prostoru s velkou koncentrací osob. Přitom postačí, aby systém významně snížil pravděpodobnost výše popsaných událostí; nelze po něm spravedlivě požadovat absolutní eliminaci rizika.

Důsledky používání izolovaného systému pro práva a svobody všech dotčených osob, zejména závažnost, pravděpodobnost a rozsah těchto důsledků.

Soud nepodceňuje, že používání izolovaného systému může mít významné důsledky pro práva a svobody dotčených osob. Jde zejména o zásah do práva na respektování soukromého života a do práva na ochranu osobních údajů, přičemž v kontextu kamerových systémů judikatura Evropského soudu pro lidská práva výslovně považuje zachycení osoby a následné nakládání se záznamem za zásah, který vyžaduje odpovídající záruky (k tomu srov. např. rozsudek Evropského soudu pro lidská práva ze dne 28. 1. 2003, Peck proti Spojenému království, stížnost č. 44647/98).

Nadto u biometrického porovnávání nelze přehlížet riziko chybovosti, riziko „zkreslení způsobeného automatizací“ a riziko diskriminačních dopadů při rozdílné přesnosti algoritmu u různých skupin osob. Soudu je též zřejmé, že je možná i určitá chybovost izolovaného systému, jenž je založen na systému AI, čímž bude zasaženo do práv osob, nesprávně identifikovaných systémem.

Výše uvedené důsledky jsou však v projednávané věci významně zmírněny konkrétními technickými a organizačními opatřeními popsanými v podkladech žadatele. Provoz a práce s daty probíhají izolovaně v intranetové síti Ministerstva vnitra (Hermes) bez přímého přístupu z internetu, komunikace je šifrována, servery jsou umístěny v zabezpečených prostorách a přístup je umožněn pouze oprávněným osobám na základě správy přístupových účtů v nezbytném rozsahu. Současně je zaveden systém evidence přístupů (logování) a pravidelné kontroly oprávněnosti využívání systému, při nichž hraje roli i dohled pověřence pro ochranu osobních údajů. Takové „vrstvené“ záruky odpovídají požadavkům, které soudní praxe klade na dostatečnou kvalitu právního a institucionálního rámce pro použití technologií biometrické identifikace a na účinnou kontrolu proti svévoli (srov. argumentaci shodně uvedenou v rozhodnutí Court of Appeal (England and Wales), rozsudek ze dne 11. 8. 2020, R (Bridges) v Chief Constable of South Wales Police, [2020] EWCA Civ 1058 nebo rozsudku Evropského soudu pro lidská práva (velký senát) ze dne 25. 5. 2021, Big Brother Watch a ostatní proti Spojenému království, stížnosti č. 58170/13, 62322/14 a 24960/15.

Z hlediska pravděpodobnosti a rozsahu zásahu je dále významné, že izolovaný systém je konstruován jako nástroj cílené detekce „zájmových osob“ z referenční databáze, nikoli jako prostředek plošného vytváření identitních profilů všech cestujících. Notifikace je generována až při dosažení předem stanovené míry shody (skóre nejméně 0,7) a následné vyhodnocení probíhá vždy pod lidským dohledem: každý potenciální záchyt je posuzován alespoň dvěma proškolenými pracovníky, přičemž výstup systému je výslovně chápán pouze jako operativní informace, která musí být dodatečně ověřena a nemůže sama o sobě založit zásadní zásah do práv konkrétní osoby. V rámci prevence diskriminace je navíc plánováno pravidelné testování přesnosti algoritmu a případná úprava nastavení hraniční hodnoty, jakož i evidence a analýza falešně pozitivních a negativních záchytů.

Pokud jde o ukládání údajů, podklady žadatele dále uvádějí, že fotografie zaznamenané izolovaným systémem (tj. údaje vzniklé biometrickým zpracováním) jsou pro účely kontroly a zpětného dotazu uchovávány v oddělené evidenci („archivu záznamů osob“) pouze po dobu 90 dnů a poté jsou automatizovaně vymazány; zpřístupnění údajů z tohoto archivu je možné jen na základě odůvodněné písemné žádosti a pouze pro účely trestního řízení, navíc za podmínky předchozího povolení soudce podle trestního řádu. Takto nastavená časová a účelová omezení, doplněná soudní kontrolou zpřístupnění, reagují na judikaturu Evropského soudu pro lidská práva, která kritizuje zejména neomezené či nepřezkoumatelné uchovávání biometrických údajů (srov. rozsudek Evropského soudu pro lidská práva (velký senát) ze dne 4. 12. 2008, S. a Marper proti Spojenému království, stížnosti č. 30562/04 a 30566/04 nebo rozsudek ze dne 13. 2. 2020, Gaughran proti Spojenému království, stížnost č. 45245/15).

Soud doplňuje, že při hodnocení dopadů na práva a svobody nelze vycházet jen z toho, že jde o veřejně přístupný prostor. Klíčové je, zda je sledování automatizované, zda umožňuje identifikaci a zda vytváří záznam využitelný k dalším účelům. Judikatura v obdobných věcech k ochraně soukromí vychází z toho, že technologické prostředky mohou ve svém souhrnu vytvářet zásah do soukromí kvalitativně odlišný od tradičního pozorování; proto zdůrazňuje potřebu robustních záruk a kontroly (ze zahraničí srov. rozsudek Nejvyššího soudu USA, rozsudek ze dne 18. 12. 1967, Katz v. United States).

Rizika se v projednávané věci týkají zejména chybné identifikace (false positive) a s tím spojeného zásahu do osobní svobody a důstojnosti, potenciálního diskriminačního dopadu v důsledku rozdílů v přesnosti rozpoznávání napříč skupinami osob, tzv. chilling effect na svobodný pohyb a soukromý život a rizika sekundárního využití biometrických údajů. Tyto dopady jsou však podle podkladů významně zmírněny kombinací technických a organizačních pojistek, zejména izolací systému, omezením referenční databáze, režimem minimalizace a uchovávání údajů, požadavkem lidského ověření každé shody a vedením záznamů umožňujících následnou kontrolu zákonnosti a správnosti postupu.

Soud přihlíží i k tomu, že zahraniční judikatura v oblasti biometrických údajů vnímá biometrické identifikátory jako údaje s dlouhodobými následky pro jednotlivce, neboť na rozdíl od hesla je nelze změnit v případě kompromitace; tím spíše je třeba trvat na minimalizaci přístupu, účelu a doby uchování a na auditovatelnosti každého použití.

Při vážení protichůdných zájmů soud uzavírá, že za současného nastavení technických a organizačních opatření a za existence soudního povolení jako ex ante kontroly je pravděpodobnost a rozsah nepřiměřených zásahů do práv osob bez shody v referenční databázi omezen. Zásah je navíc kompenzován významem chráněných statků (život, zdraví, bezpečnost) a vysokou závažností újmy, jíž má systém předcházet. Za těchto podmínek jsou důsledky pro dotčené osoby přiměřené sledovanému cíli.

Závěrečné shrnutí

Z výše uvedených důvodů soud shledal důvody uváděné žadatelem za věcně opodstatněné.

Izolovaný systém je navržen jako technické a organizační opatření, které umožňuje dosáhnout sledovaného legitimního cíle (ochrany bezpečnosti osob a majetku, případně ochrany dalších právem chráněných zájmů) při současném snížení rizik spojených se zpracováním biometrických údajů. Z povahy biometrických údajů jakožto vysoce citlivé kategorie údajů plyne zvýšená potřeba prevence neoprávněného přístupu, zneužití či sekundárního využití k jiným účelům, než pro které bylo zpracování povoleno.

Izolovaný systém, provozovaný odděleně od běžných sítí a bez napojení na externí databáze a služby, minimalizuje pravděpodobnost kybernetického incidentu a omezuje okruh osob, které mohou s daty přicházet do styku. Tím přispívá k naplnění zásad omezení účelu, minimalizace údajů a integrity a důvěrnosti zpracování. Soud současně přihlédl k tomu, že izolované technické řešení je samo o sobě méně rizikové než řešení založené na vzdáleném přístupu, cloudovém hostingu či na propojení s dalšími systémy, neboť vylučuje či významně omezuje řetězení zpracování a snižuje riziko nepřiměřeného rozšíření účelu (tzv. function creep).

Podmínka nezbytnosti je splněna tehdy, nelze-li sledovaného cíle dosáhnout srovnatelně účinně mírnějšími prostředky. Soud při posouzení vycházel z toho, že běžné kamerové záznamy bez biometrických prvků, zvýšení počtu fyzické ostrahy, režimová opatření (kontroly vstupu, identifikační karty) či následné dohledávání osob ex post mohou být v řadě situací účinné, avšak v posuzovaném případě neodstraňují zásadní deficit – nemožnost včasné, přesné a kontrolované identifikace osoby v situaci, kdy jde o prevenci bezprostředně hrozícího incidentu nebo o zamezení vstupu či pohybu osoby, která představuje konkrétní riziko.

Přiměřenost soud shledal zejména v tom, že zpracování biometrických údajů je zde koncipováno jako striktně účelové, omezené a kontrolované, přičemž použití je vázáno na soudní souhlas, má probíhat pouze v jasně vymezených situacích a lokalitách, rozsah snímání je redukován na nezbytný prostor a čas, přístup k výstupům systému je omezen na úzký okruh pověřených osob a je zajištěna dohledatelnost každého úkonu (logování a audit). Soud přihlédl i k tomu, že jde o izolovaný systém, který snižuje rizika spojená s únikem či neoprávněným sdílením dat, a tím zvyšuje přiměřenost zásahu do práv dotčených osob.

Soud považuje za rozhodné, že územní rozsah má být vymezen tak, aby nedocházelo k plošnému a neadresnému snímání osob v širším veřejném prostoru. Izolovaný systém je přípustný pouze v rozsahu, který je objektivně nezbytný k dosažení sledovaného cíle, typicky v místech s vyšší mírou rizika (např. kontrolované vstupy, bezprostřední okolí vstupních bodů, vymezené koridory či prostory, kde se realizují bezpečnostní kontroly). Takové vymezení zamezuje tomu, aby docházelo k faktickému monitorování běžného pohybu osob mimo rizikové zóny, a současně přispívá k predikovatelnosti zásahu a k možnosti osob přizpůsobit své chování (transparentnost a informovanost).

Soud má za to, že územní omezení má být spojeno i s technickými parametry (nastavení zorných polí, maskování částí obrazu, vyloučení přilehlých prostor, kde by snímání nebylo nezbytné) a s odpovídajícím informačním režimem. Takto vymezený rozsah představuje podstatnou záruku proti nepřiměřenému zásahu do soukromí osob, které se v prostoru pohybují.

Soud vyhověl i požadavku na časové omezení používání izolovaného systému, neboť časová limitace je klíčovou pojistkou proti trvalému a rutinnímu využívání biometrických prostředků. Doba používání má odpovídat období, v němž lze rozumně očekávat trvání rizik, která žadatel popsal, a má být nastavena tak, aby umožnila dosažení cíle, avšak současně vynutila průběžné přehodnocení, zda trvají důvody nezbytnosti.

Soud považuje za nutné, aby po uplynutí povolené (byť maximálně možné) doby došlo k vyhodnocení účinnosti a dopadů opatření a aby případné další využití bylo možné pouze na základě nového posouzení a případně nového soudního souhlasu. Takové nastavení zabraňuje automatismu, posiluje odpovědnost žadatele a odpovídá zásadě minimalizace zásahů do základních práv.

Soud přihlédl i k tomu, že újma, jíž má být použitím izolovaného systému předcházeno, může dosahovat značné intenzity, zejména je-li spojena s ohrožením života a zdraví osob, závažnou majetkovou škodou, narušením bezpečnosti provozu či jiným podstatným zásahem do práv chráněných právním řádem. U těchto kategorií hrozeb může i relativně krátké selhání preventivních mechanismů mít disproporčně vysoké následky.

Rovněž pravděpodobnost vzniku újmy soud hodnotil ve vazbě na konkrétnost tvrzených rizik a na skutečnost, zda jde o opakované či eskalující incidenty, případně o rizika, která nelze uspokojivě pokrýt méně invazivními prostředky. V situaci, kdy jsou rizika dostatečně konkretizována a kde běžná opatření neposkytují srovnatelnou míru prevence, je namístě přiznat význam i preventivní složce ochrany – tedy odvrácení incidentu před jeho uskutečněním.

Rozsah potenciální újmy soud zohlednil i z hlediska počtu osob, které by mohly být dotčeny, a z hlediska řetězení následků (např. domino efekt na provoz, bezpečnostní režim či jiné návazné činnosti). Tato hlediska podporují závěr, že bez povolení izolovaného systému by mohlo dojít k újmě, jejíž závažnost převyšuje zásah, který je s povoleným, přísně omezeným a kontrolovaným použitím systému spojen.

Soud si je vědom, že použití systémů umělé inteligence pro biometrickou identifikaci fyzických osob na dálku „v reálném čase“ představuje citelný zásah do práva na soukromí a do práva na ochranu osobních údajů a může mít dopady i na další svobody (např. na svobodu pohybu, pocit anonymity ve veřejném prostoru či riziko nepřímé diskriminace). Závažnost těchto důsledků se zvyšuje zejména tehdy, je-li zpracování plošné, dlouhodobé, netransparentní, nebo je-li spojeno s automatizovanými rozhodnutími bez účinné lidské kontroly.

V posuzované věci však soud shledal, že rizika pro práva a svobody dotčených osob jsou významně zmírněna povahou navrženého řešení a nastavenými zárukami: použití je omezeno na izolovaný systém bez externích propojení, na vymezené lokality a dobu, na účel schválený soudem a na úzký okruh oprávněných osob. Dále je podstatné, že takto nastavený režim umožňuje účinný dohled a ex post kontrolu, zejména prostřednictvím evidence přístupů, auditních stop, interních pravidel a možností přezkumu. Tím se snižuje pravděpodobnost neoprávněného zacházení s údaji i riziko jejich sekundárního využití.

Rozsah dotčených osob je omezen tím, že se systém uplatní jen v územně vymezených zónách a pouze po dobu, po kterou trvá soudem posouzený důvod. Soud rovněž přihlédl k tomu, že izolovaný systém je koncipován jako nástroj cílené prevence, nikoliv jako prostředek plošného sledování populace. Při zvážení všech okolností soud uzavírá, že negativní dopady na práva a svobody dotčených osob nedosahují takové intenzity, aby převážily nad legitimním cílem, kterému má použití izolovaného systému sloužit, a že zvolené řešení je v daných mezích přiměřené.

S ohledem na uvedené dospěl Vrchní soud v Praze k závěru, že žadatel splnil všechny podmínky pro povolení používání izolovaného systému, a proto jeho žádosti v požadovaném rozsahu vyhověl.

Příloha:

[Anonymizováno] [Anonymizováno] [Anonymizováno] [Anonymizováno]

[Anonymizováno]