DA
E-002586/2022
Svar afgivet på Kommissionens vegne
af Didier Reynders
(12.9.2022)
Ifølge EU's databeskyttelsesregler er det i princippet allerede forbudt at behandle biometriske
data til entydig identifikation af en fysisk person, undtagen under helt særlige
omstændigheder. I henhold til den generelle forordning om databeskyttelse (GDPR)
1
er en
sådan behandling tilladt i et begrænset antal situationer
2
, forudsat at der er retligt grundlag for
behandlingen
3
, og at databeskyttelsesprincipperne og alle andre forpligtelser, der er fastsat i
GDPR, overholdes. Disse omfatter gennemførelse af en konsekvensanalyse vedrørende
databeskyttelse, hvor behandlingen af biometriske data med henblik på entydig identifikation
af en fysisk person er knyttet til mindst et andet kriterium, der angiver, at behandlingen
indebærer en høj risiko
4
. I sine retningslinjer om brug af videoudstyr til behandling af
personoplysninger udvidede Det Europæiske Databeskyttelsesråd behandlingen af
biometriske data og foreslog foranstaltninger til minimering af de risici, der er forbundet med
behandlingen af sådanne data
5
.
Uden at det berører Kommissionens beføjelser som traktaternes vogter, påhviler
overvågningen og håndhævelsen af anvendelsen af databeskyttelseslovgivningen de nationale
databeskyttelsesmyndigheder
6
og domstolene.
Der kan fastsættes yderligere regler i den nationale lovgivning, herunder om beskyttelse af
individets ret til egne billeder og personlige rettigheder.
Kommissionens hensigt med lovgivningsforslaget om kunstig intelligens er ikke at erstatte
eksisterende retsforskrifter, men at supplere denne solide ramme af regler for at skabe
yderligere gennemsigtighed og retssikkerhed i forbindelse med beskyttelsen af de europæiske
borgere.
Europa-Parlamentets og Rådets forordning (EU) 2016/679 af 27. april 2016 om beskyttelse af fysiske personer
i forbindelse med behandling af personoplysninger og om fri udveksling af sådanne oplysninger og om
ophævelse af direktiv 95/46/EF (generel forordning om databeskyttelse) (EUT L 119 af 4.5.2016, s. 1).
2
Jf. artikel 9, stk. 2, i GDPR.
3
Jf. artikel 6 i GDPR.
4
Retningslinjer for konsekvensanalyser vedrørende databeskyttelse og bestemmelse af, om behandlingen
"sandsynligvis indebærer en høj risiko" i henhold til forordning (EU) 2016/679:
https://ec.europa.eu/newsroom/article29/item-detail.cfm?item_id=611236,
som godkendt af
Databeskyttelsesrådet; Databeskyttelsesrådets udtalelser om nationale lister over behandlingsaktiviteter i
henhold til artikel 35, stk. 4, i GDPR,
https://edpb.europa.eu/our-work-tools/consistency-
findings/opinions_da?f%5B0%5D=opinions_topics%3A138&page=0
5
Retningslinjer 3/2019 om brug af videoudstyr til behandling af personoplysninger, version 2.
6
De italienske og græske databeskyttelsesmyndigheder har for nylig udstedt bøder til en virksomhed bag en
applikation, der indsamler ansigtsbilleder på internettet (web-harvesting) og behandler biometriske data via sit
ansigtsgenkendelsessystem,
https://edpb.europa.eu/news/national-news/2022/facial-recognition-italian-sa-fines-
clearview-ai-eur-20-million_en
og
https://edpb.europa.eu/news/national-news/2022/hellenic-dpa-fines-
clearview-ai-20-million-euros_en
1