Samtykke til ansigtsgenkendelse i fitnesscenter var gyldigt, men utilstrækkelig information udløste kritik

Datatilsynet behandlede en klage over Sporting Health Club (SHC), der havde indført ansigtsgenkendelse som adgangskontrol i deres fitnesscentre. Klagen fremhævede manglen på tilstrækkelige alternativer til ansigtsgenkendelse.

Sagens baggrund

• SHC tilbød, at medlemmer uden samtykke til ansigtsgenkendelse kunne få adgang via receptionen i bemandet åbningstid. Uden for bemandet åbningstid kunne medlemmer kontakte døgnsupport for fjernåbning eller en adgangskode.
• Datatilsynet havde tidligere vurderet, at ansigtsgenkendelse som adgangskontrol i fitnesscentre ikke nødvendigvis er i strid med databeskyttelsesprincipperne, jf. Databeskyttelsesforordningens artikel 5.
• Sagen fokuserede på gyldigheden af samtykket, herunder om de tilbudte alternativer var reelle.

Klagerens argumenter

• Klager anførte, at der ikke var tilstrækkelige alternativer til ansigtsgenkendelse, hvilket begrænsede adgangen til fitnesscentret.
• Klager fremhævede, at SHC oprindeligt havde oplyst, at der ikke ville være andre muligheder end ansigtsgenkendelse.

SHC's argumenter

• SHC anførte, at der var flere alternative adgangsformer til rådighed for medlemmer, der ikke ønskede at benytte ansigtsgenkendelse, herunder personlig indtjekning i receptionen, via døgntelefonsupport eller ved brug af en kode.
• SHC fremhævede, at systemet var baseret på samtykke, og at medlemmer kunne tilbagekalde deres samtykke til enhver tid.
• SHC argumenterede for, at de indsamlede oplysninger også blev brugt til statistik, hvilket var i overensstemmelse med Databeskyttelsesforordningens artikel 6, stk. 1, litra f.

Datatilsynet fandt, at SHC generelt kan indhente et gyldigt samtykke til ansigtsgenkendelse, forudsat at samtykket er informeret og korrekt indhentet, jf. Databeskyttelsesforordningen § 9, stk. 2, litra a.

Kritik af SHC's samtykke

• Datatilsynet udtalte kritik af det samtykke, SHC forsøgte at indhente fra klager, da klager var blevet fejlinformeret om manglende alternativer til ansigtsgenkendelse.
• Datatilsynet understregede, at et gyldigt samtykke forudsætter, at den registrerede er tilstrækkeligt informeret om de tilgængelige alternativer.

Krav til fremtidig praksis

• SHC skal sikre, at samtykkeerklæringen tydeligt informerer om alternativerne til ansigtsgenkendelse.
• Datatilsynet forudsætter, at de alternative adgangsmuligheder er reelle og ikke medfører urimelige begrænsninger eller ventetider.