21 – Εξαίρεση Χρήσης Βιομετρικής Ταυτοποίησης σε Πραγματικό Χρόνο
Ο περί της Τεχνητής Νοημοσύνης Νόμος του 2026
Ο Επίτροπος δύναται μέσω δευτερογενής νομοθεσίας, να καθορίσει κανόνες για την πλήρη ή μερική έγκριση της χρήσης συστημάτων εξ αποστάσεως βιομετρικής ταυτοποίησης «σε πραγματικό χρόνο» σε δημόσια προσβάσιμους χώρους, για σκοπούς επιβολής του νόμου εντός των ορίων και υπό προϋποθέσεις που απαριθμούνται στο Άρθρο 5(1)(η), (2) και (3) του Κανονισμού, βάσει κριτηρίων που εγκρίνονται από το Υπουργικό Συμβούλιο. Η χρήση που εγκρίνεται κατ’ εφαρμογή του παρόντος άρθρου, εξαιρείται από τις απαγορευμένες πρακτικές που ορίζονται στο Άρθρο 5 του Κανονισμού.
Τέλος
ΣΧΟΛΙΑ ΑΡΧΗΣ ΗΛΕΚΤΡΙΣΜΟΥ ΚΥΠΡΟΥ
Προτείνεται να διευκρινισθεί ρητώς ότι το άρθρο 21 αφορά αποκλειστικά τη χρήση συστημάτων εξ αποστάσεως βιομετρικής ταυτοποίησης σε πραγματικό χρόνο σε δημόσια προσβάσιμους χώρους για σκοπούς επιβολής του νόμου και δεν επηρεάζει τη χρήση βιομετρικών συστημάτων ελέγχου πρόσβασης σε κρίσιμες υποδομές ή άλλες χρήσεις που βασίζονται σε ανεξάρτητο νομικό έρεισμα δυνάμει της νομοθεσίας περί προστασίας προσωπικών δεδομένων ή άλλης ειδικής νομοθεσίας. Η διευκρίνιση αυτή κρίνεται αναγκαία για σκοπούς ασφάλειας δικαίου και αποφυγής ερμηνευτικών αμφιβολιών.
Two comments already on this thread ask that the substantive safeguards for this power sit in primary law rather than in secondary legislation. Klio asks for the permitted purposes, thresholds, prior authorisation, limits, oversight, deletion and review to be codified, and adds that secondary legislation must not expand what the Regulation permits. ICPAC-GM asks for the licensing authority, the documented request, the temporal, geographical and personal limits, the impact assessment, registration, notification and urgency rules to be in the Law itself. This practice agrees with both. This comment is about something narrower that neither raises: the scope of the article’s second sentence.
The article has two sentences and they do not have the same reach. The first confines the power precisely: rules for the full or partial approval of real-time remote biometric identification in publicly accessible spaces, for law enforcement purposes, within the limits and conditions of article 5(1)(h), (2) and (3) of the Regulation, on criteria approved by the Council of Ministers. That tracks the enabling provision. Article 5(5) of the Regulation lets a Member State provide for the possibility of authorising such use “within the limits and under the conditions listed in paragraph 1, first subparagraph, point (h), and paragraphs 2 and 3”, and it is the only authorisation route the Regulation gives a Member State anywhere in article 5.
The second sentence then provides that use approved under the article is exempt from the prohibited practices defined in article 5 of the Regulation. Not point (h). Article 5.
Read literally, that exempts an approved use from every prohibition in article 5, including ones the first sentence never mentions and no Member State has power to disapply: social scoring under point (c), emotion inference in the workplace and in education institutions under point (f), and the rest. The better reading confines the second sentence by the first, and article 4(4) of this Bill, under which the Regulation prevails in case of conflict, would defeat the literal reading if anyone pressed it.
Neither rescue should be necessary. A provision that disapplies a prohibition should say on its face which prohibition it disapplies, and a reader should not have to reach a conflict clause in another article to discover that an exemption is narrower than its words. Klio’s observation that secondary legislation must not expand what the Regulation permits applies with more force to the primary text.
It matters in one sector in particular. Article 5(1)(f) prohibits the use of AI systems to infer emotions of a natural person in the areas of workplace and education institutions, except for medical or safety reasons, and it has applied since 2 February 2025. It is the provision that governs classrooms. A school, a ministry or a supplier reading article 21 cannot tell from its face whether an approval made under it could ever reach them. It could not. The Law should say so.
Suggestion. Confine the second sentence expressly to the practice in article 5(1)(h), approved within the limits and conditions of article 5(1)(h), (2) and (3), and state that it does not affect any other prohibition in article 5. The same result follows from deleting the second sentence, since an authorisation validly made under article 5(5) has that effect by operation of the Regulation and needs no national restatement. Either way, consider carrying the closing limb of article 5(5), that a Member State may introduce more restrictive laws on the use of remote biometric identification systems, so that the direction the Republic remains free to move in is visible in the Law.
Uncommon People Consulting is an independent practice working on the deliverability of national AI-in-education policy. On 27 August 2026 it made a submission to the consultation on the draft National AI Strategy 2032 carrying twelve numbered comments, and that record is public. We are an independent practice, not a candidate delivery vehicle, and we take no part in recurring delivery work; our interest is strategic work on ordinary commercial terms openly stated. That position is unchanged. This comment is filed on the evidence.
This provision concerns an exceptional derogation from an otherwise prohibited AI practice and directly engages privacy, data protection and other fundamental rights. The essential limits of such a power should therefore be determined by primary legislation, not executive discretion.
Suggested – Codify in the Law itself the exhaustive permitted purposes, necessity and proportionality thresholds, independent prior authorisation, temporal/geographical/person-specific limits, fundamental-rights assessment, human oversight, data deletion, audit and effective review. Secondary legislation should regulate implementation only and must not expand the circumstances permitted by the Regulation.
Consider expressly preserving Cyprus’s power to impose stricter safeguards or prohibitions where permitted by Union law.
Η δυνατότητα έγκρισης χρήσης συστημάτων εξ αποστάσεως βιομετρικής ταυτοποίησης «σε πραγματικό χρόνο» είναι εξαιρετικά ευαίσθητη. Ο Κανονισμός απαιτεί λεπτομερείς εθνικούς κανόνες για αίτηση, χορήγηση, άσκηση, εποπτεία και αναφορά, προηγούμενη άδεια δικαστικής ή ανεξάρτητης διοικητικής αρχής, εκτός περιορισμένων περιπτώσεων επείγοντος.
Εισήγηση: οι ουσιώδεις εγγυήσεις να περιληφθούν στον ίδιο τον νόμο και όχι να αφεθούν αποκλειστικά σε δευτερογενή νομοθεσία: αρμόδια αρχή αδειοδότησης, τεκμηριωμένο αίτημα, χρονικά/γεωγραφικά/προσωπικά όρια, αξιολόγηση αντικτύπου στα θεμελιώδη δικαιώματα, υποχρέωση καταχώρισης, κοινοποίηση στις εποπτικές αρχές, κανόνες επείγοντος και άμεση διαγραφή δεδομένων όταν δεν εγκρίνεται η χρήση.