Tobaksbutikkers kameraer bryder GDPR-reglerne, siger CNIL

Brugen af kameraer i tobaksbutikker, der estimerer kunders alder, bryder med GDPR-reglerne, ifølge Frankrigs databeskyttelsesmyndighed CNIL.

Disse såkaldte “forstærkede kameraer” benytter kunstig intelligens (AI) til at scanne folks ansigter og gætte deres alder. Et rødt eller grønt lys indikerer, om personen sandsynligvis er mindreårig eller voksen. Butiksejere har indført teknologien for at forhindre salg af tobak til mindreårige. Men CNIL vurderer, at metoden er uberettiget og unødvendigt indgribende.

Ansigtsanalyse skaber bekymringer om privatlivets fred

CNIL har modtaget flere klager fra kunder i hele Frankrig. Mange gav udtryk for ubehag over at få deres ansigt scannet uden advarsel. Som reaktion iværksatte tilsynet en juridisk og teknisk gennemgang for at vurdere, om systemerne lever op til GDPR og franske databeskyttelsesstandarder.

CNIL konkluderede, at kameraerne i tobaksbutikker udgør en form for biometrisk databehandling. Det betyder, at systemerne skal følge strenge regler, herunder at kunne bevise, at foranstaltningen er nødvendig og proportional. Denne standard blev ifølge CNIL ikke opfyldt.

Butiksejere har bedre alternativer

Ifølge CNIL har tobaksforhandlere allerede lovlige metoder til alderskontrol—som at bede om ID. Myndigheden understregede, at kameraer ikke bør bruges som første kontrolniveau. Visuel vurdering eller direkte kontakt er tilstrækkeligt og mindre indgribende.

Tilsynet udtrykte også bekymring over, at butiksejere kunne finde på at stole blindt på kameraets vurdering uden at tjekke for fejl eller unøjagtigheder.

Kunder kan ikke fravælge

Et af de mest alvorlige problemer, CNIL identificerede, var manglen på valgmuligheder. Kameraerne i tobaksbutikker analyserer alle, der kommer ind—uanset alder eller samtykke. Dette undergraver retten til at gøre indsigelse mod automatiseret beslutningstagning, som er beskyttet under GDPR.

Selv hvis en person har lov til at købe tobak, indsamler systemet stadig ansigtsdata uden tilladelse.

Konklusion

CNIL har afgjort, at brugen af kameraer i tobaksbutikker til aldersvurdering overtræder centrale principper i GDPR. Teknologien opfylder ikke lovens krav om nødvendighed, proportionalitet og brugersamtykke. Selvom CNIL ikke eksplicit har beordret butikkerne til at fjerne kameraerne, er budskabet klart: biometrisk overvågning ved tobakssalg har ikke noget lovligt grundlag. Forhandlere bør benytte mindre indgribende, menneskelige metoder til at kontrollere alder.