Tobakksbutikkers kameraer bryter med GDPR, ifølge CNIL

Bruken av kameraer i tobakksbutikker som estimerer kundenes alder bryter med GDPR-reglene, ifølge Frankrikes datatilsyn CNIL.

Disse såkalte “forsterkede kameraene” benytter kunstig intelligens (AI) for å skanne ansikter og gjette personens alder. Et rødt eller grønt lys viser om vedkommende trolig er mindreårig eller voksen. Butikkeiere har tatt i bruk teknologien for å hindre salg av tobakk til mindreårige, men CNIL mener metoden er uberettiget og overdreven.

Ansiktsanalyse vekker personvern­bekymringer

CNIL mottok flere klager fra kunder over hele Frankrike. Mange uttrykte ubehag over at ansiktene deres ble skannet uten forvarsel. Som svar åpnet tilsynet en juridisk og teknisk gjennomgang for å vurdere om systemene er i samsvar med GDPR og fransk personvernlovgivning.

CNIL konkluderte med at kameraene i tobakksbutikker innebærer biometrisk databehandling. Det betyr at systemene må følge strenge regler, inkludert krav om å dokumentere at tiltaket er nødvendig og proporsjonalt. Ifølge tilsynet er ikke dette kravet oppfylt.

Butikkeiere har bedre alternativer

Ifølge CNIL har tobakksforhandlere allerede lovlige metoder for å kontrollere alder—som å be om legitimasjon. Tilsynet understreker at kameraer ikke bør brukes som et førstelinjefilter. Visuell vurdering eller direkte kontakt er tilstrekkelig for å overholde loven uten å samle inn sensitive data.

CNIL advarer også om at butikkeiere kan stole blindt på kameraenes vurderinger uten å kontrollere resultater eller avdekke feil.

Kunder har ingen mulighet til å reservere seg

Et av de mest alvorlige funnene var mangelen på valgfrihet. Kameraene analyserer alle som kommer inn i butikken—uavhengig av alder eller samtykke. Dette svekker retten til å motsette seg automatiserte avgjørelser, en rettighet som er beskyttet under GDPR.

Selv om en person har lov til å kjøpe tobakk, samler systemet likevel inn ansiktsdata uten tillatelse.

Konklusjon

CNIL har fastslått at tobakksbutikkers bruk av kameraer til aldersvurdering bryter med sentrale GDPR-prinsipper. Teknologien oppfyller ikke lovens krav til nødvendighet, proporsjonalitet og samtykke. Selv om CNIL ikke uttrykkelig har pålagt butikkene å fjerne kameraene, er budskapet tydelig: biometrisk overvåkning ved tobakksdisker har ikke juridisk grunnlag. Forhandlere må bruke mindre inngripende og menneskebaserte metoder for alderskontroll.