Tobaksbutikers kameror bryter mot GDPR, enligt CNIL

Användningen av kameror i tobaksbutiker som uppskattar kunders ålder strider mot GDPR, enligt den franska dataskyddsmyndigheten CNIL.

Dessa så kallade “förstärkta kameror” använder AI för att skanna människors ansikten och gissa deras ålder. Ett rött eller grönt ljus visar om personen troligen är minderårig eller vuxen. Butiksägare har infört tekniken för att förhindra försäljning av tobak till minderåriga. Men CNIL anser att tillvägagångssättet är oberättigat och överdrivet.

Ansiktsanalys väcker integritetsfrågor

CNIL mottog flera klagomål från kunder runt om i Frankrike. Många uttryckte obehag över att deras ansikten skannades utan förvarning. Myndigheten inledde därför en juridisk och teknisk granskning för att avgöra om systemen följer GDPR och franska dataskyddsregler.

CNIL kom fram till att tobaksbutikernas kameror utgör en form av biometrisk databehandling. Det innebär att systemen måste uppfylla strikta krav, inklusive att bevisa att åtgärden är nödvändig och proportionerlig. Denna standard ansågs inte vara uppfylld.

Butiksägare har bättre alternativ

Enligt CNIL har tobaksförsäljare redan lagliga sätt att kontrollera ålder—till exempel genom att begära ID. Myndigheten betonade att kameror inte bör användas som ett förstastegsfilter. Visuell kontroll eller direkt interaktion kan säkerställa efterlevnad av lagen utan att samla in känsliga personuppgifter.

Tillsynsmyndigheten uttryckte även oro över att butiksägare kan lita blint på kamerans bedömning, utan att ifrågasätta felaktiga resultat.

Kunder kan inte välja bort

Ett av de allvarligaste problemen CNIL identifierade var bristen på valfrihet. Kamerorna i tobaksbutiker analyserar alla som går in—oavsett ålder eller samtycke. Detta undergräver rätten att motsätta sig automatiserat beslutsfattande, vilket skyddas av GDPR.

Även om en person lagligen får köpa tobak samlas deras ansiktsdata in utan godkännande.

Slutsats

CNIL har fastställt att tobaksbutikers användning av kameror för åldersbedömning bryter mot grundläggande GDPR-principer. Tekniken uppfyller inte kraven på nödvändighet, proportionalitet och samtycke. Även om myndigheten inte uttryckligen kräver att butikerna tar bort kamerorna är budskapet tydligt: biometrisk övervakning vid tobaksdiskar saknar rättslig grund. Ålderskontroll måste ske genom mindre integritetskränkande, mänskliga metoder.