埃塞克斯学校非法使用面部识别技术

fabiha01

英国监管机构信息专员办公室 (ICO)于 2024 年 7 月 23 日宣布，已向埃塞克斯郡一所学校发出警告，原因是该学校非法使用面部识别技术——违反了英国 GDPR 第 58 (2) (b) 条。

发生了什么？
学校于 2023 年 3 月开始在学校食堂使用面部识别技术，让学生能够无现金支付。

面部识别技术 (FRT) 处理学生的生物特征数据以进行唯一识别。面部识别技术旨在取代自 2016 年以来学校使用的指纹识别方法——这也是一种生物识别方法。

这项技术引入时，数据保护官员最初并没有参与其中。 2023 年 3 月，学校向孩子的父母发送了一封信，要求他们如果不同意孩子参与面部识别，就退回这封信。 2023年11月，随后通过主动确认行动获得了同意，数据保护官也参与其中，进行了数据保护影响评估（DPIA）并提交给当局。

监管机构的评估
ICO 认为此案存在很高的数据保护风险。为了合法、负责任地使用面部识别技术，有必要根据第 14 条的规定进行 DPIA。英国《通用数据保护条例》第 35（1） 条。

与其他数据保护机构一样，ICO 发布了必须根据第 14 条进行 DPIA 的案件清单和进一步指导。英国《通用数据保护条例》第 35（4） 条。该清单包括需要对未成年人等特别脆弱群体的数据以及生物特征数据的使用进行 DPIA。

该高中约有 1,200 名年龄在 11 至 18 岁之间的学生，在行动前未能进行所需的 DPIA 。之前没有对未成年人数据的风险进行评估。

学校还未能获得受影响人员对处理生物特征数据的适当且明确的同意。因此，学生们没有机会决定他们的生物特征数据是否可以以这种方式使用。英国的 GDPR 以及 GDPR 都不认为父母可以通过退回发送的信件来表达选择退出的充分和明确的同意。因此，在 2023 年 11 月获得同意之前，英国商业传真列表 没有处理的法律依据。

ICO 还指出，大多数学生的年龄都足够同意数据处理。退出程序剥夺了学生行使权利和自由的权利。

ICO 数据保护创新主管 Lynne Currie 表示：

在学校食堂，正确处理个人数据与处理食物本身同等重要。我们希望所有机构在引入新技术时进行必要的评估，以降低任何数据保护风险并确保遵守数据保护法。

我们对这所学校采取行动是为了表明，不应轻视引入像 FRT 这样的措施，尤其是涉及儿童时。

我们不希望这阻碍其他学校采用新技术。但这必须正确地进行，并考虑到数据保护，以建立信任，保护儿童的隐私并维护他们的权利。”

ICO 在新闻稿中进一步引用了 Lynne Currie 女士的话：

数据保护影响评估是法律要求的，它不是一个简单的勾选框。它是保护用户权利、确保问责制并鼓励组织在项目开始时考虑数据保护的重要工具。

该警告以及 ICO 向该高中提出的进一步建议全文也可在ICO 网站上查阅。

尽管承认学校最终进行了数据保护影响评估（尽管有些迟），但 ICO 仍然认为还有进一步改进的空间。在评估必要性和相称性时，还应考虑所用系统造成的偏见和歧视风险。在这方面，ICO 还提到了其自己发布的关于学校面部识别系统要求的案例研究。

结论
控制者应该牢记，法律要求对高风险处理操作进行数据保护影响评估，以便识别风险并采取适当措施应对。

本案一方面涉及新技术的使用，将生物特征数据作为敏感数据进行处理，另一方面涉及未成年人作为数据主体。

数据保护官员的早期参与是必要的，并且有助于分类、评估和选择适当的措施。数据主体的同意大概从一开始就具有法律效力。

这所高中并不是英国第一所想要在食堂使用面部识别技术的学校。早在2021年，就有媒体报道称苏格兰学校正在使用这项技术。在受到数据保护倡导者和 ICO 的强烈批评后，十所学校停用了面部识别技术。对于未成年人，使用该技术必须经过仔细考虑，并且必须经过必要性和相称性测试。捍卫数字自我组织还发布了一份保护教育领域儿童数据的要求清单，其中也包括收集生物特征数据。