会议及线下活动在欧洲实施人脸识别需谨慎：MWC 2021因隐私违规被罚20万欧元
在全球Connectivity行业盛会——世界移动通信大会（Mobile World Congress, MWC）的组织者因在2021年展会期间违反隐私规定，被西班牙数据保护监管机构罚款20万欧元（约22.4万美元）。该处罚警示了急于在欧洲对与会者实施人脸识别的线下活动，在采取必要尽职调查以评估数据保护风险方面存在疏忽。
监管裁决：DPIA流于形式，违反GDPR第35条
在一项长达8页的决定中，西班牙数据保护局（AEPD）驳回了MWC组织者GSMA针对违规认定提出的上诉。监管机构得出结论，认为其违反了《通用数据保护条例》（GDPR）第35条关于进行数据保护影响评估（DPIA）的要求。
此次违规涉及GSMA在展会上收集与会者生物识别数据并实施的人脸识别系统BREEZZ。该系统允许与会者选择自动化身份验证入场，替代向工作人员手动出示身份证件。
回顾2021年，尽管新冠疫情相关担忧高涨，MWC仍比原定时间推迟数月后举办线下会议，且规模大幅缩减。据GSMA披露，实际到场人数为17,462人，其中仅7,585人使用了BREEZZ系统，大多数人选择了手动检查证件或虚拟参会。
根据GDPR，面部识别技术涉及特殊类别数据处理，用于身份识别时必然落入高风险类别，需主动进行DPIA。评估必须审查处理措施的必要性、相称性及风险应对措施。AEPD指出，GSMA的DPIA“仅具名义上的意义”，未能审查实质性方面、评估风险及系统的比例性和必要性，因此无效且无法实现合规目标。
同意机制存疑与投诉始末
AEPD决议显示，GSMA除评估不足外，还以安全为由要求参会者上传护照/欧盟身份证件，声称接到西班牙警方指示需建立“严格流程”。同时，参会者在上传ID时被要求同意对其面部数据进行生物识别处理。
GDPR要求同意必须是知情、具体且自愿的。数字健康演讲者Anastasia Dedyukhina博士因缺乏自由选择权而向AEPD投诉。她表示：“组织者坚持要求除非上传护照信息否则无法参加线下活动，最终我只能改为线上参与。”
技术专家Adam Leon Smith作为共同投诉人警告称：“公共场所的人脸识别非常敏感，如果确实需要使用，请务必聘请优秀的律师和技术团队。”他指出，虽然隐私政策声称基于同意提供信息，但实际上无法选择退出；且当时提供技术的公司位于白俄罗斯，不在欧盟境内。
Smith认为，AEPD发现内部隐私评估文件过时且不充分是处罚的主要依据。他推测GSMA未来可能放弃该技术，因为其在欧盟AI法案草案中被归类为高风险类别，需独立合规性评估。
GSMA回应与未来合规展望
针对TechCrunch的询问，GSMA发言人声明：决议不涉及数据泄露事件，参会者个人数据从未被滥用。该决议仅涉及DPIA方法问题。GSMA高度重视数据保护，将持续审查和更新合规计划，并与AEPD合作考虑回应方案。
值得注意的是，GSMA可通过向西班牙国家高等法院提起法律上诉挑战这一结果。
从宏观角度看，即将出台的泛欧盟《人工智能法案》将引入基于风险的框架监管AI应用。若禁止在公共场所使用远程生物特征识别技术的条款纳入正式版本，将大幅增加自动验证检查的监管风险。此外，任何数据处理者在处理敏感数据时未充分进行风险评估尽职调查，都将面临现有的GDPR风险。
鉴于此次处罚，值得关注GSMA是否会修改隐私披露内容及调整MWC 2024注册流程。若未来继续提供基于生物特征的自动身份验证选项，建议确保技术供应商完全位于欧盟境内。
法国议会投票支持在巴黎奥运会中使用生物特征监控
灾难性的生物特征数据收集之路往往由良好的意图铺就