Bunnings: reconocimiento facial a todos los clientes de 63 tiendas, y lo que decidieron el regulador y el tribunal

De un vistazo

Empresa

BunningsComercio minorista de ferretería y bricolaje

Tamaño

Gran empresa (1000+ empleados) Bunnings dice que su red incluye 285 grandes tiendas tipo almacén y 68 tiendas más pequeñas en Australia y Nueva Zelanda.

Sector

Comercio electrónico y minorista

Dónde y cuándo

Australia. Noviembre de 2018 – noviembre de 2021; decisión del regulador en 2024, decisión del tribunal en febrero de 2026.

Quién produjo las cifras

Registro oficialLas cifras y conclusiones proceden de la Office of the Australian Information Commissioner (OAIC): su anuncio y su ficha sobre la decisión de 2024, y sus dos declaraciones sobre la decisión del tribunal de 2026, que citan al tribunal. La OAIC habló de 63 tiendas en 2024 y de 62 en declaraciones posteriores. El caso cuenta como «salió mal» porque el tribunal confirmó que Bunnings no informó a los clientes y no tenía procedimientos de privacidad adecuados. La postura de Bunnings procede de su propia declaración.

Qué pasó

De noviembre de 2018 a noviembre de 2021 Bunnings usó un sistema de reconocimiento facial en 63 tiendas de Victoria y Nueva Gales del Sur. Sus cámaras de videovigilancia captaban la cara de cada persona que entraba. El regulador lo cifró en “likely hundreds of thousands of individuals” [“probablemente cientos de miles de personas”]. El sistema comparaba cada cara con una base de datos de personas que Bunnings había señalado como un riesgo, por ejemplo por delitos anteriores o por conducta violenta.

El regulador concluyó que Bunnings no tomó medidas razonables para informar a los clientes. La comisionada de privacidad, Carly Kind, dijo que quienes entraban en esas tiendas “would not have been aware” [“no habrían sabido”] que se usaba reconocimiento facial. Bunnings detuvo el sistema mientras el regulador investigaba.

Qué decidió el regulador en 2024

La comisionada encontró cuatro infracciones de la Privacy Act de Australia. La ley trata la cara como información sensible, que normalmente requiere el consentimiento de la persona.

• Sin consentimiento. Bunnings recogió información sensible sin consentimiento, y las excepciones de la ley no se aplicaban.
• Sin aviso. No tomó medidas razonables para decir a las personas que se recogía su información, ni para qué.
• Sin procedimientos. No puso en marcha las prácticas y los sistemas necesarios para cumplir la ley.
• Una política de privacidad que lo omitía. Sus políticas de privacidad no decían qué recogía con el sistema ni cómo.

La comisionada dijo que la tecnología era “the most intrusive option” [“la opción más invasiva”], porque afectaba a todos los que entraban, no solo a las personas de alto riesgo. También dijo: “just because a technology may be helpful or convenient, does not mean its use is justifiable.” [“que una tecnología pueda ser útil o cómoda no significa que su uso esté justificado.”]

Ordenó a Bunnings no repetir la conducta, publicar una declaración sobre ella y destruir, al cabo de un año, la información del sistema que aún conservara.

Qué decidió el tribunal en 2026

Bunnings pidió al Administrative Review Tribunal que revisara la decisión. El tribunal resolvió el 4 de febrero de 2026.

Anulada: la conclusión sobre el consentimiento. El tribunal sostuvo que Bunnings podía acogerse a una excepción a la necesidad de consentimiento. Señaló a los reincidentes, el tamaño y la distribución de las tiendas, y productos que “can be used as a weapon, such as an axe, a screwdriver or a drill” [“pueden usarse como arma, como un hacha, un destornillador o un taladro”]. También tuvo en cuenta las protecciones que Bunnings tenía para guardar y usar los menos datos posibles. Dijo que el uso “involves a significant intrusion into the privacy of individuals” [“supone una intromisión importante en la privacidad de las personas”], pero que Bunnings tenía derecho a él “for the limited purpose of combatting very significant retail crime” [“con el fin limitado de combatir delitos muy importantes en el comercio”] y de proteger al personal y a los clientes.

Confirmadas: las conclusiones sobre el aviso y los procedimientos. El tribunal coincidió en que Bunnings no había avisado debidamente a los clientes. Dijo que Bunnings debía haber completado una evaluación de riesgos “formal, structured and documented” [“formal, estructurada y documentada”] que tuviera en cuenta la privacidad.

Confirmado: un escaneo que dura milisegundos también cuenta. El tribunal coincidió en que captar una cara es recoger información personal, aunque el sistema la guarde solo un instante.

Confirmado: cómo juzgar la excepción. El tribunal mantuvo las tres pruebas de la comisionada: si la tecnología funciona contra el problema, si existe una opción menos invasiva y si la intromisión es proporcionada.

La comisionada no recurrió. Dijo que los comercios “should view the decision as a useful case study, rather than a green light” [“deberían ver la decisión como un caso de estudio útil, no como luz verde”].

Qué dijo Bunnings

Bunnings llama al sistema una “trial” [“prueba”] destinada a proteger a las personas de “violence, abuse, serious criminal conduct and organised retail crime” [“la violencia, el maltrato, los delitos graves y la delincuencia organizada en el comercio”]. Acogió con satisfacción la decisión del tribunal. Dijo que el tribunal “identified areas where we didn’t get everything right, including around signage, customer information, processes and our privacy policy” [“señaló aspectos en los que no lo hicimos todo bien, entre ellos la señalización, la información a los clientes, los procesos y nuestra política de privacidad”], y que acepta esas observaciones.

Un segundo comercio

En 2025 el mismo regulador concluyó que Kmart había infringido la misma ley. Kmart había usado reconocimiento facial en 28 tiendas de junio de 2020 a julio de 2022, contra el fraude en las devoluciones. Esa decisión está en revisión ante el tribunal.

Qué muestra el caso

• Haga la evaluación de riesgos antes de poner el sistema en marcha. El tribunal aceptó el motivo de Bunnings para usar la tecnología. Aun así, falló en contra de la cadena por no evaluar los riesgos para la privacidad de forma formal y documentada.
• Informe a las personas con claridad. Una de las conclusiones que se mantuvieron es que los clientes no lo sabían. Los carteles, la información a los clientes y la política de privacidad se quedaron cortos, según la propia Bunnings.
• Un buen motivo no lo cubre todo. Combatir el delito justificó recoger caras sin consentimiento. No excusó la falta de aviso ni la falta de procedimientos.
• Cada cara cuenta. El sistema escaneaba a todos los que entraban. Tanto el regulador como el tribunal trataron cada breve escaneo como una recogida de información personal.

Qué dice sobre las prácticas

Prácticas que faltaron

• Conozca las reglas que ya se aplican a su uso de la IA Bunnings no informó a los clientes del sistema, no lo incluyó en su política de privacidad y no hizo una evaluación formal y documentada de los riesgos para la privacidad. El tribunal confirmó estas conclusiones en virtud de la ley de privacidad que la cadena ya debía cumplir. Hacer primero · Esfuerzo: bajo (días, una persona) Evidencia: Práctica habitual

Siga leyendo

• Caso de empresaSalió malRite Aid: cinco años sin poder usar reconocimiento facial tras comprarlo sin ponerlo a pruebaRite Aid usó reconocimiento facial para detectar a presuntos ladrones. El regulador de consumo de Estados Unidos dijo que la cadena nunca preguntó a sus proveedores lo exacto que era el sistema, nunca lo puso a prueba y no formó al personal. Se acusó injustamente a clientes. A la cadena se le prohibió usar esta tecnología durante cinco años.
• Caso de empresaSalió malAir Canada: responsable de lo que el chatbot de su web le dijo a un clienteEl chatbot de la web de Air Canada dio a un cliente información errónea sobre reembolsos. Un tribunal de Canadá ordenó pagar a la aerolínea. Rechazó el argumento de que la empresa no era responsable de su chatbot.
• Caso de empresaResultado declarado por la empresaFiverr recortó unos 250 puestos para convertirse en “an AI-first company” y prometió a los inversores un margen mayorFiverr prescindió de alrededor del 30 % de su personal y dijo a los inversores que alcanzaría un margen de EBITDA ajustado del 25 % en 2026, un año antes de lo previsto. El recorte consta en su informe anual. La promesa del margen, no: a mediados de 2026 sus ingresos caían y sus propias previsiones apuntaban más abajo.

Fuentes

1. Office of the Australian Information Commissioner (19 November 2024). Bunnings breached Australians’ privacy with facial recognition tool. Media release on Commissioner initiated investigation into Bunnings Group Limited (Privacy) [2024] AICmr 230. oaic.gov.au
2. Office of the Australian Information Commissioner (2024). Bunnings determination. Fact sheet (PDF). oaic.gov.au
3. Office of the Australian Information Commissioner (4 February 2026). OAIC statement on Administrative Review Tribunal’s Bunnings decision. On Bunnings Group Limited and Privacy Commissioner [2026] ARTA 130. oaic.gov.au
4. Office of the Australian Information Commissioner (5 March 2026). Privacy Commissioner statement on Administrative Review Tribunal’s Bunnings decision. oaic.gov.au
5. Bunnings (4 February 2026). Bunnings statement: Response to Administrative Review Tribunal of Australia’s decision. Company statement (PDF). media.bunnings.com.au
6. Office of the Australian Information Commissioner (18 September 2025). Kmart’s use of facial recognition to tackle refund fraud unlawful, Privacy Commissioner finds. Media release. oaic.gov.au