Bunnings: riconoscimento facciale su ogni cliente in 63 negozi, e che cosa hanno deciso l’autorità e il tribunale

In sintesi

Azienda

BunningsCatena di negozi di ferramenta e bricolage

Dimensione

Grandi imprese (1.000+ dipendenti) Bunnings dice che la sua rete comprende 285 grandi negozi a magazzino e 68 negozi più piccoli in Australia e Nuova Zelanda.

Settore

E-commerce e commercio al dettaglio

Dove e quando

Australia. Novembre 2018 – novembre 2021; decisione dell’autorità nel 2024, decisione del tribunale a febbraio 2026.

Chi ha prodotto le cifre

Atto ufficialeCifre e conclusioni vengono dall’Office of the Australian Information Commissioner (OAIC): il suo annuncio e la sua scheda sulla decisione del 2024, e le sue due dichiarazioni sulla decisione del tribunale del 2026, che citano il tribunale. Nel 2024 l’OAIC parlava di 63 negozi, nelle dichiarazioni successive di 62. Il caso conta come “è andata male” perché il tribunale ha confermato che Bunnings non aveva informato i clienti e non aveva procedure adeguate per la privacy. La posizione di Bunnings viene dalla sua stessa dichiarazione.

Che cosa è successo

Da novembre 2018 a novembre 2021 Bunnings ha usato un sistema di riconoscimento facciale in 63 negozi nello Stato di Victoria e nel Nuovo Galles del Sud. Le telecamere di videosorveglianza riprendevano il volto di ogni persona che entrava. L’autorità ha parlato di “likely hundreds of thousands of individuals” [“probabilmente centinaia di migliaia di persone”]. Il sistema confrontava ogni volto con una banca dati di persone che Bunnings aveva segnalato come un rischio, per esempio per reati passati o comportamenti violenti.

L’autorità ha stabilito che Bunnings non aveva preso misure ragionevoli per informare i clienti. La commissaria per la privacy, Carly Kind, ha detto che chi entrava in quei negozi “would not have been aware” [“non avrebbe saputo”] che era in uso il riconoscimento facciale. Bunnings ha sospeso il sistema durante l’indagine.

Che cosa ha deciso l’autorità nel 2024

La commissaria ha accertato quattro violazioni del Privacy Act australiano. La legge tratta il volto come un’informazione sensibile, che di norma richiede il consenso della persona.

• Nessun consenso. Bunnings ha raccolto informazioni sensibili senza consenso, e le eccezioni previste dalla legge non si applicavano.
• Nessun avviso. Non ha preso misure ragionevoli per dire alle persone che i loro dati venivano raccolti, né a quale scopo.
• Nessuna procedura. Non ha messo in atto le pratiche e i sistemi necessari per rispettare la legge.
• Un’informativa sulla privacy che lo ometteva. Le sue informative non dicevano che cosa raccoglieva con il sistema né come.

La commissaria ha detto che la tecnologia era “the most intrusive option” [“l’opzione più invasiva”], perché colpiva tutti quelli che entravano, non solo le persone ad alto rischio. Ha anche detto: “just because a technology may be helpful or convenient, does not mean its use is justifiable.” [“il fatto che una tecnologia possa essere utile o comoda non significa che il suo uso sia giustificato.”]

Ha ordinato a Bunnings di non ripetere la condotta, di pubblicare una dichiarazione al riguardo e di distruggere, dopo un anno, i dati del sistema che ancora conservava.

Che cosa ha deciso il tribunale nel 2026

Bunnings ha chiesto all’Administrative Review Tribunal di riesaminare la decisione. Il tribunale si è pronunciato il 4 febbraio 2026.

Annullata: la conclusione sul consenso. Il tribunale ha ritenuto che Bunnings potesse avvalersi di un’eccezione all’obbligo di consenso. Ha indicato i recidivi, le dimensioni e la disposizione dei negozi e i prodotti che “can be used as a weapon, such as an axe, a screwdriver or a drill” [“possono essere usati come arma, come un’ascia, un cacciavite o un trapano”]. Ha anche tenuto conto delle protezioni con cui Bunnings conservava e usava meno dati possibile. Ha detto che l’uso “involves a significant intrusion into the privacy of individuals” [“comporta un’intrusione significativa nella privacy delle persone”], ma che Bunnings ne aveva diritto “for the limited purpose of combatting very significant retail crime” [“al fine limitato di combattere una criminalità molto rilevante nel commercio”] e di proteggere il personale e i clienti.

Confermate: le conclusioni su avviso e procedure. Il tribunale ha concordato che Bunnings non aveva informato adeguatamente i clienti. Ha detto che Bunnings avrebbe dovuto completare una valutazione dei rischi “formal, structured and documented” [“formale, strutturata e documentata”] che considerasse la privacy.

Confermato: anche una scansione di pochi millisecondi conta. Il tribunale ha concordato che riprendere un volto è una raccolta di dati personali, anche quando il sistema lo conserva solo per un istante.

Confermato: come valutare l’eccezione. Il tribunale ha mantenuto i tre criteri della commissaria: se la tecnologia funziona contro il problema, se esiste un’opzione meno invasiva e se l’intrusione è proporzionata.

La commissaria non ha fatto ricorso. Ha detto che i commercianti “should view the decision as a useful case study, rather than a green light” [“dovrebbero vedere la decisione come un utile caso di studio, non come un via libera”].

Che cosa ha detto Bunnings

Bunnings chiama il sistema una “trial” [“prova”] pensata per proteggere le persone da “violence, abuse, serious criminal conduct and organised retail crime” [“violenza, aggressioni, reati gravi e criminalità organizzata nel commercio”]. Ha accolto con favore la decisione del tribunale. Ha detto che il tribunale “identified areas where we didn’t get everything right, including around signage, customer information, processes and our privacy policy” [“ha individuato aspetti in cui non abbiamo fatto tutto bene, tra cui la segnaletica, le informazioni ai clienti, i processi e la nostra informativa sulla privacy”], e che accetta queste osservazioni.

Un secondo commerciante

Nel 2025 la stessa autorità ha stabilito che Kmart aveva violato la stessa legge. Kmart aveva usato il riconoscimento facciale in 28 negozi da giugno 2020 a luglio 2022, contro le frodi sui resi. Quella decisione è in fase di riesame davanti al tribunale.

Che cosa mostra il caso

• Faccia la valutazione dei rischi prima di accendere il sistema. Il tribunale ha accettato il motivo per cui Bunnings usava la tecnologia. Ha comunque deciso contro la catena perché non aveva valutato i rischi per la privacy in modo formale e documentato.
• Lo dica chiaramente alle persone. Una delle conclusioni rimaste in piedi è che i clienti non lo sapevano. Cartelli, informazioni ai clienti e informativa sulla privacy erano insufficienti, per ammissione della stessa Bunnings.
• Un buon motivo non copre tutto. La lotta alla criminalità ha giustificato la raccolta dei volti senza consenso. Non ha giustificato la mancanza di avviso né la mancanza di procedure.
• Ogni volto conta. Il sistema scansionava tutti quelli che entravano. Sia l’autorità sia il tribunale hanno considerato ogni breve scansione una raccolta di dati personali.

Cosa dice sulle pratiche

Pratiche che sono mancate

• Conosca le regole che valgono già per il suo uso dell’IA Bunnings non ha informato i clienti del sistema, lo ha omesso dalla sua informativa sulla privacy e non ha fatto una valutazione formale e documentata dei rischi per la privacy. Il tribunale ha confermato queste conclusioni in base alla legge sulla privacy che la catena doveva già rispettare. Prima di tutto · Impegno: basso (giorni, una persona) Prove: Pratica diffusa

Continui a leggere

• Caso aziendaleÈ andata maleRite Aid: cinque anni di divieto sul riconoscimento facciale dopo averlo comprato senza testarloRite Aid usava il riconoscimento facciale per individuare presunti taccheggiatori. L’autorità statunitense per la tutela dei consumatori ha detto che la catena non ha mai chiesto ai fornitori quanto fosse preciso il sistema, non lo ha mai testato e non ha formato il personale. Alcuni clienti sono stati accusati ingiustamente. Alla catena è stato vietato di usare la tecnologia per cinque anni.
• Caso aziendaleÈ andata maleAir Canada: ritenuta responsabile di ciò che il chatbot del suo sito aveva detto a un clienteIl chatbot del sito di Air Canada ha dato a un cliente informazioni sbagliate sui rimborsi. Un tribunale canadese ha condannato la compagnia aerea a pagare. Ha respinto l’argomento secondo cui l’azienda non era responsabile del suo chatbot.
• Caso aziendaleRisultato dichiarato dall’aziendaFiverr ha tagliato circa 250 posti per diventare “an AI-first company” e ha promesso agli investitori un margine più altoFiverr ha lasciato andare circa il 30% del personale e ha detto agli investitori che avrebbe raggiunto un margine EBITDA rettificato del 25% nel 2026, un anno prima del previsto. Il taglio risulta dalla sua relazione annuale. La promessa sul margine no: a metà 2026 i ricavi calavano e le sue stesse previsioni erano più basse.

Fonti

1. Office of the Australian Information Commissioner (19 November 2024). Bunnings breached Australians’ privacy with facial recognition tool. Media release on Commissioner initiated investigation into Bunnings Group Limited (Privacy) [2024] AICmr 230. oaic.gov.au
2. Office of the Australian Information Commissioner (2024). Bunnings determination. Fact sheet (PDF). oaic.gov.au
3. Office of the Australian Information Commissioner (4 February 2026). OAIC statement on Administrative Review Tribunal’s Bunnings decision. On Bunnings Group Limited and Privacy Commissioner [2026] ARTA 130. oaic.gov.au
4. Office of the Australian Information Commissioner (5 March 2026). Privacy Commissioner statement on Administrative Review Tribunal’s Bunnings decision. oaic.gov.au
5. Bunnings (4 February 2026). Bunnings statement: Response to Administrative Review Tribunal of Australia’s decision. Company statement (PDF). media.bunnings.com.au
6. Office of the Australian Information Commissioner (18 September 2025). Kmart’s use of facial recognition to tackle refund fraud unlawful, Privacy Commissioner finds. Media release. oaic.gov.au