Bunnings: rozpoznawanie twarzy każdego klienta w 63 sklepach i co orzekli regulator oraz trybunał

W skrócie

Firma

BunningsSieć sklepów budowlanych i z artykułami do domu

Wielkość

Duże (1000+ pracowników) Bunnings podaje, że jej sieć obejmuje 285 dużych sklepów magazynowych i 68 mniejszych sklepów w Australii i Nowej Zelandii.

Branża

E-commerce i handel

Gdzie i kiedy

Australia. Listopad 2018 – listopad 2021; decyzja regulatora w 2024, orzeczenie trybunału w lutym 2026.

Kto podał liczby

Oficjalny dokumentLiczby i ustalenia pochodzą od Office of the Australian Information Commissioner (OAIC): z jego komunikatu i karty informacyjnej o decyzji z 2024 roku oraz z dwóch oświadczeń o orzeczeniu trybunału z 2026 roku, które cytują trybunał. W 2024 roku OAIC podał 63 sklepy, a w późniejszych oświadczeniach 62. Przypadek liczy się jako „coś poszło nie tak”, bo trybunał utrzymał ustalenia, że Bunnings nie poinformowała klientów i nie miała właściwych procedur ochrony prywatności. Stanowisko Bunnings pochodzi z jej własnego oświadczenia.

Co się stało

Od listopada 2018 do listopada 2021 Bunnings używała systemu rozpoznawania twarzy w 63 sklepach w stanach Wiktoria i Nowa Południowa Walia. Kamery monitoringu rejestrowały twarz każdej osoby, która weszła do sklepu. Regulator ocenił to na “likely hundreds of thousands of individuals” [„prawdopodobnie setki tysięcy osób”]. System porównywał każdą twarz z bazą osób, które Bunnings oznaczyła jako zagrożenie, na przykład z powodu wcześniejszych przestępstw lub agresji.

Regulator ustalił, że Bunnings nie podjęła rozsądnych kroków, żeby poinformować klientów. Komisarz ds. prywatności Carly Kind powiedziała, że osoby wchodzące do tych sklepów “would not have been aware” [„nie wiedziałyby”], że działa rozpoznawanie twarzy. Bunnings wstrzymała system na czas dochodzenia regulatora.

Co zdecydował regulator w 2024 roku

Komisarz stwierdziła cztery naruszenia australijskiej Privacy Act. Ustawa traktuje twarz jako informację wrażliwą, której zebranie zwykle wymaga zgody osoby.

• Brak zgody. Bunnings zbierała informacje wrażliwe bez zgody, a wyjątki przewidziane w ustawie nie miały zastosowania.
• Brak informacji. Nie podjęła rozsądnych kroków, żeby powiedzieć ludziom, że zbiera ich dane, ani w jakim celu.
• Brak procedur. Nie wprowadziła praktyk i systemów potrzebnych do przestrzegania ustawy.
• Polityka prywatności, która to pomijała. Jej polityki prywatności nie mówiły, co i jak zbiera przez system.

Komisarz powiedziała, że ta technologia była “the most intrusive option” [„najbardziej inwazyjną opcją”], bo dotykała każdego, kto wszedł, a nie tylko osób wysokiego ryzyka. Powiedziała też: “just because a technology may be helpful or convenient, does not mean its use is justifiable.” [„to, że technologia może być pomocna lub wygodna, nie znaczy, że jej użycie jest uzasadnione.”]

Nakazała Bunnings nie powtarzać tych działań, opublikować oświadczenie na ich temat i zniszczyć, po roku, dane z systemu, które nadal przechowywała.

Co orzekł trybunał w 2026 roku

Bunnings zwróciła się do Administrative Review Tribunal o kontrolę decyzji. Trybunał orzekł 4 lutego 2026.

Uchylone: ustalenie w sprawie zgody. Trybunał orzekł, że Bunnings mogła skorzystać z wyjątku od wymogu zgody. Wskazał na recydywistów, wielkość i układ sklepów oraz produkty, które “can be used as a weapon, such as an axe, a screwdriver or a drill” [„mogą posłużyć jako broń, na przykład siekiera, śrubokręt czy wiertarka”]. Wziął też pod uwagę zabezpieczenia, dzięki którym Bunnings przechowywała i wykorzystywała jak najmniej danych. Stwierdził, że takie użycie “involves a significant intrusion into the privacy of individuals” [„oznacza poważną ingerencję w prywatność ludzi”], ale Bunnings miała do niego prawo “for the limited purpose of combatting very significant retail crime” [„w ograniczonym celu zwalczania bardzo poważnej przestępczości w handlu”] i ochrony pracowników oraz klientów.

Utrzymane: ustalenia w sprawie informacji i procedur. Trybunał zgodził się, że Bunnings nie poinformowała klientów jak należy. Stwierdził, że Bunnings powinna była przeprowadzić “formal, structured and documented” [„formalną, uporządkowaną i udokumentowaną”] ocenę ryzyka uwzględniającą prywatność.

Utrzymane: skan trwający milisekundy też się liczy. Trybunał zgodził się, że zarejestrowanie twarzy to zebranie danych osobowych, nawet jeśli system przechowuje je tylko przez chwilę.

Utrzymane: jak oceniać wyjątek. Trybunał zachował trzy kryteria komisarz: czy technologia działa na dany problem, czy istnieje mniej inwazyjna opcja i czy ingerencja jest proporcjonalna.

Komisarz nie odwołała się. Powiedziała, że sprzedawcy “should view the decision as a useful case study, rather than a green light” [„powinni traktować orzeczenie jako przydatny przykład, a nie zielone światło”].

Co powiedziała Bunnings

Bunnings nazywa system “trial” [„próbą”], która miała chronić ludzi przed “violence, abuse, serious criminal conduct and organised retail crime” [„przemocą, agresją, poważnymi przestępstwami i zorganizowaną przestępczością w handlu”]. Przyjęła orzeczenie trybunału z zadowoleniem. Powiedziała, że trybunał “identified areas where we didn’t get everything right, including around signage, customer information, processes and our privacy policy” [„wskazał obszary, w których nie wszystko zrobiliśmy dobrze, w tym oznakowanie, informacje dla klientów, procesy i naszą politykę prywatności”], i że przyjmuje te uwagi.

Drugi sprzedawca

W 2025 roku ten sam regulator uznał, że Kmart złamała tę samą ustawę. Kmart używała rozpoznawania twarzy w 28 sklepach od czerwca 2020 do lipca 2022, przeciwko oszustwom przy zwrotach. Ta decyzja jest w trakcie kontroli przed trybunałem.

Czego uczy ten przypadek

• Przeprowadź ocenę ryzyka, zanim włączysz system. Trybunał przyjął powód, dla którego Bunnings użyła tej technologii. Mimo to orzekł przeciwko sieci za brak formalnej, udokumentowanej oceny ryzyka dla prywatności.
• Mów ludziom wprost. Jedno z utrzymanych ustaleń brzmiało: klienci nie wiedzieli. Oznakowanie, informacje dla klientów i polityka prywatności były niewystarczające, co przyznaje sama Bunnings.
• Dobry powód nie usprawiedliwia wszystkiego. Walka z przestępczością uzasadniła zbieranie twarzy bez zgody. Nie usprawiedliwiła braku informacji ani braku procedur.
• Liczy się każda twarz. System skanował każdego, kto wszedł. Zarówno regulator, jak i trybunał uznali każdy krótki skan za zebranie danych osobowych.

Co ten przypadek mówi o praktykach

Praktyki, których zabrakło

• Poznaj przepisy, które już dotyczą twojego korzystania z AI Bunnings nie poinformowała klientów o systemie, pominęła go w polityce prywatności i nie przeprowadziła formalnej, udokumentowanej oceny ryzyka dla prywatności. Trybunał utrzymał te ustalenia na podstawie prawa o prywatności, którego sieć i tak musiała przestrzegać. Zrób najpierw · Nakład pracy: niski (dni, jedna osoba) Dowody: Powszechna praktyka

Czytaj dalej

• Przypadek firmyCoś poszło nie takRite Aid: pięcioletni zakaz rozpoznawania twarzy po zakupie systemu bez sprawdzenia goRite Aid używała rozpoznawania twarzy do wykrywania podejrzanych o kradzieże. Amerykański regulator ochrony konsumentów stwierdził, że sieć nigdy nie zapytała dostawców, jak dokładny jest system, nigdy go nie sprawdziła i nie przeszkoliła pracowników. Klientów niesłusznie oskarżano. Sieć dostała pięcioletni zakaz używania tej technologii.
• Przypadek firmyCoś poszło nie takAir Canada: odpowiedzialna za to, co chatbot na jej stronie powiedział klientowiChatbot na stronie Air Canada podał klientowi błędne informacje o zwrotach. Kanadyjski trybunał nakazał linii zapłacić. Odrzucił argument, że firma nie odpowiada za swojego chatbota.
• Przypadek firmyWynik podany przez firmęFiverr zlikwidował około 250 stanowisk, by stać się „an AI-first company”, i obiecał inwestorom wyższą marżęFiverr rozstał się z około 30% pracowników i zapowiedział inwestorom, że w 2026 roku, rok wcześniej niż planował, osiągnie 25% skorygowanej marży EBITDA. Cięcie jest odnotowane w jego raporcie rocznym. Obietnica marży nie: w połowie 2026 roku przychody spadały, a własne prognozy firmy były niższe.

Źródła

1. Office of the Australian Information Commissioner (19 November 2024). Bunnings breached Australians’ privacy with facial recognition tool. Media release on Commissioner initiated investigation into Bunnings Group Limited (Privacy) [2024] AICmr 230. oaic.gov.au
2. Office of the Australian Information Commissioner (2024). Bunnings determination. Fact sheet (PDF). oaic.gov.au
3. Office of the Australian Information Commissioner (4 February 2026). OAIC statement on Administrative Review Tribunal’s Bunnings decision. On Bunnings Group Limited and Privacy Commissioner [2026] ARTA 130. oaic.gov.au
4. Office of the Australian Information Commissioner (5 March 2026). Privacy Commissioner statement on Administrative Review Tribunal’s Bunnings decision. oaic.gov.au
5. Bunnings (4 February 2026). Bunnings statement: Response to Administrative Review Tribunal of Australia’s decision. Company statement (PDF). media.bunnings.com.au
6. Office of the Australian Information Commissioner (18 September 2025). Kmart’s use of facial recognition to tackle refund fraud unlawful, Privacy Commissioner finds. Media release. oaic.gov.au