克罗地亚数据保护监管机构对一家未具名的博彩运营商处以近260万欧元罚款，原因是该运营商收集了每位赌场玩家的四枚指纹。据MLex报道，这起赌场指纹数据GDPR罚款案的核心问题很简单：该运营商未能证明采集全部四枚指纹对于识别玩家是必要的。监管机构还认定，该生物识别处理缺乏GDPR所要求的有效同意。
我们所能获取的摘要较为简短，因此本文仅围绕已报道的内容展开，并解释其中涉及的更广泛法律原则。
克罗地亚监管机构认定了什么
根据MLex的摘要，该运营商为识别目的收集了每位玩家的四枚指纹。如报道所述，监管机构的关注点有两点：
- 必要性未得到证明。 该运营商未能证明识别一名玩家需要全部四枚指纹。
- 同意无效。 该生物识别处理缺乏GDPR所要求的有效同意。
罚款金额接近260万欧元。在我们所见的报道中，该运营商未被具名，我们也没有关于玩家如何注册或数据如何存储的进一步细节。我们不会就这些方面进行推测。
此案值得注意，是因为监管机构并非简单地说指纹不得使用。批评的焦点在于比例问题：收集的生物识别数据超出了运营商所能证明的合理范围。
为什么GDPR下的生物识别同意难以满足
在GDPR下，用于唯一识别个人身份的 biometric 数据被视为特殊类别数据。这意味着处理此类数据面临比普通个人数据（如电子邮件地址或姓名）更高的门槛。组织通常需要有效的法律依据以及处理此类信息的额外条件。
同意是许多企业倾向选择的路径，但要求很高。一般而言，同意必须是自由给出的、具体的、知情的且明确的。有几种情况可能使其失效：
- 压力或缺乏替代方案。 如果玩家必须交出指纹才能进入或游玩，这种选择可能并非真正自由。
- 解释含糊。 人们需要了解收集了什么、为什么收集以及保留多久。
- 过度收集。 即使获得同意，数据最小化原则仍然适用。在更少指纹即可满足需求时收集四枚指纹，容易引发克罗地亚案中那样的质疑。
必要性这一点值得强调。监管机构期望组织证明其收集的每一项数据元素都是合理的。如果更轻量的方法可以达到同样的目的，更重量的方法就很难站得住脚。
这对你意味着什么
指纹与密码不同。你可以更改已泄露的密码，但无法更改你的手指。正是这种永久性使得监管机构将生物识别视为高风险，也是为什么要求提供指纹的博彩平台值得审视。
如果你在线下或线上赌博，请考虑以下几点：
- 问为什么。 如果场所或平台要求生物识别信息，请询问具体收集什么、为什么需要以及谁可以访问。
- 寻找替代方案。 根据GDPR原则，应当存在真正的选择。询问是否接受其他形式的身份验证。
- 检查保留期限。 询问数据保留多久以及如何请求删除。
- 了解你的权利。 在欧盟，你通常可以请求访问自己的数据、在特定情况下要求删除数据，并向本国数据保护机构投诉。
此案还表明，监管机构愿意就生物识别数据收集施加重大处罚，这可能会促使运营商审视自身做法。
VPN能保护什么、不能保护什么
人们很容易认为VPN能解决赌博相关的隐私问题。在此场景中，它基本上不能。VPN加密你的设备与VPN服务器之间的流量，这可以限制你的互联网服务提供商或公共Wi-Fi上的他人所能看到的内容。协议选择在这里很重要；例如，SSTP将流量封装在SSL/TLS加密中，这有助于其通过限制性防火墙。
但VPN无法触及你直接交给公司的数据。如果你在赌场终端扫描指纹，或向平台提交生物识别验证，这些信息会直接到达运营商手中。任何隧道都无法改变运营商所持有的数据或其处理方式。克罗地亚案涉及的正是这种直接收集。
VPN是网络流量保护的一层。它不能替代对你在最初交出哪些个人数据的审慎考量。如果你确实使用VPN，我们的Surfshark设置指南展示了配置客户端涉及哪些步骤，不过这只是操作指南，并非推荐。
关键要点
克罗地亚的赌场指纹数据GDPR罚款发出了明确信号：生物识别数据需要强有力的正当理由、有效的法律依据，且收集不得超过必要范围。对于玩家而言，实际的应对方式是在同意之前质疑博彩平台提出的任何生物识别要求。
- 询问收集什么、为什么收集，以及是否存在非生物识别选项。
- 记住指纹一旦泄露就无法更改。
- 将VPN用于它擅长的事情——保护网络流量——但不要指望它能保护你直接交出的数据。
- 如果你认为自己的数据被非法处理，请联系本国数据保护机构。
