evidoria

← Retour à la liste

Bonne pratique Importée

Chelmer Valley High School — Réprimande de l'ICO pour paiements de cantine par reconnaissance faciale illégaux

Royaume-Uni · Chelmsford · Voir le profil de Royaume-Uni

Preuves: Descriptif / auto-déclaré · Demandez à Evidence Copilot à propos de cette pratique

Le lycée Chelmer Valley, dans l'Essex, a utilisé la technologie de reconnaissance faciale de CRB Cunninghams pour les paiements sans espèces à la cantine dès mars 2023, sans DPIA achevée. L'ICO britannique a réprimandé l'établissement en juillet 2024 pour consentement invalide et un écart de conformité de 8 mois.

8 months
Mois écoulés entre le déploiement et la finalisation de l'AIPD (March 2023 - November 2023)
Chelmer Valley High School — Réprimande de l'ICO pour paiements de cantine par reconnaissance faciale illégaux

Détails

Promoteur
Chelmer Valley High School (technology supplied by CRB Cunninghams)
Période
March 2023 – July 2024
Mots-clés
K-12 secondary education, biometric payments, data protection

Contexte

En mars 2023, l'établissement Chelmer Valley High School, à Chelmsford (Essex), a commencé à utiliser une technologie de reconnaissance faciale fournie par CRB Cunninghams pour traiter les paiements sans espèces à la cantine des élèves.

Objectifs

Permettre des paiements plus rapides et sans espèces à la cantine grâce à la reconnaissance faciale plutôt qu'aux cartes ou aux codes PIN.

Activités

L'établissement n'avait pas réalisé d'analyse d'impact relative à la protection des données (AIPD) avant le déploiement ; son AIPD n'a été finalisée qu'en novembre 2023, huit mois après la mise en service du système. Les parents ont reçu une lettre leur permettant de se désinscrire (opt-out) plutôt que de donner un consentement actif (opt-in), ce que l'Information Commissioner's Office (ICO) britannique a jugé invalide au regard du RGPD britannique, la plupart des élèves concernés ayant l'âge de donner eux-mêmes leur consentement.

Résultats

Le 2 juillet 2024, l'ICO a émis une réprimande formelle et a exigé de l'établissement qu'il réalise une nouvelle AIPD évaluant la nécessité et la proportionnalité du paiement sans espèces à la cantine, et qu'il traite les risques de biais et de discrimination de la technologie avant tout nouveau traitement. Aucune amende n'a été infligée.

Conclusions

Ce cas est consigné comme une défaillance de gouvernance documentée, et non comme un succès dont l'impact serait avéré.

Mise en œuvre
Coût indicatif
Faible (< 50 k€)
Délai jusqu’aux résultats
Court (< 1 an)
Personnel et compétences
Chelmer Valley High School administration, CRB Cunninghams (technology vendor), UK Information Commissioner's Office (ICO), as regulator

Conditions de réussite

  • Completing a DPIA before deployment, not after
  • A genuine opt-in consent process for students old enough to consent themselves
  • Assessing bias/discrimination risk in the facial-recognition technology before rollout

Modes d’échec courants

  • DPIA completed 8 months after go-live rather than before deployment
  • Opt-out (rather than opt-in) consent letters, found invalid under UK GDPR
  • No documented assessment of bias/discrimination risk before the ICO required one

Où cela s’applique

Type de gouvernance
single secondary school + private vendor
Échelle
single school
Niveau de revenu
high-income (UK)

Vous portez cette pratique ? Revendiquez-la — les porteurs vérifiés obtiennent un contact public sur la page et peuvent proposer des corrections.

Sources de données

D'où proviennent les informations de cette pratique, et quand.

Pièces jointes

Pratiques similaires qui pourraient vous être utiles