Yoti数字身份App违规处理生物识别数据及过度保留用户信息案

【案件背景】
西班牙数据保护局（AEPD）于2023年12月12日依职权启动对英国数字身份公司Yoti Ltd.的调查，于2025年12月作出裁决，对Yoti处以总计95万欧元罚款（细分为：GDPR第9条违规50万欧元、第7条违规20万欧元、第5条第1款e项违规25万欧元），并规定六个月内须向AEPD证明其生物识别数据处理、同意机制和数据留存实践已符合GDPR要求。
Yoti是一家总部位于伦敦的数字身份和年龄验证服务提供商，其Digital ID App在全球拥有超过2300万下载用户。用户创建账户时需上传身份证件并拍摄自拍，由系统将自拍与证件照片进行面部比对以验证身份。Yoti声称该处理仅为「身份验证」而非「身份识别」，但AEPD拒绝了这一解释。

【违法事实】
AEPD认定Yoti违反GDPR三条核心条款：

一、违规处理生物识别特殊类别数据（GDPR第9条）——罚款50万欧元
Yoti在账户创建过程中通过自拍与证件照的面部比对生成用户的面部生物识别模板，这一活动的性质是将生物识别数据用于「唯一识别自然人」——这是GDPR第9条第1款的明确适用范围。Yoti辩称该处理是「身份验证」（1:1比对）而非「唯一识别」（1:N比对），但AEPD拒绝了这一区分，认为在账户创建场景下，创建并存储一个可用于未来重新比对的面部模板本身就构成了唯一识别。这意味着Yoti需要满足GDPR第9条第2款下的严格例外条件——明确同意或法定例外。

二、未获有效同意（GDPR第7条）——罚款20万欧元
Yoti将多个独立的处理目的捆绑在一个同意请求中：用户如想使用身份验证服务，就必须同时同意其面部生物识别数据可用于Yoti的研究开发活动（包括算法训练和改进）。用户没有单独拒绝R&D授权而仅使用身份验证服务的选项——这是一种「要么全接受，要么别用」的捆绑同意。AEPD认为这不符合GDPR关于同意须「针对特定目的分别给予」和「自由给予」的要求。
此外，用户可以不打开隐私政策页面即点击「同意」按钮通过——这在技术上等同于「未读即同意」，削弱了同意的「知情」属性。

三、数据留存时间过长（GDPR第5条第1款e项——存储限制）——罚款25万欧元
Yoti将用户的IP地理位置数据（用于判断适用哪个国家/地区的年龄限制规定）保留五年之久，远远超出验证完成后的合理留存期限。用于活体检测的视频录像保留30天。Yoti还保留被拒的欺诈性身份证明文件用于训练其反欺诈算法——AEPD认为这超出了文件原本被收集的目的范围。

【处罚决定】
AEPD对Yoti处以上述三项罚款共计95万欧元（约110万美元），并要求Yoti在六个月内证明：1）其生物识别数据处理符合GDPR第9条；2）其基于同意的处理符合第7条；3）个人数据的留存时间仅限于实现目的所必需的时间。
Yoti强烈否认AEPD的裁决，声称从未收到AEPD的制裁意向通知——根据Royal Mail和西班牙Correos的邮寄追踪记录，该通知送达后被一个Yoti不认识的签收者签名，随后被退回，而AEPD声称没有收到退回记录。Yoti已向西班牙高等法院提起上诉。

【典型意义】
本案涉及数字身份行业一个长期的理论争议：1:1面部比对是否为对生物识别数据的「唯一识别」处理？Yoti坚持认为「验证」不等于「识别」，但AEPD的裁决实际上认为，只要创建并存储了可唯一关联到个人的生物识别模板，就落在了GDPR第9条的管控范围内。这对全球所有使用自拍面部匹配技术进行身份验证或年龄确认的企业（包括金融机构的远程KYC）具有重大合规影响。