克罗地亚AZOP对一家彩票运营商罚款259万欧元：以四枚指纹做生物识别超出必要范围，且同意无效

调查发现，该运营商在要求玩家以身份证件核验身份之外，还提供RFID芯片或指纹识别两种方式。运营商称其采集两枚指纹，但监管机构查明实际采集了四枚指纹并用于生物识别。AZOP认定，为识别玩家目的采集四枚指纹属于过度采集。

运营商抗辩称额外指纹是玩家皮肤受损时的备份方案，但监管机构认为其未能证明为何需要如此数量的生物识别数据，也未说明更轻量的替代方案为何不可行。这一论证路径延续了GDPR数据最小化原则的一贯口径：即便取得同意，也不免除对每一数据项必要性的举证责任。

在同意有效性方面，AZOP认定生物识别处理的同意无效：同意声明把不同的处理目的合并在一起，导致玩家无法就可选的生物识别处理作出单独选择。此外，注册文件对处理目的与合法基础提供的信息不完整且前后不一致，玩家没有得到关于指纹等数据如何被使用的足够清晰告知，透明度义务亦被认定未履行。

该案的关注点不在于“指纹本身被禁止”，而在于比例原则：采集超出实现目的所必需的数据即构成风险。这与欧盟监管机构近期对生物识别、公共场所图像采集趋严的整体态势一致，也提示以生物识别做门禁、考勤或身份核验的企业，需就每一项生物特征的必要性留存论证与替代方案评估记录。