西班牙AEPD要求两市政府在部署AI视频监控前落实数据保护保障：技术可用不等于必要，须做功能级评估

AEPD明确表示并不反对在公共部门视频监控中使用AI，但其职责是确保市政当局证明拟实施的每项功能都具有正当目的、是必要且适当的，并包含与对个人隐私及其他权利所构成风险相称的保障措施。在第一个项目中，市政当局拟在市政建筑及其他限制进入的市政区域安装新的监控系统，影像由地方警察设施集中管理和查看，但AEPD指出现有文件未能说明这些人脸检测与识别功能是否实际启用，或是否会生成生物识别数据。

第二个项目将把38台新摄像头整合进一套覆盖124台现有摄像头的视频管理系统，其中包括检测人员和车辆、分类视觉特征、生成元数据，以及从多个摄像头的录像中检索符合选定属性的人员等AI功能。AEPD指出，文件同样未说明该系统是否会使用生物识别数据对个人进行唯一识别。AEPD强调，除明确系统目的、必要性及比例性外，市政当局还须确保数据最小化、数据保存与访问规则、必要时的数据保护影响评估，以及透明度义务得到满足。

AEPD进一步指出，上述要求应覆盖系统的整个生命周期，从采购、安装、配置与维护，到软件与AI模型更新、数据库扩充以及新分析功能的引入。该机构此前曾在认定缺乏数据保护保障的情况下质疑过生物识别部署，并在部分案件中作出处罚。其处罚先例包括对西班牙足球俱乐部布尔戈斯CF因指纹入场系统罚款20万欧元（后因该俱乐部承认责任减至12万欧元），以及对2021年世界移动通信大会主办方GSMA因人脸识别系统数据保护影响评估不充分而处罚。近期该机构还在3月对Yoti就其数字身份App处理生物识别数据的行为作出处罚。这一监管路径对拟在城市治理、园区管理场景引入人脸识别功能的机构具有直接参考意义。