“护脸”的难度有多大？怎么破？

前不久，上海Xpeng汽车销售服务有限公司因向第三方公司购买22台人脸识别摄像头，非法采集上传人脸照片43万余张，被上海市徐汇区市场监督管理局罚款10万元。经相关部门调查发现，当事人在其7家门店安装人脸识别摄像设备采集消费者人脸识别数据，未经消费者同意，也未明示或告知消费者采集使用目的。此前，许多其他公司也因非法收集消费者面部信息而受到监管机构的处罚。

新华社记者发现，目前，“人脸信息”的重要个人生物识别信息被部分商家视为“唐僧肉”，与“人脸”相关的个人信息侵权事件频发。为什么有些商家热衷于非法收集消费者人脸信息？“护脸”的难度有多大？怎么破？记者对此展开了调查。

有些企业要“面子”不顾“法”

Xpeng Motors表示，此次事件中获得的人脸数据是由第三方软件提供商优洛克收集的，Xpeng Motors并未存储此类数据。上海市徐汇区市场监管部门告诉记者，已督促涉事企业删除人脸识别信息。

一段时间以来，这样的问题频频出现。上海市静安区市场监管部门发现科勒卫浴非法抓取人脸信息220多万条；深市监管部门查明，郑桐集团旗下宝马4S店抓获并存储人脸信息4600余条；2021年，上海市场监管部门对上海一初莲花超市连锁有限公司、上海圣光科技发展有限公司、上海联亚商业有限公司等多家公司违规采集消费者人脸信息进行处罚，部分企业对“人脸照片”数百万至数千万不等的消费者进行处罚。

记者还发现，房地产行业是此类侵权的“重灾区”。2021年，湖州金达置业有限公司、江阴梁瑞置业有限公司、佛山市信豪房地产开发有限公司等多家房地产公司因违规采集人脸识别信息被当地市场监管部门处罚。

专家表示，商家非法收集消费者面部信息涉嫌违法。《消费者权益保护法》明确规定，经营者收集、使用消费者个人信息，应当遵循合法、正当、必要的原则，明示收集、使用信息的目的、方式和范围，并征得消费者同意。2020年10月实施的《信息安全技术个人信息安全规范》也明确规定，人脸信息属于生物识别信息和个人敏感信息，采集个人信息需征得个人信息主体的授权和同意。2021年7月28日，最高人民法院发布《关于使用人脸识别技术审理涉及个人信息民事案件适用法律若干问题的规定》，将作为个人信息收集前提的“同意”进一步细化为“个人同意”。2021年11月1日起施行的《个人信息保护法》第二十六条规定，在公共场所安装图像采集和个人身份识别设备，应当维护公共安全，遵守国家有关规定，并设置明显标志。收集的个人图像和身份信息只能用于维护公共安全的目的，不得用于其他目的；除非得到个人同意。

商家为什么盯着“脸”？黎姿钟摆中部

为什么有些商家还在想尽办法“窃取”消费者的人脸信息？记者发现，这与目前几个方面的情况直接相关。

各类企业都有依靠消费者“面子信息”提升经营业绩的强烈冲动。记者从市场监管部门了解到，由Xpeng Motors委托第三方公司开发的算法可以识别和计算面部数据，从而对门店进行客流统计和分析，包括顾客数量、男女比例、年龄分析等。这些数据是企业提高经营效率的重要参考。“在会员授权的基础上，基于人脸识别技术，会员进店的那一刻，他之前在品牌店的消费会被立即推送到对应导购的手持设备上，导购根据关键信息为会员做出精准的导购。”在为Xpeng Motors提供服务的优洛克平台网站上，该公司表示，其解决方案可应用于汽车、鞋服、快速消费品、医药等各个消费领域。

大量从事“面子”业务的企业可以用“没有影响力”的技术收集信息。据天眼查数据显示，目前我国从事“人脸采集”相关业务的企业有7100多家，被曝光涉嫌非法采集问题的优洛克、万店章、梁娅科技、瑞威等企业注册资本均超过500万元，其中知名企业众多。

记者发现，“人脸信息采集”设备厂商普遍将“悄悄采集”和“没有影响力”作为产品的核心卖点，声称“即使(消费者)戴上口罩，也能成功采集”。来自第三方研究机构的信息显示，这种技术被一些房地产开发企业广泛使用。当买家的脸被镜头“打懵”的时候，后续可能就享受不到一些购买折扣了。因此，有业内人士在实地看房时，选择了“戴头盔”的极端方式来遮盖自己的五官。

一些企业通过倒卖消费者的人脸信息非法获利。记者发现，一些商家非法收集人脸信息并出售，低至0.5元，就能买到一个消费者的包括身份证信息在内的人脸数据。记者从警方获悉，倒卖“人脸信息”也成为当前网络黑产链条中的重要一环，相关信息被用于虚假注册、电信网络诈骗等违法犯罪活动，为犯罪分子牟取暴利。

提高“护脸”效率需要系统的政策。

专家建议，目前，要有效提高“护脸”机制的有效性，可以从以下几个方面入手。

3354要通过立法，进一步落实多层次、系统性的人脸信息保护法律法规体系。清华大学法学院教授劳东燕告诉记者，一些地方对人脸识别进行了规范，比如今年已经实施的《天津市社会信用条例》、2022年3月1日将实施的《杭州市物业管理条例》。她表示，《物业管理条例》在安徽省、兰州市、北京等地也对业主个人信息保护作出了明确规定，但并未明确提及指纹、人脸数据等生物识别信息，也未涉及强制采集，未来需要进一步明确。

3354应进一步明确主要执法部门，推动相关领域执法制度化、常态化。“目前我国个人信息保护法采用多部门管理机制，网络信息部门和市场监管部门都是个人信息保护监管部门。

门。”中国信息安全研究院副院长左晓栋认为，这一制度安排确有形成合力的优势，但也容易导致“多头治理”的问题。他建议，进一步明确各部门监管职能定位，并以此推动相关执法检查常态化、长效化。“对确保相关场所依规张贴信息采集标识，APP或网络平台依规明示采集信息等规定落实而言，常态化监管非常重要。”

——应进一步加强对经营和购买“人脸识别”相关业务企业的监管力度。一方面，是应加大对涉“脸”违法行为的处罚力度。此次小鹏汽车采集43万张人脸信息仅被罚款10万元，部分网友认为“一张照片被罚2毛多，违法成本太低”。“如果按照个人信息保护法的要求，行政处罚是按照企业或商家全球营业额来罚款的，这个数额可以比较大。”左晓栋认为这样有利于提高企业违法成本。

另一方面，多位专家呼吁应尽快设置“人脸识别”业务类企业准入门槛。“相关准入标准已在制定当中。”左晓栋说。

“此外，人脸信息属于敏感个人信息，为避免一次授权即导致信息失控的情况，信息主体还应享有对相关信息的删除权。”北京航空航天大学工业和信息化法治战略与管理重点实验室办公室主任赵精武说。记者王辰阳、程思琪、颜之宏