更衣柜、公厕也搞人脸识别，5000多张人脸信息只需10元，上海推行“非必要不刷脸”

刷脸支付、刷脸解锁、刷脸开门、刷脸进站……“刷脸”，正在越来越频繁地嵌入我们的生活。“刷脸”时代，谁来保护我的人脸信息安全？近日，“亮剑浦江·2024”消费领域个人信息权益保护专项执法行动总结暨交流研讨活动在上海举办。此次活动受到舆论的广泛关注，是因为今年的专项行动中，重点增加了消费领域中对人脸识别滥用的治理，并且提出了“不刷脸为原则、刷脸为例外”的行动目标。

更衣柜、公厕也搞起了人脸识别

在专项行动中，针对人脸识别的滥用，上海相关部门重点聚焦在了健身房、舞蹈房、游泳馆等运动场所，商场超市、无人售货机等消费场所，演出场所、旅游景区、宾馆旅馆、文化场馆等文旅场所，还有教育、培训机构等教学场所及售楼处、住宅小区等生活居住场所。

上海市委网信办网络执法监督处一级主任科员盛夏介绍，选择这些场景，最主要是因为通过前期的调查研究，发现这些场景是老百姓关心关切关注的痛点、堵点和难点。每一位市民都是消费者，消费体验的好坏、消费过程当中个人信息安全有没有得到保护，直接关系到人民群众的幸福感、获得感和安全感。

据《解放日报》报道，今年4月，上海松江区的朱女士注意到家附近的游泳馆更衣室，采用了人脸识别的方式开启更衣柜，站在设备前，摄影头打光灯一亮，屏幕前就出现了附近来往顾客没穿衣服的画面。她连忙用毛巾把摄像头挡住，赶紧用浴巾裹好身体！

为此，松江区委网信办及时调查处理，依法对涉事游泳馆运营主体作出警告的行政处罚。该案也成为上海市区两级网信部门依据《个人信息保护法》，协同开展的人脸识别技术领域执法首案。

专项行动的数据显示，截至今年11月，上海已推动全市600余家商超门店，6300余家酒店，70余家公共体育场馆，1200余个游泳馆、健身场所，2900余个公共厕所完成“强制性”“滥用化”刷脸的自查整改。

什么时候能用、什么时候必须用？

为何把人脸识别滥用作为整治重点？背后的考虑是什么？

上海市委网信办网络执法监督处副处长吴宏鸣介绍，通过调研了解，在上海一些消费领域，人脸识别技术存在滥用的现象，所谓滥用就是随意地或者是不合规地使用人脸识别技术，收集消费者的人脸敏感信息，根据《个人信息保护法》相关的规定要求，人脸生物信息属于敏感个人信息，要受特殊的保护，针对这种现象，我们展开了相应综合整治的行动。

哪些是刷脸坚决不能的，而哪些可能有个别的例外？

吴宏鸣表示，上海要求公共场所人脸识别设备做到最小范围“用”、最小范围“存”。

吴宏鸣说，根据《个人信息保护法》和中央网信办前期专门向社会征求的意见稿，人脸识别技术应用管理规定里面已经明确规定，在一些私密空间场所，比如浴室或宾馆的客房，或者一些存储空间、私密空间场所，如果出现强制收集个人信息，特别是利用人脸识别技术进行一些非法行为的，就是我们执法打击的重点方向。并不是说不让用人脸识别技术，而是要合规合法地用，在特殊的业务需求或者维护公共安全的情况之下，还是可以选择使用。

什么时候能用、什么时候必须用？

上海交通大学数据法律研究中心执行主任何渊介绍，按照《个人信息保护法》，使用人脸识别技术时，首先要保证合法性，要么经过个人的同意，要么是基于履行法定义务。目前《个人信息保护法》中的主要两个合法性依据，一是告知同意，如已经取得公民的同意，二是基于公共安全，比如到高铁站去乘高铁，这类场景下是不需要单独取得个人同意的，因为这是铁路部门在履行保障公共安全的法定义务。除此以外还要解决一个问题，就是必要性。人脸识别技术不是合法就能随便用的，只有这个业务场景，只能通过人脸识别技术来实现的时候才能使用，所以“以使用为例外、不使用为原则”，这是非常正确的做法。更重要的是，从法学的角度来说，需要通过立法来解决更多、更深层次的问题。

“非必要不刷脸”，为个人信息上一把安全锁

当下，部分场景人脸识别技术被滥用现象仍比较普遍，强制性、被动式、随意化“刷脸”仍不同程度存在。

人脸识别技术应用日益广泛，给我们的生产生活带来了便利，但也引发了许多担忧。处处刷脸真有必要吗？是否存在过度采集信息？这些隐私数据会流向哪里？怎样防范信息泄露？类似疑虑并非杞人忧天。有人脸信息曾在网上被公开兜售，5000多张人脸的信息，打包只要10元。

现实中，囿于时间、精力，很多人即使人脸信息被滥用了，也不会去较真，但监管环节不能因此放松。技术是中性的，根本上取决于使用技术的人。人脸信息作为生物识别信息，是不可更改的，一旦泄露并被滥用，个人信息泄露风险提高，关联分析能力加强，个人隐私更易被全面掌握，“深度伪造”技术发展，威胁“刷脸”技术可靠性，增加身份冒用和欺诈等行为发生的可能性，从而危及公民的人身和财产安全，甚至影响社会公共秩序。

上海市委网信办、上海市市场监管局提示消费者，在日常消费过程中应谨慎“赏脸”，做到“非必要不使用、非必要不提供、非必要不许可刷脸”，维护好自身个人信息。

业内人士提醒，个人应管好人脸信息采集识别的“入口”。对任何收集生物信息的场景均应高度警惕，不随意提供包含个人面部、指纹或掌纹等信息照片；身份鉴定需上传手持身份证照片和视频的，应确认真实用途；访问认证尽量选择人脸识别与账号或密码保护搭配的方式，提高认证权限和复杂程度；非必要场景拒绝强制人脸识别。

（极目新闻）