上海全面开展个人信息保护，对“刷脸支付”等过度索取个人信息行为说“不”

围绕民生关切，针对个人信息被“过度采、强制要、诱导取、违规用”的现象，越来越多的公众、企业及政府部门已经行动起来。12月4日，上海市网信办在“亮剑浦江·2024”消费领域个人信息权益保护专项执法行动总结交流会议上发布成效评估报告并透露，今年全市范围3704家公共停车场全面落实停车缴费“纯净码”，24家重点咖啡企业开展自查整改。尤其具有高度敏感性的“刷脸”问题，全市600余家商超门店、6300余家酒店、1200余个游泳馆、健身场所、2900余个公共厕所已完成“强制性”“滥用化”刷脸的自查整改。

协同推进整治“刷脸”乱象

今年5月，有媒体报道鲁迅公园公厕存在“智能取纸机”，游客站在机器前进行刷脸识别才能取到纸巾。顾客重复刷脸后，机器还要求4小时后方可再次取纸。虹口区网信办工作人员开展实地现场核查后，认定公厕刷脸取纸不具备敏感个人信息获取的必要性，且机器未将人脸获取的目的、手段、存储方式等信息向消费者明确告知，对公园内的相关设备进行了拆除。“随着人脸识别技术的发展和技术成本的降低，人脸识别设备逐渐进入公共区域，承担安防、身份确认等功能。但公共场合安装人脸识别设备，应当恪守《个人信息保护法》的要求，遵循‘为公共安全所必须’‘有法律依据’‘做到单独告知’三大原则，实现最大可能‘退’、最小范围‘用’、最小范围‘存’，且不应该成为提供服务的唯一选项。”

解放日报·上观新闻也曾先后关注松江区某游泳馆更衣室私密场所推行人脸识别、地铁自动售货机违法违规收集人脸信息等问题。在更衣室等私密场所，公民对个人敏感信息的保护需求尤为强烈，此类场所的人脸识别设备若不合理使用，将极大威胁公民的隐私安全和生活安宁。最终，相关运营主体被责令改正并给予警告的行政处罚，成为上海网信部门办理的首起人脸识别滥用案件。

记者了解到，网信部门在执法过程中，全方位审查了人脸识别安装的合理性、相关个人信息条款的告知义务履行情况，还为公共场所运营者提供了清晰、明确的个人信息保护方面的合规指引，推动了整个行业在个人信息保护领域的规范化、标准化发展进程。

上海市委网信办网络执法监督处副处长吴宏鸣接受记者采访时表示，在人脸识别等高敏感性领域，网信部门充分发挥统筹协调作用，针对不同场景，协同调动相关部门推进专项整治工作，使企业准确理解法律法规要求，主动履行人脸信息保护义务，确保个人信息安全与新技术健康发展的平衡。

合规工具包引导企业内驱力

强制同意隐私政策、诱导加入会员、频繁搜集精确位置信息……点杯咖啡的场景同样暗藏风险。上海拥有全国最多咖啡店，中大规模的咖啡企业通过店内程序、外卖等渠道收集、存储上千万条乃至更多的消费者个人信息，落实个人信息权益保护势在必行，也有助于公众提升对个人信息权益保护的认知度。

今年上半年开始，上海市网信办、市市场监管局已经对星巴克、瑞幸咖啡、Manner Coffee等24家连锁咖啡企业开展普法培训和合规指导，要求企业按照法规建立起完善的个人信息保护制度，在收集、存储、使用、删除等全流程建立安全保护措施。执法人员告诉记者，在约谈中，不少中小企业反馈存在“违规不自知”“违规不知如何改”的情况，为此执法行动发布了专门的案例解析，通过图文并茂的形式梳理常见的违法违规问题，便于企业对照自纠。在提升隐私政策的可理解性方面，执法人员分场景提供了简洁直观的隐私政策样本，帮助企业优化语言表述。

“本次执法我们创新性地推出‘体检包’和‘服务包’，前者是为企业提供自检清单，列明合规底线和基本要求。后者是各行业主管监管部门出台的规范指引，促进企业遵循合规要求。”吴宏鸣表示，这些工具和支持能够帮扶企业发现问题、解决问题，增强中小企业逐渐形成个人信息处理行为合规的内生驱动力。

华东政法大学智能法研究院院长高富平认为，个人数据合规流通、利用工作不是朝夕之功，而是需要政府、企业与消费者多维协同。他建议，在执法层面，要兼顾国内与国际的一致性，重点加强人脸识别技术应用的规制，进一步限缩应用场景。在企业合规层面，要建设由监管部门、平台内商家、平台企业等多方组成的沟通协调机制，企业应建立专门的数据合规团队。在消费者权益保护层面，要提供更简明易懂的保护知识技巧，完善多渠道的反馈机制，降低消费者维权成本和门槛。

（原标题：《上海全面开展个人信息保护，对“刷脸支付”等过度索取个人信息行为说“不”》）