今年，上海开展了“亮剑浦江·2024”消费领域个人信息权益保护专项执法行动，明确提出公共场所“不刷脸为原则、刷脸为例外”的攻坚目标。

日前，上海市网信办在“亮剑浦江·2024”消费领域个人信息权益保护专项执法行动总结交流会议上发布成效评估报告并透露，针对具有高度敏感性的“刷脸”问题，全市600余家商超门店、6300余家酒店、1200余个游泳馆及健身场所、2900余个公共厕所已完成“强制性”“滥用化”刷脸的自查整改。

现状：人脸识别技术被滥用

当前人脸识别被滥用的现象非常普遍。今年4月，“益心为公”志愿者向闵行区人民检察院反映，有家健身房不仅进入时要扫描人脸，打开更衣室的储物柜也必须人脸识别。经过实地走访，检察官认为，在更衣室“刷脸”打开储物柜时，摄像头可能会拍摄到消费者的隐私部位，一旦泄露或者非法使用，极易导致个人名誉、身心健康受到损害。且这种方式与直接刷卡的功能基本一致，不具有法律规定的“特定的目的和充分的必要性”，涉案健身房的做法违反了相关法律法规。这绝非个案。更糟的是，很多信息收集者不知道该如何对这些数据进行管理。去年，虹口检察院发现区内一家长租公寓强制住户“刷脸”进楼，但管理门禁和保存数十万条人脸信息的电脑及主机都没有加密处理，门禁系统的账号密码直接保存在电脑中，点击就能登录。

法律：遵循正当且必要原则

对人脸识别技术的监管也是一个逐渐探索完善的过程。2021年11月，国内首部个人信息保护的专门性法律——个人信息保护法正式实施。其中明确经营者采集信息应当遵循正当且必要原则，且收集个人生物识别信息前，应单独向个人信息主体告知收集、使用目的、方式和范围等，并征得个人信息主体的明示同意。

随后上海地方立法要求，在本市商场、超市、公园、景区、公共文化体育场馆、宾馆等公共场所，以及居住小区、商务楼宇等区域，安装图像采集、个人身份识别设备，应当为维护公共安全所必需，遵守国家有关规定，并设置显著标识。

应该说，目前的法律法规对公共场合使用人脸识别技术有着非常明确且严格的规定，但将监管和处罚落实到位，才是防止滥用人脸识别的关键。

整改：明确“刷脸”三原则

今年，上海已经开展了有力的执法行动。5月，在本报报道松江区一家游泳馆滥用人脸识别技术后，松江区委网信办协同市场监管、公安网安等有关部门，两次前往该游泳馆核实查验、指导整改。这也是上海网信部门办理的首起人脸识别滥用案件。

这次上海确定了“不刷脸为原则、刷脸为例外”“收集端总体减量、存储端确保安全”的总体目标，进一步细化公共场所安装人脸识别设备要遵循“为公共安全所必需”“有法律依据”“做到单独告知”三大原则，并要求公共场所人脸识别设备做到最大可能“退”、最小范围“用”、最小范围“存”。

记者了解到，今年上半年开始，上海市网信办、市市场监管局已经对24家企业开展普法培训和合规指导。执法人员告诉记者，不少中小企业存在“违规不自知”“违规不知如何改”的情况，为此执法行动发布了专门的案例解析，通过图文并茂的形式梳理了常见的违法违规问题，便于企业对照自纠。