上海整治人臉識別濫用公共場所真的不隨意刷臉了？

作者／ IT時報記者潘少穎孫永會

編輯／郝俊慧孫妍

「走進任意一個商場、超市，天花板上基本都是不同形狀的攝像頭，而且很少有明確‘採集人臉信息’的提示。」在上海一綜合性商場內，戴著口罩的康女士這樣向《IT時報》記者表示，攝像頭太過氾濫，與其擔心被「刷臉」，不如加強隱私保護意識，讓攝像頭「看臉」難。

刷臉參展、刷臉進樓、刷臉支付……「刷臉」嵌入社會生活的方方面面。但是，為什麼一定要「刷臉」？今年4月，上海一健身房因辦理會員卡必須同意商家採集人臉信息，甚至男女更衣室都設置帶有人臉識別功能的儲物櫃而遭到投訴。

如今，上海對於濫用人臉識別的情況出手了。「亮劍浦江·2024」消費領域個人信息權益保護專項執法行動明確提出，公共場所「不刷臉為原則、刷臉為例外」「收集端總體減量、存儲端確保安全」的治理目標，同時還強調遵循「為公共安全所必須」「有法律依據」「做到單獨告知」等三大原則，涉及健身房、商場超市、無人售貨機、旅遊景區、住宅小區等各類消費場所。

截至目前，上海已有600餘家商場、6300餘家酒店、1200餘個游泳館和健身場所、2900餘個公共廁所等場所完成了人臉識別設備的自查和整改。

記者走訪

攝像頭在做什麼？

近日，《IT時報》記者走訪了部分商場、自動售貨機、便利店等，發現不少消費場景中，攝像頭依然密集地出現在頭頂上方，覆蓋著消費者的日常活動空間。這些攝像頭在幹嗎？

僅設有「圖像採集區域」標識

地標：南翔印象城愛琴海購物中心

12月10日，《IT時報》記者來到上海南翔印象城MEGA，踏入商城門口處，便有一張醒目的溫馨提示「您已進入影片監控範圍」，記者轉悠一圈後發現，這一提示主要黏貼於進入商城前的位置。

2020年，有報導稱，34萬平方米的上海南翔印象城MEGA成為上海單體量最大的購物中心，有一顆智慧的「商業大腦」，在相關技術的支持下，顧客的所有行為都可以被數字化，比如顧客入場時，商場能夠通過人臉識別顧客信息，並自動註冊車輛信息，如果是VIP客戶，可及時為客戶提供相應服務，或推送相應優惠。

《IT時報》記者詢問了多位南翔印象城的保安，他們表示，商場里存在能進行人臉識別功能的攝像頭，「具體位置不清晰，識別了人臉後能做些什麼，也並不知情」。

在南翔印象城中的一家甜品店，如果不仔細觀察，很難發現嵌在牆壁上、形似路由器的設備，無論是形狀還是安裝位置都和一般攝像頭不太一樣。店員告訴《IT時報》記者，這個設備有人臉識別功能，能夠知道某一消費者進出店裡的次數，但具體能獲得消費者的哪些信息，該店員表示並不知情。而在攝像設備旁邊，並無任何提示。

同一天，《IT時報》記者來到了愛琴海購物中心，在商場外，每隔幾米便會有「圖像採集區域」的標識，監控攝像頭亮著藍燈，各個方位進行監控；商場內，除了各個店舖內，客梯處均安裝了不止一個的球體攝像頭。「這些攝像頭可以加載很多功能，如人臉識別、火災防控、客流計數等。」一名業內人士向《IT時報》記者表示。

據《IT時報》早前報導，在商場大門和車庫電梯口安裝人臉識別攝像頭，顧客進入商場會被抓拍並編號，記錄下性別、年齡等特徵，如果下次再來，就會被甄別為老客戶。

長壽路上的一家巴黎春天里，僅一樓大堂區域，就安裝了十多個不同類型的攝像頭，《IT時報》記者環顧一週後，並沒有看到任何明顯的「圖像採集」「影片監控」等提示，對於這些攝像頭的作用，保安表示：「就是監控商場的客流量和安全」。

刷臉支付功能暫停

地標：地鐵站自動售貨機

曾經，刷臉支付被視作一項頗具未來感的技術，但隨著人們對個人生物信息的逐步重視，刷臉支付的安全性、隱私保護以及數據使用透明度等問題也日益成為公眾關注的焦點。據瞭解，支持刷臉支付的機器基本上是通過關聯消費者支付寶帳號進行的，點擊刷臉支付後，攝像頭便會自動開啟識別人臉。

「售貨機上買瓶水也要‘刷臉’。」今年7月，上海多家媒體報導，地鐵、校園、公園等公共場所的自動售貨機存在過度採集個人信息、誘導使用「刷臉」支付的情況，這可能導致公民個人信息泄露。

近日，《IT時報》記者在通河新村站、長壽路站、漢中路站等地鐵站測試了若干款不同品牌的自動售貨機，發現幾乎所有的自動售貨機都已暫停了「刷臉支付」功能。

在漢中路地鐵站，擺放著若干台UP售貨機，和旁邊另外一品牌的售貨機相比，UP售貨機的上方多了個攝像頭。但是，在其支付方式里，並沒有刷臉支付的選項，支持微信、支付寶或者現金。「攝像頭的作用主要記錄一些有爭議的購物過程或者機器檢修等，比如貨品沒有出來等，便於為用戶提供售後服務。」UP售貨機客服人員告訴《IT時報》記者，公司有帶有刷臉支付功能的售貨機，但目前在上海的地鐵站不能使用。

針對部分地鐵站內自動售貨機存在違規「刷臉」問題，之前，上海市網信辦督導申通地鐵對全市地鐵站內的1400餘台無人售貨機完成排查整改，對其中存在問題的829台無人售貨機暫停刷臉支付功能，待整改完成後重新上線。

識別消費者行為動作

地標：無人便利店

無人便利店並不稀奇，進入超市、挑選商品、到自助收銀台掃瞄支付就能完成一次購物，而這一切都需要攝像頭來幫忙。

陝西北路上的一家便利蜂店面不大，幾十平方米，佈局與普通便利店並無太大區別，也設置了收銀台和收銀員。環顧整個便利蜂，頭頂上指向各個角度的攝像頭非常多，有二十多個。在外部區域，《IT時報》記者並未看到關於監控的任何提示，而在內部區域的一個貨架上，豎著一個「24小時監控區域」的標牌。

這家便利蜂工作人員告訴《IT時報》記者，店裡一直是有店員的，但主要靠消費者自助結賬，店員主要負責協助消費者，有時也會偶爾短暫離開。「攝像頭主要監控店裡的情況，識別消費者的行為，畢竟店員不會一直盯著消費者。」但至於會不會識別人臉，該店員表示並不知情。

之前，《IT時報》記者走訪過龍耀路上一家羅森無人便利店，天花板上方的360度無死角攝像頭，該攝像頭並不用於監測人臉，而是識別消費者的動作姿態，類似多模態大模型中的視覺識別，只不過會以較為簡單的火柴人結構展現在後台。即使在商品被遮擋的情況下，也能根據消費者走動、停留、拿取或放置商品的動作進行計算分析，識別出消費者有沒有購物消費，多人同時進店也能被精準識別。

記者分析

讓被濫用的技術回歸正途

此次專項行動前，限制濫用人臉識別的風向已經出現。比如在酒店辦理入住登記時，很多旅客都習慣了「刷臉」，但上海已經嚴禁對已出示本人有效身份證件的旅客進行「強製刷臉」核驗，入住時只要出示訂單和本人有效身份證件即可入住，無須刷臉核驗的操作。上海目前對於公共場所使用人臉識別設備明確「為公共安全所必須」「有法律依據」「做到單獨告知」三大原則，一定程度上規範了人臉採集設備隨意設置的現狀。

一問：

「公共場所」的定義是什麼？

此次專項行動主要聚焦公共場所，如何理解「公共場所」？

京師律師事務所律師徐延軒告訴《IT時報》記者，目前對「公共場所」沒有明確的定義，《刑法》對聚眾擾亂公共場所秩序罪，對公共場所做了一些列舉。「比如車站、碼頭、民用航空站、商場、公園、影劇院、展覽會、運動場等，但公共場所並不僅僅包括這些。」在徐延軒看來，可以將公眾場所歸納為公開開放的、可供非特定人員進出的活動場所，「如果是一個開放的辦公產業園可以屬於公眾場所，如果是某個單位私人辦公區域可能就不能認定為公共場所」。

公共場所是個相對複雜的概念，涉及的場景較多，對於日常生活中比較常見的安裝攝像頭的場景，2023年國家網信辦發佈的《人臉識別技術應用安全管理規定（試行）（徵求意見稿）》可以作為指導文件之一。

賽博研究院高級研究員施東奇告訴《IT時報》記者，像在商場公共區域內，出於維護公共安全的目的可以安裝攝像頭，但需要設置顯著提示標識，並且對攝像頭安裝、使用、運營維護的單位需要履行保密義務，並且確保所採集的人臉信息只能用於維護公共安全的目的，不得用於營銷分析或者其他目的。而對於街邊門店，出於維護區域內安全的目的而安裝攝像頭也應當設置明顯的提示標識，並且需要控制信息採集區域範圍，應當避免採集到路人的人臉信息。

二問：

貼了告示就可以採集人臉嗎？

《IT時報》記者在採訪中發現，大多數公共場所裝有攝像頭是不爭的事實，但這些攝像頭都是必需的嗎？

何為必需？「只要能用其他的方案或者方式能夠替代人臉識別，那就應該用其他的方式，比如像商場的客流統計、小區的刷臉門禁等，都可以用其他方式替代。」在徐延軒看來，僅僅告知還不夠，還要獲取用戶的同意。

上海交通大學數據法律研究中心執行主任何淵表示，按照《個人信息保護法》，人臉識別技術首先要解決合法問題，要麼經過個人同意，要麼履行法定義務，必須在《個人信息保護法》第13條找到合法性依據，「目前主要有兩個依據，一個是告知同意，要公民的同意，另外一個基於公共安全，比如到高鐵站去乘高鐵，這個場景下進行人臉識別是不需要個人同意的，因為這是鐵路部門基於公共安全履行的法定義務」。

上海此次提出「不刷臉為原則、刷臉為例外」，主要為瞭解決當前消費場景下強製性、被動式、隨意化應用「刷臉」手段，保護消費者的個人信息權益。「不刷臉為原則」並不意味著完全不能使用刷臉驗證的技術手段，而是要求在有可替代方案的前提下，不得強製、誘導用戶「刷臉」。

三問：

撤銷後個人信息應如何處理？

人臉信息被商家過度採集與不當利用，一度成為公眾關注的焦點和隱憂。

在缺乏有效監管的環境下，不少商家出於營銷目的，擅自在店舖、商場甚至公共區域安裝人臉識別設備，未經消費者同意就收集其面部特徵信息，用於個性化推薦、客戶畫像構建、會員識別乃至行為追蹤等。