刷脸支付、刷脸解锁、刷脸开门、刷脸进站……“刷脸”，正在越来越频繁地嵌入我们的生活。
“刷脸”时代，谁来保护我的人脸信息安全？
面对公共场所过度使用甚至滥用人脸识别技术，2024年，上海“亮剑浦江·2024”消费领域个人信息权益保护专项执法行动，加快整治步伐，朝着公共场所“不刷脸为原则、刷脸为例外”的目标持续攻坚。
作为第三方，华东政法大学智能法学科在学科负责人高富平教授的带领下，对“亮剑浦江·2024”专项执法行动开展评估。评估组认为，上海网信部门整治滥用人脸识别切实保障了公民个人信息权益。在大大降低风险的同时，提升了企业和消费者的个人信息保护意识，优化了营商环境和消费环境，为人脸识别技术更广泛运用提供了“上海经验”。
“亮剑”执法，直面违法问题
滥用人脸识别技术的风险，一直被上海监管、执法部门高度重视。
2021年，央视“3·15”晚会曝光科勒卫浴上海部分门店安装具有人脸识别功能的摄像头，消费者只要进入门店，在不知情的情况下，就会被摄像头抓取并自动生成编号。
事件曝光后，上海市静安区市场监督管理局立即展开立案调查，并随即公布调查结果及处罚决定。
2021年11月1日，作为国内首部个人信息保护的专门性法律，《个人信息保护法》正式实施。上海对个人信息尤其是人脸等生物识别敏感信息提升保护力度。
在充分总结2023年工作经验的基础上，上海市网信办、上海市市场监管局启动“亮剑浦江·2024”专项执法行动的调研和策划，人脸识别滥用被列为重点整治，参与协同的包括上海市公安局、上海市体育局、上海市商务委、上海市房管局等监管执法部门、行业主管部门，以及上海市消保委和有关行业协会等。
掌握报道线索后，4月29日、5月6日，松江区委网信办协同市场监管、公安网安等有关部门，两次核实查验、指导整改。针对违法违规事实，松江区委网信办依法对涉事游泳馆运营主体——上海酷学体育投资管理有限公司作出警告的行政处罚。该案也成为上海市区两级网信部门依据《个人信息保护法》，协同开展的人脸识别技术领域执法首案。
此后，在大量调研基础上，“亮剑浦江·2024”专门就公共场所强制、滥用人脸识别技术细化工作方案，执法场景趋向精细化、颗粒化，细分为健身房、舞蹈房、游泳馆等运动场所，商场超市、无人售货机等消费场所，演出场所、旅游景区、宾馆旅馆、文化场馆等文旅场所，教育、培训机构等教学场所及售楼处、住宅小区、保障性租赁房等生活居住场所。据上海市网信办执法人员介绍，整治方案明确上海市网信办牵头组建工作专班，统筹协调开展专项整治行动，参与专项行动的协同单位为专班成员单位，涵盖了上海市教委、上海市科委、上海市文旅局、上海市绿化市容局，几乎覆盖涉及民生的所有监管执法部门。
按照“不刷脸为原则、刷脸为例外”、“收集端总体减量、存储端确保安全”的总体目标，上海确定了公共场所安装人脸识别要遵循“为公共安全所必须”“有法律依据”“做到单独告知”等三大原则，并要求公共场所人脸识别设备做到最大可能“退”、最小范围“用”、最小范围“存”，真正确保消费者“放心”、使用者“用心”。
华东政法大学高富平教授牵头的评估组认为，专项行动以规范化的执法流程、场景化的执法主线、精细化的执法理念、信息化的执法支撑，抓住各场景下的关键痛点、难点，开展差异化、针对性、精细度的执法活动，拓展了上海网信执法实践成果。
刚柔并济，提升执法效果
数据显示，截至2024年11月，上海已推动全市600余家商超门店，6300余家酒店，70余家公共体育场馆，1200余个游泳馆、健身场所，2900余个公共厕所完成“强制性”、“滥用化”刷脸的自查整改。
针对市民普遍反映的自动售货机违规“刷脸”问题，上海市网信办督导申通地铁对全市地铁站内的1400余台无人售货机完成排查整改，对其中存在问题的829台无人售货机暂停人脸支付功能，待整改完成后重新上线……
一连串数据的背后，是上海监管执法部门执法方式的创新——从个案出发，治理一个领域、解决一类问题，不局限于案件办理本身，用刚柔并济取代纯粹的刚性执法。
澎湃新闻了解到，在关于如何推进整治的问题上，“亮剑浦江·2024”专项执法行动明确提出，监管执法部门要会同行业主管部门、上海市消保委及有关行业协会，通过普法培训、以案释法、行政指导、自查整改、合规指引等多种方式，促进企业合规经营。
“除了个案的检查和执法之外，我们更希望通过普法培训、合规指导的方式帮助企业了解法律法规要求，划清底线红线，只有这样才能平衡好企业发展与消费者权益间的关系。”上海市网信办执法人员在接受澎湃新闻采访时如此表示。
此次培训吸引了在上海运营自动售货机的37家头部经营和运维企业，在同一个“课堂”上帮助场地租赁方、设备经营方、技术支撑方对齐了合规意识，形成了遵守《个人信息保护法》的共识，为一揽子解决全行业个人信息保护问题打下坚实基础。“上海市网信办和市市场监管局，相当于给企业做了一个排雷系统，所以我们很感谢他们给我们提出了这些问题，帮助我们去整改，让我们能更合规地运营。”一家参与此次培训的自动售货机运维企业告诉澎湃新闻。
华东政法大学师资博士后徐子淼参与今年对“亮剑浦江·2024”专项执法行动的评估。她告诉澎湃新闻，专项行动通过普法培训、发布人脸识别领域的案例解析等方式，提升企业合规意识，帮助企业理解法律要求，降低合规成本。同时通过集中排查、面对面约谈和“回头看”等方式，对典型企业和集中出现的问题提出针对性整改建议和监督，确保落地见效。
“整体来看，兼顾到了不同层面，整个执法流程合理高效。”她说。
值得一提的是，作为今年专项行动的成果之一，“亮剑浦江·2024”结合两年来网信执法实践成果，首次面向社会、企业和消费者推出个人信息处理者应知手册、企业个人信息保护合规自检清单、上海个人信息保护场景规范指引、上海市民个人信息保护要点问答，可概述为个人信息保护工具包、体检包、服务包、护身包，这四个惠企为民“大礼包”，通过释法、指导、评估、保护四个层次，建立了立体化个人信息合规利用的集约化管理框架，进一步优化企业合规效果。
多方联动，凝聚共治合力
整治滥用人脸识别，除了发挥执法监管部门的引领作用外，“亮剑浦江·2024”专项执法行动特别注重协同共治。也正因如此，在问题调研和线索收集上，专项行动还发动了一支“编外力量”。
这次调研起源于一次消费经历。因为赶“早八点”的课，来不及在家里吃饭的刘杰，第一次在学校的自动售卖机上买东西。而当他扫码支付时，机器弹出了两个选项，一个是绑定手机号码，一个是不绑定，当他选择不绑定后发现，页面自动跳回前一页。也就是说，如果不绑定手机号，就无法完成付款，无法购买。
聚焦发展，引导科技向善
个人信息不仅涵盖个人权益，也存在社会性价值。在对滥用人脸识别说不的同时，上海也明确，应加强研究，对新技术不能因噎废食，要推动新技术向上向善。
在接受澎湃新闻专访时，上海市消保委副秘书长唐健盛表示，对人脸识别技术的应用，上海秉持审慎态度，倡导非必要不使用。“数字经济时代，个人信息的运用能够提升经济运行效率。在确保数据安全且能够有效使用的前提下，秉持积极的态度。我们不能片面地追求安全而忽视效率，也不能只注重效率而不顾安全。”
“个人信息包括人脸信息的安全风险，犹如定时炸弹一般。”浙江理工大学数据法治研究院副院长郭兵指出，人脸识别在身份信息验证等方面为生活带来诸多便利的同时，其潜在风险难以有效把控。“过度使用甚至滥用已成为该技术发展面临的重大挑战。”他认为，人脸识别核心是用户需要树立个人信息安全意识，遇到强制“刷脸”消费者要大胆质疑，对滥用人脸识别要始终保持警惕。
郭兵强调，对滥用人脸识别技术说“不”，并非“一刀切”式的禁止刷脸。“企业应为用户提供刷脸或其他替代方式的选择。采用刷脸方式时，企业应运用足够安全的技术手段防止人脸信息泄露，被违法使用、甚至被犯罪分子利用，此为其法定责任。监管部门应重点监管人脸识别技术应用的安全保障措施，维护公民个人信息合法权益、社会公共秩序与国家安全。”
上海市网信办执法人员透露，“亮剑浦江·2024”专项执法行动对公共场所强制、滥用人脸识别技术的专项整治目前已取得一定成效。下一步，上海市网信办将更加注重对人脸识别新的应用场景的研究，以及对已经开展整治场景的跟踪，不断引导人脸识别技术向上向善，促进技术服务社会。在切实保障好公民个人信息权益的同时，要用法治的营商环境护航企业健康发展。