“为保护个人信息，戴着头盔去看房”，去年这则新闻曾引发一阵热议。
在今年3·15晚会上，人脸识别技术的滥用成为曝光重点。据报道，在科勒卫浴、宝马、MaxMara等门店，都安装了人脸识别摄像头，一进店，顾客性别、年龄、第几次到店，甚至心情状态等信息都被打上标签，上传至后台，成为营销依据。科勒卫浴也在采访中承认，“一个人过来了，B店就会提示这个人也逛过A店，那么在B店这边，如何去接待这个人、如何报价，就有一个心理准备了。”
除了为科勒卫浴提供摄像头设备的苏州万店掌，被曝光的还有广州雅量科技、上海悠络客、苏州万店掌、深圳瑞为等3家。报道中，仅其中一家就已经在全国范围内安装了上百万个终端设备，收集上亿条个人数据。一旦泄露，后果不堪设想。
很多消费者第一次知道，在不知情的情况下，一张收集面部信息的天罗地网已经织就，我们的脸成为无数商家的“盘中餐”。
商家进行人脸识别 需要消费者的同意授权
“人脸识别的公共讨论非常多，从目前来看焦点集中在技术使用的必要性和合理性、数据的流转使用、公民的权益保护等多个方面。”北京师范大学网络法治国际中心执行主任、中国互联网协会研究中心副主任吴沈括对科技日报记者表示，在人脸识别技术的使用中，目前面临着法律规范明文直接规定稀少、边界界定社会共识不足、和其他权益例如隐私保护权益的衔接不清晰等很多问题。
“此次曝光的范围之广、涉及人次之多、所收集的个人数据体量之大，引发了社会大众的强烈讨论，涉嫌违反我国多部关于个人信息隐私安全的法律法规。”北京清律律师事务所顾问、欧盟注册信息隐私专家白一方律师明确表示。
白一方说，商家在店里安装电子监控摄像头，是生活里随处可见的做法。但这和人脸识别摄像头不能相提并论。
“电子监控摄像头一般收集图像或声音信息，不会具体到可识别的个人细节，更不会对生物识别信息进行获取分析，收集到的个人数据一般也不会直接联系到特定个人。”白一方说，这类摄像头监控的目的通常是防止盗窃等犯罪，保障公共安全、营业场所安全秩序等。
白一方强调，带人脸识别功能的摄像头不一样，这种具体到性别、年龄、面貌等详细生物信息的收集行为显然超出了必要性和最小化的范畴。
“商家要进行人脸识别，收集个人生物标识信息，必须依法在收集前就明确告知消费者，让消费者在完全知情的情况下，给出自主、具体、清晰明确的同意授权。”白一方说，而目前这些商家的人脸识别行为都是自动进行，消费者毫不知情，更遑论给出自主明确的同意授权，这样的个人数据收集是违法的。
法律不断完善 侵犯个人信息后果严重
2021年1月1日正式实施的民法典人格权编当中，强调了个人信息属于隐私权的一部分，并明文规定了保护个人信息、个人信息的基本范畴、处理个人信息的基本要求及原则、例外情况等。
同时，去年相继公布的数据安全法、个人信息保护法征求意见草案，通过政策方向和具体落实细节两个方面，对个人数据的保护进行全面规范。其中个人信息保护法草案还明确了违反法律的责任及后果，可能导致责令整改、对违法机构的罚款可高达五千万元或者上年度营业额百分之五、对主要负责人的罚款可高达一百万元。
白一方表示，我国将以此为基础，建立起针对个人数据保护的全面性、专门性法律保护制度。
今年1月，民法典实施后全国首例个人信息保护民事公益诉讼案进行了宣判，杭州互联网法院作出赔偿公益损失、媒体公开赔礼道歉的判决。但这笔赔偿款项并非面向受影响的个人，而是用于个人信息保护等公益事项。
白一方说，消费者有权要求商家告知是否进行了人脸识别或其他个人数据的收集处理，遇到相关违法情况，可以向互联网管理部门、工商部门、消费者保护协会等相关机构进行投诉；如果因信息安全影响，受到人身、财产上实际可量化的损害，可以通过诉讼方式，要求侵害人停止数据侵权行为，并根据侵权责任法、消费者权益保护法等要求消除影响、赔礼道歉、赔偿损失等。
“人脸等敏感数据的保护需要明确、权威、高效公共监管机关，保持全流程的外部监管，平衡具体场景当中的利益冲突，及时纠正处置各类主体的侵害行为。”吴沈括表示，消费者保护组织、新闻媒体等在内的各类社会主体也应持续强化社会监督，培育用户的维权意识，促进各类数据业务主体的合规意识，为社会打造保护个人信息的良性氛围。