《中华人民共和国民法典》于2020年5月28日审议通过，自2021年1月1日起正式施行。本次《民法典》有许多创新和亮点，其中之一在于，《民法典》在总则部分明确规定“自然人的个人信息受法律保护”，人格权编设“隐私权和个人信息保护”专章，规定了个人信息的概念、规则、抗辩事由、具体路径等内容，这标志着我国关于个人信息保护顶层立法设计的初步完成。

而关于我国个人信息保护的底层建构则通过《个人信息保护法》具体落实，《个人信息保护法》于2021年8月20日审议通过，将于2021年11月1日起施行，共8章74条，其立法目的在于保护个人信息权益。《个人信息保护法》全文共计74处“应当”，“应当”两字的表述对于企业而言是一种强制性的规定，需要企业在注重合规的同时肩负起保护个人信息的社会责任，这对于个人信息的保护而言具有里程碑式的意义。

什么是“个人信息”？

个人信息是以电子或者其他方式记录的与已识别或者可识别的自然人有关的各种信息，不包括匿名化处理后的信息。

敏感个人信息是一旦泄露或者非法使用，容易导致自然人的人格尊严受到侵害或者人身、财产安全受到危害的个人信息，包括生物识别、宗教信仰、特定身份、医疗健康、金融账户、行踪轨迹等信息，以及不满十四周岁未成年人的个人信息。

特别值得关注的是，对于14周岁以下的个人信息的处理应当取得未成年人的父母或者其他监护人的同意。

释法案例：“是谁偷了我的脸”

（一）“戴着头盔去看房”

人脸识别带来的个人信息保护问题凸显，根据《人脸识别应用公众调研报告》显示，在2万多名的受访者中，超过9成的人使用过人脸识别技术，3成以上受访者因为人脸识别信息的泄露、滥用等遭受损失或者隐私被侵犯。

例如，在现实生活中，人脸识别系统已然成为售楼处标配，比如用于分类顾客并将其与购房优惠挂钩。但是对于顾客而言，一方面被动的被企业进行标签化，使得顾客就无法享受相关优惠；另一方面，作为企业随意收集到的顾客信息是否仅限于此用途，顾客也无法把控。于是顾客为了防止自己的信息被过度收集，无奈只得通过戴头盔、口罩的方式去看房，防止自己的人脸信息遭到泄露。

事实上，售楼处的收集和处理个人信息（人脸）的行为均不合法。售楼处多数通过无感抓拍的方式获得人脸信息，并未经过消费者的同意，也未通过明显提示该处是有人脸抓拍的探头。此外人脸信息具有唯一性，可识别性，作为个人的敏感信息是需要个人对于该信息要做出具体的授权，企业才有权去收集。并且企业对于个人信息的使用并不合理，通过人脸识别将看房者区分为不同类型，给予不同的优惠力度，有“价格和服务歧视”的嫌疑。

（二）大数据“杀熟”

今年央视的315晚会上曝光了一家卫浴企业的大数据杀熟行为，该卫浴企业的全国各门店均装有人脸识别摄像头，在消费者不知情的情况下，便能精准抓取消费者人脸信息。有了人脸识别功能的摄像头，一旦顾客进入某卫浴门店，人脸信息就会被捕捉、记录，以后顾客再去哪家店，去了几次，该企业都会知道。该卫浴的某零售销售主任说道 ：“比如一个人来过A店，后来又去了B店，B店会提示这个人也逛过A店，B店如何去接待、如何去报价，就有心理准备了。”市场监督管理局认为，某卫浴未经消费者同意擅自在门店安装摄像设备抓取人脸信息的行为，违反了消费者权益保护法，决定对其处以50万元罚款。

彭程律师解读：

个人信息保护法的出台，对于公共场所抓取人脸的行为做出了更为明确的规定：

1、“告知--同意”原则：处理个人信息应当在事先充分告知的前提下取得个人同意，并且个人有权撤回同意；重要事项发生变更的应当重新取得个人同意；不得以个人不同意为由拒绝提供产品或者服务。

2、信息收集两个“最”：最小影响：对于个人信息的处理应当有明确、合理的目的，并且应当与处理目的直接相关，收集方式应当对于个人的权益影响最小；最小范围：对于个人信息的收集应当限于处理目的的最小范围，不得过度收集。

3、有明显标识：在公共场所安装图像采集、个人身份识别设备，应当为维护公共安全所必需，遵守国家有关规定，并设置显著的提示标识。所收集的个人图像、身份识别信息只能用于维护公共安全的目的，不得用于其他目的；取得个人单独同意的除外。

现实中，多数商家未经个人同意，随意采集人脸信息，使得具有唯一性、永久性、不可逆性的人脸信息面临着巨大风险，这不仅侵犯了个体的肖像权，更是严重触及个人信息的边界，已然触犯法律的红线。在这个“看脸时代”，《个人信息保护法》为你的个人信息保驾护航。并且新法出台后，如果信息处理者做得不好，可能面临高达5000万元或营收5%的高额罚款，直至吊销营业执照和停业整顿。如此高的违法成本，势必会震慑不法侵害行为，减少非法收集个人信息技术的滥用。