《中華人民共和國民法典》於2020年5月28日審議通過，自2021年1月1日起正式施行。本次《民法典》有許多創新和亮點，其中之一在於，《民法典》在總則部分明確規定「自然人的個人資訊受法律保護」，人格權編設「隱私權和個人資訊保護」專章，規定了個人資訊的概念、規則、抗辯事由、具體路徑等內容，這標誌著我國關於個人資訊保護頂層立法設計的初步完成。

而關於我國個人資訊保護的底層建構則通過《個人資訊保護法》具體落實，《個人資訊保護法》於2021年8月20日審議通過，將於2021年11月1日起施行，共8章74條，其立法目的在於保護個人資訊權益。《個人資訊保護法》全文共計74處「應當」，「應當」兩字的表述對於企業而言是一種強制性的規定，需要企業在注重合規的同時肩負起保護個人資訊的社會責任，這對於個人資訊的保護而言具有里程碑式的意義。

什麼是「個人資訊」？

個人資訊是以電子或者其他方式記錄的與已識別或者可識別的自然人有關的各種資訊，不包括匿名化處理後的資訊。

敏感個人資訊是一旦洩露或者非法使用，容易導致自然人的人格尊嚴受到侵害或者人身、財產安全受到危害的個人資訊，包括生物識別、宗教信仰、特定身份、醫療健康、金融帳戶、行蹤軌跡等資訊，以及不滿十四週歲未成年人的個人資訊。

特別值得關注的是，對於14週歲以下的個人資訊的處理應當取得未成年人的父母或者其他監護人的同意。

釋法案例：「是誰偷了我的臉」

（一）「戴著頭盔去看房」

人臉識別帶來的個人資訊保護問題凸顯，根據《人臉識別應用公眾調研報告》顯示，在2萬多名的受訪者中，超過9成的人使用過人臉識別技術，3成以上受訪者因為人臉識別資訊的洩露、濫用等遭受損失或者隱私被侵犯。

例如，在現實生活中，人臉識別系統已然成為售樓處標配，比如用於分類顧客並將其與購房優惠掛鉤。但是對於顧客而言，一方面被動的被企業進行標籤化，使得顧客就無法享受相關優惠；另一方面，作為企業隨意收集到的顧客資訊是否僅限於此用途，顧客也無法把控。於是顧客為了防止自己的資訊被過度收集，無奈只得通過戴頭盔、口罩的方式去看房，防止自己的人臉資訊遭到洩露。

事實上，售樓處的收集和處理個人資訊（人臉）的行為均不合法。售樓處多數通過無感抓拍的方式獲得人臉資訊，並未經過消費者的同意，也未通過明顯提示該處是有人臉抓拍的探頭。此外人臉資訊具有唯一性，可識別性，作為個人的敏感資訊是需要個人對於該資訊要做出具體的授權，企業才有權去收集。並且企業對於個人資訊的使用並不合理，通過人臉識別將看房者區分為不同類型，給予不同的優惠力度，有「價格和服務歧視」的嫌疑。

（二）大數據「殺熟」

今年央視的315晚會上曝光了一家衛浴企業的大數據殺熟行為，該衛浴企業的全國各門店均裝有人臉識別攝像頭，在消費者不知情的情況下，便能精準抓取消費者人臉資訊。有了人臉識別功能的攝像頭，一旦顧客進入某衛浴門店，人臉資訊就會被捕捉、記錄，以後顧客再去哪家店，去了幾次，該企業都會知道。該衛浴的某零售銷售主任說道 ：「比如一個人來過A店，後來又去了B店，B店會提示這個人也逛過A店，B店如何去接待、如何去報價，就有心理準備了。」市場監督管理局認為，某衛浴未經消費者同意擅自在門店安裝攝像設備抓取人臉資訊的行為，違反了消費者權益保護法，決定對其處以50萬元罰款。

彭程律師解讀：

個人資訊保護法的出台，對於公共場所抓取人臉的行為做出了更為明確的規定：

1、「告知--同意」原則：處理個人資訊應當在事先充分告知的前提下取得個人同意，並且個人有權撤回同意；重要事項發生變更的應當重新取得個人同意；不得以個人不同意為由拒絕提供產品或者服務。

2、資訊收集兩個「最」：最小影響：對於個人資訊的處理應當有明確、合理的目的，並且應當與處理目的直接相關，收集方式應當對於個人的權益影響最小；最小範圍：對於個人資訊的收集應當限於處理目的的最小範圍，不得過度收集。

3、有明顯標識：在公共場所安裝圖像採集、個人身份識別設備，應當為維護公共安全所必需，遵守國家有關規定，並設置顯著的提示標識。所收集的個人圖像、身份識別資訊只能用於維護公共安全的目的，不得用於其他目的；取得個人單獨同意的除外。

現實中，多數商家未經個人同意，隨意採集人臉資訊，使得具有唯一性、永久性、不可逆性的人臉資訊面臨著巨大風險，這不僅侵犯了個體的肖像權，更是嚴重觸及個人資訊的邊界，已然觸犯法律的紅線。在這個「看臉時代」，《個人資訊保護法》為你的個人資訊保駕護航。並且新法出台後，如果資訊處理者做得不好，可能面臨高達5000萬元或營收5%的高額罰款，直至吊銷營業執照和停業整頓。如此高的違法成本，勢必會震懾不法侵害行為，減少非法收集個人資訊技術的濫用。