《个保法》实施一周，中消协的这些提示你踩雷了吗？

引言
如今的日常生活消费已经越来越离不开个人信息的使用，但是个人信息的保护对公民个人、企业经验、国家监管而言却始终是个考验。2021年11月1日，《中华人民共和国个人信息保护法》（以下简称“《个保法》”）正式施行。作为我国首部完整规定个人信息处理规则的法律，《个保法》从一开始就备受瞩目。目前《个保法》已施行一周，在此背景下，中消协也在此前发布提示，告诫经营者、用户注意个人信息的使用与保护。保护个人信息的重要性不言而喻，但常常会“出于无奈”将个人信息拱手交出。恰逢“双十一”期间，手机营销短信纷涌而至、各种小游戏抽奖界面获取授权……监管层面已就位，直接接触大量个人信息的经营者又该如何合规地获取、处理个人信息呢？
未经消费者同意，经营者不得向消费者推送商业信息
根据《个保法》第四条的规定，个人信息是以电子或者其他方式记录的与已识别或者可识别的自然人有关的各种信息，不包括匿名化处理后的信息。一般包括姓名、出生日期、生物识别信息、身份证件号码、住址、电话号码、电子邮箱、健康信息等。根据中消协近年开展消费维权工作的数据可以发现，消费者反映比较突出的个人信息问题除了个人信息被泄露，主要集中在手机APP过度索权、非法推送商业信息、“大数据杀熟”以及敏感个人信息的非法处理等方面。
个人信息的处理包括收集、存储、使用、加工、传输、提供、公开、删除等。那么，作为APP运营者如何在合法的范围内处理个人信息呢？
根据《个人信息保护法》第17条的规定，个人信息处理者在处理个人信息前，应当以显著方式、清晰易懂的语言，真实、准确、完整地向个人告知包括处理目的、处理方式等在内的相关事项。我们建议，APP运营者在制定个人信息保护政策时避免使用大量专业术语及无实质作用的条款，独立于用户协议单独成文，在APP首次运行时通过弹窗等方式提示用户阅读，对于重点部分可以使用加粗或下划线等方式进行强调。
经营者不得过度收集消费者个人信息
在个人信息收集上，APP运营者应当遵循最小必要原则，采取对个人权益影响最小的方式，收集与处理目的直接相关的信息。要求用户授权APP自动收集个人信息，许可使用用户信息进行营销活动、形成个性化推荐……在极易被忽视的《隐私政策》里或许会有类似这样的规定，我们经常说的“大数据杀熟”、“猜你喜欢”都可能祸起于此，而这显然是违反《个保法》第24条的规定——《个保法》将其定义为自动化决策。自动化决策是指，通过计算机程序自动分析、评估个人的行为习惯、兴趣爱好或者经济、健康、信用状况等，并进行决策的活动。我们建议，APP运营者在收集个人信息前一一对应地告知用户收集哪些信息是为了实现什么样的功能及目的，不要以概括式列举的方式说明，并做好相应的评估。通过分析个人行为习惯和兴趣爱好等作出的算法推荐，应当提供不针对个人特征的选项，或者向个人提供便捷的拒绝方式。
小区物业、经营场所不能将人脸识别作为出入的唯一验证方式
随着数字化转型的加快，人脸识别技术也在快速发展，人脸信息属生物识别信息，是一种可单独或与其他信息结合识别特定自然人或特定自然人身份的数据。根据《个保法》规定，在处理人脸信息前，应当事前进行个人信息保护影响评估，并对处理情况进行记录，个人信息保护影响评估应当包括下列内容：个人信息的处理目的、处理方式等是否合法、正当、必要；对个人权益的影响及安全风险；所采取的保护措施是否合法、有效并与风险程度相适应。同时，作为极其敏感的个人信息，在收集前不仅要告知，还要获得自然人或监护人的单独同意。即人脸信息的获取应当与其他同意事项相区分，对个人起到单独提示的作用，不得与其他事项进行捆绑，避免一揽子告知同意，并且需要个人信息主体主动点击或勾选“同意”。
很显然，无论人脸识别技术如何发展，现阶段其在线上或线下的大多数场景中都不太会属于必要个人信息，即使需要进行身份验证，也可以通过其他替代方式实现目的。因此企业在使用人脸信息时除非确实符合缺少人脸信息就无法向用户提供相应产品或服务的情形，否则应当坚决杜绝不提供人脸信息就拒绝提供相应服务或产品的商业模式。特别是一般的经营场所、小区很难采取对人脸信息的严格保护，以人脸识别作为出入的唯一验证方式也缺乏必要性。不仅是中消协对此特别作出提示，司法解释也特别指出物业服务企业或者其他建筑物管理人不得以人脸识别作为业主或者物业使用人出入物业服务区域的唯一验证方式，不同意的业主或者物业使用人有权请求其提供其他合理验证方式。
作为用户、消费者自身应当加强个人信息保护的意识，在确属必要的情况下才提供、授权使用个人信息，对带有个人信息的快递单据、身份证件复印件等材料应当及时销毁或涂抹关键信息后再进行丢弃；作为使用个人信息的经营者，应当遵守《个保法》及其他相应法律法规的规定，切勿利欲熏心非法使用个人信息。《个保法》的出台实施只是个开始，如何做好科技发展与个人信息保护两者的平衡将会是今后的一个长久命题。星瀚也将持续深入研究数据合规领域，欢迎从业者多多交流~