图片来源：视觉中国

“当你凝视小鹏的时候，小鹏也在凝视你。”

近日，上海小鹏汽车销售服务有限公司被徐汇区市场监督管理局罚款10万元。根据《上海市徐汇区市场监督管理局行政处罚决定书》，小鹏汽车因未经得消费者同意，利用具有人脸识别功能的摄像设备共采集人脸照片。

非法采集人脸照片超43万张

行政处罚决定书显示，小鹏汽车销售有限公司与某公司签订了《小鹏汽车门店客流监测项目框架合同》，约定自2019年3月1日起向该公司购买门店客流监测项目服务。小鹏付款购买人脸识别摄像设备后，安装在旗下门店，用于采集消费者的面部识别数据，数据上传至该公司后台系统，对面部数据进行识别计算，以此进行门店的客流统计和客流分析，包括进店人数统计、男女比例、年龄分析等。据了解，小鹏共向该公司购买具有人脸识别功能的摄像设备22台，全部安装在旗下7个门店。2021年1月至2021年6月期间，共采集上传人脸照片431623张。该行为未经得消费者同意，也无明示、告知消费者收集、使用目的，违反了《中华人民共和国消费者权益保护法》相关规定。

对此，小鹏汽车对钛媒体App回应称，“此次事件，事出上海区域的门店希望通过对于门店客流等数据的收集与分析，改善接待流程，更好的服务于到店客户，但由于对相关法律条款的不熟悉，误采购并使用了违反了相关法律条款的第三方供应商(悠洛客)的产品。”

此前，小鹏汽车称上海门店在3月18日上海市监局检查之前，就通过内自查自纠工作主动撤下了所有的采集设备；人脸数据由第三方软件提供商收集和分析，数据已经全部删除。小鹏汽车表示，不存在泄露或违法使用个人信息的情况，仅通过客流到访量等非个人关联的数字数据作为经营状况的参考。

小鹏汽车表示，对本次行政处罚完全服从，并对此事做出深刻反省。

工商信息显示，上海小鹏汽车销售服务有限公司成立于2018年10月10日，注册资本为1000万人民币。该公司为上海智鹏汽车销售服务有限公司全资子公司；而上海智鹏汽车销售服务有限公司为小鹏汽车销售有限公司全资子公司；而小鹏汽车销售有限公司又为广州橙行智动汽车科技有限公司全资子公司。广州橙行智动汽车科技有限公司为品牌“小鹏汽车”所属方。

供应商曾被央视3·15点名

值得一提的是，在今年的“3·15”晚会上，小鹏汽车的供应商悠洛客就被央视曝光，其违法向商家供应人脸识别摄像头的违法现象。悠络客电子科技股份有限公司经理称，“这种摄像头已经安装了几十上百万个了。”

其中涉及到正通汽车旗下的100多家汽车4S店，全部使用了悠络客提供的人脸识别系统违规采集顾客个人信息。一旦消费者进店，店内的人脸识别系统就会识别其面部并保存其人脸数据、性别、年龄、到店次数、到店事件等隐私信息。而根据悠络客官网披露，其在汽车领域的合作客户包括米其林轮胎、别克、通用汽车、广汽集团、凯迪拉克、五菱汽车、汽车超人等。

滥用人脸识别技术的情况在日常生活中很普遍。上海科勒卫浴门店也因摄像头暗藏人脸识别功能，被3·15曝光，有了人脸识别摄像头，一旦顾客进入科勒卫浴门店，人脸信息就会被捕捉、记录，以后再去哪家店，去了几次，科勒卫浴都会知道。在科勒卫浴系统后台，记者仅提供了到店时间信息，便能轻松在后台看到记者的照片、进店信息。

并非第一次侵权

今年1月11日，广东省通信管理局发布动态《209款App被广东省通信管理局责令整改或关停（2020年11-12月）》。其中11至12月，隐私合规和网络数据安全监管方面，广东省通信管理局共监测发现201款App存在侵害用户权益和安全隐患问题，并依据《网络安全法》《电信和互联网用户个人信息保护规定》等法律法规对App运营者发出《违法违规App处置通知》，责令限期改正并通知各应用商店督促整改。

其中，小鹏汽车作为旅行交通类APP被查出存在三项侵害用户权益行为及一项安全隐患问题。

即1.App首次运行未经用户阅读并同意隐私政策前行为监控发现获取GET_TASK检索了应用程序、Android ID、MAC地址、IMEI、IMSI；2.未在隐私政策等公示文本中逐一列明APP所集成第三方SDK收集使用个人信息的目的、方式和范围；3.每次点击“我的积分、我的鹏友值、邀请好友赚积分”，App收集一次MAC地址和IMEI信息，非服务所必需且无合理应用场景，超出实现产品或服务的业务功能所必需的最低频率。另外，小鹏汽车App还存在界面劫持安全的安全隐患问题。

不久，小鹏汽车对此事做出回应：已做出整改，已对APP进行加固调整。

个人信息安全相关法律已实施

在事先不告知用户的情况下收集，是不是违法的呢？

根据2021年1月1日正式实施的《民法典》第1035条，处理个人信息的，应当遵循合法、正当、必要原则，不得过度处理。同时，应征得该自然人或者其监护人同意，但是法律、行政法规另有规定的除外；公开处理信息的规则；明示处理信息的目的、方式和范围；不违反法律、行政法规的规定和双方的约定等。

不仅如此，《民法典》第1038条明确：信息处理者不得泄露或者篡改其收集、存储的个人信息；未经自然人同意，不得向他人非法提供其个人信息，但是经过加工无法识别特定个人且不能复原的除外。信息处理者应当采取技术措施和其他必要措施，确保其收集、存储的个人信息安全，防止信息泄露、篡改、丢失；发生或者可能发生个人信息泄露、篡改、丢失的，应当及时采取补救措施，按照规定告知自然人并向有关主管部门报告。

人脸信息属于个人独有的生物识别信息，目前已经成为很多用户的支付密码、账号密码等，由于用户无法更改自己的人脸信息，一旦泄露，将严重威胁用户的财产安全、隐私安全等。

随着人脸识别技术的发展，或许未来会有更多政策出台；但对于造车势力而言，更应该将技术运用于合规的场景当中，致力于造好车才是王道。

（钛媒体App编辑张洪锦综合自观察者网、新浪科技、央视网等）