昨天，“亮剑浦江·2024”消费领域个人信息权益保护专项执法行动总结暨交流研讨活动在上海举办。此次活动受到舆论的广泛关注，是因为今年的专项行动中，重点增加了消费领域中对人脸识别滥用的治理汉尼拔三部曲，并且提出了“不刷脸为原则、刷脸为例外”的行动目标。在专项行动中，针对人脸识别的滥用，上海相关部门重点聚焦在了健身房、舞蹈房、游泳馆等运动场所，商场超市、无人售货机等消费场所，演出场所、旅游景区、宾馆旅馆、文化场馆等文旅场所，还有教育、培训机构等教学场所及售楼处、住宅小区等生活居住场所。
上海市委网信办网络执法监督处一级主任科员 盛夏：选择这些场景汉尼拔三部曲，最主要是因为通过前期的调查研究发现这些场景是老百姓关心关切关注的痛点、堵点和难点，其实大家也看到我们是消费领域的个人信息权益保护，因为每一位市民都是消费者，消费体验的好坏，消费过程当中的个人信息安全有没有得到保护，也是直接关系到人民群众的幸福感、获得感和安全感的。
上海市委网信办网络执法监督处副处长 吴宏鸣：通过调研了解和网民的一些反映，包括一些消费者的反映，在上海一些消费领域，在人脸识别技术应用方面存在一些滥用的现象，所谓滥用就是随意性地或者是不合规地使用一些人脸识别技术，收集消费者的一些人脸敏感信息，那么根据《个人信息保护法》相关的规定要求，人脸生物信息属于敏感个人信息，是要受特殊的一些保护，针对这种现象就展开了相应综合整治。
上海市委网信办网络执法监督处副处长 吴宏鸣：根据《个人信息保护法》和中央网信办前期专门向社会征求的一些意见稿，人脸识别技术应用管理规定里面已经明确规定，在一些私密空间场所，比如是在一些浴室或者是宾馆的客房，或者是一些存储空间场所，私密空间场所，还有一个如果是出现一种强制性地收集个人信息，特别是一些利用人脸识别技术进行一些非法行为的汉尼拔三部曲，重点是作为我们执法打击的一个重点方向。在一些场景，因为新技术、新应用，也不是说不让用人脸识别技术，而是说要合规合法地用，要在特殊的一些业务需求或者是维护公共安全的这种情况之下，还是要进行一些可选择地使用，合理合法合规地进行使用。
上海交通大学数据法律研究中心执行主任 何渊：我把它总结为合作治理，具体表现在几个方面，总结为政府监管、企业履责、社会监督、公民参与这样的一个多元共治的体系。在这个里面其实非常重要的一点就是政府的角色从原来的单纯的一个监督者或者执法者，变成了一个规则和标准的制定者和《个人信息保护法》这样一种宣讲者。在这样一个综合治理的过程当中，政府的角色除了前面说的这些身份以外，它很重要的一个作用就是通过一种与企业约谈，出台一些指引，让企业知道如何去使用人脸识别技术是合法合规的，然后让企业在企业的内部真正去落地。那么所以它整个的一个过程是多元的参与，然后公众也参与进来，去解决老百姓最关心的一些具体的生活的场景。最终其实都是为了解决一个目的，就是合法合规地去使用人脸识别这个技术，用我们《个人信息保护法》的说法就是在发展和安全的过程当中去找一种平衡。
上海交通大学数据法律研究中心执行主任 何渊：人脸识别技术其实在按照《个人信息保护法》的原理，首先要解决合法的一个问题，你要么经过个人的同意，要么是基于一种履行法定义务，必须在《个人信息保护法》的13条找到一个合法性的依据。目前主要两个依据，一个就是告知同意，要公民的同意，另外一个基于公共安全，那这种公共安全，比如说到高铁站去乘高铁，这个场景下是不需要个人同意的，因为这是基于铁路部门履行法定的一些义务，这个法定义务主要指的就是公共安全。除此以外除了合法性以外，还要解决一个问题，就是必要性的一个问题。不是合法了人脸识别技术就可以使用的，只有这个业务场景，只能通过人脸识别技术来实现的时候，这个时候才能使用人脸识别技术，所以以使用为例外、不使用为原则，这是非常正确的做法。更重要的一点不仅仅是在实践当中的一些做法，而且从一个法学的学者角度来说，是需要制定一个全国性的立法去解决这样一个问题。