上海某科技公司自动售货机PIA制度缺失+违规收集人脸信息+SQL注入漏洞案

【案件背景】
2025年9月，国家互联网信息办公室发布网络安全、数据安全、个人信息保护执法典型案例。其中，上海某科技有限公司因运营的自动售货机存在违法违规收集人脸信息、未建立个人信息保护影响评估（PIA）制度等问题被属地网信办立案查处。该公司在上海市多个公共场所部署了搭载人脸识别摄像头的自动售货机，用于用户支付环节的身份核验与消费行为分析。

【违法事实】
经网信部门调查认定，该企业存在三项核心违法行为：一是未建立个人信息保护影响评估（PIA）制度——企业在部署人脸识别系统前，未按照《个人信息保护法》第55条、第56条的规定，开展事前的个人信息保护影响评估，也未形成书面评估报告并保存至少三年。检查时企业无法提供任何合规文档或评估报告，暴露出数据治理的系统性缺失；二是违规收集个人敏感信息——在用户支付环节，售货机在未充分告知且未取得用户单独同意的情况下，自动抓取和收集消费者人脸等敏感个人信息；三是安全管理存在严重漏洞——相关系统存在SQL注入高危漏洞，企业未定期检测、未及时修复，导致用户数据处于随时可能被窃取的高风险状态。

【处罚决定】
属地网信办依据《网络安全法》《个人信息保护法》《网络数据安全管理条例》等法律法规，依法责令该企业改正违法行为，并予以警告处罚。同时要求企业限期建立个人信息保护影响评估制度，对所有在用人脸识别设备进行全面安全排查并修复漏洞，拆除不符合合规要求的采集设备。

【典型意义】
本案是个人信息保护影响评估（PIA）制度从'纸面要求'走向'实质执法'的里程碑式案例。一是明确了合规不仅要求'做PIA'，还要求'建立PIA制度'——企业须将影响评估嵌入数据处理的制度流程中，而非一次性、临时性的应付检查；二是体现了监管从'事后追责泄露结果'向'事前防控合规过程缺失'的重大转变；三是凸显了技术安全漏洞与合规制度缺失的叠加效应——PIA缺失+SQL注入漏洞的复合违规暴露了企业数据治理的全方位失守，警示企业必须建立'制度+技术+流程'三位一体的数据合规保护体系。