上海某科技公司自动售货机违法收集人脸信息案

【案件背景】
2025年9月，上海市网信办接到群众举报，反映某商业综合体内多台自动售货机在消费者购买商品时疑似进行人脸采集。网信办联合市场监管部门开展现场检查和远程技术检测，确认上海某科技公司在全市多个公共场所部署的智能自动售货机中嵌入了人脸识别摄像头，存在系统性违法采集消费者人脸信息的行为。

【违法事实】
1. 隐蔽采集人脸信息：自动售货机内置高清摄像头在消费者靠近机器约1米范围内即自动激活，在消费者完全不知情的情况下捕捉和采集人脸图像信息，并将图像上传至该公司云端服务器进行分析处理；
2. 告知义务严重不足：仅在自动售货机侧面贴有一张约3cm乘5cm的极小提示标签，字体微小、位置隐蔽，普通消费者在正常购物过程中几乎无法注意到，远未达到《个人信息保护法》要求的以显著方式、清晰易懂的语言进行告知的标准；
3. 敏感信息缺乏单独同意：人脸信息属于《个人信息保护法》第二十八条规定的敏感个人信息，处理敏感个人信息需取得个人的单独同意——而本案中企业连基本的告知都未做到，更遑论获取单独同意；
4. 超出必要目的使用：企业将人脸信息不仅用于基础的支付确认功能，还用于消费者画像分析（包括性别、年龄段估算、停留时长、回头率统计等），并根据画像结果向不同消费者推荐不同价格的商品，构成自动化决策方式进行大数据杀熟的典型行为；
5. 对未成年人缺乏保护：自动售货机部署在学校周边、青少年活动中心等未成年人高频出入的公共场所，但企业未采取任何措施识别和过滤未成年人，也未获得未成年人监护人的同意。

【处罚依据】
《个人信息保护法》第十三条至第十七条（告知同意）、第二十八条至第三十二条（敏感个人信息处理规则）、第二十四条（自动化决策）、第三十一条（未成年人信息保护）。

【处罚决定】
上海市网信办依法对该公司作出警告、责令限期改正的行政处罚，要求企业立即拆除所有自动售货机上的人脸识别摄像头，删除已采集的全部人脸信息及衍生数据，并在整改完成后接受复查。

【典型意义】
当人脸识别技术被嵌入日常消费场景中，消费者往往在不经意间就被采集了最敏感的生物识别信息。核心启示：公共场所采集人脸信息需满足极为严格的告知和同意标准，绝非一张小贴纸可以了事；对敏感个人信息的处理必须获取单独同意，默示或推定同意均不合法；将人脸数据用于商业画像和差异化定价，是敏感数据滥用的典型模式。