巴西ANPD对零售连锁店因Wi-Fi追踪“匿名化”客户数据但结合会员卡数据可重新识别案（2024年3月）

【案件背景】
某巴西大型零售连锁集团（以下简称“涉案集团”）在全国200余家商场和超市内部署了Wi-Fi监测系统，通过捕获进入门店顾客的智能手机Wi-Fi MAC地址来追踪店内客流路径、停留时间和回访频率。涉案集团声称MAC地址已被哈希化，实现了“匿名化处理”，因此不受巴西《通用数据保护法》（LGPD）的约束。该分析结果被用于优化商品摆放、促销活动评估和门店布局设计。2023年底，有技术研究者向ANPD提交投诉，指出涉案集团可以将哈希化的MAC地址与其忠诚度会员卡系统中的手机号进行关联——会员在门店内连接Wi-Fi时，系统同时记录了MAC地址和通过会员App登录的手机号，从而可以建立“哈希MAC地址→手机号→会员档案”的完整映射链。

【违法事实】
经调查查明：
（1）涉案集团声称的“匿名化处理”仅对Wi-Fi传感器捕获的MAC地址进行了哈希化，但该集团同时运营着庞大的会员忠诚度计划——超过5000万会员。在会员使用门店免费Wi-Fi时，系统对同一设备同时记录了两个标识符：通过门户网站登录时获取的手机号（会员身份识别），以及通过Wi-Fi协议获取的MAC地址。这两个标识符在后台数据库中建立了关联。
（2）由于MAC地址与会员手机号在后台被关联，即使前端的客流分析使用了“哈希化的MAC地址”，涉案集团仍可以在需要时通过“哈希MAC地址→MAC地址→手机号→会员档案”的映射链，查看特定顾客的完整购物历史（包括购买商品清单、消费金额、购物频次）、个人信息（年龄、性别、家庭地址）和健康信息（通过购买药品和保健品推断）。这使得整个Wi-Fi追踪系统实质上是一个带有实时个人身份识别能力的“监控系统”。
（3）涉案集团在门店入口处张贴的提示标识仅说明“本店使用客流监测技术改善服务”，未披露Wi-Fi追踪的具体机制、MAC地址的收集和保存、以及其与会员数据的关联方式。ANPD认定该告知不满足LGPD要求的透明度和信息义务。
（4）涉案集团在会员注册时，未就Wi-Fi追踪和客流监测获得会员的单独同意。隐私政策中关于“店铺访问数据分析”的描述笼统且未提供拒绝选项。
（5）涉案集团在巴西各州的门店中部署了该系统，但未进行数据保护影响评估（RIPD），未评估跨门店追踪带来的累积性隐私风险。

【处罚决定】
2024年3月，ANPD作出以下决定：
（一）发布正式警告；
（二）要求涉案集团暂停全部Wi-Fi追踪客流分析功能，直至完成合规整改；
（三）要求重新设计会员数据的隔离机制——确保Wi-Fi追踪数据与会员身份数据在技术上隔离存储和处理，禁止在客流分析中使用可关联至具体会员的数据。
ANPD未处以罚款，考虑涉案集团为巴西LGPD生效后首批受调查的企业之一，且整改态度积极。

【典型意义】
本案在巴西隐私执法中确立了实体零售业IoT追踪的合规边界，对全球零售商具有参考意义：
第一，“一面声称匿名化、一面尝试做身份映射”的虚伪数据处理模式被明确认定为“非匿名化”。本案揭示了许多零售商的Wi-Fi追踪系统在架构上预留了身份映射通道——即使前端分析声称使用匿名数据，后台的MAC-身份映射表的存在保证了“匿名化”只是一种技术伪装。
第二，本案对忠诚度计划（会员计划）与物理空间追踪的结合提出了特别警告。行业实践中普遍存在的会员Wi-Fi登录+客流追踪的组合应用，使得大量零售商在不知情或不承认的情况下运行着实际上可以进行个人级别行为追踪的系统。
第三，ANPD的处理方式（警告而非罚款）体现了新兴隐私执法机构在推动行业合规和文化建设方面的渐进式策略。但警告明确指出了未来类似违规将被处以更严厉的处罚。
第四，本案推动了巴西零售行业的合规升级：多家大型零售商在ANPD决定后开始重新审视其IoT追踪系统的数据架构，特别是Wi-Fi/蓝牙追踪与CRM系统之间的数据隔离问题。