作者:瓦特
【TechWeb】近日，小鹏汽车被徐汇区市场监督管理局罚款10万元一事登上热搜。
处罚事由为，当事人购买具有人脸识别功能的摄像设备22台安装在旗下门店，以此统计进店人数并分析男女比例、年龄等；今年1月至6月，共采集上传人脸照片431623张。该行为未经得消费者同意，也无明示、告知消费者收集、使用目的，违反消费者权益保护法。
12月14日下午，TechWeb获悉小鹏汽车对此事件的正面回应。
小鹏汽车表示，此事出于上海区域的门店希望通过对于门店客流等数据的收集与分析，改善接待流程，更好的服务于到店客户，但由于对相关法律条款的不熟悉，误采购并使用了违反了相关法律条款的第三方供应商(悠洛客)的产品。
小鹏汽车对本次行政处罚表示完全服从，并对此事做出深刻反省。
目前，小鹏汽车的上海门店已在3月18日上海市监局检查之前，就通过内自查自纠工作主动撤下了所有的采集设备。且已将人脸数据由第三方软件提供商收集和分析，数据已经全部删除。小鹏汽车不存在泄露或违法使用个人信息的情况，仅通过客流到访量等非个人关联的数字数据作为经营状况的参考。
小鹏汽车表示，将严格遵守国家关于消费者个人信息保护的各项规定，确保维护客户的合法权益不受侵害。我司对因此事件给公众和客户造成的困扰深表歉意。诚信合法经营是我司一直秉承的经营基石，我们将以实际行动规范经营行为，完善客户体验，为消费者提供安全、周到的服务。
相关法规
【APP强制人脸识别？账号注销不了？国家要出手了】
中新网客户端北京11月14日电 (记者 吴涛)目前，网络上个人隐私信息泄露情况时有发生，APP常常强制用户授权否则不能使用，甚至出现“不让人脸识别，自己小区门都进不去”的情况，以后这些事情的处理将有规可依了。
14日，国家网信办发布关于《网络数据安全管理条例(征求意见稿)》(以下简称《征求意见稿》)公开征求意见的通知，拟加强数据安全防护能力建设，保障数据依法有序自由流动，促进数据依法合理有效利用。
个人信息要如何处理？
《征求意见稿》指出，数据处理者不得因个人拒绝提供服务必需的个人信息以外的信息，拒绝提供服务或者干扰个人正常使用服务。
图片来自《网络数据安全管理条例(征求意见稿)》截图。
《征求意见稿》还指出，按照服务类型分别向个人申请处理个人信息的同意，不得使用概括性条款取得同意；处理个人生物识别、宗教信仰、特定身份、医疗健康、金融账户、行踪轨迹等敏感个人信息应当取得个人单独同意。
“处理不满十四周岁未成年人的个人信息，应当取得其监护人同意；不得以改善服务质量、提升用户体验、研发新产品等为由，强迫个人同意处理其个人信息；不得通过误导、欺诈、胁迫等方式获得个人的同意；不得通过捆绑不同类型服务、批量申请同意等方式诱导、强迫个人进行批量个人信息同意；不得在个人明确表示不同意后，频繁征求同意、干扰正常使用服务。”
另外，当用户提出终止服务或者个人注销账号时，数据处理者应当在十五个工作日内删除个人信息或者进行匿名化处理。
值得注意是，此前有APP或小区物业强制用户人脸识别。此次《征求意见稿》指出，数据处理者利用生物特征进行个人身份认证的，应当对必要性、安全性进行风险评估，不得将人脸、步态、指纹、虹膜、声纹等生物特征作为唯一的个人身份认证方式，以强制个人同意收集其个人生物特征信息。
这些事情企业不能干
除了拟规定个人信息处理规则，《征求意见稿》还对数据处理者作出多方面要求，指出任何个人和组织开展数据处理活动不得非法出售或者非法向他人提供数据；不得通过窃取或者以其他非法方式获取数据；不得侵害他人名誉权、隐私权、著作权和其他合法权益等。
“任何个人和组织知道或者应当知道他人从事前款活动的，不得为其提供技术支持、工具、程序和广告推广、支付结算等服务。”
数据处理者应当保障数据免遭泄露、窃取、篡改、毁损、丢失、非法使用，应对数据安全事件，防范针对和利用数据的违法犯罪活动，维护数据的完整性、保密性、可用性。
“发生重要数据或者十万人以上个人信息泄露、毁损、丢失等数据安全事件时，数据处理者还应当发生安全事件的八小时内向设区的市级网信部门和有关主管部门报告事件基本信息，包括涉及的数据数量、类型、可能的影响、已经或拟采取的处置措施等。”《征求意见稿》指出。
另外，《征求意见稿》对网络上一些“爬虫”进行规范，自动化工具访问、收集数据违反法律、行政法规或者行业自律公约、影响网络服务正常功能，或者侵犯他人知识产权等合法权益的，数据处理者应当停止访问、收集数据行为并采取相应补救措施。