制图:尹洁琳
“只是健身而已，有必要‘刷脸’入场吗?”近日，市民张女士通过广东省网络数据安全与个人信息保护协会“个人信息侵权投诉反馈平台”反映，自己在24/7 FITNESS健身房办理会籍时，被告知会员必须使用人脸识别才可以进入。
南方都市报、南都大数据研究院接到相关线索后调查体验发现，24/7 FITNESS、517FREE GYM等部分健身房以“非人工服务时段不刷脸难以核验身份”等为理由，涉嫌变相强迫会员接受以人脸识别作为唯一验证入场方式，部分健身房小程序还存在人脸等个人信息采集授权流程不规范的问题。
部分门店非人工时段消费者“刷脸”才能进
为对比了解健身场所会员入场普遍情况，南都研究员查看并体验了多家健身场所的小程序、App，并以消费者身份致电客服，咨询会员开卡及入场事宜。不同健身场所对于会员核验入场方式的规定不尽相同，其中，517FREE GYM、24/7 FITNESS等健身房在无人值守时段，会员不“刷脸”难以进入场地。
24/7 FITNESS健身(天河正佳店)客服表示，会员通过小程序开通会籍后需要录入人脸，用于门禁核验及身份认证。对于“不刷脸能否通过其他方式入场”的询问，该客服表示可以人工核验会员身份、手动开门入场，但这一方式只适用于人工服务时段(11时到21时)；工作人员下班后，会员只能通过“刷脸”入场，如果会员需要前往该品牌旗下其他门店健身，还要联系该开卡门店确认会员身份后方能入场，“会比较麻烦”“需要多花点时间等待”。
517FREE GYM(邦华店)客服也给出了类似回复:消费者如果不愿意“刷脸”，可以向平台报备，在人工服务时间内由前台人工核验入场；但非人工服务时间内“如果没有人脸(识别)的话，会比较难入场”。
与此相比，乐刻健身(越秀杨箕店)、超鹿运动(杨箕店)会员均只需通过小程序或App扫码入场，超级猩猩(粤海天地店)门店则主要输入动态密码入场，不受是否有人工值守影响。
去年6月施行的《人脸识别技术应用安全管理办法》(以下称《办法》)明确人脸识别技术应用的非强制原则，规定实现相同目的或者达到同等业务要求，存在其他非人脸识别技术方式的，不得将人脸识别技术作为唯一验证方式。个人不同意通过人脸信息进行身份验证的，应当提供其他合理、便捷的方式。《办法》还强调，不得以办理业务、提升服务质量等为由，误导、欺诈、胁迫个人接受人脸识别技术验证个人身份。
对此，北京市隆安(深圳)律师事务所许瑞凤律师在接受南都采访时指出，在无人值守时通过门禁卡、二维码、蓝牙等常规方式就能实现会员验证通行，要求会员只能“刷脸”入场的必要性并不充分。广东广信君达律师事务所合伙人律师张楠同样认为，自助健身房在存在多种替代核验方式的前提下，将人脸识别作为唯一或实质唯一的身份核验方式，变相强迫会员授权、使用人脸信息的行为，违反上述法律规定，属于违法收集、使用个人生物信息的违规行为。
人脸信息规则告知缺失 个人信息采集授权流程不合规
《办法》要求，处理人脸信息前，应当以显著方式、清晰易懂的语言真实、准确、完整地向个人告知人脸信息处理规则。基于个人同意处理人脸信息的，应当取得个人在充分知情的前提下自愿、明确作出的单独同意。
然而南都研究员查看发现，517FREE GYM小程序上会员开卡页面并没有对人脸信息的收集使用进行说明，且小程序隐私保护指引也未写明会收集人脸信息，仅在开门码页面中要求会员上传本人照片开通“扫脸进场”功能。
在收到张女士投诉后，广东省网络数据安全与个人信息保护协会委托技术单位对相关健身服务小程序开展隐私合规检测，还发现部分小程序疑似存在多项违规。比如，517FREE GYM小程序在首次使用时，未主动通过弹窗方式提示用户阅读同意隐私政策；在用户授权同意隐私政策前，存在弹窗索取位置权限，收集位置信息的行为；注册登录后难以找到隐私政策；未在隐私政策中逐一列举说明获取位置权限，收集使用位置、性别、姓名等信息的目的、方式、范围。24/7 FITNESS VIP小程序注册登录后无法找到隐私政策；未逐一列举说明收集使用姓名、性别、地址、身份证号等个人信息的目的、方式、范围等。
近年来，健身场所“强制刷脸”问题时有发生。近日，重庆市璧山区网信办对5家健身场馆违规收集、使用人脸敏感信息问题，依法开展约谈。经查，5家健身场馆存在人脸信息采集授权流程不合规、会员人脸及手机号等敏感数据安全防护存在漏洞等问题。
张楠律师提醒，健身房应严格遵守人脸识别规定，坚决不将刷脸作为唯一核验方式，保留扫码、刷卡、密码等便捷替代渠道，充分履行敏感信息专项告知、单独同意义务，规范人脸信息存储与销毁流程，防范信息泄露风险。
南都研究员 唐静怡
热门跟贴