民生場景刷臉合規系列調查報道·快遞網點

《人臉識別技術應用安全管理辦法》今年6月正式施行，確立了“目的明確、最小必要、嚴格保護”的人臉信息處理核心準則，并嚴禁將人臉識別作為唯一驗證方式。

與我們生活息息相關的各類民生場景，人臉識別管理方面合規嗎？南方都市報、南都大數據研究院推出“民生場景刷臉合規系列調查”，接市民意見后，分場景體驗測評，提示漏洞或違規點，助力人臉信息安全保護。

第二期場景聚焦快遞驛站、智能快遞柜等快遞末端網點，調查發現，豐巢、EMS首次線上寄件強制“刷臉”實名認證，部分快遞驛站網點自助取件出庫默認要“拍臉存檔”。快遞行業在推進智能化、無人化的同時，如何更好地規范使用場景、合規保護人臉等個人信息安全呢？

新施行的《人臉識別技術應用安全管理辦法》（下稱《辦法》）明確禁止將人臉識別作為唯一驗證方式，在公共場所安裝人臉識別設備，應當為維護公共安全所必需，依法合理確定人臉信息采集區域，并設置顯著提示標識。南方都市報、南都大數據研究院接市民意見后，對快遞驛站、智能快遞柜等快遞末端網點進行調查，發現豐巢、EMS首次線上寄件實名認證必須進行人臉識別，廣州部分快遞驛站網點自助取件出庫默認要“拍臉存檔”。（詳見報道）

據快遞企業反饋，“刷臉”實名認證是為了落實實名收寄的規定，快遞驛站取件“拍臉存檔”則是為了更好地解決取件糾紛。但不少市民質疑，快遞企業與驛站的“刷臉”“拍臉”太隨意，更存在人臉信息泄露風險。專家表示，人臉識別涉及用戶敏感信息，其應用應以用戶自愿為前提、最小必要為原則、用途合法為底線。就現下階段來看，快遞企業并無將人臉識別作為唯一身份認證方式的必要性。

快遞企業稱線上寄件“刷臉”為落實實名要求

部分快遞服務小程序為何將人臉識別作為首次線上寄件實名認證的必經環節？

豐巢小程序在實名認證頁面提示，“根據國家相關法律規定，寄件需要實名認證”，“我們將需要收集您的真實身份信息（姓名、身份證號）進行實名認證，并基于第三方騰訊云提供的人臉驗證服務收集您的人臉驗證結果”，在其隱私政策中，豐巢進一步表示，“我們僅獲得人臉識別的校驗結果，并不保留您的個人信息，除非依照法律法規另行取得合法性基礎”。

EMS則在線上實名認證頁面提示，“根據國家郵局要求，在線寄件需要驗證身份，實施實名寄件”，但并無對人臉識別進行進一步說明。南都研究員就此咨詢了EMS人工客服，對方肯定了線上寄件實名認證必須要做人臉識別，當問及原因時，客服僅回復“具體以頁面展示為準”“需要根據步驟提示操作”。

快遞實名收寄制并無規定必須“刷臉”

那么，是否有法律法規要求快遞收寄需要通過人臉識別進行實名認證？

南都研究員查閱《快遞暫行條例》《郵件快件實名收寄管理辦法》以及《廣東省快遞市場管理辦法》等發現，多份相關文件均僅要求寄件人出示有效身份證件以查驗身份并登記身份信息，以貫徹實名收寄規定，并無要求通過人臉識別方式進行實名認證。

進一步查閱可見，2023年，國家郵政局新修訂的《寄遞服務用戶個人信息安全管理規定》提出，寄遞企業收集寄遞服務用戶個人信息應僅限于完成寄遞服務全流程操作目的的最小范圍，不得過度收集用戶個人信息。同年發布的新版《快遞服務》三項系列國家標準（GB/T 27917—2023），增加了快遞用戶個人信息采集、存儲、使用中的數據安全要求，進一步明確實現快遞目的所必要的用戶個人信息包括姓名、聯系方式、寄件（收件）地址、寄遞物品信息等，并無提及人臉信息。

同時，該國家標準提出，快遞App采集信息范圍應符合郵政行業標準《寄遞服務用戶個人信息保護要求》（YZ/T 0189-2023）相關規定，包括：寄件人姓名、地址、聯系電話、證件類型和號碼等，收件人姓名、地址、聯系電話等，寄遞物名稱、類別、數量等，并無提及人臉信息。此外，國家網信辦、工信部等四部門發布的《常見類型移動互聯網應用程序必要個人信息范圍規定》對郵件快件寄遞類App所列出的必要個人信息范圍，也未包括人臉信息。

多位受訪專家均表示，目前，法律法規或部門規章層面，均未有文件要求快遞交寄必須通過人臉識別的方式進行實名。因此，快遞寄遞場景下的實名認證，仍受《辦法》中“非唯一性”原則的拘束。若快遞企業強制要求“刷臉”作為唯一驗證方式，而未提供身份證現場核驗等其他等效替代方案，則超出了實現快遞實名目的的最小必要范圍。

“拍臉存檔”非解決取件糾紛唯一方式

至于部分網點自助取件要“拍臉存檔”的原因，多位驛站負責人均表示，是為了在出現快遞冒領、錯領、丟件等糾紛時，翻看實時視頻記錄查找證據。

類似的原因出現在快遞柜監控說明方面。比如，豐巢在隱私政策中寫明，“我們會收集、存儲您使用快件箱的視頻/圖像”，“與此同時，您知悉并同意，在您的快遞出現丟件、錯拿或其他類型的快件糾紛的情況下，為幫助處理您與他人的快件糾紛，我們將使用對人臉圖像（如有）進行輪廓化處理后的監控視頻、圖像，以便快速處理您的快件糾紛。”

對此，廣東環球經緯律師事務所方梓楠律師認為，“拍臉存檔”雖在一定程度上減少了取件糾紛發生的可能性，但并不是處理冒領錯領的唯一方式。在有視頻監控設備的基礎上，結合掃碼取件、驗證碼驗證等取件方式，一般已足以滿足取件糾紛發生時的查證需求。將“拍臉存檔”作為常態化的取件機制，或屬過當。

他進一步補充，在一些特殊情形中，比如相關用戶此前曾多次因取件問題產生投訴、取件貨物屬于高額保價物品時，經用戶預先同意，采取“拍臉存檔”方式則具有更高的合理性。

北京師范大學法學院博士生導師、中國互聯網協會研究中心副主任吳沈括指出，《個人信息保護法》規定處理個人信息需“明示處理的目的、方式和范圍，并取得個人的同意”，處理敏感個人信息還需“取得個人的單獨同意”。若驛站在用戶取件時未明確告知將拍攝并存儲人臉信息，或未取得用戶單獨同意，則其行為違反“知情同意”規則。即使用戶已同意，也需確保“同意”的作出是基于充分知情且自愿，而非被迫接受。而在實踐中，部分驛站可能以“設備默認開啟人臉拍攝”為由默認采集，此類行為涉嫌“變相強制”，進一步削弱了目的正當性。

公眾質疑快遞企業、驛站隱私保障缺失

對于線上線下快遞收寄流程中涉及的“刷臉”實名、“拍臉存檔”等做法，公眾看法不一。

部分市民認為，人臉識別技術的應用，有助于提高取件寄件的效率及便利性，尤其在丟件追溯方面發揮作用。常在天河區石牌一家菜鳥驛站取件的一位市民更是表示，人臉識別在當下已經不是什么新鮮事，個人信息總是在無意中“被泄露”，見慣不怪了。

但更多的市民表達了疑慮與反對。在他們看來，寄快遞出示身份證，取快遞用取件碼已足夠，沒有必要、也不應該強制“刷臉”“拍臉”。

在海珠區一家兔喜快遞里，市民吳先生向南都表示，快遞“最好不要人臉識別”，在他看來快遞企業無法保證人臉信息不會被濫用，“再說現在實名認證手段很多，不一定要刷臉”。有市民認為，解決糾紛有墻上的監控攝像就可以了，不需要“拍正臉”，驛站將取件人的人臉信息和其它信息一起儲存，反而風險更大。有市民則提出，普通寄取件沒有必要用到人臉識別技術，但寄取易燃易爆品或農藥等危險物品時，運用人臉識別技術或許會更有安全保障。

公眾普遍反映的突出問題是標準混亂。有受訪市民提出疑問，為何有的快遞小程序驗證身份信息即可，有的必須刷臉？有的驛站默認拍照存檔，有的則不拍也能取件？這引發了公眾對快遞行業“刷臉”必要性的質疑，強烈呼吁建立統一、規范的標準。

人臉識別應以用戶自愿為前提

國家郵政局監測數據顯示，截至7月9日，今年我國快遞業務量已破千億件。誠然，人臉識別等技術的應用，可以提升快遞服務效率，給我們的生活帶來便利，但快遞行業作為個人信息流轉的關鍵節點，因其掌握的海量數據而成為信息泄露風險的焦點，快遞行業“內鬼”侵犯公民個人信息違法犯罪案件也時有發生。

在吳沈括看來，人臉識別技術在快遞行業的落地，本質是通過生物特征的唯一性，解決傳統快遞環節中“身份核驗效率低”“信息易泄露”“安全風險高”等痛點。但人臉信息的處理風險遠高于一般個人信息，作為不可再生的敏感生物特征，人臉信息一旦泄露，無法像“換手機號”一樣簡單規避風險，可能導致身份冒用、深度偽造詐騙等連鎖危害；對于人臉信息，部分企業也可能超范圍采集、超期限存儲或違規共享。

快遞實名驗證的核心目的是確認用戶身份真實性，防范利用寄遞服務實施違法犯罪。方梓楠強調，人臉識別技術的適用涉及用戶敏感信息，其應用應以用戶自愿為前提、最小必要為原則、用途合法為底線。就現下階段來看，快遞企業并無將人臉識別作為唯一身份認證方式的必要性，應以更為克制的態度，有序將人臉識別技術融入業務場景中。

中國電子技術標準化研究院華南分院網絡安全中心副主任畢思文認為，在已經有了手機號和身份證等實名認證方式的前提下，快遞寄遞引入人臉識別技術對于社會安全所起到的保護作用有限，同時又增加了用戶個人信息泄露的風險。他指出，快遞企業可將人臉識別作為實名認證的其中一種方式，“但不能強制，需要經過用戶單獨同意，給到用戶自愿的空間”，并事先開展個人信息保護影響評估，將處理敏感個人信息的安全措施做到位。

京衡律師事務所張玲玲律師指出，快遞行業應用人臉識別技術應當符合國家法律法規的規定，例如應用人臉識別技術處理人臉信息前依法履行告知義務取得個人信息主體有效同意，提前開展個人信息保護影響評估，識別處理活動對個人權益可能帶來的影響并采取措施降低不利影響等，使技術應用合法、必要、透明、可控。

針對公眾對于快遞隱私泄露風險的擔憂，吳沈括建議，快遞行業可以制定行業技術標準，規范應用的邊界，明確適用的場景，比如僅允許在“高安全風險場景”（如貴重物品配送、多次冒領記錄用戶）中使用人臉識別，普通場景優先采用非生物識別技術；同時可通過APP彈窗、網點海報等形式向用戶普及“拒絕刷臉不影響正常取件”“企業泄露信息可投訴”等人臉信息保護知識，減少因信息不對稱引發的恐慌；相關部門可加強對快遞企業的專項檢查，重點核查“是否超范圍采集”“是否履行告知義務”“數據存儲是否合規”，并對查實的違規行為依法處罰，形成震懾效應。

多位受訪專家提到，根據《個人信息保護法》《辦法》等法規，公眾有權利拒絕快遞寄遞流程中非必要的“刷臉”“拍臉”，要求企業提供身份證核驗等其余替代方式。如發現人臉信息被非法采集、泄露或濫用，可向快遞企業發起投訴或向網信、市場監管等部門舉報。

出品：南都大數據研究院

采寫：唐靜怡 袁炯賢 李偉鋒 麥潔瑩 梁雅媛

實習生 陳金婷 喬彥申