12月14日，小鵬汽車因半年采集超43萬張人臉照被罰10萬元登上熱搜。

違規采集消費者面部數據

上海徐匯區市場監管局行政處罰書信息顯示，當事人上海小鵬汽車銷售服務有限公司，實際經營地為上海市楊浦區軍工路1599號2至5幢，主要從事小鵬汽車銷售。

2019年當事人業務母公司小鵬汽車銷售有限公司與第三方公司簽訂《小鵬汽車門店客流監測項目框架合同》，合同約定當事人自2019年3月1日起向該公司購買門店客流監測項目服務。當事人付款購買該公司的人臉識別攝像設備后，安裝在旗下門店用于采集消費者的面部識別數據，數據上傳至該公司后臺系統，通過該公司開發的算法對面部數據進行識別計算，以此進行門店的客流統計和客流分析，包括進店人數統計、男女比例、年齡分析等。當事人同時購買該公司的系統服務，開通相應賬號登錄該公司開發的相關軟件，來查看前述門店客流統計和分析結果，在公司經營中用作參考。

經查，當事人共向第三方公司購買具有人臉識別功能的攝像設備22臺，型號為F3，硬件及軟件采購費共計人民幣173822.77元。前述人臉識別攝像設備全部安裝在當事人旗下門店，涉及5個直營店及2個加盟店，開通系統賬號8個，2021年1月至2021年6月期間，前述人臉識別攝像設備共計采集上傳人臉照片431623張。

當事人在旗下7家門店安裝人臉識別攝像設備，采集消費者面部識別數據，并未經得消費者同意，也無明示、告知消費者收集、使用目的。

截至案發，當事人已拆除上述門店內的人臉識別攝像設備，上傳的人臉照片已經由第三方公司進行刪除。當事人無違法所得。

徐匯區市場監管局認為，當事人的上述行為違反了《中華人民共和國消費者權益保護法》第二十九條第一款的規定。依據《中華人民共和國消費者權益保護法》第五十六條第一款第(九)項以及《中華人民共和國行政處罰法》第三十二條的規定，責令當事人改正違法行為，并對當事人行政處罰人民幣壹拾萬元整。

收集消費者信息必須征得同意

《中華人民共和國消費者權益保護法》第二十九條規定，經營者收集、使用消費者個人信息，應當遵循合法、正當、必要的原則，明示收集、使用信息的目的、方式和范圍，并經消費者同意。經營者收集、使用消費者個人信息，應當公開其收集、使用規則，不得違反法律、法規的規定和雙方的約定收集、使用信息。

12月14日，小鵬汽車公開道歉并解釋稱，此次事件，事出上海區域的門店，希望通過對于門店客流等數據的收集與分析，改善接待流程，更好地服務到店客戶，但由于對相關法律條款的不熟悉，誤采購并使用了違反相關法律條款的第三方供應商(悠洛客)的產品。

小鵬汽車對本次行政處罰表示完全服從，并對此事做出深刻反省。

小鵬汽車提到，其上海門店在3月18日上海市監局檢查之前，就通過內部自查自糾工作主動撤下了所有的采集設備。人臉數據由第三方軟件提供商收集和分析，數據已經全部刪除。小鵬汽車不存在泄露或違法使用個人信息的情況，僅通過客流到訪量等非個人關聯的數字數據作為經營狀況的參考。

記者查詢發現，這并非汽車銷售門店第一次被爆出違規對顧客進行“人臉識別”。早在2021年的中央廣播電視總臺3·15晚會上，央視就曝光了寶馬等汽車銷售門店通過安裝攝像頭搜集并分析顧客人臉數據。

2021年7月28日，最高人民法院發布司法解釋，對人臉識別進行規范。最高法在充分調研基礎上制定司法解釋，對人臉信息提供司法保護。解釋明確規定，在賓館、商場、銀行、車站、機場、體育場館、娛樂場所等經營場所、公共場所違反法律、行政法規的規定使用人臉識別技術進行人臉驗證、辨識或者分析，應當認定屬于侵害自然人人格權益的行為。

2021年11月1日起，《中華人民共和國個人信息保護法》正式施行。該法明確規定，任何組織、個人不得非法收集、使用、加工、傳輸他人個人信息，不得非法買賣、提供或者公開他人個人信息。處理個人信息應當取得個人的同意；基于個人同意處理個人信息的，該同意應當由個人在充分知情的前提下自愿、明確作出。