非法收集人脸数据？雅诗兰黛面临集体诉讼

雅诗兰黛因通过官网虚拟试妆工具非法收集用户面部数据，于近日面临消费者的集体诉讼。AR试妆工具是近年来广受关注的新兴技术，该技术在帮助美妆企业实现数字化发展的同时，也带来了不小的法律风险。

虚拟试妆工具擅自收集用户面部数据

近日，雅诗兰黛公司因未能披露对消费者面部生物特征扫描数据的收集行为，在美国伊利诺伊州面临集体诉讼。

根据集体诉讼组织的文件，消费者对面部扫描技术感到非常担忧，雅诗兰黛没有达到伊利诺伊州生物识别信息隐私法案（BIPA）规定的明确要求。雅诗兰黛在收集面部识别信息之前，并未征得用户的同意，同时拒绝告知用户，如果他们使用虚拟“试一试”工具会被收集面部识别信息。

消费者在使用该工具时，只会看到雅诗兰黛隐私政策的相关链接，而不是公司全面披露的面部扫描图像。根据诉讼，隐私政策中并未包括披露雅诗兰黛收集、捕获、拥有或以其他方式获取消费者的敏感生物特征数据。

诉讼方称，雅诗兰黛违反了国际广告法，并同时违反了BIPA（伊利诺伊州立法机构2008年通过的生物识别信息隐私法），每当伊利诺伊州的网站访问者使用雅诗兰黛的虚拟试穿工具时，都会被雅诗兰黛收集和存储生物识别信息或生物识别码，且没有告知在其网站上试用化妆品的任何消费者或征得他们同意。

为了覆盖过去四年在伊利诺伊州被虚拟试穿工具捕获生物识别码的所有消费者，诉讼方要求雅诗兰黛必须以书面形式披露收集、存储和使用生物识别数据的“特定目的和期限”。

这并非雅诗兰黛首次因用户隐私问题引发争议，2020年，雅诗兰黛的官方服务器曾遭到黑客攻击，导致其未加密的云数据库数据泄露，该数据库包含超过4亿名客户的敏感数据，包含客户记录、内部日志、电子邮件地址等重要隐私信息。

网络安全意识倡导者Erich Kron表示，“数据泄漏事件足以证明一个非常简单的错误可能会产生非常严重的后果，就像这次，雅诗兰黛的员工在共享驱动器或数据库中设置了错误的权限。”

AR美妆大热的同时，法律隐患也需重视

随着电商时代的崛起，消费者期望可以在线上获得更多的消费服务和体验，美妆品牌为了解决线上购物难以试妆的难题，通过AR技术打造了可以在线上试妆的网络工具，技术正在成为美妆产业不可或缺的一部分。

日前，玩美移动宣布将在纳斯达克上市，这一成立于2015年的年轻公司主要通过AI、AR技术开发美妆、时尚产业SaaS科技服务，具体解决方案包括3D脸部和手部建模、AI几乎检测和模拟、AR影像支援咨询、实时虚拟产品试用以及个人化脸部特征侦测与推荐等。

玩美移动私募股权投资交易得到了香奈儿、资生堂等投资者的支持，资生堂还决定通过投资玩美移动进一步帮助企业布局数字化美容版块。雅诗兰黛曾于2020年联手玩美移动推出了一个AR美妆培训直播课程，并应用了玩美移动开发的AR美妆App——玩美彩妆（YouCam Makeup）。

雅诗兰黛的官网上也安置了AR虚拟试妆功能，只要有照片就能测试用户喜欢的化妆品。除了试妆方便外，该功能还会根据实际模型的质地完成一些产品，比如用来区别光滑唇膏和哑光唇膏，此外面部追踪工具还能现场捕捉用户的眼睛和嘴唇轮廓。

但技术发展在带来便利的同时，也带来了隐私安全风险。不仅雅诗兰黛在美国面临集体诉讼，在国内，这类技术运用也同样存在法律隐患。

去年315晚会，央视曝光了一批经营主体在经营过程中存在未经顾客同意，违法获取消费者人脸识别信息的行为，引发舆论关注。经排查，共有八家经营主体与上海一家电子科技有限公司签订人脸识别技术服务合同后，违法收集人脸信息。截止到2021年3月，这八家经营主体在经营过程中共计违法采集人脸识别面部数据2600余万张，涉及284个人脸识别设备，143家门店。

根据相关法律规定，人脸信息属于生物识别信息，也属于个人敏感信息，是受到法律保护的，在收集时应获得个人信息主体的同意。相关经营单位在未告知的情况下，以非正当方式强制收集消费者的人脸信息，侵犯了不特定多数消费者的合法权益，损害了社会公共利益。

同时，这些经营单位采集的人脸识别数据流通路径无法监测，存在数据在二次利用、加工后泄漏，被用于盗窃、诈骗等违法犯罪活动的衍生风险。

人脸识别技术是信息科技发展的结果，但技术的发展应接受法律的监管，技术的应用应该有边界感，不可触犯用户隐私权益，其中的法律风险值得警惕。