刷脸省三块，惹上合规事
阿凯的奶茶店开在县一中门口，去年为了拉会员，花两千块装了个刷脸点单的设备，注册会员刷脸减三块，半年攒了一千八百多个会员，全是十几岁的中学生，人脸信息都存在设备绑定的云盘里。上个月工商所上门做合规检查，直接指出来，他收集生物识别信息，按照要求得做数据安全评估申报，不然就得把设备拆了，还要罚款。
阿凯当时整个人懵了。我一个开奶茶店的，卖一杯赚两块，怎么还扯上数据安全了？他说，之前只知道开饭店要办健康证，卖烟要办烟草证，从来没听说卖奶茶还要给数据办证件。
说实话，我当时听完也愣了。一直以为数据安全评估是头部互联网公司才要碰的事，怎么会落到一个县城十几平的奶茶店头上？
盯上这块生意的，除了监管还有骗子
阿凯慌了之后赶紧上网搜，一打开全是五花八门的中介广告，“八千块包过数据安全评估申报”“不申报罚款五十万，我们帮你全程搞定”，给阿凯吓得差点就对着二维码转钱了。还好他多留了个心眼，找之前认识的市监朋友问了句，才知道这里面的坑有多深。
很多人到现在都搞不清，到底哪些情况需要做申报。不是只要收集数据就要报。按照现有规定，只有处理重要数据、收集100万人以上个人信息、或者处理敏感个人信息达到一定规模，才需要申报省级或国家级的正式评估。阿凯这点量，其实只需要在当地政务平台做个线上的自评申报就行，根本花不了大价钱。
不过话说回来，坑不止黑中介这一个。很多商家和阿凯一样，觉得我用了第三方的设备，数据存在第三方的服务器，出了事当然第三方负责。对吧？可法律不这么认。你是数据的收集者，你拿了用户的信息赚了钱，你就得负总责。第三方有没有合规，那是你要提前查清楚的事，甩锅是甩不掉的。
阿凯后来查了给他供设备的那个小公司，连个正规的等保证书都没有，吓得他赶紧给所有会员发了通知，问要不要注销信息，不想注销的就把数据迁到了当地运营商的合规云盘里，前后折腾了快一周才搞定。
规则落地，从来不是只卡大厂
阿凯折腾完这一通，跟我吐槽说现在赚点小钱怎么这么多规矩。我听着也有点感慨，可仔细想想，这事一点都不奇怪。
几年前刷脸支付还是高高在上的高科技，现在随便一个路边摊都能装得起。商家用刷脸拉会员赚流量，拿用户信息换了好处，总得有规矩管着吧？那些都是十几岁孩子的人脸信息，真的被人拖出去卖了做诈骗，或者搞什么歪门邪道，阿凯这个开店的能跑得了？说来说去，申报其实也是给老板们上了一道保险。
很多人一听到数据安全就头大，觉得这是写在政策报告里给大厂看的东西，和自己开个小店赚辛苦钱没关系。可现在数字生意早就下沉了，你开个奶茶店都在用数字工具拉客户，规则当然跟着就下来了。这不叫刁难人，这叫规则跟着生意走，你享受到了数字时代的好处，就得遵守对应的新规矩。
阿凯最后花了八百块找当地一个做合规的小律师帮忙填了申报表，不到一周就通过了，设备也不用拆，生意照样做。现在他逢人就说，原来也没那么可怕，就是自己吓自己。
我这段时间跑了好几个地方，见过做大模型的老板愁评估申报，见过做社区团购的团长愁数据上报，现在连县城奶茶店都撞上了。没有谁一开始就懂新规矩，大家都是摸着石头过河。法律也不是一下子就把所有路堵死，它是跟着大家的脚步，一步一步划清楚边界。哪天你开店用上了新的数字工具，别忘了多问一句，我收集的这些数据，要不要申报？别等找上门了才慌。
