阿哲开了三家分店，去年为了赶时髦，全装上了刷脸点单设备，还开通了刷脸积会员分，省了不少人工。上周突然收到辖区市场监管的提示，说他常态化处理人脸生物识别信息，需要补做数据安全评估申报。
他盯着通知看了十分钟，问我：啥是数据安全评估？我一个卖珍珠奶茶的，犯得上？
刷脸一秒钟，背后三年的合规坑
阿哲说，当初招商的跟他拍胸脯，说这个设备免费装，赚了流水分成就行，半字没提什么合规申报。现在好了，设备用了一年多，会员攒了快十万，突然说要补手续。找了一圈代办，开口就要八千块。说这个流程要梳理数据流向，要做数据分级分类，要填十几张表，小商家自己搞不定。
阿哲当时就炸了。我一杯奶茶才赚三块，八千块快赶上我一家店一个月的房租了。抢钱呢？
说实话，我听完也懵。以前总觉得数据安全、合规申报这些，都是大厂、互联网公司才要操心的事儿，什么时候轮到街边上开奶茶店的小老板了？
仔细翻了翻规则才明白，只要你常态化处理生物识别信息，或者处理个人信息达到一百万人以上，或是数据要出境，都需要申报数据安全评估。阿哲存了十万多人的人脸信息，刚好卡在申报门槛里，躲不掉。
别以为只有大厂才挨刀，小玩家的隐秘门槛
不止阿哲。前阵子跟做宠物殡葬的阿凯吃饭，他也说刚被要求补申报。他做了个线上纪念馆，给主人存宠物的照片和视频，要收集主人的身份信息和联系方式，攒了小几十万用户，直接被盯上了。阿凯说，我做的是生死生意，又不卖数据，怎么也要搞这个？
不过话说回来，规则严不是坏事。前阵子小区刷脸门禁的数据被打包卖出去，一半业主拿到装修、殡葬的推销电话，这不就是监管要堵的漏洞？
但是问题就出在，很多小老板根本接收不到足够的信息。你开店办执照、交水电、搞外卖运营，已经够忙了，谁天天盯着网络安全的新规更新？等你收到通知的时候，已经要到期补材料了，只能被黑心代办宰。
太常见了。现在无数小商家赶数字化的风口，装会员系统、装刷脸设备、做线上小程序，个个都在收集用户信息，十个有九个没搞清楚，自己手里的信息，哪些是合规的，哪些需要申报。
踩坑之后，我总结了三个没人告诉你的细节
第一个，不是所有收集信息都要申报。如果你只是收个手机号发验证码，用完就删，根本不用凑这个热闹。但只要你存了人脸、指纹、基因这类生物识别信息做身份识别，一定要先查辖区的要求，别装聋作哑等找上门。
第二个，别上来就找第三方掏钱。很多地方网安大队都有免费的申报模板和指引，还有针对中小企业的简化通道。阿哲最后就是找了辖区的网安联络员，拿了模板，花三百块找了个计算机专业的大学生帮他梳理数据流向，加起来不到五百就搞定了材料，根本没必要给代办送八千。
第三个，提前留痕，别等催了才补。不管你做不做申报，只要收集用户信息，把授权协议理清楚，别默认勾选，数据存在哪、给谁用了，记好台账，真到要申报的时候，不至于手忙脚乱乱补。
昨天阿哲给我送了杯新品芒果奶茶，说申报材料交上去了，等着审核。他擦着吧台跟我说，现在开个店，真是什么都要学。以前只会煮茶摇奶盖就行，现在还要学搞数据合规。
是啊。数字时代的规则，本来就是跟着大家的脚步慢慢长的。小商家赶新潮踩坑，监管补规则，大家都在陌生的地方慢慢试，慢慢走。
哪有什么一蹴而就的规则？都是跟着人，一步步踩出来的。对吧。
