上周蹲在小区门口张姐的水果店蹭西瓜吃，她偷偷拉我袖子说，上周市场监管所的人找她了，说她店里装的那个刷脸领5块钱优惠券的机器，涉嫌侵犯公民个人信息。
我当时啃西瓜的动作都停了。
张姐的店开了快三年，门口挂着洗得发白的“西瓜包甜”红布帘子，收银台旁边摆着个半人高的白色机器，上面贴的二维码字小得要凑到十厘米远才能看见“刷脸立减5元”。她本来是今年春天跟风搞的活动，找的是上门推销的第三方服务商，对方拍着胸脯说“就是个本地的识别系统，不用输手机号，顾客方便，你也能拉新”，连个纸质的告知书都没让她贴。
你以为的“自愿刷脸”，其实是绑在优惠券上的强制交易
后来监管的人跟她说清楚了她才懂：那个所谓的“本地识别系统”，根本就是把顾客的人脸数据实时传到了服务商的总部数据库，可以识别顾客的年龄、性别，还能给用户打消费能力标签，精准推送周边三公里的奶茶店、健身房、少儿培训班的广告。她给顾客的5块钱优惠券，本质上是拿顾客的人脸数据换的——而绝大多数顾客，根本不知道自己刷脸的代价是什么。
更有意思的是，张姐一开始还觉得委屈：“我又没把顾客的脸拿去卖钱，我就是想搞个活动拉点生意，怎么就违法了？”
说穿了，很多像张姐这样的小商家，对“侵犯公民个人信息”的认知还停留在“把手机号卖给骗子”的层面，根本不知道人脸、行踪轨迹、消费偏好这些早就属于受法律严格保护的个人信息。你只要没拿到顾客的单独同意，没告诉人家数据会被传到哪里、用来做什么，哪怕你是好心，哪怕你没从中牟利，只要数据流到了你不该让它去的地方，你就踩线了。
那些藏在“用户授权协议”里的暗扣，比你想的狠
上个月去巷口那个二手数码店修笔记本，老板小周跟我倒苦水，说他前阵子刚被派出所叫去谈了话。
他之前为了搞私域运营，花了999块买了个所谓的“智能客户管理系统”，销售跟他说，只要把之前店里的顾客手机号导进去，系统就能自动给用户打标签，比如“高消费”“近期有换手机需求”，还能自动生成朋友圈广告。他用了俩月，正觉得客户复购率涨了不少，警察就找上门了——原来那个系统根本不是什么客户管理工具，是个非法爬取公民个人信息的黑产平台，他导进去的那300多个手机号，一半是系统从别的商家那里偷偷爬来的，根本不是顾客自愿留给他的。
“我又没把这些手机号卖给别人，我就是用来发个朋友圈广告啊？”小周挠着头，还是想不通。
说实话，我碰见过太多和小周一样的老板，都觉得“我拿顾客的信息发个广告怎么了，又没拿去牟利”。但现在的规则早就不是以前的逻辑了。根据个人信息保护法的要求，不管你是用来卖钱，还是用来给自己拉生意，只要你获取个人信息的渠道不合法，或者你超出了当初顾客给你信息的使用范围，就算侵犯公民个人信息。之前有个判例，就是个开家政公司的，把之前雇主留的手机号导出来，给月嫂培训班发广告，自己一分钱没拿，还是被判了罚金。
下一个爆雷的侵犯公民个人信息场景，可能就在你家小区的物业办公室
我另一个朋友上周跟小区物业吵了一架。
物业上个月搞了个“智慧社区升级”，说要给业主提供精准服务，要求所有人扫个二维码填信息，要填手机号、门牌号，连年龄、家里有没有老人小孩、平时几点出门几点回家，甚至平时常买的生鲜品牌都要填。朋友说他不想填，物业的人直接说，不填就不能进小区的公共健身区，也不能用楼下的快递柜。
“我就是想进个健身房，凭什么要把我家的家底都告诉你？”朋友气得不行。
他后来找物业要说法，问这些信息收集了之后存在哪里，会不会卖给第三方，有没有单独的告知书。物业的人支支吾吾半天，只说“别的小区都这么搞，这是智慧社区的标配”。
你看，这和张姐的水果店、小周的二手数码店本质上是一回事：不管是小商家、第三方服务商，还是物业，都在拿着“数字化升级”“提升服务”的幌子，试探规则的边界。他们都觉得“大家都这么做，肯定没事”，直到哪天监管找上门，才反应过来自己已经踩了侵犯公民个人信息的红线。
昨天又路过张姐的水果店，她已经把那个刷脸设备拆了，换成了输手机号领优惠券的，收银台旁边贴了张歪歪扭扭的A4纸：“本店不会把你的手机号给任何人。”
她跟我说，之前以为搞数字化就是装个机器拉个新，现在才知道，拿顾客的信息换生意，迟早要栽。
