国家网信办：网购时要求消费者人脸识别，属于过度收集信息！
南都讯 记者李玲 4月9日，国新办举行国务院政策例行发布会，介绍《消费者权益保护法实施条例》（以下简称《条例》）的有关情况。近年来，一些App过度采集使用个人信息，引起不少消费者的担忧。对此《条例》专门作了细化规定，要求经营者应当依法保护消费者的个人信息。
《条例》第23条指出，经营者在提供商品或服务时，不得过度收集消费者个人信息，不得采用一次概括授权、默认授权等方式，强制或者变相强制消费者同意收集、使用与经营活动无直接关系的个人信息。
国务院政策例行吹风会现场（图据国新办官网 刘健/摄）
当天发布会上，国家网信办网络法治局负责人尤雪云就《条例》中涉及个人信息保护的条款进行解读。她表示，我国高度重视个人信息保护，2021年制定实施了该领域的基础性法律《个人信息保护法》。同年，国家网信办、市场监管总局等四部门联合制定了《常见类型移动互联网应用程序必要个人信息范围规定》，明确了39种常见类型App的必要个人信息范围，规定App运营者不得因用户不同意收集非必要个人信息而拒绝用户使用App基本功能服务。
“比如，网购的基本功能服务就是购买商品，必要个人信息范围包括：注册用户的移动电话号码，收货人的姓名、地址、联系电话；支付时间、支付金额、支付渠道等支付信息。如果超出这些——比如要求人脸识别，就是过度收集了，（因为）这不是必要个人信息。”尤雪云说。
《条例》第23条还明确，经营者处理包含消费者的生物识别、宗教信仰、特定身份、医疗健康、金融账户、行踪轨迹等信息以及不满十四周岁未成年人的个人信息等敏感个人信息的，应当符合有关法律、行政法规的规定。
尤雪云强调，只有在具有特定目的和充分的必要性，并采取严格保护措施的情形下，方可处理敏感个人信息，并且应当取得消费者的单独同意或者书面同意。如果处理不满14周岁未成年人个人信息的，应当取得未成年人的父母或者其他监护人的同意，还要制定专门的个人信息处理规则。
按照《条例》规定，经营者应当如何依法保护消费者的个人信息？尤雪云进一步指出，经营者应当保障消费者在个人信息处理活动中的知情权、决定权，包括查阅复制权、更正补充权、删除权、解释说明权等，建立便捷的消费者行使权利的申请受理和处理机制。经营者不得非法出售、提供或者公开消费者的个人信息，应当采取必要措施保障个人信息安全，防止未经授权的访问以及个人信息的泄露、篡改、丢失，发生或者可能发生个人信息泄露、篡改、丢失的，经营者应当立即采取补救措施，并通知履行个人信息保护职责的部门和消费者。
据南都记者了解，该《条例》已于近日正式发布。作为消保法首部配套行政法规，《条例》将自2024年7月1日起施行。