“AR试妆”侵犯隐私，丝芙兰被判赔800万元

“如果企业无视用户选择保护自己隐私的请求，那技术的进步就毫无意义。”

文丨邹欣晨

据美国加利福尼亚州司法部官方网站于8月24日发布的公告，路威酩轩（LVMH）集团旗下的美妆零售商品牌丝芙兰已与加州司法部达成和解，前者将按照加州总检察长Rob Bonta在公诉中提出的要求，支付120万美元（约合人民币827万元）作为该品牌违反加州消费者隐私法案（CCPA）的补偿金。

CCPA于2018年通过，并于2020年正式开始生效，这一法案旨在赋予消费者特定的权利以保护自身数据安全。根据CCPA的规定，消费者有权了解企业收集到哪些关于他们的数据，以及这些数据是以何种方式被企业使用、又被企业共享给哪些第三方。消费者还有权要求企业删除关于自己的数据，并有权选择让自己的数据从一开始就不被企业收集。

在长达48页的起诉书中，Rob Bonta指称，丝芙兰通过“AR试妆”等小程序，擅自收集用户的人脸识别数据并出售给第三方，且并未将这一事实告知消费者。丝芙兰也未向消费者提供“试妆结束后，删除自己的人脸识别数据”和“允许丝芙兰收集，但禁止丝芙兰销售我的隐私数据”等安全选项，且在加州司法部发出警告后给出的30天“缓刑期”内，还未解决这些违规问题。

丝芙兰方面则辩称，该公司向来尊重消费者隐私，使用消费者的个人信息只是为了改善他们的用户体验，并且过程“力求透明，如履薄冰”——该品牌发言人在《Beauty Matters》的采访中说，他还认为，问题在于CCPA对“Sale”（销售）这一行为的定义。“CCPA定义下的‘销售’包括全行业常见的、通用的技术，比如cookie，这只是让我们为消费者提供关联性更强的丝芙兰产品推荐、以及个性化的用户体验。”该发言人表示，他还指出，丝芙兰已经在官网页脚上做出了“不出售我的个人信息’”按钮，消费者点击即可退出这种个性化购物体验。

丝芙兰进一步声称，自2021年11月以来，消费者便可以通过开启GPC功能（欧美主流搜索引擎通用的一款隐私保护功能，该功能在启用后，会向被访问网站发出警告信号，表明用户希望其个人信息不被网站追踪、收集和出售）向丝芙兰表明自己保护隐私的诉求。

但加州司法部“得理不饶人”，在后续庭审中当堂出示了由总检察长Rob Bonta本人亲自调查出的证据：根据Bonta及其办公室成员开展的数据监测，即使消费者在访问丝芙兰网站时开启GPC功能表示自己不想出售个人信息，他们的数据还是源源不断地经丝芙兰流向第三方平台——如广告商和分析供应机构等。在这一过程中，丝芙兰并未采取任何行动来阻止消费者个人信息的传输与泄露，即使他们已经收到了GPC发出的警告。简而言之，丝芙兰完全将GPC和消费者保护隐私的诉求“视之为无物”。

在海量的证据面前，丝芙兰终于“心服口服”。根据和解协议，丝芙兰不仅要向加州司法部支付赔偿金，还要向美国公众明确告知其存储数据的作用、数据去往第三方平台后的用途，并建立健全可让用户选择“不出售其个人信息”的机制，还要确保丝芙兰本身及其合作的第三方平台均能符合CCPA的法规要求。

Rob Bonta在后续声明中指出，此案的判决具有“里程碑”级的意义。“毫无疑问，人脸识别技术正在大大增加我们生活的便利程度，但如果企业隐瞒他们如何使用客户的人脸识别数据，并无视用户选择保护自己隐私的请求，这些进步就毫无意义。” Rob Bonta断言道。

他还宣称，加州司法部与丝芙兰达成的这项和解，将向所有不遵守消费者隐私法（“不仅是CCPA，也包括美国各州的隐私法案”）的企业都“传递一个强烈的信息”。“希望诸位知道，我和我的同事正在看着你们、我们将追查到底、我们会追究每个侵犯隐私的企业的责任。警告已经发出，没有更多的借口，请务必遵守法律。”