诱导“刷脸”支付、索取手机号……注意自动售货机的“小心机”
酷暑来临,走在校园、地铁、公园等公共场所,市民就近到自动售货机、智能售货柜购买冰饮一解干渴,已成为稀松平常的消费场景。不过,自动贩售服务给人们带来购物便利的同时,也引发不少担忧。
近日,有上海市民反映,当下自动售货机有许多支付选项,还经常需要授权各种个人信息,“还没反应过来,支付就完成了。”自动售货机的支付方式现状如何?存在哪些问题?记者展开了调查。
普遍索取手机号码
王先生是一名在校老师。近期,他在学校里用自动售货机选购零食饮料时注意到了异常。校园中的教学楼设置了品牌名为“新的吧NEWLAB”的自动售货机。购买零食过程中,必须绑定手机号才能消费。王老师认为商家有过度收集个人信息的嫌疑,但是无奈当时着急消费,只能绑定。
不久,他又体验了校内的另一个售货机品牌“小嗨柜”,发现也需要被绑定手机号。由此,王老师产生了一系列疑惑:消费者就想花钱买些吃的,为何自动售卖机一定要获取手机号?获取后的使用去向是哪里,是否有保护措施?
售货机品牌要求用户授权手机号才可使用。
在课间与学生交流期间,王老师向学生们谈起了自己的经历和疑惑,并鼓励大家讨论。其中,小陈同学也分享了自己的经历。
“半夜饿了,小卖部又关门了,第一时间就会想到找自动售货机。”小陈使用的是宿舍区的自动售卖机,同样是不绑定手机号无法消费。
5月底,她第一次使用“小嗨柜”购买矿泉水,机器要求先授权微信支付积分。之后她又选择使用“刷脸”支付,机器摄像头打开,捕捉到她的面部信息,随后页面跳转到了她的支付宝账号。“它怎么知道我的支付宝账号信息?为何没有单独告知并同意的过程?”为此,她询问售货机客服获知,售货机拍摄的人脸信息需要与支付宝账户里的身份证来比对。小陈认为,售货机本身并没有明确告知她,拍摄的人脸信息会与支付宝进行交互。此外,售货机本身如何对捕捉的人脸信息进行保护和处理,她也无法获知。
为了保护师生个人信息权益,王老师指导学生团队开展网络和实地调研。调研发现,28所学校、13个品牌的自动售货机存在索取手机号的现象,有的还需要关注公众号、授权验证微信或支付宝支付分,只有少数自动售货机直接扫描二维码支付。此外,调研团队还意外发现,个别自动售货机会优先推荐使用人脸识别的支付方式。
存在诱导“刷脸支付”
连续多日,记者也走访了地铁、公园、写字楼、商超等公共场所,查看自动售货机的支付情况。
上海地铁徐家汇站因空间较大,拥有数量较多的自动售货机。其中一台“AI智能识别柜”的屏幕上,“人脸支付”的字样被放在支付选项的上方,框线颜色作加深处理,“扫码支付”则放在下方。点击“人脸支付”,摄像头开始摄取人脸信息,随后识别出记者的支付宝账号,并请求授权。记者看到屏幕下方一行“小字”提示可查看《授权付款服务协议》。密密麻麻的条款下,无法辨析出重点内容。在同意并确定后,屏幕又提示“首次使用刷脸功能,请先使用本人支付宝扫码授权手机号方可进行购物”。
“人脸支付”的字样被放在支付选项的上方,框线颜色作加深处理。
另一处“up售货机”上,硕大的“支付宝刷脸付”占据一半的屏幕,伴有“刷脸支付,随机免单”字样。若在底部选择其他支付方式,则还有关注各类公众号、微博号等硕大的二维码干扰消费者扫码支付。记者蹲点时发现,自动售货机的消费者多为年轻人。消费者在看到醒目的刷脸支付功能时,没有丝毫犹豫就直接点击。人脸被识别后,还需要输入手机尾号4位。随后,屏幕又跳转出广告以及下方的一行“小字”——授权获取性别、手机号、生日、常住城市等信息。没有考虑很久,一名消费者就点击了同意,完成支付。
硕大的“支付宝刷脸付”占据一半的屏幕。
在地铁肇嘉浜路站,一台售货机将“微信刷脸支付”作为默认的首选项,并占据半个屏幕。选择扫码支付则需再次点击下方的选项。
售货机将“微信刷脸支付”作为默认的首选项。
走访下来,地铁场景中也有不少自动售货机因相对老旧,不具备人脸识别支付功能,无需个人信息授权,可直接扫码支付。个别品牌的新设备亦可直接扫码支付。
在徐汇滨江绿地,自动售货机均为同一品牌“云灏智贩”。售货机默认提供扫码支付方式,同时具备人脸支付功能,各自的图标大小区分不明显,并且平行放置。但是,若选择刷脸支付,设备进入捕捉人脸信息的状态,马上比对出支付宝付款账号,同时显示“确认付款”的按钮,点击后扣款就会完成。相比上述某些设备的多次授权同意环节,这台设备似乎直接省略了。
记者留意到,有一台售货机的人脸识别摄像头被人为刮花,已无法识别出人像信息。
不应过度索取个人信息
记者就“up售货机”突出显示人脸识别支付的情况致电官方客服人员,对方表示,人脸识别支付是近两年在一部分机器上推广的方式,操作上会更便捷。至于后续验证手机后四位的操作,也是为了强化实名认证。对于刷脸支付“非必要不优先使用”的要求,客服人员表示并不清楚,但是,她会把记者和消费者的意见反馈到公司,请运营和技术人员加以改进。
2023年8月,国家网信办公开发布《人脸识别技术应用安全管理规定(试行)(征求意见稿)》(以下简称“征求意见稿”)提到,使用人脸识别技术必须遵循“最少使用”和“最小存储”。其中,“最少使用”就是指,只有在具有特定的目的和充分的必要性,并采取严格保护措施的情形下,方可使用人脸识别技术处理人脸信息。实现相同目的或者达到同等业务要求,存在其他非生物特征识别技术方案的,应当优先选择非生物特征识别技术方案。
此外,《中华人民共和国消费者权益保护法》也明确规定,经营者收集、使用消费者个人信息,应当遵循合法、正当、必要的原则,明示收集、使用信息的目的、方式和范围,并经消费者同意。
经营者收集、使用消费者个人信息,应当遵循合法、正当、必要的原则。
业内人士指出,根据《中华人民共和国个人信息保护法》、“征求意见稿”以及《中华人民共和国消费者权益保护法》的规定,市场上的部分自动售货机存在诱导或强制消费者使用刷脸支付、过度索取个人信息等情况,而且在向用户单独、充分告知上存在不规范的乱象,人脸信息的存储和传输安全上也不透明。而有些商家将收集信息种类、范围等重点内容隐藏在冗长的隐私协议、用户协议里,也是对消费者的误导。消费者购买一瓶水,根本没有时间去看那么长而密的用户协议,点击了所谓的“同意”,本身正是被误导的结果。
记者从网信部门获悉,针对公共场所强制、滥用人脸识别技术问题,上海市网信办已协同市市场监管局、市公安局以及市商务委、市教委、市科委、市文旅局、市体育局、市绿化市容局、市房管局等多个行业主管部门,聚焦运动场所、经营场所、文旅场所、培训场所、生活居住场所、其他场所等6大场景,开展专项整治,并将推出有关行业人脸识别技术应用的“正面清单”和人脸信息保护合规指引。