店铺在一定程度上属于公共场所,而根据《个人信息保护法》第26条规定,在公共场所安装图像采集、个人身份识别的设备,应当为维护公共安全所必需,且必须设置显著的提示标识。且除非征得个人单独的同意,否则所收集的个人信息只能用于维护公共安全的目的,而不得用于其他目的。而就普通店铺而言,难以认为有维护公共安全的需要。由此可见,在难以取得事先书面同意的情况下,店铺安装人脸识别系统存在较大的法律风险。
有观点认为,店铺可以安装仅具有图像采集功能的设备,然而不具有身份识别功能意味着不涉及个人信息的处理,这要求收集的“个人信息”不具有可识别性,也就不属于法律意义上的个人信息,不属于《个人信息保护法》所规制的范畴。而这一要求在技术上尚且难以实现。
问 若店铺安装有人脸识别系统,在难以取得进入者事先书面同意的情况下,如何避免合规风险?