零售防盗能否"刷脸"？英国ICO新指南划出合规边界

英国ICO 2026 年 7 月新指南，为零售防盗使用CCTV、信息共享和人脸识别设合规边界

2026年7月3日，英国信息专员办公室（ICO）发布《使用个人信息保护企业免受犯罪侵害》指南，面向零售商说明如何使用CCTV、共享涉嫌盗窃或暴力人员的信息，以及部署人脸识别技术。该指南不是新法律，却反映了监管机构对零售防盗技术的执法尺度：数据保护法并不禁止企业防范犯罪，但人脸识别不能因为"防损需要"而自动取得合法性。

一、ICO给零售企业划出的边界

ICO首先确认，零售商可以使用CCTV等个人信息预防盗窃、暴力或员工受袭，也可以在必要、适度的范围内向警方或相关员工分享信息。但涉嫌犯罪的信息属于criminal offence data，误认会对个人产生严重影响，因此需要额外保障。^[1]

指南特别区分了三种共享方式：向警方提供与案件有关的必要片段通常可以成立；向内部员工发布风险提醒，应限制访问、核验准确性并设置删除期限；把疑似盗窃者照片公开上传社交媒体，则通常缺乏正当性，因为企业会失去对信息后续传播和利用的控制。^[2]

对于实时人脸识别，ICO承认其并非绝对禁止，但强调公共场所使用门槛很高。系统会扫描进入环境的所有人，而不仅是已被怀疑的人。企业必须证明措施对于防止犯罪确有必要、没有侵扰更小的可行替代方案，并逐案判断人员是否应被加入观察名单。企业还需确定处理普通个人数据、生物识别数据和涉嫌犯罪数据的法律依据，完成详细的数据保护影响评估（DPIA），制定适当政策文件，并设置清晰提示标识。^[3]

二、英国、中国、欧盟与美国的规则比较

三、对中国零售与技术企业的具体启示

（一）零售商不能把"防损"写成一个无限目的

企业应分别界定威慑、现场处置、事后调查、员工安全和跨门店预警等目的。普通CCTV、从录像中人工调取片段、建立嫌疑人观察名单以及实时人脸识别的侵扰程度不同，不能用同一份笼统评估覆盖。上线前应记录盗损规模、既有措施效果、拟部署门店、摄像区域、识别阈值、误报处理和停用标准。

（二）建立观察名单不能只依赖一次报警或模糊照片

名单应限定于有充分事实依据、确实构成持续风险的人员，并设置人工审核、证据来源、复核周期和自动到期机制。算法匹配只能产生提示，不应直接导致公开指控、永久拒绝服务或报警。员工必须在采取行动前核对现场情况，并为被误认者提供便捷申诉和快速删除渠道。

（三）技术供应商与零售商要重新划分责任

人脸识别供应商不能只承诺准确率。合同还应约定观察名单由谁建立、阈值由谁调整、误报由谁复核、模板是否用于模型训练、数据保存在哪里、是否跨境、何时删除以及如何协助响应个人权利。零售商通常仍是决定用途和方式的控制者，不能以"算法由供应商提供"为由转移责任。

（四）跨国部署宜采用"全球高标准底线＋本地差异模块"

可在全球统一采用目的限定、显著告知、DPIA、最短保存、人工复核、替代方案和供应商审计等高标准；但同意形式、观察名单条件、备案、私人诉权和警方共享程序应按国家或州配置。对于无法可靠识别美国用户所属州的系统，涉及人脸模板的采集可按伊利诺伊州BIPA的书面告知与授权标准统一设计，再通过地区规则补充加州限制权及其他州要求。

四、监管信号：重点不是"能不能用"，而是能否证明克制

ICO此次指南的价值，在于否定了两个极端判断：数据保护法并不要求零售商在犯罪面前放弃使用数据，但防盗也不是无限制使用生物识别的通行证。真正的合规能力，是企业能够证明为何必须处理、为何没有更温和的替代手段、如何控制误认，以及何时停止处理。对于希望把中国成熟的人脸识别方案输出海外的企业，这套证明责任往往比单纯提升识别准确率更重要。

◆ ◆ ◆

条文依据

主要来源

扫码关注 获取更多深度合规资讯 M姐 数据合规评论 长按识别二维码 · 关注我们