文丨化妝品報記者 鄒欣晨

據美國加利福尼亞州司法部官方網站于8月24日發布的公告，路威酩軒（LVMH）集團旗下的美妝零售商品牌絲芙蘭已與加州司法部達成和解，前者將按照加州總檢察長Rob Bonta在公訴中提出的要求，支付120萬美元（約合人民幣827萬元）作為該品牌違反加州消費者隱私法案（CCPA）的補償金。

美國加州司法部官網

CCPA于2018年通過，并于2020年正式開始生效，這一法案旨在賦予消費者特定的權利以保護自身數據安全。根據CCPA的規定，消費者有權了解企業收集到哪些關于他們的數據，以及這些數據是以何種方式被企業使用、又被企業共享給哪些第三方。消費者還有權要求企業刪除關于自己的數據，并有權選擇讓自己的數據從一開始就不被企業收集。

在長達48頁的起訴書中，Rob Bonta指稱，絲芙蘭通過“AR試妝”等小程序，擅自收集用戶的人臉識別數據并出售給第三方，且并未將這一事實告知消費者。絲芙蘭也未向消費者提供“試妝結束后，刪除自己的人臉識別數據”和“允許絲芙蘭收集，但禁止絲芙蘭銷售我的隱私數據”等安全選項，且在加州司法部發出警告后給出的30天“緩刑期”內，還未解決這些違規問題。

圖為Rob Bonta

絲芙蘭方面則辯稱，該公司向來尊重消費者隱私，使用消費者的個人信息只是為了改善他們的用戶體驗，并且過程“力求透明，如履薄冰”——該品牌發言人在《Beauty Matters》的采訪中說，他還認為，問題在于CCPA對“Sale”（銷售）這一行為的定義。“CCPA定義下的‘銷售’包括全行業常見的、通用的技術，比如cookie，這只是讓我們為消費者提供關聯性更強的絲芙蘭產品推薦、以及個性化的用戶體驗。”該發言人表示，他還指出，絲芙蘭已經在官網頁腳上做出了“不出售我的個人信息’”按鈕，消費者點擊即可退出這種個性化購物體驗。

絲芙蘭進一步聲稱，自2021年11月以來，消費者便可以通過開啟GPC功能（歐美主流搜索引擎通用的一款隱私保護功能，該功能在啟用后，會向被訪問網站發出警告信號，表明用戶希望其個人信息不被網站追蹤、收集和出售）向絲芙蘭表明自己保護隱私的訴求。

但加州司法部“得理不饒人”，在后續庭審中當堂出示了由總檢察長Rob Bonta本人親自調查出的證據：根據Bonta及其辦公室成員開展的數據監測，即使消費者在訪問絲芙蘭網站時開啟GPC功能表示自己不想出售個人信息，他們的數據還是源源不斷地經絲芙蘭流向第三方平臺——如廣告商和分析供應機構等。在這一過程中，絲芙蘭并未采取任何行動來阻止消費者個人信息的傳輸與泄露，即使他們已經收到了GPC發出的警告。簡而言之，絲芙蘭完全將GPC和消費者保護隱私的訴求“視之為無物”。

在海量的證據面前，絲芙蘭終于“心服口服”。根據和解協議，絲芙蘭不僅要向加州司法部支付賠償金，還要向美國公眾明確告知其存儲數據的作用、數據去往第三方平臺后的用途，并建立健全可讓用戶選擇“不出售其個人信息”的機制，還要確保絲芙蘭本身及其合作的第三方平臺均能符合CCPA的法規要求。

Rob Bonta在后續聲明中指出，此案的判決具有“里程碑”級的意義。“毫無疑問，人臉識別技術正在大大增加我們生活的便利程度，但如果企業隱瞞他們如何使用客戶的人臉識別數據，并無視用戶選擇保護自己隱私的請求，這些進步就毫無意義。” Rob Bonta斷言道。

他還宣稱，加州司法部與絲芙蘭達成的這項和解，將向所有不遵守消費者隱私法（“不僅是CCPA，也包括美國各州的隱私法案”）的企業都“傳遞一個強烈的信息”。“希望諸位知道，我和我的同事正在看著你們、我們將追查到底、我們會追究每個侵犯隱私的企業的責任。警告已經發出，沒有更多的借口，請務必遵守法律。”