2026年是《中华人民共和国个人信息保护法》颁布施行五周年。五年间，制度建设不断完善，执法治理持续深入。然而，一个朴素的问题依然值得追问：个人信息保护，如何从法律条文变得真实可感？

　　在上海，这种改变不需要从宏大叙事里寻找：它是停车场里10秒完成的缴费码，是公园里被拆掉的人脸识别取纸机，是手机上越来越“安静”的App弹窗。回望这五年，上海用实实在在的创新、探索与实践，让一部法律完成了从“纸面”到“生活日常”的跨越。

　　停车“纯净码”，让“最小必要”原则的落地

　　很多上海市民也许都有过这样的经历：把车停进商场，扫码缴费，跳出来的不是缴费页面，而是关注公众号、注册会员、填写手机号的连环要求，不授权，就付不了费。一次停车，本只需要“车牌+缴费”两种信息，却被附加了与缴费无关的信息收集要求。

　　问题并不在于商家能不能收集个人信息，而在于收集是否必要、是否适度。《中华人民共和国个人信息保护法》第六条明确规定，处理个人信息应当具有明确、合理的目的，与处理目的直接相关，并采取对个人权益影响最小的方式；收集个人信息应当限于实现处理目的的最小范围，不得过度收集。

　　法律确立了原则，如何将其转化为具体、可执行的规定？

　　改变始于2023年6月。上海市委网信办、上海市市场监管局联合启动“亮剑浦江・消费领域个人信息权益保护专项执法行动”。从停车缴费这个高频、刚需的小切口破题，创造性地推出了“纯净码”。

　　扫码后，只需“输入车牌号、点击缴费”这两步，全程约10秒，不收集任何个人信息就能完成停车费用的缴纳。“纯净码”的覆盖范围从首批64家商场，到16个区462家商场，再到3704家公共停车场全面落地，已包含商场、宾馆、医院、公园、景点景区等多个主要停车场景。

　　从首批试点到更多停车场推广，改变的不只是扫码流程，更是服务提供者与消费者之间的权利关系。上海市消保委还制定了相关合规指引，要求经营者提供可以直接进入缴费页面的“纯净版”停车码，正是将法律原则转化为企业能够执行、消费者能够感知的操作规范。

　　同样的治理逻辑，也延伸至扫码点餐、房产中介、少儿培训、共享充电宝、4S店、商超、理财小贷等各个领域。例如，扫码点餐时，商家不能强制要手机号、微信头像、位置。消费者可以匿名点餐，可以拒绝授权手机号；租借共享充电宝不再强制索要位置、通讯录，不强制注册会员、留存手机号等。

　　“纯净码”及这一整套场景治理的出现，正是上海将法律原则落实到具体操作流程中的探索实践：一方面，明确了经营者可以依法、依需处理个人信息，但不能把收集更多数据当作提供服务的前提。另一方面，则从源头上规范产品流程，让不必要的信息收集没有发生的机会，让消费者获得了更直接的便利。

　　保护“一张脸”：让“不刷脸”成为原则

　　如果说停车“纯净码”解决的是个人信息收集是否适度的问题，那么人脸识别治理面对的，则是更敏感的信息和更高的保护要求。

　　2024年，某公园公厕的“刷脸取纸”曾引发热议：取几张免费厕纸，必须先站在机器前刷脸。该区委网信办实地核查后认定，公厕刷脸取纸“不具备敏感个人信息获取的必要性”，且未向消费者明确告知目的、手段、存储方式，设备随即被拆除。

　　取几张厕纸，是否有必要采集人脸？这个看似微小的问题，恰恰触及技术应用的边界。人脸信息具有唯一性，一旦泄露或被滥用，个人很难通过更换信息来规避风险。《中华人民共和国个人信息保护法》将生物识别信息列为敏感个人信息，对其处理提出特定目的、充分必要性、严格保护措施等要求，并规定了相应的告知和单独同意义务。

　　从这桩“小题”中，市民们切实地感知到：取纸这样的小事，不该动用人脸。

　　同样的边界问题，也出现在更需要保护隐私的场所。

　　同年，上海某游泳馆在更衣柜使用人脸识别设备，引发消费者投诉。接到相关线索后，区网信办会同市场监管、公安网安等部门两次现场核查，并依法对涉事运营主体作出警告的行政处罚。这成为上海网信部门办理的首起人脸识别滥用案件。

　　从公厕取纸到游泳馆更衣柜，问题不只是有没有告知用户，而是使用人脸识别究竟有没有充分必要性。技术可以提高管理效率，却不能以便利之名突破个人隐私的边界。

　　专项整治也由此铺开。2025年，由上海市委网信办牵头，联合上海市通信管理局、上海市公安局、上海市市场监管局以及商务、教育、文旅、体育等部门，建立人脸识别技术应用安全治理协同机制。

　　据公开数据，上海已推动600余家商超门店、6300余家酒店、70余家公共体育场馆、1200余家游泳馆和健身场所、2900余个公共厕所完成刷脸自查整改，地铁站1400余台无人售货机也被纳入督导范围。

　　在此之后，上海还把“人脸”保护的边界延伸到了更远。

　　2025年，嘉定区检察院公益诉讼部门发现，某赛事官方合作的图片直播小程序存储了69万余张含选手人脸的照片，任何人通过人脸识别检索或输入号码牌，就能把照片与人脸、姓名、完赛成绩一一对应，精准锁定个人身份与行动轨迹。

　　这个案例的核心争议极具普遍性：选手报名时同意赛事拍摄肖像，是否等于授权平台提取人脸生物特征、搭建可检索比对的数据库？

　　检察机关给出结论：肖像授权不等于人脸信息使用授权。照片是一回事，从照片中提取可用于比对的生物特征码，是另一回事，必须单独告知、单独征得同意。随后，69万余张照片在监督下清除下架；赛事规则也随之修改，今后赛事中人脸信息的使用，必须事先征得选手明确同意。

　　以上这一组案例，共同确立了上海生物信息保护的核心标尺：不刷脸为原则，刷脸为例外。从公厕取纸的微小场景，到运动场馆的隐私保护，再到赛事图片背后的生物特征提取，上海不只是盯住了信息采集这第一道关口，更是贯穿了信息存储、比对、检索、删除的全生命周期。

　　App与小程序：把选择权还给指尖

　　如果说停车缴费和人脸识别是用户能够直接感知的场景，那么App则是个人信息保护中更复杂，也更日常的“考场”。

　　手机应用已经深度嵌入生活。点外卖、订酒店、喝咖啡、使用地图，几乎每一项服务都可能伴随个人信息处理。与线下场景相比，App的信息收集往往更隐蔽：用户看到的是一个功能界面，后台却可能涉及权限调用、第三方SDK接入、数据传输与共享。一次点击“同意”，并不意味着用户真正理解了全部信息处理过程。

　　因此，聚焦属地App治理，上海市网信办依据持续开展App个人信息保护常态化检测与专项整治。截至2026年10月底，上海市网信办已发布6批次《关于属地App个人信息收集使用问题的通报》，围绕不同行业领域精准开展专项抽检，内容包括景区乐园专项、消费零售专项、未成年人保护专项和SDK专项等，点名曝光多款App、小程序及SDK存在隐私政策难以阅读、强制用户同意收集非必要个人信息、注销后未及时删除个人信息等问题。

　　与此同时，上海市通信管理局也在持续开展App（SDK）侵害用户权益行为专项治理，。2026年第四批通报涉及76款存在问题的App（SDK）；对限期内仍未按要求完成整改的9款App（SDK），通信管理局于8月依法采取下架处理。从问题通报到复检处置，治理不再止于提醒企业“注意合规”，而是进一步压实整改责任。

　　从线下消费场景到手机应用，从网信部门的常态化检测到通信管理部门的抽查和处置，个人信息保护正在形成多部门协同、线上线下贯通的治理格局。

　　而对普通市民而言，这些工作的意义便体现在最直观的感受上：点餐可以拒绝授权手机号，位置权限可以按需授予，想注销的账号终于能注销。自己的选择权，也终于回到了自己的指尖。

　　《中华人民共和国个人信息保护法》施行五周年，最有说服力的注脚，不在法条里，而在日常生活里。当市民不再被“不授权就无法下车、无法点餐、无法进门”所裹挟，当“同意”从一揽子勾选变成逐项选择，当企业在动用人脸、调用权限前先掂量“有没有必要”，法律才真正完成了从条文到行动，从纸面到日常的落地。

　　澎湃新闻记者 郑问