汇业评论 | 零售品牌门店使用WiFi探针技术的合规性分析
文 | 黄春林 合伙人 李天航 合伙人 汇业律师事务所
今年3.15期间，媒体广泛报道了一些商业场景使用WiFi探针技术违法收集、使用顾客个人信息的情形，引起社会广泛关注。
事实上，WiFi探针技术因其布置便捷性及数据精准性等原因，被广泛应用于知名购物中心、品牌门店的客流分析、精准营销等商业场景中。因其技术实现逻辑、数据融合场景等差异较大，其合规性一直广受争议。
本文中，汇业律师事务所数据与网络法律委员会拟从个人信息认定、同意授权有效性、数据融合合规性等几个角度，分析目前零售品牌门店使用主流WiFi探针技术的合规性问题。
一、 WiFi探针收集的信息是否属于个人信息
1.1. 主流WiFi探针技术收集的信息字段概览
1.1.1 所谓WiFi探针技术，即预先布置的探针设备，主动探测周边一定范围内打开WiFi状态的智能终端设备的MAC地址，并记录发包时间和位置等信息。
1.1.2根据以上技术描述不难发现，WiFi探针技术收集的信息字段包括但不限于：智能终端的设备MAC地址、设备品牌名称（通过MAC地址识别），以及该设备什么时间（发包时间），到达什么位置（通过探针相对位置识别），并停留多少时间（首尾发包时间差）等。
1.2. WiFi探针技术收集的信息是否具有识别性
1.2.1 根据第1.2条分析，并参照《个人信息安全规范》等规定，WiFi探针技术收集的真实MAC地址具有唯一识别性，属于个人信息。关于这一点，尽管业界有些争议，但主流WiFi探针技术供应商也基本认可。
1.2.2 关于部分手机厂商的设备具有动态/虚拟MAC地址功能（仅在搜索阶段有效，链接阶段无效），若WiFi探针技术仅收集该等动态/虚拟MAC地址，且仅用于客流分析，由于无法识别到设备持有人的身份信息，不属于个人信息。但实践中，部分WiFi探针技术供应商会使用诱导算法或顾客WiFi链接历史记录，进一步获取设备持有人的真实MAC地址。
1.2.3 根据第1.2.2条分析，除了MAC地址外，WiFi探针技术还能收集时间、位置及轨迹（多个时间/位置绘制）等信息，根据《最高人民法院、最高人民检察院关于办理侵犯公民个人信息刑事案件适用法律若干问题的解释》（法释〔2017〕10号）等规定并参照《个人信息安全规范》，属于敏感个人信息。
1.3. 是否存储或者上传云端对收集行为法律风险判断的影响
1.3.1 根据《个人信息安全规范》等规定，若WiFi探针技术使用者仅在本地化收集、分析客流信息（群体画像），不存储或者不访问、不上传前述收集信息至服务器或云端的，法律风险较小。
1.3.2 但实践中，绝大多数WiFi探针技术供应商会均采取“设备+云平台+数据分析”的整合服务，有的甚至与第三方数据进行融合或者碰撞，所以必然会上传前述信息。不同的是，有的云端布置在品牌处，有的云端布置在供应商处。
二、 WiFi探针是否有权收集顾客的个人信息
2.1. 谁是法律上的数据控制者（收集主体）
2.1.1 实践中， WiFi探针设备供应商或者WiFi探针的使用人（即品牌方）均有可能收集顾客个人信息。 我们理解，品牌门店作为场地控制方、顾客交易方、设备安装方等角色，属于直接数据控制者。但实践中，WiFi探针设备供应商是否被认定为数据控制者，需综合供应商合同类型、WiFi探针设备所有权及工作原理等因素综合考量。
2.1.2 若品牌门店被认定为直接收集主体，则应当按照工信部24号令及《个人信息安全规范》等规定，对供应商履行相应的资格审查及数据监管责任。
2.2. 是否有权收集进店顾客的个人信息
2.2.1 品牌门店是否有权收集进店顾客的个人信息，取决于是否经过顾客的同意，以及同意形式是否合规。实践中，部分品牌门店通过设立提示性标语（例如：“该区域设有客流分析设备，您的设备ID可能被收集”）等推定同意形式获取用户同意。
2.2.2 汇业律师事务所数据与网络法律委员会认为，考虑到收集个人信息的敏感性、客流分析及精准营销功能的非核心性以及未来可能的共享、融合、数据碰撞等使用场景，品牌门店应当通过用户点击、勾选等主动行为获取用户的同意。只不过实践中，因缺乏必要的交互场景，需要设计创新实现方式。
2.3. 是否有权收集周边人群的个人信息
实践中，部分品牌门店会通过WiFi探针设备收集周边人群（非进店顾客）的信息，因缺乏必要的授权同意，除非符合1.3.1条分析，该等行为缺乏合法性基础。
三、 WiFi探针收集的顾客个人信息是否能与其他数据融合
一般情况下，WiFi探针技术供应商提供的服务远不止客流分析，还包括利用收集信息帮助品牌门店开展精准营销，常见的场景包括：老顾客识别、顾客打标、精准触达，甚至顾客多维度精准画像等等。但要实现上述功能，需要将收集的顾客个人信息与其他数据源融合/匹配/对碰，可能的法律风险根据数据来源、输出数据类型不同而差异较大。
3.1. 与自有数据融合的合规性
3.1.1若用品牌门店WiFi探针设备收集的线下数据与品牌电商渠道等线上数据融合、对碰，就会打通线上线下会员通道，增强新零售及智慧门店想象空间。因此，部分品牌会融合上述数据。
3.1.2参考CNIL处罚谷歌案例及国内执法实践，该模式的主要合规性在于是否获得客户的同意/授权，一般情况下《隐私政策》如果能够充分披露前述情况，并能够使客户触达该《隐私政策》的，可以认为获得了相关授权。
3.2. 与第三方平台数据融合后标签化输出的合规性
3.2.1实践中，据汇业律师事务所数据与网络法律委员会了解，部分“XX系”的WiFi探针技术供应商还会将收集的顾客数据与第三方XX平台的数据（例如电商数据、社交数据、支付数据等）融合、匹配，为顾客打标签，从而协助品牌门店精准营销。
3.2.2 该模式的主要合规性在于，品牌门店获取顾客的同意范围是否包含“向第三方分享”、与第三方数据融合、匹配等，或者第三方XX平台隐私政策是否包含了前述内容且效力及于顾客。此外，融合对碰是采用的明文传输还是“黑箱模式”，以及第三方XX平台使用标签数据的实际场景（例如精准广告）等也是合规性评估需关注的重点。
3.3. 与非法数据融合后精准输出的刑事犯罪问题
3.3.1如3.15媒体报到的案例，部分WiFi探针设备收集的数据被用于与非法数据源融合匹配，直接获得对应的手机号、身份证、财产信息等个人信息（甚至是敏感信息）用于电话营销、暴力催收等，将可能涉嫌刑事犯罪。
3.3.2 品牌门店使用该等技术收集的数据时，既要严格审查WiFi探针设备的供应商，保证产品质量，也要加强数据使用环节的把控，尤其是与第三方数据融合、匹配时，以避免刑事法律风险的发生。
作者往期文章推荐：