先说三句：第一，魁省商场用人脸识别抓小偷、防损，必须先拿到你的”明示同意”，默默扫描就涉嫌违法；第二，商场上线认脸系统前至少 60 天必须向魁省信息获取委员会（CAI）申报，没申报就开机也违法；第三，就算你点了同意，CAI 还要看认脸和安保有没必要、成不成比例——2024 年 9 月 CAI 就叫停了一家公司用认脸管门禁。本文仅为信息整理，不构成法律意见。
在蒙特利尔的商场里逛街，你可能没注意到：天花板角落的那只摄像头，不只是在”录像”。越来越多商场把普通监控升级成了带人脸识别（Facial Recognition）功能的系统——进店自动比对”可疑人员名单”、统计客流、甚至给 VIP 顾客打标签。对消费者来说，这意味着你的脸正在被变成一串可检索的生物识别数据（Biometric Data）。而在魁省，这件事的门槛是全加拿大最高的。
1. 商场到底在拍什么：人脸识别和普通监控的区别
先把两个概念分开，这直接决定法律怎么管：
- 普通监控录像：只记录画面，事后人工回看，法律上属于一般的个人信息处理。
- 人脸识别系统：从画面中提取人脸几何特征，生成独一无二的生物识别模板，并与数据库实时比对。你的脸一旦被建模，就可以在不同时间、不同门店之间被”认出来”。
魁省是全加拿大唯一一个专门立法规管生物识别技术的省份。监管思路的核心是：人脸数据一旦泄露无法”重置”（不像密码可以改），所以法律把它当作高度敏感信息，用更严的规则单独管。
2. 魁省 Law 25 是什么：管生物识别的两条法
很多人说的”Law 25″，其实是魁省隐私法改革的一揽子法案，正式名称是《第 25 号法案》（Loi 25）。和人脸识别直接相关的有两条法：
- 《私营部门个人信息保护法》（Québec Privacy Act）：规定企业收集、使用个人信息的同意、透明度、必要性等一般规则，以及最高 1000 万加元或全球营业额 2%（取较高者）的行政罚款。
- 《信息技术法律框架法》（Québec IT Act）：专门管生物识别——用人脸做身份验证或确认身份，必须获得当事人明示同意；创建生物识别数据库或上线生物识别流程，必须提前向 CAI 申报。
Law 25 的相关条款自 2022 年 9 月 22 日起陆续生效。也就是说，魁省商场今天用人脸识别，适用的是已经生效的现行法，不是”未来才实施”。
3. 违法点一：没经过你”明示同意”就认脸
这是消费者最该盯的一条。魁省 IT 法明确：用生物识别数据来验证或确认一个人身份，必须获得该个人的明示同意（Express Consent）。明示同意和”默认同意”完全不同：
- 门口贴一张”本区域有监控”的小牌子，不算明示同意。
- 你推门走进商场这个动作，不算明示同意。
- 真正的明示同意要单独、清楚地告知：采集的是人脸生物数据、用来做什么、存多久、找谁行使权利，并且由你主动点头。
Law 25 还要求敏感信息（生物识别数据属于典型敏感信息）的同意必须是”明确”的。实务中很多商场的认脸系统是静默运行的——顾客根本不知道自己在被建模比对。这正是 CAI 执法时重点打击的情形：没有明示同意的生物识别采集，先天就站不住脚。
4. 违法点二：商场没向 CAI 提前申报
第二条是很多商场自己都会踩的坑。根据魁省 IT 法及 Law 25 的修正，企业在创建生物识别数据库之前，或上线涉及生物识别的身份验证流程之前，必须至少提前 60 天向魁省信息获取委员会（Commission d’accès à l’information，简称 CAI）披露/申报。
申报不是走个形式：企业要说明系统的目的、技术原理、数据保存方式和安全措施。CAI 收到申报后可以提出意见，甚至介入调查。2024 年 9 月 CAI 发布的一份决定就是典型——一家印刷公司按规定申报了用人脸识别管员工门禁，CAI 主动调查后认定其采集”不够必要、不成比例”，直接命令停用。
对消费者来说，这条的意义是：任何一家魁省商场如果在 CAI 那里没有申报记录，它的认脸系统从程序上就违法。你可以向 CAI 查询或投诉时把这一点写进去。
5. 违法点三：认脸和安保目的不成比例
这是最容易被忽视、但 CAI 看得最重的一条。魁省隐私法要求个人信息处理必须”必要且成比例”。CAI 的执法立场非常明确：
- 印刷公司案（2024 年 9 月）：用人脸识别控制员工进出办公区，CAI 认为用普通门禁卡就能达到同样目的，认脸对隐私的侵入过大，命令停止使用。
- Metro 超市案：CAI 反对把相距很远、互不相关的多家门店的人脸数据集中到一个库（集中度越高，侵入性越大）；同时要求商场在入口设置详细告示牌，向进店顾客清楚说明认脸系统的存在和运作方式。
套用到商场场景：如果商场只是想防小偷，完全可以用普通监控+保安巡逻达到目的，却上线全员人脸比对——CAI 很可能认定”目的可以用侵入性更小的方式实现”，从而判定违法。换句话说，即使商场拿到了你的同意，只要系统本身不必要、不成比例，依然可能被叫停。
6. 商场会被罚多少钱：罚款与执法先例
Law 25 给了 CAI 真正的”牙齿”：
- 行政罚款：违反《私营部门个人信息保护法》的企业，最高可被处 1000 万加元或全球营业额 2%（以较高者为准）的行政罚款。
- 持续监督：在 Metro 案中，CAI 保留管辖权，要求企业每半年报告一次、持续两年，效果不达标或出现偏见、误报问题可随时重新审查。
- 执法趋势：CAI 近年对生物识别持高度怀疑态度，多次对企业已申报的系统提出质疑并采取执法行动，”申报了”不等于”批准了”。
需要注意：罚款针对的是企业，不是消费者个人。消费者能做的是行使自己的权利（见下文 checklist），把违法线索送到 CAI 手里。
7. 关键数字与时间线一览
| 项目 | 数字/时间 | 来源 |
|---|---|---|
| 生物识别系统上线前向 CAI 申报 | 至少提前 60 天 | Québec IT Act（Law 25 修正） |
| 企业行政罚款上限 | 1000 万加元或全球营业额 2%，取较高者 | Québec Privacy Act |
| Law 25 生物识别条款生效 | 2022 年 9 月 22 日起 | 魁省政府公报 |
| CAI 叫停印刷公司认脸门禁 | 2024 年 9 月决定 | CAI 公开决定 |
| Metro 案持续监督期 | 每半年报告，持续 2 年 | CAI 相关裁决报道 |
以上数字均来自公开法律文本和 CAI 公开决定；具体个案以 CAI 和法院最新公布为准。
8. 常见坑：商场最容易踩的 5 个红线
- 红线 1：静默采集。系统 24 小时开着，进店顾客毫不知情——违反明示同意要求。
- 红线 2：告示牌敷衍。只写”视频监控中”，不提人脸识别、生物数据、保存期限和权利行使方式——违反透明度义务，Metro 案中 CAI 明确要求详细告示。
- 红线 3：先上车后补票。系统已经运行几个月才想起向 CAI 申报——违反”提前 60 天”申报义务。
- 红线 4：多店数据大一统。把全省门店的人脸库集中比对——CAI 明确反对跨门店集中化，侵入性随集中度上升。
- 红线 5：误报无人复核。算法把普通顾客误判成”可疑人员”并直接采取行动（如驱逐、报警）——CAI 要求对 AI 误报和偏见做控制，重大行动前应有人为复核。
9. 新手 checklist：进商场保护自己的 5 件事
- ☐ 留意入口和显眼位置有没有”人脸识别/生物识别”专项告示，而不只是”监控”字样。
- ☐ 如被要求”刷脸”进店或享受会员服务，问清三件事：数据存哪里、存多久、如何删除；不同意就拒绝，商场不得因此拒绝你正常购物。
- ☐ 怀疑被静默采集：向商场客服/隐私负责人书面要求告知是否采集了你的人脸生物数据（行使访问权）。
- ☐ 要求删除：书面要求商场删除你的人脸生物识别模板，并保留对方回复作为证据。
- ☐ 商场不回应或你确信其未申报、未获同意：向 CAI（Commission d’accès à l’information）提交投诉，附上照片、时间、地点和经过。
10. 常见问题 FAQ
Q1：商场说”为了大家安全防小偷”，是不是就可以不经我同意认脸？
A：不可以。”安全目的”不能自动豁免同意义务。魁省 IT 法对生物识别身份验证的要求是明示同意，没有”防损例外”。而且 CAI 还要单独审查必要性与比例原则——普通监控+保安能解决的问题，用全员认脸很可能被认定为不成比例。
Q2：我在安省的商场也被认脸，Law 25 管得到吗？
A：Law 25 是魁省法律，只适用于魁省境内的企业和处理活动。安省适用联邦 PIPEDA，目前没有专门针对生物识别的条款，保护力度弱于魁省。这也是为什么很多隐私专家呼吁全国统一立法。
Q3：我怎么知道某家商场有没有向 CAI 申报？
A：可以直接联系 CAI 查询，或在投诉时要求 CAI 核查该商场的申报记录。企业有义务配合 CAI 的调查，申报记录是 CAI 执法的重要依据。
Q4：商场把我的脸误判成小偷并报警，我能索赔吗？
A：误报属于算法偏见和可靠性问题，CAI 在相关案件中已明确这是企业必须控制的风险。你可以就名誉损害、精神困扰咨询律师评估民事索赔，同时向 CAI 投诉该系统的合规性。具体能否获赔取决于个案证据，建议咨询持牌律师。
Q5：这篇文章是法律意见吗？
A：不是。本文仅为公开信息的中文整理，方便魁省消费者了解自己的权利，不构成法律意见。遇到具体纠纷，请咨询魁省持牌律师或直接联系 CAI。
相关阅读
官方来源：Commission d’accès à l’information (CAI) 官网、Canada.ca（Office of the Privacy Commissioner of Canada 相关指引）、Osler 律所 Québec 隐私法评述。核验于 2026年10月11日。
关键政策以 IRCC / CRA / 各省官网为准。本文仅供信息参考，不构成法律/移民/医疗/投资建议。
📱 更多加拿大生活干货，欢迎加微信交流：UUUMGT
