截图是某连锁健身房的推销短信：”余女士您好，根据您上传的面部识别数据，我们发现您的肩颈肌肉紧张度较高，特意为您准备了99元肩颈理疗体验课，到店即送定制瑜伽垫。”
小余气到打字都抖。
她从来没给这家健身房拍过照。唯一一次被采集人脸，是三个月前公司装的考勤系统——更离谱的是，那个摄像头就装在男女生共用的厕所隔间上方，角度刚好能拍到进出隔间的所有人脸。
当时行政在群里发通知，说”为了提高考勤效率，避免代打卡”，所有人都得录入人脸，不录就算旷工。
没人当回事。不就是个考勤吗？谁知道数据能流到健身房手里。
厕所隔间的人脸摄像头，凭什么能触发十倍赔偿
小余一开始找公司HR要说法，对方轻描淡写：”数据都是存在本地服务器的，可能是第三方运维的人泄露了，我们也在查。最多给你赔五百块购物卡，这事就别往外说了。”五百块。买她三个月的人脸数据，买她每次上厕所都觉得头顶有眼睛盯着的恐惧感，买她现在出门都习惯戴个口罩的应激反应？
她一开始也不知道能要多少，翻了半天法条才反应过来——个人信息侵权领域的惩罚性赔偿适用，早就不是写在纸上的空条文了。之前大家总觉得惩罚性赔偿就是买假鞋赔三倍、吃坏东西赔十倍，跟个人信息半毛钱关系没有，可《个人信息保护法》里明明白白写着，故意侵害他人个人信息权益，情节严重的，被侵权人可以要求相应的惩罚性赔偿。
算下来的数把HR都吓着了：按照小余近三年的平均年收入，两倍的惩罚性赔偿，差不多能抵她大半年的工资。
说实话，我第一次听到这个案子的时候也愣了。之前我蹲了大半年的纠纷群，见过太多人吃了个人信息的哑巴亏：被算法杀熟多花两千块买机票，最后只退了差价；被APP偷偷读了通讯录，卖出去之后天天接到诈骗电话，最后只拿到五十块平台优惠券。大家都觉得”这点事打官司太麻烦”，最后只能忍气吞声。
谁能想到，一个厕所隔间的摄像头，能把这个口子撕开。
不是所有侵权都能用上，踩中这三个门槛才算数
不过话说回来，也不是谁被侵权了都能要到惩罚性赔偿。我跟处理这个案子的法官聊过，现在惩罚性赔偿适用的三个硬门槛，少一个都不行。第一个，得是”故意”。不是那种不小心把数据存在了没加密的硬盘里，是明知道这么做违法，还非要干。比如那家公司，明明知道厕所隔间属于私密空间，装人脸摄像头本身就违反治安管理的规定，还故意采集人脸，甚至把数据打包卖给第三方运维公司换钱，这就是实打实的故意。要是真的是黑客偷了数据，那公司没故意的话，就触发不了。
第二个，得是”造成严重后果”。不是说你收到一条垃圾短信就算。比如小余，因为这事连续失眠了一个多月，去医院开了抗焦虑的药，还因为总觉得被人盯着，不敢在公司上厕所，每天中午跑到楼下商场的卫生间，这就算是严重后果。要是你只是收到一条推销短信，转头就删了，啥影响没有，那肯定不能要惩罚性赔偿。
第三个，得是法律明确列的领域。现在能适用惩罚性赔偿的，也就那几个：食品安全、产品质量、知识产权、个人信息保护、生态环境污染。总不能你去理发店剪头发，人家给你剪坏了，你就要求十倍赔偿，那也太离谱了，对吧？
现在的试探，都是在给后面的人铺路
更有意思的是，现在整个软件大道的园区，好多公司都在自查人脸考勤系统。之前大家都觉得”装个摄像头没什么大不了”，现在知道了，要是敢在私密空间装，要是敢随便卖用户数据，那赔的钱可不是几百块购物卡能打发的。
没人想惹事。
但当你发现自己每天的行踪、你的面部特征、你的消费习惯，全被人打包成数据卖来卖去的时候，你才会反应过来，之前那些所谓的”用户协议””合规条款”，全是套在你身上的枷锁。
之前有人说，现在的惩罚性赔偿适用，还在起步阶段，很多案子都是摸着石头过河。可我觉得，哪有什么完美的规则啊。就像之前的三鹿奶粉事件，催熟了食品安全领域的惩罚性赔偿；之前的假茅台、假耐克，把知识产权领域的赔偿标准拉了上来。现在这些为了个人信息权益较真的普通人，就是在给后面的人铺路。
我前几天路过那个园区，看见门口的人脸门禁旁边，贴了一行小字：”本系统所有数据仅用于门禁通行，绝不外泄，绝不用于其他商业用途。”
你看。
法律哪是写在纸上的死条文啊。是有人敢站出来较真，敢要本该属于自己的赔偿，才慢慢把那些模糊的边界，踩成了大家都能走的路。
