零售商常常以为，任何基于摄像头的计数系统都是一个随时可能引爆的隐私问题。实际上通常恰恰相反：只要系统在设计、配置和文档记录上做得到位，做好客流统计正是衡量门店最不具侵入性的方式之一。风险不在于摄像头本身，而在于一种部署方式——它悄悄采集了超出所需的数据，保存的时间远超必要，而且两者都没有留下任何记录。
本文将解释其他一切所依赖的那个区分——统计与识别——然后介绍 GDPR 要点、东南亚各国的情况速览，以及一份你可以直接交给供应商或内部风险团队的实用清单。
非法律意见。下文提到的法律名称与日期仅供参考。数据保护制度变动频繁，执法实践也因司法辖区而异。部署之前，请向当地合格的律师确认你的具体义务。
核心区分：统计不等于识别
客流统计系统检测的是有人在场，以及他们朝某个方向移动。识别系统判定的则是那个"某人"是谁。几乎所有的合规问题，最终都归结为你的系统实际做的是这两者中的哪一种。
设计目标是一条这样的处理链：
- 把人们当作泛化对象或人形轮廓来检测，不建立人脸模板；
- 把人数、方向、停留时长和热度图作为聚合数据输出；
- 不保留原始图像，或只保留一段短暂且明确的期限；
- 不运行人脸识别，也不会被意外开启去做这件事。
以现有技术这完全可以实现。基于深度的 3D 与热成像传感尤其有利于保护隐私，因为两者都不依赖可辨识的外貌特征。
但"我们只统计，不识别"是一种设计意图，而不是法律结论。你必须能够在配置和文档中证明它。
当匿名统计不再匿名
匿名性可能以零售商意想不到的方式被打破：
- 只要有任何被存储下来、其中人物可被辨识的视频帧，在多数制度下就属于个人数据，即便从没有人去看它。
- 持续轨迹若在一段时间内跟随某个个体穿过门店，一旦与支付或会员数据等其他来源结合，就可能变成个人数据。
- 用于唯一身份识别的生物特征模板属于更敏感的特别类别。
- 推断属性——例如年龄或性别估计——在若干辖区会带来额外义务。
实用原则是：数据越细、留存越久，就越可能触发完整的个人数据义务。请按最小粒度和最短留存来设计。
让部署站得住脚的设计选择
- 在边缘处理。在设备上完成计数计算，只传输结果，不传输视频。
- 存聚合数据，不存画面。保留计数、停留分布与热度图；避免留存原始影像。
- 设定较短留存期。如果必须短暂保存视频，就定义并执行能满足目的的最短时长。
- 永久关闭识别功能。如果某平台自带人脸识别模块，确保它被禁用，并且不经记录在案的授权变更就无法重新启用。
- 划分网络。把统计设备放在独立的 VLAN 中，限制其对外访问。
- 传输与存储均加密，并按角色控制访问。
- 签署数据处理协议，适用于任何代你处理数据的供应商。
面向零售统计的 GDPR 要点
《通用数据保护条例》——欧盟条例 (EU) 2016/679——自 2018 年 5 月 25 日起在欧盟全境适用（并以各国转化形式在 EEA 和英国适用）。对于客流统计部署，相关要点包括：
- 合法性基础。如果不处理任何个人数据，GDPR 根本不适用。若适用——例如存储了可辨识的视频——许多零售商依赖第 6(1)(f) 条的正当利益。该基础要求一份有记录的权衡评估（正当利益评估），而不只是口头主张。
- 数据保护影响评估（DPIA）。第 35 条要求，对可能造成高风险的处理开展 DPIA，包括对公众可进入区域的大规模系统性监控。某一统计系统是否越过这一门槛，取决于规模、粒度与留存期——请评估，而不是想当然。
- 透明度。第 12–14 条要求向个人提供清晰信息。实践中意味着在入口设置标识，并采用分层告知（例如通过二维码链接到完整细节）。
- 数据最小化与存储限制。第 5 条要求只采集所需数据，并只保存必要时间。大多数本可避免的风险就藏在这里。
- 处理者关系。第 28 条要求与任何代你处理数据的供应商签订书面合同，涵盖处理范围、安全措施与次级处理者。
- 跨境传输。第五章规范向 EEA 境外的传输——只要你的分析平台或支持团队托管在另一地区，就会涉及。
- 特别类别数据。当处理生物特征数据用于唯一识别个人时，适用第 9 条。避开识别，就完全避开了这一类别。
- 各国指引。部分成员国另有自己的闭路电视规则，监管机构发布的 CCTV 指引即使不具严格约束力，也值得一读。
东南亚：各国情况速览
在整个地区，五大主要市场如今都已制定全面的数据保护法律，但其成熟度、指引与执法力度差异很大。
越南
越南的《个人数据保护法令》——第 13/2023/ND-CP 号法令，通常简称 PDPD——于 2023 年 7 月 1 日生效，是目前多数团队据以规划的制度框架。它引入了关于同意、告知、影响评估和跨境传输的各项义务。此后越南又推进制定专门的数据保护法；由于立场仍在演变，请与当地律师确认其生效时间及配套指引。
泰国
泰国的《个人数据保护法》B.E. 2562 (2019)，简称 PDPA，于 2022 年 6 月 1 日生效，由个人数据保护委员会（PDPC）担任监管机构。其结构与 GDPR 类似：合法性基础、告知、数据主体权利、数据泄露通知与跨境传输规则。该国已发布视频监控相关指引，零售商应把员工与顾客区分对待。
印度尼西亚
印度尼西亚的2022 年第 27 号《个人数据保护法》（UU PDP）于 2022 年 10 月颁布，两年过渡期至 2024 年 10 月结束。它确立了数据主体权利、同意要求和传输条件。实施条例分阶段推进，因此请在当地确认当前的具体要求。
菲律宾
2012 年《数据隐私法》（第 10173 号共和国法案）是该地区较早的综合性制度之一，由国家隐私委员会（NPC）负责执法。NPC 已就 CCTV 使用发布通告与指引，其中包含关于告知和比例原则的要求，对零售部署颇具参考价值。
面向多国零售商的实用结论：这些法律在同样少数几项义务上趋于一致——合法性基础、告知、最小化、留存限制、安全措施与供应商合同。一次记录完善的部署通常就能满足全部要求，具体市场的细节再交由当地律师审阅。
你必须告知人们什么
无论在哪个辖区，透明度要求在实践中都很相似：
- 在每个人进入监控区域之前，于每个入口设置清晰可见的标识；
- 用平实语言说明目的（"统计访客数量"）；
- 说明控制者是谁，以及如何联系他们；
- 为想了解细节的人提供分层告知；
- 就工作场所监控向员工发出单独且更清晰的告知。
如果系统同时进行数据分析，就不要把它描述成"仅用于安防的摄像头"；除非你能证明未存储可辨识数据，就不要把分析说成"匿名"。
留存与删除策略
留存是最容易让良好意愿落空的地方。请按数据类型制定时间表并自动执行：
- 计数与聚合数据：敏感度最低，留存最久。设定与业务需求挂钩的留存期限，例如一个滚动对比周期。
- 轨迹或路径数据：只在分析所需期间留存；通常是几天而非几个月。
- 视频：最好根本不存储。若确需存储，保留最少内容、加密并自动清除。
- 备份：把备份也纳入删除计划；留存失误往往藏在备份里。
- 供应商访问日志：留存足够长时间以便审计。
如果你不持有个人数据，回应访问与反对请求就会简单得多——这正是上述设计的有力理由。
向供应商提出的问题
面向任何客流统计供应商都适用的采购问题：
- 设备默认是否存储或传输视频？在进行分析的同时能否关闭录制？
- 数据处理在哪里进行——设备上、本地服务器还是云端——位于哪个区域？
- 平台是否包含人脸识别或生物特征识别？能否被永久禁用并证明已禁用？
- 究竟导出哪些数据：计数、轨迹、图像、推断的人口统计信息？
- 有哪些留存控制，能否从平台强制执行？
- 传输与存储中数据是否加密？访问如何控制和记录？
- 你们是否愿意签署数据处理协议？如有需要，系统能否完全本地部署？
- 你们有哪些次级处理者，位于何处？
合规自查清单
- [ ] 判断系统是否处理个人数据，并记录判断理由。
- [ ] 确认合法性基础；若依赖正当利益，则完成权衡评估。
- [ ] 如对公共区域进行大规模监控，筛查是否需要 DPIA。
- [ ] 安装入口标识，载明目的、控制者身份与联系方式。
- [ ] 发布单独的员工监控告知。
- [ ] 配置边缘处理，使原始视频不被留存。
- [ ] 按数据类型设定并执行留存计划，包括备份。
- [ ] 禁用识别功能，并把该设置记入部署日志。
- [ ] 签署数据处理协议，并确认数据存放地。
- [ ] 划分网络，限制设备对外访问。
- [ ] 保存访问日志并定期审阅。
- [ ] 在任何改造、固件变更或平台迁移后重新审阅。
常见问题
我们可以在不征得顾客同意的情况下做客流统计吗？在许多辖区可以——要么因为系统不处理任何个人数据，要么因为你依赖正当利益等合法性基础，并配合恰当的告知和有记录的评估。请与律师确认你具体配置和市场的立场。
如果数据是匿名的，GDPR 还适用吗？真正匿名的数据——即无法通过任何合理可能采用的手段重新关联到个人——不在 GDPR 范围内。风险在于，轨迹、时间戳和位置数据一旦与其他来源结合，就可能重新变成个人数据。请检验这一假设。
我们需要做 DPIA 吗？并非自动需要，但对公众可进入区域的大规模系统性监控是公认的触发条件。请作评估、记录结论，并在部署发生变化时更新它。
门店热度图属于个人数据吗？显示人群驻留位置的聚合热度图通常风险很低。若能被追溯到某个个体，或由持续的个人轨迹推导而来，就另当别论。粒度决定性质。
会数人的摄像头算"处理个人数据"吗？不一定——如果它确实只输出聚合结果、不存储任何可辨识信息，就可能落在个人数据法范围之外。这正是采购时值得坚持隐私保护架构的原因。
下一步
零售客流统计的隐私合规，主要取决于架构与文档，而不是回避这项技术。选择一种只统计不识别的部署方式，清晰告知，少做留存，并为每一项决定留下记录。如果你想为门店规划一次隐私设计优先的落地，我们的团队可以和你一起梳理各种配置选项。