老周38岁，开了三家共享寄存柜，覆盖大学城的三个校区。去年跟风上了人脸识别功能，学生不用记取件码，扫脸就能开柜，比同行方便五毛，生意好得不行。他当时还跟我吹，说这叫科技赋能小生意。结果没到半年，就收到了告知书。
先搞懂：你手里的用户数据，够不够触发申报门槛
说实话，老周一开始根本不信。他说我一个破寄存店，拢共才十几万条人脸数据，也要跟腾讯阿里似的搞什么安全评估？
我给他翻了公开的规则。硬杠杠就两条：一是处理普通个人信息满100万人，二是处理敏感个人信息（人脸、指纹、行踪轨迹这些）满10万人。老周的寄存柜覆盖三个校区，半年多攒了12万条人脸信息，刚好踩在第二条线上。
他当时愣了半天，说我以为要百万级的用户才用申报啊？
哪有那么多理所当然。人脸这东西跟手机号不一样，手机号泄露了能换，人脸要是漏了，你总不能去整个容吧？规则里把它划成最高级别的敏感信息，就是怕小商家不当回事。
别瞎准备材料：申报要的不是你家公司的精美宣传册
老周说他一开始真的走了弯路。找了个常合作的代账公司，花了八千块，对方给他做了一套精美的材料，什么公司资质、门店照片、年度营业额报表，甚至还有他去年参加创业比赛的获奖证书。结果提交上去三天就被退回来了，工作人员给他打电话说，我们要的是你怎么存用户数据的说明，不是你家店的宣传册。
我跟着他一起理过一次材料，才知道这里面的门道有多细。
你得写清楚，所有采集的人脸数据存在哪？是本地服务器还是租的云服务？有没有给第三方共享过？哦对，老周去年为了搞活动，把绑定了人脸的学生手机号导了五千条给旁边开奶茶店的朋友，换了两百杯免费奶茶。这茬他一开始根本没敢写，还是律师跟他说，瞒报的处罚力度远高于补报。
还要写，你有没有给数据加密？后台密码是多少？有没有定期删除过期的用户数据？比如超过半年没存过包的用户，你会不会把他的人脸信息删掉？
老周当时拍大腿，说我当初给奶茶店导数据的时候，就想着换点珍珠，哪想到这是申报里的红线啊？
最容易被忽略的坑：补申报不是交完钱就完事
老周之前以为，补申报就是走个流程，把材料交上去，交点罚款就完事了。结果真到提交核查的时候，网信办的工作人员上门看了一眼他的后台，直接问，你这后台密码还是初始的123456？
他当时脸都白了。
原来申报不是让你写一堆漂亮话，是真的要你把安全措施做起来。比如人脸数据不能明文存在硬盘里，要做加密处理；后台密码不能用太简单的，最好是十六位带特殊字符的；还要有专门的日志，记录谁看过用户数据，有没有人尝试过非法登录。
老周说他当时真想干脆把人脸识别功能关了算了，省得这么麻烦。结果翻了一下后台的用户留言，有好几百条说扫脸存包太方便了，不想再用取件码。他纠结了一晚上，最后还是花了两万多，找了个技术团队给系统升级了加密模块，把后台密码换了个十六位的，还设置了自动清理半年以上过期数据的机制。
不过话说回来，老周这点麻烦，跟我上个月遇到的那个做宠物上门喂养的小姑娘比，还算轻的。那小姑娘做了两年上门喂猫，攒了三百多个客户的家门密码，还有不少客户给她开了家里的临时摄像头权限。她的敏感信息处理量才三百多，远没到强制申报的门槛，但是上个月有个客户的家门密码泄露，被人进家偷了猫，现在她正在找律师咨询，要不要主动做个安全评估，哪怕没到强制要求的线，也算给自己留个底。
昨天老周给我发微信，说他的申报终于过了。现在每次有学生扫脸存包，他都忍不住瞟一眼后台的加密日志，生怕出什么问题。
我回了个恭喜的表情包，转头就看见小区门口的人脸门禁贴了个通知，说下周要启动数据安全评估申报工作。
你看，这事从来都不是什么遥远的大厂游戏。它就是砸在一个个开寄存店的小老板、做上门服务的小姑娘、甚至小区物业的日常里的规则。没人天生就懂这些条文，大家都是一边踩坑，一边把步子踩实的。
