# 人脸留了下来

**Deck:** 巴西的数据保护监管机构责令巴拉那州停止为考勤而扫描约100万名中小学生的人脸。它没有下令删除这些人脸——它下令保存它们。三天后，同一家机构对 Discord 立案，还配发了新闻稿。对这个州，它什么也没有发布。

**By:** URnetwork 编辑部
**Dateline:** 旧金山 — 2026年8月8日
**Category:** 新闻 / 分析

---

在巴西南部的巴拉那州，州立学校用机器点名。老师给全班拍一张照片，软件把每张脸对着在册学生数据库比对，软件没认出的孩子记为缺勤——巴西调查新闻机构 Núcleo Jornalismo 与欧洲调查报道组织 Investigate Europe 今年3月就是这样记录下这套流程的。这个项目叫 *Escola Paraná Biometria*（“巴拉那学校生物识别”），由州属信息技术公司 **Celepar** 与承包商 **Valid Soluções** 承建，铺到了大约**2,136所学校**、约**100万名学生**。这两个数字来自媒体报道；接下来那份命令里，一个数都没有。

**8月4日**，巴西国家数据保护局（**ANPD**）下令停止扫描。这份命令——*Despacho Decisório nº 2/2026/SFI*（第2/2026/SFI号决定性批示），由该局稽查监督总监 Fabrício Guimarães Madruga Lopes 签署，是依据巴西《通用数据保护法》（LGPD，Lei nº 13.709）第55-J条采取的预防性措施——暂停全州州立学校网络内一切用于考勤的生物识别处理，并给巴拉那州**十个工作日**来证明已经关停：一份由主管公共机关签署的正式声明，外加一份技术报告，点名每一个受影响的系统与数据库，写明每个生物识别数据库放在哪里、由谁保管。

拿一个家长的眼光去读，这份命令里最响的是一处沉默。命令没有任何一句说孩子们的人脸将被删除。它说的是：留着。叫停一件事，和把它撤销，是两个不同的动作；这两个动作之间的距离，就是100万份人脸模板如今所在的地方。

## 没有人下令删除这些人脸

命令全文五页，其中没有一个词的意思是“删除”。本刊在它的葡萄牙语全文里，把巴西数据保护法律和实务中所有表示抹除数据的用语查了一遍——“消除”“排除”“废弃”“匿名化”“抹掉”“销毁”等，合计八个词——每一个出现的次数都恰好是**零**。“抹除”压根不在这份文件里。

文本真正下达的指令在第1.3.2(b)项，方向恰好相反：州政府的报告须说明 *"as medidas adotadas para impedir novas operações de tratamento e o respectivo **regime de preservação ou bloqueio**"*——即为阻止新的处理操作而采取的措施，以及相应的**保存或封存**机制。扫描停下；模板留下，而这些模板存放在哪些数据库、由谁保管，巴拉那州现在必须一一记录在案。

这样做有站得住脚的理由，而且多半是正确的决定。这是一起进行中的执法程序里的预防性措施，不是处罚——同一份命令还把案卷转送该局的处罚部门，由它评估是否启动正式的处罚程序。监管者不会在程序走到一半时下令销毁证据；你不可能事后再去评估你已经让人抹掉的东西。但保存是对的，不等于保存是一种救济。被采集了人脸的孩子们，今天并没有把脸拿回来。他们拿到的是一个承诺——此刻没有人在拿这些模板做比对——和一宗未结的案卷，而“是否抹除”这个问题，在案卷里还没有被提出来。

## 一个时间戳就能了断

这十个工作日，既不从8月4日的签署起算，也不从命令8月6日的公布起算。第8项写得直白：*"a contagem dos prazos acima corresponde à intimação desta decisão"*——计时从本决定正式送达州政府之时开始。如果从8月4日起算，期限将在**8月18日**（星期二）届满；而送达几乎可以肯定晚于签署，所以8月18日是报告最早可能到期的日子。同一个窗口，也是州政府提出申诉的窗口。写一句“巴拉那州未予回应”很容易，但那是错的。它没有。今天大约只是十天倒计时里的第二天或第三天。

让这份报告值得等的，是里面的一个栏目。巴拉那州对外的辩解是：项目只是一个试点，7月就已自行停止。**第1.3.2(c)项**要求州政府填报 *"a data e o horário da efetiva desativação"*——人脸识别功能被实际停用的确切日期与时刻。时间戳早于8月4日，说明州政府是对的，ANPD 暂停的是一个已经死了的东西；时间戳晚于8月4日，说明监管者找上门时系统还活着。案卷 **00261.007049/2024-06** 项下那份合规报告里的一行字，无论落在哪一边，都会终结这场争论。

## 新闻稿给了 Discord，沉默留给了巴拉那

这份命令能走到公众眼前，只是因为 ANPD 的内部公报——《电子公务公报》（*Boletim de Serviço Eletrônico*），命令在8月6日登载于此——本身是公开的，而且有人去读了。该机构自己什么也没宣布。

签署三天之后的**8月7日**，同一家机构对聊天平台 **Discord** 启动执法程序，起因是一名13岁孩子的死亡，以及关于一个群组教唆自残的指控。那次行动配了新闻稿，附了立案文书，巴西《环球报》（*O Globo*）、*CartaCapital*、*Poder360*、*Olhar Digital* 等媒体当天跟进。

![同一周里 ANPD 的两起执法行动，都关乎儿童数据：2026年8月4日，巴拉那州被责令暂停对约100万名中小学生的人脸识别——没有新闻稿，只在内部公报里登了一条；2026年8月7日，对 Discord 立案——新闻稿俱全，附立案文书，全国媒体当天报道。针对巴拉那州的命令里，删除类词汇出现次数为零；它要求的是一套保存或封存机制，合规报告最早8月18日到期。](https://ur.io/blog/2026-08-08-01/figure-same-week.png)

这种差别有一部分说得通。孩子的死亡更具新闻性，公开示警本身可能就是目的。对国家体制内另一个机关动手，可能牵涉对外国平台动手时不存在的通报程序。新闻稿不是法定义务，而公报在形式上就算公布。也应当把这次行动本身记在功劳簿上：大多数数据保护机构行动缓慢，而且偏好对私营公司出手，这一家却在几天之内责令一个州政府关掉了自己的招牌校园系统。

这些都对，剩下的余味却仍旧硌人。新闻稿是一家机构告诉公众“我想让你们看见我哪些动作”的方式，而公报那条路，需要一个本来就知道去哪儿找的读者。同一个星期，同样是儿童数据，外国平台得到了公告，本国的州政府得到了沉默。这份沉默一直延续：截至8月8日，这份命令没有任何英文报道——检索到的英文条目为**零**，葡萄牙语条目有**61**篇。

## 可以照办，无从辩驳

命令作了决定，却不给解释。它的实体说理——这套处理为什么违法——是从 *Nota Técnica nº 4/2026* 援引并入的，那是一份 ANPD 尚未公布的技术意见书。下命令的文件是公开的；讲道理的文件不是。一份这样搭建的决定，可以被遵守，却无法被辩驳——州政府辩不了；下一所学校、下一个州里将要听到同一套推销话术的家长们，也辩不了。

有一个人，对读到那份意见书有着特别的资格。命令第4项指示，把它送达该监测案件的 *"o titular de dados cujo requerimento levou à abertura"*——因其申请而立案的那位数据主体：2024年，正是此人的一纸申请，让 ANPD 开始盯上这个项目。一个人提交了一份申请；两年之后，一个州被责令停止扫描100万个孩子。那份解释缘由的意见书，应该向所有其他人公布。去向这家机构要。

## 已经进了水箱的水

生物识别模板不是照片。它是从一张脸推导出来的一串数字，它存在的全部目的，就是只要这张脸还在，它就一直可供比对。所以“暂停”这个救济，比听上去要小。处理，是一个可以拧上的水龙头。模板，是已经进了水箱的水。巴拉那州的合规报告必须写明这些水存放在哪里、由谁看管。报告里没有任何一处需要写明还要存多久。

什么都不采集的系统，永远不用走到这一步。其余的一切——每一台考勤扫描仪、每一件从测量一个孩子开始的便利——终有一天会生出这样一页纸：监管者做到了它能做的极限，而人脸留在原地。

---

## 参考资料

- ***Despacho Decisório nº 2/2026/SFI***，ANPD Superintendência de Fiscalização（稽查监督局），稽查案卷 Processo de Fiscalização **00261.007049/2024-06**，SEI 0317850，2026年8月4日签署，2026年8月6日公布；签署人 Fabrício Guimarães Madruga Lopes。2026年8月8日自 `https://nucleo.jor.br/content/files/2026/08/SEI_0317850_Despacho_Decisorio_2-2.pdf` 取回——HTTP 200，**62,551字节**，sha256 `c83872723ab1477ea8c7831992bf5d75…`。文本以 `pdftotext -layout` 提取（9,655个字符；文件带有可用的文本层）。依据条项：第1.3、1.3.1、1.3.2(a)–(e)、1.5、2、4、7、8项；Lei nº 13.709 第55-J条；《稽查条例》（Regulamento de Fiscalização）第58条正文（*caput*）与第2款、第12(I)条。
- **字符串核验，本刊，2026年8月8日。** 在经 NFC 归一化的全文上检索：`eliminar`、`eliminação`、`exclusão`、`excluir`、`descarte`、`anonimiza…`、`apagar`、`destruição`——**每个词出现0次**；`preservação`、`bloqueio`——见于第1.3.2(b)项。全文引用的法条：第6、12、13、17、29、30、31、32、45、50、55-J、58条。*"Medida preventiva"*（预防性措施）单数形式出现三次，复数形式另有两次。
- **Nota Técnica nº 4/2026/CPDP/CGF/SFI/ANPD**（SEI 0313541）——由上述批示援引并入，**未公布**；截至2026年8月8日无法从 ANPD 网站取得。
- **Discord 程序，2026年8月7日**——以当天的巴西全国性报道为证，经 Google News RSS（`hl=pt-BR&gl=BR`）索引，包括《环球报》（*O Globo*，"ANPD abre processo contra Discord após suicídio de adolescente no MS"）、*CartaCapital*、*Poder360* 与 *Olhar Digital*。按 ANPD 新闻稿地址（slug）直接访问返回 404，新闻稿本身未在此取得。
- **葡萄牙语对巴拉那命令的报道**——索引到61条，包括 *G1*（8月6日，"Reconhecimento facial é suspenso em escolas no Paraná"）、*Tecnoblog*、*plural.jor.br*、*vermelho.org.br*，以及州教师工会 **APP-Sindicato**（8月7日）。
- **英文报道**——检索词 `Brazil ANPD facial recognition schools suspension`，Google News en-US 索引，2026年8月8日：**零条**。按“有边界的零结果”报告并写明方法：一个索引在一个时刻的结果，不是断言没有人写过。
- **项目背景与运作机制**——*Escola Paraná Biometria*，Celepar 携 Valid Soluções 建设；考勤采集的运作方式（老师给全班拍照；软件未匹配到的学生记为缺勤）见 *"O sistema de reconhecimento facial que monitora alunos no Brasil"*，Núcleo Jornalismo × Investigate Europe，2026年3月13日，`https://nucleo.jor.br/reportagem/2026/03/13/sistema-reconhecimento-facial-escolas-parana-brasil/`，存档为 `nucleo-mar13.txt`；合同与采购材料整理于 `blog-research/2026-08-07-02/candidate-13-a-million-schoolchildren/`。学校数与学生数来自媒体报道，而非批示本身。
- **抓取说明。** `gov.br/anpd` 对直接抓取返回 JavaScript 壳页面，即使请求头带 `Accept: application/json` 也照样返回 HTML；其新闻列表无法枚举。页面上的 `Modificado em 07/08/2026 18:28` 时间戳经 `r.jina.ai` 读取。