“人脸识别”不可滥用

■圆桌主持  陈宏光

本期嘉宾

上海光大律师事务所  潘轶

上海尚法律师事务所  和晓科

上海中夏律师事务所  李晓茂

主持人:

近日最高人民检察院发布了一批个人信息保护检察公益诉讼典型案例，在“浙江省湖州市检察机关诉浙江G旅游发展有限公司侵害公民个人信息民事公益诉讼案”中，检察机关针对景区违法采集游客人脸信息的情形坚持上下联动、一体化推进，督促行政机关加强监管，促使景区运营企业合法合规收集、使用和存储人脸信息数据，开展人脸信息数据删除现场勘验，充分保障游客的知情权和选择权等合法权益，切实保护游客个人信息安全。

人脸信息属于“生物识别信息”

相关司法解释已经明确：人脸信息属于《民法典》规定的“生物识别信息”。

李晓茂：根据《民法典》的规定，自然人的个人信息受法律保护。

任何组织或者个人需要获取他人个人信息的，应当依法取得并确保信息安全，不得非法收集、使用、加工、传输他人个人信息，不得非法买卖、提供或者公开他人个人信息。

个人信息是以电子或者其他方式记录的能够单独或者与其他信息结合识别特定自然人的各种信息，包括自然人的姓名、出生日期、身份证件号码、生物识别信息、住址、电话号码、电子邮箱、健康信息、行踪信息等。

《最高人民法院关于审理使用人脸识别技术处理个人信息相关民事案件适用法律若干问题的规定》则进一步明确，人脸信息属于《民法典》规定的“生物识别信息”。

被“人脸识别”应有知情权

根据相关法律的规定，对于被“人脸识别”的人来说，首先应当有知情权。

潘轶：根据《个人信息保护法的》规定，敏感个人信息是一旦泄露或者非法使用，容易导致自然人的人格尊严受到侵害或者人身、财产安全受到危害的个人信息，包括生物识别、宗教信仰、特定身份、医疗健康、金融账户、行踪轨迹等信息，以及不满十四周岁未成年人的个人信息。

只有在具有特定的目的和充分的必要性，并采取严格保护措施的情形下，个人信息处理者方可处理敏感个人信息。

该法还规定，处理敏感个人信息应当取得个人的单独同意。在处理敏感个人信息前，应当以显著方式、清晰易懂的语言真实、准确、完整地向个人告知下列事项：

（一）个人信息处理者的名称或者姓名和联系方式；

（二）个人信息的处理目的、处理方式，处理的个人信息种类、保存期限；

（三）个人行使本法规定权利的方式和程序；

（四）法律、行政法规规定应当告知的其他事项。

此外还应当向个人告知处理敏感个人信息的必要性以及对个人权益的影响。

也就是说，对于被“人脸识别”的人来说，首先应当有知情权。

根据《最高人民法院关于审理使用人脸识别技术处理个人信息相关民事案件适用法律若干问题的规定》，有下列情形之一，信息处理者以已征得自然人或者其监护人同意为由抗辩的，人民法院不予支持：

（一）信息处理者要求自然人同意处理其人脸信息才提供产品或者服务的，但是处理人脸信息属于提供产品或者服务所必需的除外；

（二）信息处理者以与其他授权捆绑等方式要求自然人同意处理其人脸信息的；

（三）强迫或者变相强迫自然人同意处理其人脸信息的其他情形。

换句话说，上述“告知”或者说“同意”的方式是法律不认可的。

滥用“人脸识别”构成侵权

相关司法解释通过列举的方式明确，“信息处理者处理人脸信息有下列情形之一的，人民法院应当认定属于侵害自然人人格权益的行为”，遭受侵害的人可以主张财产损害赔偿。

和晓科：除非为应对突发公共卫生事件，或者紧急情况下为保护自然人的生命健康和财产安全所必需而处理人脸信息，或者为维护公共安全，依据国家有关规定在公共场所使用人脸识别技术等特定情形，在大多数场景下，被“人脸识别”者除了知情权之外还应当享有选择权。

《最高人民法院关于审理使用人脸识别技术处理个人信息相关民事案件适用法律若干问题的规定》明确：物业服务企业或者其他建筑物管理人以人脸识别作为业主或者物业使用人出入物业服务区域的唯一验证方式，不同意的业主或者物业使用人请求其提供其他合理验证方式的，人民法院依法予以支持。

此外该规定还明确，有下列情形之一，信息处理者以已征得自然人或者其监护人同意为由抗辩的，人民法院不予支持：（一）信息处理者要求自然人同意处理其人脸信息才提供产品或者服务的，但是处理人脸信息属于提供产品或者服务所必需的除外；（二）信息处理者以与其他授权捆绑等方式要求自然人同意处理其人脸信息的；（三）强迫或者变相强迫自然人同意处理其人脸信息的其他情形。

也就是说，上述无法选择的“知情同意”是无效的。

此外，上述规定还通过列举的方式明确，“信息处理者处理人脸信息有下列情形之一的，人民法院应当认定属于侵害自然人人格权益的行为”，包括“在宾馆、商场、银行、车站、机场、体育场馆、娱乐场所等经营场所、公共场所违反法律、行政法规的规定使用人脸识别技术进行人脸验证、辨识或者分析”；“未公开处理人脸信息的规则或者未明示处理的目的、方式、范围”；“未采取应有的技术措施或者其他必要措施确保其收集、存储的人脸信息安全，致使人脸信息泄露、篡改、丢失”等。

信息处理者处理人脸信息侵害自然人人格权益造成财产损失，该自然人依据《民法典》第一千一百八十二条主张财产损害赔偿的，人民法院依法予以支持。自然人为制止侵权行为所支付的合理开支，可以认定为《民法典》第一千一百八十二条规定的财产损失。合理开支包括该自然人或者委托代理人对侵权行为进行调查、取证的合理费用。人民法院根据当事人的请求和具体案情，可以将合理的律师费用计算在赔偿范围内。

■链接

旅游公司滥用人脸识别  检察公益诉讼督促整改

据“正义网”报道，A景区由浙江G旅游发展有限公司（以下简称G公司，其控股股东是某国有公司）负责实际运营。2020年7月，A景区通过招标委托浙江H科技有限公司（以下简称H公司）建设完成人脸识别系统，并投入运行。系统使用期间，A景区在采集游客人脸信息时未依法履行告知义务，存在强制要求购票游客录入人脸信息、“刷脸”入园的情形，且景区未对采集到的人脸信息定期予以删除，致使游客个人信息被侵害，损害了社会公共利益。

2021年10月，最高人民检察院根据志愿者反映，将A景区要求游客“刷脸”入园、涉嫌侵害游客人脸信息的线索交由浙江省人民检察院办理。2021年11月初，湖州市人民检察院、湖州市南浔区人民检察院联合成立专案组对该线索立案调查，对A景区人脸识别系统前端完成电子取证。

经调查发现，A景区现场购票除要求游客提供身份证外，还要求游客进行“刷脸”认证，且未告知“刷脸”入园的必要性及后续如何处理刷脸信息，对游客人脸信息储存和使用缺乏具体制度规范。同年11月12日，浙江省院、湖州市院、南浔区院会同当地旅游度假区管委会、G公司等景区运营主体，同时邀请了浙江省消费者权益保护委员会相关工作人员和法律专家，围绕涉案人脸信息被侵害问题召开磋商会，就G公司删除景区前期采集储存的人脸信息数据，规范人脸信息的收集和使用等事项达成共识。同时，湖州市院与湖州市网信办开展磋商，网信部门对G公司提出整改要求。同年11月18日，湖州市院向G公司制发检察建议，督促G公司积极整改，确保依法运营。

2021年11月24日，G公司回复检察机关称，已委托H公司通过远程操作，将景区违规收集储存的人脸信息数据进行删除。为确保删除工作符合规范，切实维护公民信息安全，浙江省院组织技术力量会同办案人员赴现场开展技术勘验，湖州市院邀请人大代表、人民监督员进行现场见证。在相关人员的监督下，A景区前期采集、储存游客人脸信息共计120万余条完全删除。同时，G公司已建立起人脸信息采集和使用的制度规范。目前，景区门口和购票处已设置告知牌，告知游客“刷脸”入园的相关事项，征求游客意愿，游客可以自由选择人脸识别、购买纸质门票、网络购票等多种方式进入景区。对于采用人脸识别进入景区的游客，景区会根据游客入园的需要合理设置人脸数据删除的期限，并在游客游玩结束后自动删除人脸信息，确保游客人脸信息安全。

SourcePh" style="display:none">