(Available in Chinese Only)
大数据时代背景下，人脸识别技术被广泛应用，为人民的生产生活带来便利的同时，人脸信息的不当采集及使用也时有发生，为个人隐私权、肖像权、财产安全、公共安全带来风险和威胁，引发了诸多争议。2021年7月27日，最高人民法院发布了《关于审理使用人脸识别技术处理个人信息相关民事案件适用法律若干问题的规定》（于2021年8月1日起施行，以下简称“《人脸识别司法解释》”），对违法处理人脸信息的行为及救济进行了规定。2021年8月20日，全国人大常委会发布了《中华人民共和国个人信息保护法》（于2021年11月1日起施行，以下简称“《个人信息保护法》”），从法律层面完善了相关个人信息的处理规则。此外，相关配套性规定及地方性规定也陆续出台中。鉴于此，本文将立足于人脸识别技术处理个人信息的相关法律法规，探析在应用人脸识别技术处理个人信息时的相关法律风险及其防范措施，为相关个人信息处理者提供参考。
一、人脸信息的性质
我国现行法律规定中，暂未明确“人脸信息”的相关法律定义，其含义及内容可参照相关国家标准1，但在《人脸识别司法解释》中，已将“人脸信息”归为《中华人民共和国民法典》（以下简称“《民法典》”）第一千零三十四条2规定的“生物识别信息”。《个人信息保护法》第二十八条3将“生物识别信息”列为了“敏感个人信息”，并规定了敏感个人信息的专门处理规则。故个人信息处理者对人脸信息的处理（包括收集、存储、使用、加工、传输、提供、公开等）除遵守一般个人信息的相关规定外，还应遵守“生物识别信息”及“敏感个人信息”的相关规定。
二、侵害人脸信息可能面临的法律责任
2021年4月9日，全国“人脸识别第一案”【（2020）浙01民终10940号】在杭州中院二审判决。在该案中，原告郭某购买了被告杭州野生动物世界年卡，留存相关个人身份信息，并录入指纹和拍照。后野生动物世界将年卡入园方式由指纹识别调整为人脸识别，并要求郭某进行人脸激活。郭某认为人脸信息属于高度敏感个人隐私，不同意接受人脸识别，故起诉野生动物世界，提出删除其个人信息、退卡等诉讼请求。该案的二审判决维持一审判决第一项第二项，即判决野生动物世界赔偿郭某合同利益损失及交通费共计1038元，判决生效十日内履行；同时判决野生动物世界删除郭某办理指纹年卡时提交的包括照片在内的面部特征信息，以及指纹识别信息。在该案中，案件的起因、争议焦点都围绕被告动物世界收集人脸信息的行为展开，但“人脸识别第一案”案件审理时，《个人信息保护法》、《民法典》等法律法规尚未生效，法律规则体系中不存在明确的“个人信息”的概念，故该案的判决依据主要集中于肖像权、隐私权以及消费者知情权的相关规定。
此外，实务中还有大量的人脸识别相关的行政处罚案件。不少房屋销售活动中，房屋销售方在房屋销售现场使用人脸识别摄像头等设备，对到访消费者进行人脸抓拍、比对以进行相关费用的结算。行政监管部门通常以违反《消费者权益保护法》、《侵害消费者权益行为处罚办法》等相关规定予以处罚（如行政处罚决定书文号：吴市监处〔2021〕496号、杭江市督局市监罚处〔2021〕32105151号、顺市监一队罚字〔2021〕16号等）。
根据《个人信息保护法》，人脸信息作为敏感个人信息受到更严格的保护，若个人信息处理者发生擅自收集或不当处理人脸信息等侵权行为，有可能承担民事、行政、刑事方面的法律责任。就民事责任而言，如果个人信息处理者侵害自然人人格权、违反相关规定处理个人信息等行为，被侵权者可依据《民法典》、《个人信息保护法》、《消费者权益保护法》、《人脸识别司法解释》等相关规定请求个人信息处理者承担相关法律责任。就行政责任而言，根据《全国人大常务委员会关于加强网络信息保护的决定》、《消费者权益保护法》、《侵害消费者权益行为处罚办法》等规定，如果企业侵害消费者的个人信息权益，可能会受到监管部门的相关行政处罚。就刑事责任而言，《最高人民法院、最高人民检察院关于办理侵犯公民个人信息刑事案件适用法律若干问题的解释》对侵犯公民个人信息犯罪的法律适用和定罪量刑作了系统规定。
三、人脸识别技术处理个人信息的法律风险防范
基于人脸信息的性质，在相关规定中对人脸信息的处理有着特殊的规定，建议个人信息处理者处理人脸信息时留意相关要求，防范相关法律风险：
（一）人脸信息收集/处理前
1.个人信息保护影响评估
因人脸信息属于敏感个人信息，根据《个人信息保护法》第五十五条、第五十六条等相关规定，个人信息处理者应当留意在事前进行个人信息保护影响评估，并对处理情况进行记录，个人信息保护影响评估应当包括下列内容：个人信息的处理目的、处理方式等是否合法、正当、必要；对个人权益的影响及安全风险；所采取的保护措施是否合法、有效并与风险程度相适应。此外，个人信息保护影响评估报告和处理情况记录应当至少保存三年。
2.妥为告知用户相关信息
根据《个人信息保护法》第十七条，个人信息处理者在收集人脸信息前，应告知用户个人信息处理者的名称及联系方式，公开处理人脸信息的规则，明示处理的目的、方式、范围等。此外，根据《个人信息保护法》第三十条规定的敏感个人信息的处理规则，个人信息处理者还应当向个人告知处理人脸信息的必要性以及对个人权益的影响。在实践中建议个人信息处理者在告知书或告示栏中完善告知的内容并尽可能详尽。
3．妥为取得用户的单独同意
因人脸信息属于敏感个人信息，根据《个人信息保护法》第二十九条，处理敏感个人信息前应当取得用户的“单独同意”4，值得注意的是，此处的“单独同意”，不得通过一揽子告知同意等方式（如线下采用统一告知书条款、线上采用统一的隐私政策等）征得个人同意，个人信息处理者应采用以增强告知的方式取得用户的单独同意。具体而言，线下可采用单独的同意书等形式，线上使用单独的弹窗或单独设置相关页面供用户主动勾选相关选项、填写相关内容等形式。具体形式应根据个人信息处理者的自身情况及处理的具体事项予以考虑及设置。
（二）人脸信息处理时
1.尽量采用多种身份验证方式
根据《人脸识别司法解释》第十条，物业服务企业或者其他建筑物管理人以人脸识别作为业主或者物业使用人出入物业服务区域的唯一验证方式，不同意的业主或者物业使用人有权请求其提供其他合理验证方式。因此，禁止了实践中强制用户接受人脸识别系统的行为，个人信息处理者除提供人脸识别技术外，可提供其他身份核验方式，如二维码、门禁卡、出入证等。对此，上海市人民代表大会常务委员会于2021年11月25日发布并于2022年1月1日正式生效的《上海市数据条例》第二十三条规定进一步明确了相关场所，即在上海市商场、超市、公园、景区、公共文化体育场馆、宾馆等公共场所，以及居住小区、商务楼宇等区域，不得以图像采集、个人身份识别技术作为出入该场所或者区域的唯一验证方式。
2. 公共场所收集的人脸信息应仅用于维护公共安全
根据《个人信息保护法》第二十六条，在公共场所安装人脸识别设备应当为维护公共安全所必需，遵守国家有关规定，并设置显著的提示标识。所收集的个人图像、身份识别信息只能用于维护公共安全的目的，不得用于其他目的，但取得个人单独同意的除外。因此，在实践中个人信息处理者若要公共场所收集的人脸信息用于数据分析、比对等，应当额外取得用户的单独同意。
3．人脸信息应单独储存
鉴于人脸信息属于个人敏感信息，根据《个人信息安全规范》，个人信息处理者将人脸信息与其他个人信息分开存储，采取应有的技术措施或者其他必要措施，确保其收集、存储的人脸信息安全。
（三）人脸信息处理后
个人信息处理者在处理人脸信息后，建议妥为记录与留存相关的合规措施，这是基于《个人信息保护法》第六十九条规定的过错推定责任，即处理个人信息侵害个人信息权益造成损害，个人信息处理者不能证明自己没有过错的，应当承担损害赔偿等侵权责任，因此个人信息处理者须重视对合规措施落实情况的记录与留存，以便在发生纠纷时能够有效地进行合规自证。
[1] 参见于2022年5月1日生效的《法庭科学 人脸图像相似度检验技术规范》（GA/T 1949-2021），其中规定了“人脸图像”、“人脸特征”、“人脸图像特征”等相关定义。以及《安防人脸识别应用系统第2部分：人脸图像数据》GA/T 922.2-2011）规定了“人脸记录数据”等相关定义。
[2] 《民法典》第一千零三十四条：“自然人的个人信息受法律保护。个人信息是以电子或者其他方式记录的能够单独或者与其他信息结合识别特定自然人的各种信息，包括自然人的姓名、出生日期、身份证件号码、生物识别信息、住址、电话号码、电子邮箱、健康信息、行踪信息等。
个人信息中的私密信息，适用有关隐私权的规定；没有规定的，适用有关个人信息保护的规定。”
[3] 《个人信息保护法》第二十八条：“敏感个人信息是一旦泄露或者非法使用，容易导致自然人的人格尊严受到侵害或者人身、财产安全受到危害的个人信息，包括生物识别、宗教信仰、特定身份、医疗健康、金融账户、行踪轨迹等信息，以及不满十四周岁未成年人的个人信息。只有在具有特定的目的和充分的必要性，并采取严格保护措施的情形下，个人信息处理者方可处理敏感个人信息。”
[4] 根据《个人信息保护法》相关规定，下列五种情形需取得用户单独同意：（1）向其他个人信息处理者提供其处理的个人信息的；（2）个人信息处理者公开其处理的个人信息；（3）在公共场所安装图像采集、个人身份识别设备，处理个人信息非用于维护公共安全的；（4）处理敏感个人信息；（5）向境外提供个人信息。
免责及版权申明
本文章仅为交流之目的，不构成李伟斌律师事务所任何形式的法律意见。欢迎转发本文章。如需转载或引用本文章的内容，请注明文章来源。
