浅析人脸识别技术应用的民事法律规制

作者 张乐 编辑 吴雨星

2022-04-06 辅德法评

人脸识别，是一种基于人脸特征信息进行身份识别的生物识别技术。近年来，因为人脸识别具有易采集性、非接触性、快捷性等传统识别方式不具备的优势，在日常生活的各个领域得到了广泛应用。但值得注意的是，人脸信息具有人身映射性和私密性，一旦被泄露、非法使用或者滥用，容易危害信息主体的人身和财产安全。笔者以入选“2021年度人民法院十大案件”的“人脸识别纠纷第一案”为引，分析目前规制人脸识别技术应用的民事法律规则，以及人脸信息保护的未来路径。

一、人脸信息的法律属性

人脸信息属于敏感个人信息中的生物识别信息，且个人信息保护是《民法典》第四编“人格权编”的重要内容，因此，违法收集、处理或使用人脸信息属于侵害自然人人格权益。

法条链接：

《最高人民法院<关于审理使用人脸识别技术处理个人信息相关民事案件适用法律若干问题>的规定》 第一条

本规定所称人脸信息属于民法典第一千零三十四条规定的“生物识别信息”。

《民法典》第一千零三十四条

自然人的个人信息受法律保护。个人信息是以电子或者其他方式记录的能够单独或者与其他信息结合识别特定自然人的各种信息，包括自然人的姓名、出生日期、身份证件号码、生物识别信息、住址、电话号码、电子邮箱、健康信息、行踪信息等。

《个人信息保护法》第二十八条

敏感个人信息是一旦泄露或者非法使用，容易导致自然人的人格尊严受到侵害或者人身、财产安全受到危害的个人信息，包括生物识别、宗教信仰、特定身份、医疗健康、金融账户、行踪轨迹等信息，以及不满十四周岁未成年人的个人信息。

二、人脸识别纠纷第一案

基本案情：

2019年4月27日，原告郭某花费1360元购买了杭州某动物园双人年卡。年卡要求使用指纹识别入园方式。原告与其妻子留存了姓名、身份证号码、电话号码等个人信息，并录入了指纹识别信息。2019年7月，园方通知原告年卡入园识别系统更换，要求激活人脸识别系统，否则将无法正常入园。原告认为人脸信息属于高度敏感个人隐私，不同意人脸识别入园方式，要求园方退卡。双方经协商无法达成一致意见，2019年10月，原告向浙江省杭州市富阳区人民法院提起诉讼。

法院判决：

一审法院认为，“本案争议焦点实为对经营者处理消费者个人信息，尤其是指纹和人脸等个人生物识别信息行为的评价和规范问题。”双方在办理年卡时，约定以指纹识别方式入园，园方采集原告郭某及其妻子的照片信息，超出了法律意义上的必要原则要求，故不具有正当性。一审法院判令园方赔偿原告郭某合同利益损失及交通费共计1038元；删除其办理指纹年卡时提交的包括照片在内的面部特征信息。

原被告双方不服一审判决，均提起上诉。

二审法院对面部信息收集的合法性和正当性进行了详细论证，在合法性方面，“人脸识别信息相比其他生物识别信息而言，呈现出敏感度高，采集方式多样、隐蔽和灵活的特性，不当使用将给公民的人身、财产带来不可预测的风险，应当作出更加严格的规制和保护”；在正当性方面，“园方虽自述其并未将收集的照片激活处理为人脸识别信息，但其欲利用收集的照片扩大信息处理范围，超出事前收集目的，违反了正当性原则”。二审法院除维持一审部分判决之外，还要求园方删除原告及其妻子的指纹识别信息。

笔者认为：

该案作为对涉及指纹识别、人脸识别等生物识别技术案件的“首次司法回应”，法院对于该种信息采集方式采取了较为审慎的态度，对防范人脸识别等生物识别技术的滥用起到了一定的司法指引效果。

三、人脸识别技术应用的民事法律规制

（一） 人脸信息的处理规则

人脸信息的处理是一个内涵丰富的概念，包括了信息的收集、存储、使用、加工、传输、提供、公开、删除等一系列行为。《个人信息保护法》第二十八、二十九条明确，人脸信息的处理，应具备特定的目的和充分的必要性，并采取严格保护措施。同时，应当取得信息主体的单独同意。单独同意是一种较高标准的告知同意，即信息处理者在征得个人同意时，必须就人脸信息处理活动逐一取得个人的同意，不能采取发布公告等方式进行集体告知。除此之外，《最高人民法院<关于审理使用人脸识别技术处理个人信息相关民事案件适用法律若干问题>的规定》（以下简称“规定”）在第四条中确立了强迫同意无效规则，即信息主体的同意应是完全基于自愿而作出的。对于人脸信息的处理，不能带有任何强迫因素。如果信息处理者采取“与其他授权捆绑”、“不点击同意就不提供服务”等做法，会导致信息主体被迫同意处理其本不愿提供且非必要的人脸信息。

法条链接：

《最高人民法院<关于审理使用人脸识别技术处理个人信息相关民事案件适用法律若干问题>的规定》第四条

有下列情形之一，信息处理者以已征得自然人或者其监护人同意为由抗辩的，人民法院不予支持：

（一）信息处理者要求自然人同意处理其人脸信息才提供产品或者服务的，

但是处理人脸信息属于提供产品或者服务所必需的除外；

（二）信息处理者以与其他授权捆绑等方式要求自然人同意处理其人脸信息的；

（三）强迫或者变相强迫自然人同意处理其人脸信息的其他情形。

（二）侵权行为类型

《规定》第二条中列举了处理人脸信息应认定为侵害自然人人格权益的行为的八种情形。与本文前述的人脸信息处理规则相对应，未遵循处理规则的行为将被认定为侵权。同时，该条还重点关注了在经营场所、公共场所使用人脸识别技术进行人脸验证、辨识的行为。2020年，3.15晚会曾曝光多家企业在未经消费者同意的前提下，在其线下经营场所安装具有抓取人脸识别数据功能的摄像头。《规定》以问题为导向，对社会关注度高、矛盾集中的社会热点予以回应。最后，该条还设置了“公序良俗”及“合法、正当、必要”原则性的兜底条款，为应对人脸识别技术发展可能产生的其他侵权预留了空间。

法条链接：

《最高人民法院<关于审理使用人脸识别技术处理个人信息相关民事案件适用法律若干问题>的规定》第二条  

信息处理者处理人脸信息有下列情形之一的，人民法院应当认定属于侵害自然人人格权益的行为：

（一）在宾馆、商场、银行、车站、机场、体育场馆、娱乐场所等经营场所、

公共场所违反法律、行政法规的规定使用人脸识别技术进行人脸验证、辨识或者分析；

（二）未公开处理人脸信息的规则或者未明示处理的目的、方式、范围；

（三）基于个人同意处理人脸信息的，未征得自然人或者其监护人的单独同意，或者未按照法律、行政法规的规定征得自然人或者其监护人的书面同意；

（四）违反信息处理者明示或者双方约定的处理人脸信息的目的、方式、范

围等；

（五）未采取应有的技术措施或者其他必要措施确保其收集、存储的人脸信

息安全，致使人脸信息泄露、篡改、丢失；

（六）违反法律、行政法规的规定或者双方的约定，向他人提供人脸信息；

（七）违背公序良俗处理人脸信息；

（八）违反合法、正当、必要原则处理人脸信息的其他情形。

（三）民事责任

《规定》第七至第十二条明确了处理人脸信息侵害自然人人格权益引发的民事责任，包括准用《民法典》侵权责任编的相关规定承担侵权责任以及违约责任，具体如下：

1.采取删除、屏蔽、断开链接等必要措施。

2.根据《民法典》第一千一百八十二条的规定认定财产损失。自然人为制止侵权行为所支付的合理开支，可以认定为财产损失。合理开支包括该自然人或者委托代理人对侵权行为进行调查、取证的合理费用。人民法院根据当事人的请求和具体案情，可以将合理的律师费用计算在赔偿范围内。

3如有证据证明信息处理者使用人脸识别技术正在实施或者即将实施侵害其隐私权或者其他人格权益的行为，不及时制止将使其合法权益受到难以弥补的损害，可向人民法院申请采取责令信息处理者停止有关行为的措施的，人民法院可以根据案件具体情况依法作出人格权侵害禁令。

4.双方有约定的，按约承担违约责任，并删除人脸信息。

除《规定》中明确的责任内容，信息处理者可能承担的民事责任还包括：

1.根据《民法典》第一千条之规定，信息处理者应结合行为的具体方式及造成的影响范围承担消除危险、消除影响、赔礼道歉等民事责任。

2根据《民法典》第一千一百八十三条之规定，给信息主体造成严重精神损害的, 信息处理者承担精神损害赔偿责任。

三、未来路径

在对个人信息保护日益重视的大背景下，规制人脸识别技术运用行为的相关法律框架已具雏形。在民事领域，《个人信息保护法》及《最高人民法院<关于审理使用人脸识别技术处理个人信息相关民事案件适用法律若干问题>的规定》的施行，为信息主体维权提供了强有力的法律支撑。但该类案件存在举证难、具体财产损失金额小，违法成本低的特点，在实务中信息主体通过诉讼途径维权的积极性不高。

在未来，一方面，公益诉讼将成为保护人脸信息的“生力军”。《个人信息保护法》中设置了公益诉讼条款，赋予人民检察院和法定的社会组织诉讼主体资格。最高人民检察院已于2021年8月21日下发《关于贯彻执行个人信息保护法推进个人信息保护公益诉讼检察工作的通知》，采取“公开听证+检察建议”的模式，借助专业技术力量，发挥检察一体化办案优势，督促整改。另一方面，关注社会中容易侵犯人脸信息的“重灾区”，细化重点行业（如房地产业、物业服务业、金融业等）在人脸识别技术运用中的禁止性义务，形成较为全面的“事前约束网”。