對小區(qū)物業(yè)、App強制人臉識別說“不”，新增一道法律保障。7月28日，最高人民法院發(fā)布《關于審理使用人臉識別技術處理個人信息相關民事案件適用法律若干問題的規(guī)定》(以下簡稱《規(guī)定》)，將于8月1日實施?！兑?guī)定》不但明確了多種人臉信息處理情形屬于違法行為，也對小區(qū)、App強制“刷臉”等社會熱點做出了詳細規(guī)定。

《關于審理使用人臉識別技術處理個人信息相關民事案件適用法律若干問題的規(guī)定》。圖自最高人民法院網(wǎng)站

有專家對南都記者表示，《規(guī)定》是立法之前的一次大膽探索。它不像一般的司法解釋只是對某部法律的條文的細化解釋，而是在各級法院審理大量個人信息保護相關案件的基礎上制定的審判指南。

此外，《規(guī)定》在民法典基礎上，將收集人臉信息場景下的用戶“同意”進一步細化為“單獨同意”，對人臉信息提供增強式保護，讓個人更加充分地參與到人臉信息處理的決策之中。專家普遍認為，這一規(guī)定將有效遏制App通過強制索取個人信息的現(xiàn)象。

1

立法前基于大量案件的大膽探索

人臉識別技術在為社會生活帶來便利的同時，所帶來的個人信息保護問題也日益凸顯。最高法專門出臺《規(guī)定》，對人臉信息提供司法保護，建立在大量實踐的基礎之上。

最高人民法院副院長楊萬明介紹，近年來，侵犯公民個人信息犯罪處于高發(fā)態(tài)勢，而且與電信網(wǎng)絡詐騙、敲詐勒索、綁架等犯罪呈合流態(tài)勢，社會危害嚴重。2017年5月，最高法發(fā)布《關于辦理侵犯公民個人信息刑事案件適用法律若干問題的解釋》，對侵犯公民個人信息犯罪的定罪量刑標準和有關法律適用問題作了全面、系統(tǒng)的規(guī)定。此后，各級人民法院依法懲治侵犯公民個人信息犯罪，案件數(shù)量顯著增長，2017年6月至2021年6月內(nèi)被告人判處三年以上有期徒刑的比例達17.50%。

中國信息安全研究院副院長左曉棟指出，因為個人信息保護案件常常涉及到多個領域的法律，在法官審理過程中，可能出現(xiàn)尺度把握不準、對法律的理解不一致等情況，這時就需要最高法進行審判指導。所以，《規(guī)定》并不像一般的司法解釋那樣，對某部法律的條文進行細化解釋，而是在各級法院審理大量個人信息保護相關案件的基礎上，根據(jù)實際問題，制定審判指南。

中國人民大學法學院副教授郭銳也認為，此次最高法出臺《規(guī)定》，是在立法機關完成立法之前一個非常有意義的大膽探索——它不完全是已有立法的細化，還有一些新的內(nèi)容。

他分析，《規(guī)定》出臺主要是為了審判的需要。在審判過程中，即使立法還沒有出來，法院也必須對人臉識別技術本身做出實質(zhì)性的判斷。“總不能因為沒有立法就不立案，因此出臺《規(guī)定》是很有必要的。”

不過，在中國人民大學法學院教授、民商事法律科學研究中心執(zhí)行主任石佳友看來，人臉識別技術的應用可以促進公共安全和社會管理效率的提升，不宜一刀切式的禁止。“司法規(guī)制的主要目的在于將其對個人權利的影響限定在合理的范圍之內(nèi)，在公共利益和個人利益之間保持合理的平衡”，他寫道，這正是《規(guī)定》的起草原則和思路。

楊萬明還提到，《規(guī)定》是立足現(xiàn)實需求、以問題為導向制定的。他表示，《規(guī)定》對濫用人臉識別問題作出司法統(tǒng)一規(guī)定，是以“保護當事人合法權益，促進數(shù)字經(jīng)濟健康發(fā)展”為宗旨，既注重權益保護，又注重價值平衡。

小區(qū)住戶有權拒絕物業(yè)2 強制“刷臉”“刷臉”

去年11月，南都曾報道，有的售樓處會用攝像頭識別出購房者是否為第一次到訪，據(jù)此給予不同的購房優(yōu)惠。今年“3·15晚會”也曝光了有些知名門店設置攝像頭“無感抓拍”消費者的人臉信息，分析消費者的性別、年齡、心情等，進而采取不同營銷策略。

對此，《規(guī)定》明確，在賓館、商場、銀行、車站、機場、體育場館、娛樂場所等經(jīng)營場所、公共場所違反法律、行政法規(guī)的規(guī)定使用人臉識別技術進行人臉驗證、辨識或者分析，應當認定屬于侵害自然人人格權益的行為。

比如商場等零售場所使用人臉識別進行客流分析，左曉棟認為沒有必要。“新零售使用人臉識別不是出于公共安全利益，按照規(guī)定就需要征得每個用戶的同意，但在現(xiàn)實中這不可能實現(xiàn)。”他說。

中國傳媒大學文化產(chǎn)業(yè)管理學院法律系主任、副教授鄭寧進一步提出，新零售場景下，商家可以通過發(fā)送短信、掃碼填寫告知同意書等方式履行告知義務，在不采集人臉信息的情況下完成客流分析。

《規(guī)定》還針對小區(qū)強制“刷臉”制定了專門條款，要求物業(yè)不得把人臉識別作為業(yè)主或者物業(yè)使用人出入物業(yè)服務區(qū)域的唯一驗證方式。不同意的業(yè)主或者物業(yè)使用人請求提供其他合理驗證方式的，人民法院依法予以支持。

“這就意味著個人就刷臉進小區(qū)享有選擇權等，可以拒絕刷臉要求，改選其他的身份核驗方式。另外，不僅是業(yè)主享有此種選擇權利，包括承租人在內(nèi)的物業(yè)使用人也享有同樣的權利。”石佳友撰文指出。

最高人民法院研究室副主任郭鋒進一步指出，小區(qū)物業(yè)不能以智能化管理為由，侵害居民人格權益。“我們應該擁抱新科技，但同時也要尊重人格權益。”

“這為人臉識別技術使用劃定了清晰邊界。”北京理工大學法學院教授洪延青撰文指出，《規(guī)定》涵蓋了人臉識別技術最常見的應用場景，如經(jīng)營場所、公共場所、線上應用、物業(yè)服務等，從司法角度針對不同場景中人民群眾所普遍關心的問題予以界定和規(guī)制，并在全面深入總結(jié)人臉識別技術相關問題的基礎上，對人臉識別技術所涉信息范圍、主要場景、目的和環(huán)節(jié)均予以回應和規(guī)定。

3

引入“單獨同意”，提供增強式保護

用戶知情同意是人臉識別的首要合法性基礎，這在學術界已經(jīng)形成共識。不過，現(xiàn)實生活中這一原則往往流于形式，存在著各種不規(guī)范的做法。

洪延青總結(jié)了三種常見情況：一是“無感知被收集”，即進入人臉識別區(qū)域卻毫無所知，自然人的人臉信息未經(jīng)任何告知和同意就直接被收集;

二是“一攬子收集”，即將人臉識別技術的使用和人臉信息的處理規(guī)則，與其他個人信息的授權和處理規(guī)則，一同寫在隱私政策或者用戶協(xié)議中，一次性征得用戶同意，用戶根本沒有對人臉信息處理的選擇權;

三是“強迫收集”，即當人臉信息并非產(chǎn)品或服務的必要信息時，強制要求個人接受人臉識別才能安裝或繼續(xù)使用具體的產(chǎn)品或服務，既不符合自愿原則，還違反了“合法、正當、必要”原則。

后兩種情況在使用App時并不鮮見。最高人民法院研究室民事處處長陳龍業(yè)指出，這既是廣大用戶的痛點，也是維權的難點。

因此，《規(guī)定》引入單獨同意規(guī)則和強迫同意無效規(guī)則。前者意味著信息處理者在征得個人同意時，必須就人臉信息處理活動單獨取得個人的同意，不能通過一攬子告知同意等方式征得個人同意。

后者是指信息處理者采取“與其他授權捆綁”、“不點擊同意就不提供服務”等方式強迫或者變相強迫自然人同意處理其人臉信息，信息處理者據(jù)此認為其已征得相應同意的，人民法院不予支持。此規(guī)定對于需要告知同意的線下場景也同樣適用。

石佳友認為，在上述場景中，用戶往往處于沒有其他選擇的困境，無法行使同意權或拒絕權。因此，這些情形不能視為其對人臉信息處理真正給予了同意和有效授權。洪延青則指出，在充分知情、自愿、明確、單獨等要素的有力支撐下，引入“單獨同意”規(guī)則能夠有效遏制上述亂象。

楊萬明透露，《規(guī)定》在民法典基礎上，進一步將“同意”細化為“單獨同意”，目的在于對人臉信息提供增強式保護，讓個人更加充分地參與到人臉信息處理的決策之中。為防止信息處理者對人臉信息的不當采集，對處理人臉信息的有效同意也采取的是從嚴認定的思路。

如何在App中體現(xiàn)“單獨同意”規(guī)則?鄭寧提到，App必須設計有關人臉識別的專門條款并取得個人單獨同意，才可以采集相關信息。

4

信息處理者應承擔更多舉證責任

《規(guī)定》對人臉識別的司法保護同樣值得關注?！兑?guī)定》要求，信息處理者主張其不承擔民事責任的，應在不符合例外情形的情況下承擔舉證責任。

楊萬明介紹，《規(guī)定》充分考慮雙方當事人的經(jīng)濟實力不對等、專業(yè)信息不對稱等因素，在舉證責任分配上課以信息處理者更多的舉證責任。

“在訴訟中，對于個人信息到底有沒有按照用戶同意的方式進行使用等問題，用戶很難自己舉證”，郭銳分析，舉證責任更多在信息處理者身上“是合理的”，也體現(xiàn)了對用戶維權的支持。

對于人臉識別所引發(fā)的損害，《規(guī)定》為信息主體規(guī)定了較為周密完善的司法救濟機制。比如信息處理者處理人臉信息侵害自然人人格權益造成財產(chǎn)損失，權利人可以援引民法典獲利剝奪的規(guī)則，在所遭受的損失與對方的獲利之間選擇。另外，權利人為制止侵權行為所支付的合理開支，可以認定為財產(chǎn)損失。合理開支包括本人或者委托代理人對侵權行為進行調(diào)查、取證的合理費用。

此外，《規(guī)定》第十二條關于違約責任的規(guī)定值得關注。該條規(guī)定：信息處理者違反約定處理自然人的人臉信息，該自然人請求其承擔違約責任的，人民法院依法予以支持。該自然人請求信息處理者承擔違約責任時，請求刪除人臉信息的，人民法院依法予以支持;信息處理者以雙方未對人臉信息的刪除作出約定為由抗辯的，人民法院不予支持。

石佳友指出，這就是說，即使在合同法的框架內(nèi)審理涉人臉識別糾紛，信息主體亦可主張其行使其刪除權，要求處理者依法刪除此前所收集存儲的人臉信息。這對于有效保護權利人的人臉信息尤其具有特殊的重要價值。

從《規(guī)定》第十四條可以看出，民事公益訴訟也是司法救濟途徑之一。楊萬明介紹，由于實踐中受害者分散、個人維權成本高、舉證能力有限等因素，個人提起訴訟維權的情況相對較少，而公益訴訟制度能夠有效彌補這一不足。事實上，這也為即將出臺的個人信息保護法預留了“接口”。

不過，郭銳擔心，在涉及很多人的公共利益時，完全依賴公益訴訟解決問題，沒有制度上的保障。他認為，國外的集團訴訟機制或許可以借鑒——由專業(yè)律所發(fā)起，再征集受害人加入，大公司往往要承擔巨額賠償，這就可能對實力比較強大的科技公司、服務提供者產(chǎn)生比較直接的制約。

“《規(guī)定》有很重要的宣示性價值，明確了人臉識別技術的倫理共識。未來，我覺得法院對訴訟的價值還是要思考得徹底一點，之后到底形成怎么樣的一個通過訴訟來維權的機制。”郭銳說。

關鍵詞： 新規(guī) 敏感信息 強制刷臉 物業(yè)服務