網(wǎng)上投稿
正如任何新技術(shù)的“誕生”一樣，人臉識別技術(shù)目前所呈現(xiàn)出的“雙刃劍”效應(yīng)也尤為明顯。該技術(shù)在提高社會效率、增加便利性的同時，在隱私、安全、公平等方面目前亦引發(fā)了諸多爭議。其中根據(jù)《人臉識別應(yīng)用公眾調(diào)研報告（2020）》中的數(shù)據(jù)可知：64.39%的受訪者認為人臉識別技術(shù)有被濫用的趨勢 ，而在今年央視“3·15”晚會上曝出一系列違規(guī)使用人臉識別技術(shù)的企業(yè)過后，更是將廣大民眾對這一技術(shù)的擔憂情緒推向了新的高度。隨著大數(shù)據(jù)技術(shù)的發(fā)展，會有越來越多的企業(yè)涉及使用人臉識別，例如：員工人臉識別考勤打卡、為精準計算客流量采集消費者人臉信息等。
2021年7月28日，《最高人民法院關(guān)于審理使用人臉識別技術(shù)處理個人信息相關(guān)民事案件適用法律若干問題的規(guī)定》（以下簡稱“司法解釋”）正式發(fā)布，對人臉識別案件的處理方式進行了明確，司法解釋也將對企業(yè)什么情況下可以使用人臉識別技術(shù)、如何使用，起到了進一步的引導(dǎo)作用。2021年8月20日，《個人信息保護法》公布，進一步確立了敏感個人信息的處理規(guī)則，該法將于2021年11月1日正式實施。本文結(jié)合司法解釋和《個人信息保護法》中的部分重點條款，針對企業(yè)如何合法合規(guī)的處理人臉識別技術(shù)進行分析，以防患于未然。
一、處理“人臉信息”需有必要性
在被稱為人臉識別第一案的郭兵與杭州野生動物世界有限公司服務(wù)合同糾紛一案中，法院認為：“當事人在辦卡時簽訂的是采用指紋識別方式入園的服務(wù)合同，野生動物世界收集郭兵及其妻子的人臉識別信息，超出了必要原則的要求，不具有正當性。盡管野生動物世界在涉案指紋識別的“年卡辦理流程”中規(guī)定流程包含“至年卡中心拍照”，但其并未告知郭兵與其妻子拍照即已完成對人臉信息的收集及其收集目的，郭兵與其妻子同意拍照的行為，不應(yīng)視為對野生動物世界通過拍照方式收集兩人人臉識別信息的同意?！弊罱K，法院判令野生動物世界賠償郭兵合同利益損失及交通費共計1038元；刪除其辦理指紋年卡時提交的包括照片在內(nèi)的面部特征信息。
司法解釋第二條第（八）款
違反合法、正當、必要原則處理人臉信息的情形應(yīng)當認定屬于侵害自然人人格權(quán)益的行為。
《個人信息保護法》第五條
處理個人信息應(yīng)當遵循合法、正當、必要和誠信原則……
因此，企業(yè)如需要進行人臉信息的收集工作，需對于自身的收集及使用場景作出相應(yīng)的必要性分析，概而言之，如果通過其他形式或者技術(shù)手段可以輕易起到“人臉識別”相同功能的（即可被輕易替代），則這種情況下的“必要性”就必然會存疑。當然由于“必要性”這一概念本身具有一定的抽象性及模糊性，具體的裁判尺度仍需靜待司法機關(guān)在后續(xù)相關(guān)案件中給出進一步的答案。
二、使用“人臉信息”需事先同意
上海市靜安區(qū)市場監(jiān)督管理局于2021年7月26日對科勒（中國）投資有限公司（以下簡稱科勒公司）作出的滬市監(jiān)靜處〔2021〕062021000787號處罰決定書指出：“當事人以攝像設(shè)備自動抓取到店人員的人臉信息，據(jù)此來精準統(tǒng)計客流，方便制定銷售政策。但當事人在利用上述攝像設(shè)備收集消費者人臉信息時，并未取得消費者的明示或授權(quán)同意。當事人 在2020年2月至2021年3月期間未經(jīng)消費者同意擅自在門店安裝攝像設(shè)備抓取人臉信息的行為違反《中華人民共和國消費者權(quán)益保護法》，構(gòu)成經(jīng)營者未經(jīng)消費者同意收集消費者個人信息的違法行為?！弊罱K，科勒公司被處以罰款人民幣伍拾萬元整。對此，《個人信息保護法》第十三條也明確規(guī)定了，除為履行法定職責或法定義務(wù)所必需等特定情形外，需取得個人同意，個人信息處理者方可處理個人信息。
司法解釋第二條第（一）款
基于處理人臉識別的場景與技術(shù)，將人臉信息處理方式區(qū)分為了：人臉驗證、人臉辨識，以及人臉分析，并強調(diào)在經(jīng)營場所、公共場所違法違規(guī)處理人臉信息涉及上述任意方式的均應(yīng)當認定屬于侵害自然人人格權(quán)益的行為。
另外，《信息安全技術(shù)人臉識別數(shù)據(jù)安全要求（征求意見稿）》中將“人臉分析”的概念定義為：“不開展人臉驗證或人臉辨識，僅對采集的人臉圖像進行統(tǒng)計、檢測或特征分析。典型應(yīng)用包括公共場所人流量統(tǒng)計、體溫檢測、圖片美化等。此類場景應(yīng)遵循GB/T 35273-2020、GB/T AAAAA-AAAA《網(wǎng)絡(luò)數(shù)據(jù)活動安全要求》的要求處理人臉圖像。”
據(jù)此，門店經(jīng)營者僅為精準計算客流量所采集人臉信息的行為屬于司法解釋中所規(guī)制的“人臉分析”場景，其未經(jīng)消費者同意的收集行為當然屬于違規(guī)行為。
三、處理人臉信息必須向當事人公示、告知人臉信息的處理規(guī)則
寧波市市場監(jiān)督管理局于2021年4月19日對寧波保利實業(yè)投資有限公司（以下簡稱保利公司）作出的甬市監(jiān)處〔2021〕20號處罰決定書指出：“當事人通過人臉認證機采集消費者個人身份證信息和人臉生物識別信息，雖經(jīng)消費者同意，卻未向消費者明示收集、使用信息的目的、方式和范圍。當事人的行為，違反了《中華人民共和國消費者權(quán)益保護法》之規(guī)定，屬于未明示收集、使用信息的目的、方式和范圍，并未經(jīng)消費者同意而收集、使用消費者個人信息的行為?！弊罱K對保利公司處以了25萬元的罰款。
上述行政處罰作出的依據(jù)與司法解釋第二條第（二）款的規(guī)定也基本相同，即只要涉及人臉信息的收集不但需經(jīng)過當事人授權(quán)同意，還需進一步采取明示的手段將人臉信息的處理規(guī)則（包括收集、使用人臉信息的目的、方式和范圍）向當事人公示或者告知。
四、應(yīng)對合法收集得來的人臉信息采取必要的管理和技術(shù)保護措施確保其安全
淮安市公安局淮安分局于2021年3月16日對淮安市群富鞋業(yè)有限公司作出的淮安公（順）行罰決字〔2021〕520號處罰決定書中指出：“安裝的上班打卡系統(tǒng)為人臉識別系統(tǒng)，系統(tǒng)采集的人臉信息、住戶姓名、手機號碼等個人信息僅保存在該公司連接互聯(lián)網(wǎng)的臺式電腦內(nèi)，未采取必要的管理和技術(shù)保護措施確保其安全，導(dǎo)致公司員工信息存在泄漏、丟失的安全隱患。”并對該公司作出了相應(yīng)的行政處罰。
司法解釋第二條第（五）款：
未采取應(yīng)有的技術(shù)措施或者其他必要措施確保其收集、存儲的人臉信息安全，致使人臉信息泄露、篡改、丟失的應(yīng)當認定屬于侵害自然人人格權(quán)益的行為。
具體而言如何做到安全合規(guī)存儲這類生物識別信息可以參考《網(wǎng)絡(luò)安全法》、《信息安全技術(shù)個人信息安全規(guī)范》中的相關(guān)規(guī)定，即存儲個人敏感信息時應(yīng)作到：
1、應(yīng)采用加密等安全措施，密碼技術(shù)需要遵循密碼管理的相關(guān)國家標準；
2、個人生物識別信息與個人身份信息分開存儲。避免人臉信息和個人身份信息組合、匯集而形成信息組合體，降低信息泄露導(dǎo)致的個人風險；
3、原則上，企業(yè)不應(yīng)當存儲原始個人生物識別信息（如樣本、圖形等）。
同時，《個人信息安全規(guī)范》還要求個人信息控制者通過僅存儲生物識別信息的摘要信息、終端直接識別或使用后及時刪除原始圖像的方式來避免存儲。
人臉識別這一新型技術(shù)從剛出現(xiàn)到逐步推廣至商業(yè)應(yīng)用，其“爭議”就一直不斷。事實上，縱觀人類科技史的發(fā)展，這種情形也幾乎是每一次重大技術(shù)革新時所必須面臨的挑戰(zhàn)。因此，我們也大可不必談“人臉信息”而色變，恰恰當務(wù)之急是需要建立科學的管控規(guī)則，擴大其“人臉識別”技術(shù)優(yōu)勢的同時抑制其使用風險。讓技術(shù)“帶著鐐銬跳舞”，引導(dǎo)新型技術(shù)發(fā)揮其更大的作用。
滬公網(wǎng)安備 31010402007129號
