人臉資訊保護付諸法律實踐 收集人臉必須徵得單獨同意

人臉資訊不是誰想採集就能採集

購買具有人臉識別功能的攝像設備安裝在旗下門店，6個月時間裏共違規採集上傳客戶人臉照片43萬餘張，近日，上海小鵬汽車銷售服務有限公司（以下簡稱“小鵬汽車”）為此被罰款10萬元。這家公司因此次處罰被推上熱搜的同時，也再次引發社會對人臉資訊採集的關注。

進入“刷臉時代”，大到智慧城市建設，小到手機App登錄解鎖，人臉識別正在全面嵌入生活的諸多場景，一些商家門店出於統計客戶等銷售需要，強制進行人臉識別。然而，由於人臉資訊屬於重要的個人生物資訊，一旦洩露就可能對公民的人身和財産安全造成極大危害。

目前，民法典、消費者權益保護法、個人資訊保護法等都對保護公民人臉資訊進行了相關規定。業內人士表示，“臉不能隨便刷”是法律的明確規定，小鵬汽車此次被罰再次敲響警鐘，不管是地産銷售還是汽車經銷，人臉資訊不是誰想採集就能採集。

售樓公司違法採集人臉被罰

2021年8月，河北省衡水市市場監督管理綜合執法局執法人員在檢查中發現，該市某房地産行銷公司在其負責的售樓部現場安裝了多臺攝像頭，其中有4台攝像頭的外觀與平常的安防攝像頭明顯不同，這引起執法人員的高度警覺。

執法人員隨即找到該公司負責人，要求登錄系統後臺進行查看。在該公司行銷部電腦系統後台中，執法人員找到了被可疑“攝像頭”（人臉抓拍機）記錄下的人臉頭像，其中還包括執法人員剛剛進入售樓部時的頭像，總數達17萬餘張。執法人員立刻固定證據，並對相關人員展開詢問調查。

經查，為促進銷售，該公司開展了“老帶新”獎勵、仲介分銷轉介行銷活動，並於2020年12月通過安裝攝像頭人臉抓拍系統，識別區分銷售現場訪客的來源。每當有來訪人員到達售樓處，4台人臉抓拍機就會記錄下來訪者的人臉資訊，並儲存在伺服器上。

在消費者簽訂購房買賣合同時，該公司會通過消費者身份證資訊再次人臉識別，使用人證一體機匹配出其首次到訪時間、到訪次數等資訊，用來區分購房者的來源渠道，並據此與分銷商或推薦人結算佣金獎勵。

執法人員調查發現，自2020年12月起，該售樓處開始在人臉抓拍攝像頭下方懸挂“為保證您的權益不受侵害，本售樓處已安裝視頻採集設備，我們承諾保護您的人臉等資訊安全”的提示告示牌。但是並沒有明確告訴消費者收集、使用人臉資訊的真實目的和範圍。執法人員隨機抽取部分購房者了解情況，他們均表示對個人資訊被採集和使用毫不知情。

此前，國內多地爆出售樓處悄然安裝人臉識別系統的消息，售樓處都是為了識別人臉以區分客戶來源，並對不同客戶給出不同的價格。由於人臉識別直接與房價掛鉤，同時“看房刷臉”引發客戶對個人資訊洩露的擔憂，不少地方出現客戶“戴著頭盔看房”的現象。這不僅表明消費者對於保護個人隱私的無奈，也是對相關商家違法收集人臉資訊的反諷。

由於涉事公司在其售樓處未明示收集、使用資訊的真實目的和範圍，採集人臉資訊的過程也未經消費者同意，違反了消費者權益保護法相關規定，屬於侵害消費者權益的行為。近日，衡水市市場監督管理局對此案依法作出處理：責令涉事公司改正並罰款8萬元。

人臉資訊保護付諸法律實踐

2021年12月初，小鵬汽車被上海市徐匯區市場監督管理局罰款10萬元。相關處罰決定書顯示，小鵬汽車購買具有人臉識別功能的攝像設備22台，硬體及軟體採購費共計17.38萬元，並全部安裝在其旗下門店，涉及5個直營店兩個加盟店。2021年1至6月，上述人臉識別攝像設備共計採集人臉431623張。

小鵬汽車表示，對本次行政處罰表示完全服從，對因此事件給公眾和客戶造成的困擾深表歉意，並對此事做出深刻反省。其上海門店已撤下所有的採集設備，數據全部刪除。

保護包括人臉在內的個人資訊隱私已成為全球共識，人臉識別引發的數據隱私問題，隨著近年來相關技術的大規模下沉，已從業界討論付諸法律行動。

由於不願被採集人臉資訊，要求退卡退費被拒，杭州市民郭某將某野生動物世界有限公司訴上法庭，此案也被稱為國內“人臉識別第一案”。2021年4月，杭州市中級人民法院對該案二審宣判，判令野生動物世界有限公司賠償郭某合同利益損失及交通費共計1038元，刪除郭某辦理指紋年卡時提交的指紋識別資訊和包括照片在內的面部特徵資訊。

“人臉識別第一案”是對所有公民個人資訊保護的積極提醒，正如二審法院所指出的：生物識別資訊作為敏感的個人資訊，深度體現自然人的生理和行為特徵，具備較強的人格屬性，一旦被洩露或者非法使用，可能導致個人受到歧視或者人身、財産安全受到不測危害，更應謹慎處理和嚴格保護。

收集人臉必須徵得單獨同意

民法典人格權編第1034條規定，個人資訊是以電子或者其他方式記錄的能夠單獨或者與其他資訊結合識別特定自然人的各種資訊，包括自然人的姓名、出生日期、身份證件號碼、生物識別資訊、住址、電話號碼、電子郵箱、健康資訊、行蹤資訊等。

“人臉就屬於民法典中規定的生物識別資訊。與指紋、虹膜等生物資訊一樣，人臉也具有唯一性，但又具有弱隱私性，不能總被遮擋隱蔽，因此更需要社會關注和法律保護。”北京德和衡律師事務所律師陳江濤説。

民法典人格權編第1035條規定，處理個人資訊的，應當遵循合法、正當、必要原則，不得過度處理，並符合下列條件：（一）徵得該自然人或者其監護人同意，但是法律、行政法規另有規定的除外；（二）公開處理資訊的規則；（三）明示處理資訊的目的、方式和範圍；（四）不違反法律、行政法規的規定和雙方的約定。

國家市場監督管理總局、國家標準化管理委員會發佈的《資訊安全技術個人資訊安全規範》中也明確規定：人臉資訊屬於生物識別資訊，也屬於個人敏感資訊，收集個人資訊時，應獲得個人資訊主體的授權同意。

2021年7月28日，最高人民法院發佈《關於審理使用人臉識別技術處理個人資訊相關民事案件適用法律若干問題的規定》，對人臉識別的應用場景、使用目的、責任認定等層面作出規範。其中，在民法典第1035條基礎上，進一步將“同意”細化為“單獨同意”，並針對實踐中反映較為突出的問題，從侵權責任、合同規則以及訴訟程式等方面規定了16個條文。

個人資訊保護法自2021年11月1日起施行。針對備受關注的濫用人臉識別技術問題，其中第26條規定，在公共場所安裝圖像採集、個人身份識別設備，應當為維護公共安全所必需，遵守國家有關規定，並設置顯著的提示標識。所收集的個人圖像、身份識別資訊只能用於維護公共安全的目的，不得用於其他目的；取得個人單獨同意的除外。

根據相關上位法，國內多地開始對人臉識別進行規範。2021年1月1日起施行的《天津市社會信用條例》明確，企事業單位、行業協會、商會等被禁止採集人臉、指紋、聲音等生物識別資訊。修訂後的《杭州市物業管理條例》將於2022年3月1日起施行，其中規定，物業服務人不得強制業主、非業主使用人通過提供人臉、指紋等生物資訊方式進入物業管理區域或者使用共有部分，不得洩露在物業服務中獲取的業主、非業主使用人個人資訊。

陳江濤表示，目前針對個人資訊保護的法律武器已經比較完備，但針對人臉資訊“無感知收集”“所有收集”“強迫收集”的現實情況，仍需要對人臉識別進行詳細嚴格的規範和界定。如果消費者發現可疑攝像頭“偷取”人臉資訊等情況，可直接向市場監管部門進行投訴舉報。