洪延青 | 保护人脸信息 规范行业健康发展的有效司法路径
作为新型生物特征识别技术，人脸识别技术具有易收集性、无感知性、泛在性等特点，被广泛运用在行政监管、公共服务、商业交易等各个领域。
当前，“人脸解锁”“刷脸支付”“刷脸进出”已成为公众生活的常态。人们在享受其给工作和生活带来巨大便利的同时，也引发了国内外对隐私与数据安全问题的普遍关注：“人脸”采集和使用的边界何在，如何更好规范人脸识别技术设置更为合理科学的规则，如何实现信息技术与人格利益之间的平衡，成为社会各界热议的焦点。
在此背景下，最高人民法院出台了《关于审理使用人脸识别技术处理个人信息相关民事案件适用法律若干问题的规定》（以下简称《规定》），为人脸识别相关民事案件的审判提供了裁判指引，为人脸识别技术使用划定了清晰边界，为个人合法权益的保护构建了坚实壁垒。
一、《规定》涵盖了使用人脸识别技术的主要场景、目的和环节
从概念层面看，《规定》所规范的对象是“使用人脸识别技术处理人脸信息”。从人民法院的司法裁判以及国家标准《个人信息安全规范》《人脸识别数据安全要求（征求意见稿）》等综合观之，“人脸信息”不仅包括人脸识别技术通过算法生成的人脸特征数据，还包括人脸识别技术所抓取的原始人脸图像。《规定》使用“人脸信息”的概念，不仅符合人脸识别技术所牵涉的个人信息，也更有利于全面保护人民群众的人格利益。
从应用场景层面看，《规定》涵盖了人脸识别技术最常见的应用场景，如经营场所、公共场所、线上应用、物业服务等，从司法角度针对不同场景中人民群众所普遍关心的问题予以界定和规制，体现了司法机关的问题导向和人民立场。
从使用目的层面看，《规定》全面涵盖了使用人脸识别技术的三种基础性目的：人脸验证、人脸辨识和人脸分析。
其中，人脸验证是将采集的人脸识别数据与存储的特定自然人的人脸识别数据进行比对（1:1比对），以确认特定自然人是否为其所声明的身份。以人脸验证为目的而使用人脸识别技术的，主要集中于安检、金融支付等重要领域，要求相对较高，管理较为规范。应用场景包括机场、火车站的人证比对，网络支付环境中的人脸验证等。
人脸辨识是将采集的人脸识别数据与已存储的指定范围内的人脸识别数据进行比对（1:N比对），以识别特定自然人。以人脸辨识为目的的人脸识别，应用场景较为广泛，技术层面也相对容易实现，比如公园入园、居民小区门禁、商场通过“无感”式人脸识别辨识特定客户或者中介等，实践中容易因未征得个人同意而触碰法律红线。
人脸分析是指通过分析人脸图像，预测评估个人年龄、健康、天赋、情绪、工作或者学习专注度等个人特征的活动。人脸分析可能会引发个人歧视，侵害人格尊严。部分国家对人脸分析持完全否定态度。
对于人脸识别的上述三种基础性目的，《人脸识别数据安全要求(征求意见稿)》中也有涉及。
从处理环节层面看，《规定》将人脸信息的处理界定为人脸信息的收集、存储、使用、加工、传输、提供、公开等，这与民法典第一千零三十五条的规定保持了一致。基于上述处理流程，《规定》通过不同条款完整覆盖了人脸信息处理的全链条，例如事先告知、单独同意、不得强迫同意、按约处理、安全存储、违约删除等。
总之，《规定》在全面深入总结人脸识别技术相关问题的基础上，对人脸识别技术所涉信息范围、主要场景、目的和环节均予以回应和规定，必将推动人脸信息的全面司法保护，也为规范人脸识别行业健康有序发展奠定良好基础。
二、《规定》进一步压实个人信息处理的合法性基础
无论是民法典还是网络安全法，都将个人同意作为个人信息处理首要合法性基础。然而，实践中的人脸识别应用存在各种不规范做法，使得个人同意往往流于形式。
常见的情况包括：“无感知被收集”，即进入人脸识别区域却毫无所知，自然人的人脸信息未经任何告知和同意就直接被收集；“一揽子收集”，即将人脸识别技术的使用和人脸信息的处理规则，与其他个人信息的授权和处理规则，一同写在隐私政策或者用户协议中，一次性征得用户同意，用户根本没有对人脸信息处理的选择权；“强迫收集”，即当人脸信息并非产品或服务的必要信息时，强制要求个人接受人脸识别才能安装或继续使用具体的产品或服务，既不符合自愿原则，还违反了“合法、正当、必要”原则。
人脸信息属于高度敏感的个人信息，也是生物识别信息中社交属性最强、最易采集的个人信息，一旦泄露将对个人的人身和财产安全造成极大危害，甚至还可能威胁公共安全。因此，必须对此类敏感个人信息采取更严格的保护措施。
《规定》在民法典第一千零三十五条的基础上，充分吸收个人信息保护立法重要成果，进一步将“同意”细化为“单独同意”，目的在于对人脸信息提供增强式保护，让个人更加充分地参与到人脸信息处理的决策之中。
根据《规定》第二条，基于个人同意处理人脸信息的，未征得自然人或者其监护人的单独同意，或者未按照法律、行政法规的规定征得自然人或者其监护人的书面同意的，应当认定属于侵害自然人人格权益的行为。
所谓“单独同意”，是指对人脸信息的处理行为及其规则，个人能够独立于其他个人信息处理行为及规则自由地作出同意。换句话说，对人脸信息的处理，不能与其他个人信息的处理合并在一起获得个人的同意。
根据国家标准《个人信息安全规范》第5.4（C）的规定，收集个人生物识别信息前，应单独向个人信息主体告知收集、使用个人生物识别信息的目的、方式和范围，以及存储时间等规则，并征得个人信息主体的明示同意。
国家标准《个人信息安全规范》自2020年10月1日实施以来，对规范人脸识别行业起到了积极作用。
三、“单独同意”能够有效规范人脸识别技术行业发展
从前文分析可知，单独同意，目的是为了保障个人对其人脸信息的处理享有知情权、决定权，确保个人有权限制或者拒绝他人对其人脸信息进行处理。笔者认为，充分知情、自愿、明确、单独构成了单独同意的四个要件。在法律规定需要征得个人同意方可处理个人信息的场景下，采集人脸信息必须符合单独同意的要求。
比如，具有人脸识别功能的应用程序，应用商可在用户首次开启人脸识别功能时，通过弹窗、跳转专门页面等形式同步告知该功能的信息处理规则（以满足“充分知情”的要求）；该规则应仅包含对人脸识别功能及其信息处理规则的描述而不包括对其他不相关事项的描述（以满足“单独”的要求）；用户通过点击“同意”或“已知悉，并继续使用”等主动性动作清楚地表达自己的意愿（以满足“明确”的要求）；如果人脸信息并不属于该应用的必要个人信息，用户在阅读信息处理规则后，既可以选择开启该功能，也可以选择不开启该功能。如果选择不开启该功能，用户仍然可以通过其他替代性方式继续使用应用程序的其他功能（以满足“自愿”的要求）。
当然，应用商对人脸识别功能信息处理规则的要求，必须遵守必要原则，不能将不是实现功能所必需的信息收集和处理行为“私藏”于其中。
在充分知情、自愿、明确、单独等要素的有力支撑下，“单独同意”能够效遏制人脸识别技术的使用乱象。
首先，“单独同意”能够破除“无感知被收集”的情形。除法律另有规定以及《规定》所列免责事由外，“单独同意”能够遏制在宾馆、商场、娱乐场所等经营场所、公共场所，在未征得客户单独同意的情况下，以无感知的人脸识别完成人脸辨识、人脸分析等社会反映强烈的问题。
其次，“单独同意”能够破除“一揽子授权”“捆绑授权”的情况，因为人脸信息处理的同意应当与其他的个人信息处理行为区分开，并分别征得个人的同意，个人因而获得了单独对人脸信息处理做出同意与否的决定，能够遏制APP、应用程序、专用设备等将人脸识别与其他个人信息授权或其他事项授权进行捆绑，由用户统一同意的情况。
再次，“单独同意”能够破除“强迫收集”的情形，在个人获得单独对人脸信息处理与否做出决定的机会时，当人脸信息不属于提供产品或者服务所必需时，个人完全可以拒绝，且拒绝操作并不影响产品或服务使用。对于信息处理者虽然单独告知，但却采取其他技术手段强迫或者变相强迫收集人脸信息的，也属于违反自愿原则的情形，结合《规定》第四条的规定，应为无效同意。在这种情况下，信息处理者继续处理人脸信息的，个人可依法追究信息处理者的侵权责任。
客观上而言，任何技术都存在风险，人脸识别技术的风险很大程度不在于该项技术本身，而在于人为应用。该技术的持续稳定发展需要严密科学的规则来保驾护航，通过明确信息处理者的立场边界、规制违法滥用行为，能够促进良性生态系统的形成。面对当前人脸识别问题亟待规制的现状，《规定》的及时出台将人脸信息等个人信息权益的保护落实到可操作层面，为下一步法律层面规范个人信息处理活动、促进数字经济健康发展提供了良好的司法实践样本。
来源：最高人民法院新闻局
作者：北京理工大学法学院教授、国家标准《个人信息安全规范》编制组组长 洪延青
编辑：冼小堤