数据安全 | 售楼处人脸识别系统合规吗？
关键词：区块链；人工智能；大数据；智能合约；涉外法律服务；专业律师
本期关键词：数据；人脸识别；个人信息；合规；
本文约2472字，大约需要阅读5分钟。
2021年的“315”曝光了房地产企业在售楼处配置具有人脸识别功能的摄录系统，让大众意识到个人信息和隐私的问题。房地产开发商认为这是识别客户来源、区分客户优惠和渠道费用的必要手段，消费者则担忧个人信息被收集，也无法了解数据信息的用途、处理方法、是否会泄露个人隐私。本文将通过从法律法规、行政指导性政策、相关法律建议等方面讨论人脸识别系统的合规问题。
关于个人信息保护的相关法律法规
我国有多部法律均对个人信息保护作出了相关的规定，如经营者收集、使用消费者个人信息的，应当明示收集、使用信息的目的、方式和范围，取得消费者同意，并且应当对于消费者个人信息进行保密，不得泄露、出售或者非法向他人提供，否则需承担相应民事、行政法律责任等等：
《中华人民共和国民法典》第一百一十一条【个人信息受法律保护规则】、第一千零三十五条【个人信息处理的原则】、第一千零三十六条【处理个人信息的免责事由】第一千零三十八条【个人信息安全规则】。
《中华人民共和国网络安全法》第四十一条【收集、使用个人信息应当遵循的原则】、第四十二条【网络运营者确保个人信息安全的要求】。
《个人信息保护法（草案二次审议稿）》全文明确了个人信息保护的原则，个人信息处理者对个人信息保护的要求，以及处理个人信息应当满足的要求等。
《中华人民共和国消费者权益保护法》第十四条【个人信息依法受保护】、第二十九条【经营者收集使用个人信息的原则和安保措施】、第五十条【个人信息的保护措施】。
针对人脸识别问题的规范性文件
全国信息安全标准化技术委员会在2021年4月23日在其官方网站上发布了《关于国家标准《信息安全技术人脸识别数据安全要求》（以下简称“安全要求”）征求意见稿征求意见的通知》，面向社会广泛征求意见。该《安全要求》提及了关于人脸图像处理的三类使用场景，包括：
a) 人脸验证：将采集的人脸识别数据与存储的特定自然人的人脸识别数据进行比对（1：1比对），以确认特定自然人是否为其所声明的身份。典型应用包括机场、火车站的人证比对，移动智能终端的人脸解锁功能等。此类场景应满足本文件的基本安全要求、安全处理要求和安全管理要求。
b) 人脸辨识：将采集的人脸识别数据与已存储的指定范围内的人脸识别数据进行比对（1：N比对），以识别特定自然人。典型应用包括公园入园、居民小区门禁等。此类场景应满足本文件的基本安全要求、安全处理要求和安全管理要求。
c) 人脸分析：不开展人脸验证或人脸辨识，仅对采集的人脸图像进行统计、检测或特征分析。典型应用包括公共场所人流量统计、体温检测、图片美化等。此类场景应遵循GB/T 35273-2020、GB/T AAAAA-AAAA《网络数据活动安全要求》的要求处理人脸图像。
该《安全要求》还详细列明了对数据控制者的要求，包括数据收集、存储、使用、委托处理、共享、转让、公开披露，以及安全管理要求。
针对售楼处人脸识别的规范文件
据了解，自2020年底开始，各地都针对房地产售楼处设置人脸识别系统收集购房客户人脸生物识别信息问题相继出台文件：
南京市：
2020年12月，南京市住房保障和房产局发出通知“各房地产开发企业：根据《中华人民共和国侵权责任法》《中华人民共和国网络安全法》《中华人民共和国民法典》等法律法规规定，在售楼处或开盘现场，未经本人同意，不得使用人脸识别系统。请各房地产开发企业严格遵照执行。”
徐州市：
徐州市住房和城乡建设局向部分新开楼盘和续销楼盘项目发出口头通知，要求售楼处不得使用“人脸识别”系统。
昆明市：
2021年4月1日，昆明市住房和城乡建设局发布《关于规范商品房销售场所人脸识别系统使用行为的通知》，“一、房地产开发企业对商品房消费者进行身份识别，收集、使用消费者个人信息应当遵循合法、正当、必要的原则，不得强制消费者通过指纹、人脸识别等生物识别信息方式进入商品房销售场所或使用公共设施设备。二、确有必要须在商品房销售场所使用人脸识别系统的，房地产开发企业应当明确标识人脸识别区域及个人信息采集使用用途，未经消费者本人同意，不得使用人脸识别系统进行信息采集。……”
惠州市：
2021年4月2日，惠州市住房和城乡建设局发布《关于规范商品房销售场所使用人脸识别系统的通知》，“……二、请各房地产开发企业将已安装的人脸识别监控系统相关设备查处，并彻底删除先前非法采集的人脸信息，于4月11日前将整改情况书面报我局房产科。三、本通知下发之日起，各开发企业、中介服务机构在售楼处或销售活动现场，未征得消费者本人书面同意，不得使用人脸识别系统收集消费者的人脸信息。若需采集人脸信息的，须先获得消费者本人签署的同意书，并向消费者明示收集和使用信息的目的、方式、范围等内容后方可采集。……”
此外，宁波市更是开展了房地产领域人脸识别专项执法行动，宁波市市场监督管理局认为，相关房地产企业侵害了消费者依法应得到保护的个人信息权利，违反了《消费者权益保护法》第五十六条第一款第（九）项的规定，甚至对部分企业作出了行政处罚的决定。
人脸识别使用的法律建议
综合了以上法律法规的相关规定和要求，我们认为房地产企业应该谨慎严肃对待人脸识别系统的合法合规问题，对此，我们提出几点建议：
1、公示告知
如果房地产企业必须在项目售楼处使用人脸识别系统的，建议采用店堂公示等方式，例如可以在入口位置明确提示客户，并公示收集、使用人脸信息的目的、方式和范围，明示客户进入房地产售楼处即视为清楚知悉该等情况并认可个人信息采集系统的设置。
2、签署同意书
可以尝试当客户进入售楼处后向客户提供购房须知，明确告知客户售楼处设置了人脸识别系统，提示将收集、存储、使用客户的个人信息，并且要求客户签字同意。
3、提供备选方案
对于一些拒绝被采集人脸识别等个人信息的客户，建议可提供备选方案，通过其他渠道VR线上看房，或者要求客户提供其他可明确其身份的个人信息进行登记，以作为识别佣金分销的依据。
4、数据安全管理
对于已收集到的人脸识别等数据，应明确责任部门和管理人员，缩小有权调取信息的人员，加强内部管理和安保措施，并且指定数据管理机制，将收集到的信息本地储存，妥善保管，严格保密，并在使用完毕后定期删除。
陆续更新，敬请期待
如认为本文侵犯版权，请及时联系闪涛律师团队。
关键词：区块链；人工智能；大数据；智能合约；涉外法
团队介绍
闪涛律师团队专注于提供涉外法律服务、“一带一路”海外投资、跨境争议解决、公司法务、并购、解散、破产、清算、金融、证券、私募、区块链、人工智能、智能合约、大数据等领域。
闪涛律师，广东广信君达律师事务所高级合伙人，广东外语外贸大学法学院教授、硕士研究生导师，中南财经政法大学博士研究生。
闪涛律师是中华全国律师协会涉外法律事务领军人才库人选，司法部“全国千名涉外律师人才名录”，司法部、全国律师协会“一带一路”跨境律师人才库首批成员，司法部、全国律师协会“一带一路”项目沙特阿拉伯国别协调人，广东省涉外律师领军人才库成员。