對小區(qū)物業(yè)、App強制人臉識別說“不”，新增一道法律保障。7月28日，最高人民法院發(fā)布《關(guān)于審理使用人臉識別技術(shù)處理個人信息相關(guān)民事案件適用法律若干問題的規(guī)定》(以下簡稱《規(guī)定》)，將于8月1日實施?！兑?guī)定》不但明確了多種人臉信息處理情形屬于違法行為，也對小區(qū)、App強制“刷臉”等社會熱點做出了詳細規(guī)定。

《關(guān)于審理使用人臉識別技術(shù)處理個人信息相關(guān)民事案件適用法律若干問題的規(guī)定》。圖自最高人民法院網(wǎng)站

有專家對南都記者表示，《規(guī)定》是立法之前的一次大膽探索。它不像一般的司法解釋只是對某部法律的條文的細化解釋，而是在各級法院審理大量個人信息保護相關(guān)案件的基礎(chǔ)上制定的審判指南。

此外，《規(guī)定》在民法典基礎(chǔ)上，將收集人臉信息場景下的用戶“同意”進一步細化為“單獨同意”，對人臉信息提供增強式保護，讓個人更加充分地參與到人臉信息處理的決策之中。專家普遍認為，這一規(guī)定將有效遏制App通過強制索取個人信息的現(xiàn)象。

1

立法前基于大量案件的大膽探索

人臉識別技術(shù)在為社會生活帶來便利的同時，所帶來的個人信息保護問題也日益凸顯。最高法專門出臺《規(guī)定》，對人臉信息提供司法保護，建立在大量實踐的基礎(chǔ)之上。

最高人民法院副院長楊萬明介紹，近年來，侵犯公民個人信息犯罪處于高發(fā)態(tài)勢，而且與電信網(wǎng)絡(luò)詐騙、敲詐勒索、綁架等犯罪呈合流態(tài)勢，社會危害嚴重。2017年5月，最高法發(fā)布《關(guān)于辦理侵犯公民個人信息刑事案件適用法律若干問題的解釋》，對侵犯公民個人信息犯罪的定罪量刑標準和有關(guān)法律適用問題作了全面、系統(tǒng)的規(guī)定。此后，各級人民法院依法懲治侵犯公民個人信息犯罪，案件數(shù)量顯著增長，2017年6月至2021年6月內(nèi)被告人判處三年以上有期徒刑的比例達17.50%。

中國信息安全研究院副院長左曉棟指出，因為個人信息保護案件常常涉及到多個領(lǐng)域的法律，在法官審理過程中，可能出現(xiàn)尺度把握不準、對法律的理解不一致等情況，這時就需要最高法進行審判指導。所以，《規(guī)定》并不像一般的司法解釋那樣，對某部法律的條文進行細化解釋，而是在各級法院審理大量個人信息保護相關(guān)案件的基礎(chǔ)上，根據(jù)實際問題，制定審判指南。

中國人民大學法學院副教授郭銳也認為，此次最高法出臺《規(guī)定》，是在立法機關(guān)完成立法之前一個非常有意義的大膽探索——它不完全是已有立法的細化，還有一些新的內(nèi)容。

他分析，《規(guī)定》出臺主要是為了審判的需要。在審判過程中，即使立法還沒有出來，法院也必須對人臉識別技術(shù)本身做出實質(zhì)性的判斷。“總不能因為沒有立法就不立案，因此出臺《規(guī)定》是很有必要的。”

不過，在中國人民大學法學院教授、民商事法律科學研究中心執(zhí)行主任石佳友看來，人臉識別技術(shù)的應(yīng)用可以促進公共安全和社會管理效率的提升，不宜一刀切式的禁止。“司法規(guī)制的主要目的在于將其對個人權(quán)利的影響限定在合理的范圍之內(nèi)，在公共利益和個人利益之間保持合理的平衡”，他寫道，這正是《規(guī)定》的起草原則和思路。

楊萬明還提到，《規(guī)定》是立足現(xiàn)實需求、以問題為導向制定的。他表示，《規(guī)定》對濫用人臉識別問題作出司法統(tǒng)一規(guī)定，是以“保護當事人合法權(quán)益，促進數(shù)字經(jīng)濟健康發(fā)展”為宗旨，既注重權(quán)益保護，又注重價值平衡。

小區(qū)住戶有權(quán)拒絕物業(yè)2 強制“刷臉”“刷臉”

去年11月，南都曾報道，有的售樓處會用攝像頭識別出購房者是否為第一次到訪，據(jù)此給予不同的購房優(yōu)惠。今年“3·15晚會”也曝光了有些知名門店設(shè)置攝像頭“無感抓拍”消費者的人臉信息，分析消費者的性別、年齡、心情等，進而采取不同營銷策略。

對此，《規(guī)定》明確，在賓館、商場、銀行、車站、機場、體育場館、娛樂場所等經(jīng)營場所、公共場所違反法律、行政法規(guī)的規(guī)定使用人臉識別技術(shù)進行人臉驗證、辨識或者分析，應(yīng)當認定屬于侵害自然人人格權(quán)益的行為。

比如商場等零售場所使用人臉識別進行客流分析，左曉棟認為沒有必要。“新零售使用人臉識別不是出于公共安全利益，按照規(guī)定就需要征得每個用戶的同意，但在現(xiàn)實中這不可能實現(xiàn)。”他說。

中國傳媒大學文化產(chǎn)業(yè)管理學院法律系主任、副教授鄭寧進一步提出，新零售場景下，商家可以通過發(fā)送短信、掃碼填寫告知同意書等方式履行告知義務(wù)，在不采集人臉信息的情況下完成客流分析。

《規(guī)定》還針對小區(qū)強制“刷臉”制定了專門條款，要求物業(yè)不得把人臉識別作為業(yè)主或者物業(yè)使用人出入物業(yè)服務(wù)區(qū)域的唯一驗證方式。不同意的業(yè)主或者物業(yè)使用人請求提供其他合理驗證方式的，人民法院依法予以支持。

“這就意味著個人就刷臉進小區(qū)享有選擇權(quán)等，可以拒絕刷臉要求，改選其他的身份核驗方式。另外，不僅是業(yè)主享有此種選擇權(quán)利，包括承租人在內(nèi)的物業(yè)使用人也享有同樣的權(quán)利。”石佳友撰文指出。

最高人民法院研究室副主任郭鋒進一步指出，小區(qū)物業(yè)不能以智能化管理為由，侵害居民人格權(quán)益。“我們應(yīng)該擁抱新科技，但同時也要尊重人格權(quán)益。”

“這為人臉識別技術(shù)使用劃定了清晰邊界。”北京理工大學法學院教授洪延青撰文指出，《規(guī)定》涵蓋了人臉識別技術(shù)最常見的應(yīng)用場景，如經(jīng)營場所、公共場所、線上應(yīng)用、物業(yè)服務(wù)等，從司法角度針對不同場景中人民群眾所普遍關(guān)心的問題予以界定和規(guī)制，并在全面深入總結(jié)人臉識別技術(shù)相關(guān)問題的基礎(chǔ)上，對人臉識別技術(shù)所涉信息范圍、主要場景、目的和環(huán)節(jié)均予以回應(yīng)和規(guī)定。

3

引入“單獨同意”，提供增強式保護

用戶知情同意是人臉識別的首要合法性基礎(chǔ)，這在學術(shù)界已經(jīng)形成共識。不過，現(xiàn)實生活中這一原則往往流于形式，存在著各種不規(guī)范的做法。

洪延青總結(jié)了三種常見情況：一是“無感知被收集”，即進入人臉識別區(qū)域卻毫無所知，自然人的人臉信息未經(jīng)任何告知和同意就直接被收集;

二是“一攬子收集”，即將人臉識別技術(shù)的使用和人臉信息的處理規(guī)則，與其他個人信息的授權(quán)和處理規(guī)則，一同寫在隱私政策或者用戶協(xié)議中，一次性征得用戶同意，用戶根本沒有對人臉信息處理的選擇權(quán);

三是“強迫收集”，即當人臉信息并非產(chǎn)品或服務(wù)的必要信息時，強制要求個人接受人臉識別才能安裝或繼續(xù)使用具體的產(chǎn)品或服務(wù)，既不符合自愿原則，還違反了“合法、正當、必要”原則。

后兩種情況在使用App時并不鮮見。最高人民法院研究室民事處處長陳龍業(yè)指出，這既是廣大用戶的痛點，也是維權(quán)的難點。

因此，《規(guī)定》引入單獨同意規(guī)則和強迫同意無效規(guī)則。前者意味著信息處理者在征得個人同意時，必須就人臉信息處理活動單獨取得個人的同意，不能通過一攬子告知同意等方式征得個人同意。

后者是指信息處理者采取“與其他授權(quán)捆綁”、“不點擊同意就不提供服務(wù)”等方式強迫或者變相強迫自然人同意處理其人臉信息，信息處理者據(jù)此認為其已征得相應(yīng)同意的，人民法院不予支持。此規(guī)定對于需要告知同意的線下場景也同樣適用。

石佳友認為，在上述場景中，用戶往往處于沒有其他選擇的困境，無法行使同意權(quán)或拒絕權(quán)。因此，這些情形不能視為其對人臉信息處理真正給予了同意和有效授權(quán)。洪延青則指出，在充分知情、自愿、明確、單獨等要素的有力支撐下，引入“單獨同意”規(guī)則能夠有效遏制上述亂象。

楊萬明透露，《規(guī)定》在民法典基礎(chǔ)上，進一步將“同意”細化為“單獨同意”，目的在于對人臉信息提供增強式保護，讓個人更加充分地參與到人臉信息處理的決策之中。為防止信息處理者對人臉信息的不當采集，對處理人臉信息的有效同意也采取的是從嚴認定的思路。

如何在App中體現(xiàn)“單獨同意”規(guī)則?鄭寧提到，App必須設(shè)計有關(guān)人臉識別的專門條款并取得個人單獨同意，才可以采集相關(guān)信息。

4

信息處理者應(yīng)承擔更多舉證責任

《規(guī)定》對人臉識別的司法保護同樣值得關(guān)注?！兑?guī)定》要求，信息處理者主張其不承擔民事責任的，應(yīng)在不符合例外情形的情況下承擔舉證責任。

楊萬明介紹，《規(guī)定》充分考慮雙方當事人的經(jīng)濟實力不對等、專業(yè)信息不對稱等因素，在舉證責任分配上課以信息處理者更多的舉證責任。

“在訴訟中，對于個人信息到底有沒有按照用戶同意的方式進行使用等問題，用戶很難自己舉證”，郭銳分析，舉證責任更多在信息處理者身上“是合理的”，也體現(xiàn)了對用戶維權(quán)的支持。

對于人臉識別所引發(fā)的損害，《規(guī)定》為信息主體規(guī)定了較為周密完善的司法救濟機制。比如信息處理者處理人臉信息侵害自然人人格權(quán)益造成財產(chǎn)損失，權(quán)利人可以援引民法典獲利剝奪的規(guī)則，在所遭受的損失與對方的獲利之間選擇。另外，權(quán)利人為制止侵權(quán)行為所支付的合理開支，可以認定為財產(chǎn)損失。合理開支包括本人或者委托代理人對侵權(quán)行為進行調(diào)查、取證的合理費用。

此外，《規(guī)定》第十二條關(guān)于違約責任的規(guī)定值得關(guān)注。該條規(guī)定：信息處理者違反約定處理自然人的人臉信息，該自然人請求其承擔違約責任的，人民法院依法予以支持。該自然人請求信息處理者承擔違約責任時，請求刪除人臉信息的，人民法院依法予以支持;信息處理者以雙方未對人臉信息的刪除作出約定為由抗辯的，人民法院不予支持。

石佳友指出，這就是說，即使在合同法的框架內(nèi)審理涉人臉識別糾紛，信息主體亦可主張其行使其刪除權(quán)，要求處理者依法刪除此前所收集存儲的人臉信息。這對于有效保護權(quán)利人的人臉信息尤其具有特殊的重要價值。

從《規(guī)定》第十四條可以看出，民事公益訴訟也是司法救濟途徑之一。楊萬明介紹，由于實踐中受害者分散、個人維權(quán)成本高、舉證能力有限等因素，個人提起訴訟維權(quán)的情況相對較少，而公益訴訟制度能夠有效彌補這一不足。事實上，這也為即將出臺的個人信息保護法預(yù)留了“接口”。

不過，郭銳擔心，在涉及很多人的公共利益時，完全依賴公益訴訟解決問題，沒有制度上的保障。他認為，國外的集團訴訟機制或許可以借鑒——由專業(yè)律所發(fā)起，再征集受害人加入，大公司往往要承擔巨額賠償，這就可能對實力比較強大的科技公司、服務(wù)提供者產(chǎn)生比較直接的制約。

“《規(guī)定》有很重要的宣示性價值，明確了人臉識別技術(shù)的倫理共識。未來，我覺得法院對訴訟的價值還是要思考得徹底一點，之后到底形成怎么樣的一個通過訴訟來維權(quán)的機制。”郭銳說。

關(guān)鍵詞： 新規(guī) 敏感信息 強制刷臉 物業(yè)服務(wù)