如何明确滥用人脸识别行为违法？

　　今年3月16日，位于广州马场路马会家居的科勒卫浴店的摄像头（红圈处）已经连夜拆除。科勒门店被曝光安装人脸识别摄像头、收集人脸数据，引起社会关注。 南方日报记者 吴明 摄

　　3月16日，黄埔大道科勒卫浴店门口的提示。南方日报记者 吴明 摄

　　对小区物业、App强制人脸识别说“不”，新增一道法律保障。7月28日，最高人民法院发布《关于审理使用人脸识别技术处理个人信息相关民事案件适用法律若干问题的规定》(以下简称《规定》)，于8月1日实施。《规定》不但明确了多种人脸信息处理情形属于违法行为，也对小区、App强制“刷脸”等社会热点做出了详细规定。

《规定》在民法典基础上，将收集人脸信息场景下的用户“同意”进一步细化为“单独同意”，对人脸信息提供增强式保护，让个人更加充分地参与到人脸信息处理的决策之中。专家普遍认为，这一规定将有效遏制App强制索取个人信息的现象。

近年侵犯个人信息犯罪案件高发

　　人脸识别技术在为社会生活带来便利的同时，所带来的个人信息保护问题也日益凸显。最高法专门出台《规定》，对人脸信息提供司法保护，建立在大量实践的基础之上。

　　最高人民法院副院长杨万明介绍，近年来，侵犯公民个人信息犯罪处于高发态势，而且与电信网络诈骗、敲诈勒索、绑架等犯罪呈合流态势，社会危害严重。

　　2017年5月，最高法发布《关于办理侵犯公民个人信息刑事案件适用法律若干问题的解释》，对侵犯公民个人信息犯罪的定罪量刑标准和有关法律适用问题作了全面、系统的规定。

　　此后，各级人民法院依法惩治侵犯公民个人信息犯罪，案件数量显著增长，2017年6月至2021年6月被告人判处三年以上有期徒刑的比例达17.50%。

根据实际问题，制定审判指南

　　中国信息安全研究院副院长左晓栋指出，因为个人信息保护案件常常涉及到多个领域的法律，在法官审理过程中，可能出现尺度把握不准、对法律的理解不一致等情况，这时就需要最高法进行审判指导。所以，《规定》并不像一般的司法解释那样，对某部法律的条文进行细化解释，而是在各级法院审理大量个人信息保护相关案件的基础上，根据实际问题，制定审判指南。

　　中国人民大学法学院副教授郭锐也认为，此次最高法出台《规定》，是在立法机关完成立法之前一个非常有意义的大胆探索——它不完全是已有立法的细化，还有一些新的内容。

　　他分析，《规定》的出台主要是为了审判的需要。在审判过程中，即使立法还没有出来，法院也必须对人脸识别技术本身做出实质性的判断。“总不能因为没有立法就不立案，因此出台《规定》是很有必要的。”

人脸识别技术有积极作用 不宜一刀切式禁止

　　不过，在中国人民大学法学院教授、民商事法律科学研究中心执行主任石佳友看来，人脸识别技术的应用可以促进公共安全和社会管理效率的提升，不宜一刀切式的禁止。“司法规制的主要目的在于将其对个人权利的影响限定在合理的范围之内，在公共利益和个人利益之间保持合理的平衡”，他写道，这正是《规定》的起草原则和思路。

　　杨万明还提到，《规定》是立足现实需求、以问题为导向制定的。他表示，《规定》对滥用人脸识别问题作出司法统一规定，是以“保护当事人合法权益，促进数字经济健康发展”为宗旨，既注重权益保护，又注重价值平衡。

　　焦点解读

　　1

　　如何全面保护业主等人脸信息？答：小区住户有权拒绝物业强制“刷脸”

　　去年11月，南都曾报道，有的售楼处会用摄像头识别出购房者是否为第一次到访，据此给予不同的购房优惠。今年“3·15晚会”也曝光了有些知名企业门店设置摄像头“无感抓拍”消费者的人脸信息，分析消费者的性别、年龄、心情等，进而采取不同营销策略。

　　对此，《规定》明确，在宾馆、商场、银行、车站、机场、体育场馆、娱乐场所等经营场所、公共场所违反法律、行政法规的规定使用人脸识别技术进行人脸验证、辨识或者分析，应当认定属于侵害自然人人格权益的行为。

　　比如商场等零售场所使用人脸识别进行客流分析，左晓栋认为没有必要。“新零售使用人脸识别不是出于公共安全利益，按照规定就需要征得每个用户的同意，但在现实中这不可能实现。”他说。

　　中国传媒大学文化产业管理学院法律系主任、副教授郑宁提出，新零售场景下，商家可以通过发送短信、扫码填写告知同意书等方式履行告知义务，在不采集人脸信息的情况下完成客流分析。

　　《规定》还针对小区强制“刷脸”制定了专门条款，要求物业不得把人脸识别作为业主或者物业使用人出入物业服务区域的唯一验证方式。不同意的业主或者物业使用人请求提供其他合理验证方式的，人民法院依法予以支持。

　　“这就意味着个人就刷脸进小区享有选择权等，可以拒绝刷脸要求，改选其他的身份核验方式。另外，不仅是业主享有此种选择权利，包括承租人在内的物业使用人也享有同样的权利。”石佳友撰文指出。

　　最高人民法院研究室副主任郭锋指出，小区物业不能以智能化管理为由，侵害居民人格权益。“我们应该拥抱新科技，但同时也要尊重人格权益。”

　　“这为人脸识别技术使用划定了清晰边界。”北京理工大学法学院教授洪延青撰文指出，《规定》涵盖了人脸识别技术最常见的应用场景，如经营场所、公共场所、线上应用、物业服务等，从司法角度针对不同场景中人民群众所普遍关心的问题予以界定和规制，并在全面深入总结人脸识别技术相关问题的基础上，对人脸识别技术所涉信息范围、主要场景、目的和环节均予以回应和规定。

　　2

　　如何做到用户知情同意？答：引入“单独同意”，提供增强式保护

　　用户知情同意是人脸识别的首要合法性基础，这在学术界已经形成共识。不过，现实生活中这一原则往往流于形式，存在着各种不规范的做法。

　　洪延青总结了三种常见情况：一是“无感知被收集”，即进入人脸识别区域却毫无所知，自然人的人脸信息未经任何告知和同意就直接被收集；

　　二是“一揽子收集”，即将人脸识别技术的使用和人脸信息的处理规则，与其他个人信息的授权和处理规则，一同写在隐私政策或者用户协议中，一次性征得用户同意，用户根本没有对人脸信息处理的选择权；

　　三是“强迫收集”，即当人脸信息并非产品或服务的必要信息时，强制要求个人接受人脸识别才能安装或继续使用具体的产品或服务，既不符合自愿原则，还违反了“合法、正当、必要”原则。

　　后两种情况在使用App时并不鲜见。最高人民法院研究室民事处处长陈龙业指出，这既是广大用户的痛点，也是维权的难点。

　　因此，《规定》引入单独同意规则和强迫同意无效规则。前者意味着信息处理者在征得个人同意时，必须就人脸信息处理活动单独取得个人的同意，不能通过一揽子告知同意等方式征得个人同意。

　　后者是指信息处理者采取“与其他授权捆绑”、“不点击同意就不提供服务”等方式强迫或者变相强迫自然人同意处理其人脸信息，信息处理者据此认为其已征得相应同意的，人民法院不予支持。此规定对于需要告知同意的线下场景也同样适用。

　　石佳友认为，在上述场景中，用户往往处于没有其他选择的困境，无法行使同意权或拒绝权。因此，这些情形不能视为其对人脸信息处理真正给予了同意和有效授权。洪延青则指出，在充分知情、自愿、明确、单独等要素的有力支撑下，引入“单独同意”规则能够有效遏制上述乱象。

　　杨万明透露，《规定》在民法典基础上，进一步将“同意”细化为“单独同意”，目的在于对人脸信息提供增强式保护，让个人更加充分地参与到人脸信息处理的决策之中。为防止信息处理者对人脸信息的不当采集，对处理人脸信息的有效同意也采取的是从严认定的思路。

　　如何在App中体现“单独同意”规则？郑宁提到，App必须设计有关人脸识别的专门条款并取得个人单独同意，才可以采集相关信息。

　　3

　　如何体现对用户维权的支持？答：信息处理者应承担更多举证责任

　　《规定》对人脸识别的司法保护同样值得关注。《规定》要求，信息处理者主张其不承担民事责任的，应在不符合例外情形的情况下承担举证责任。

　　杨万明介绍，《规定》充分考虑双方当事人的经济实力不对等、专业信息不对称等因素，在举证责任分配上课以信息处理者更多的举证责任。

　　“在诉讼中，对于个人信息到底有没有按照用户同意的方式进行使用等问题，用户很难自己举证”，郭锐分析，举证责任更多在信息处理者身上“是合理的”，也体现了对用户维权的支持。

　　对于人脸识别所引发的损害，《规定》为信息主体规定了较为周密完善的司法救济机制。比如信息处理者处理人脸信息侵害自然人人格权益造成财产损失，权利人可以援引民法典获利剥夺的规则，在所遭受的损失与对方的获利之间选择。另外，权利人为制止侵权行为所支付的合理开支，可以认定为财产损失。合理开支包括本人或者委托代理人对侵权行为进行调查、取证的合理费用。

　　此外，《规定》第十二条关于违约责任的规定值得关注。该条规定：信息处理者违反约定处理自然人的人脸信息，该自然人请求其承担违约责任的，人民法院依法予以支持。该自然人请求信息处理者承担违约责任时，请求删除人脸信息的，人民法院依法予以支持；信息处理者以双方未对人脸信息的删除作出约定为由抗辩的，人民法院不予支持。

　　石佳友指出，这就是说，即使在合同法的框架内审理涉人脸识别纠纷，信息主体亦可主张行使其删除权，要求处理者依法删除此前所收集存储的人脸信息。这对于有效保护权利人的人脸信息尤其具有特殊的重要价值。

　　从《规定》第十四条可以看出，民事公益诉讼也是司法救济途径之一。杨万明介绍，由于实践中受害者分散、个人维权成本高、举证能力有限等因素，个人提起诉讼维权的情况相对较少，而公益诉讼制度能够有效弥补这一不足。事实上，这也为即将出台的个人信息保护法预留了“接口”。

　　不过，郭锐担心，在涉及很多人的公共利益时，完全依赖公益诉讼解决问题，没有制度上的保障。他认为，国外的集团诉讼机制或许可以借鉴——由专业律所发起，再征集受害人加入，大公司往往要承担巨额赔偿，这就可能对实力比较强大的科技公司、服务提供者产生比较直接的制约。

　　“《规定》有很重要的宣示性价值，明确了人脸识别技术的伦理共识。未来，我觉得法院对诉讼的价值还是要思考得彻底一点，之后到底形成怎么样的一个通过诉讼来维权的机制。”郭锐说。