洪延青 | 保护人脸信息 规范行业健康发展的有效司法路径

作为新型生物特征识别技术，人脸识别技术具有易收集性、无感知性、泛在性等特点，被广泛运用在行政监管、公共服务、商业交易等各个领域。

在此背景下，最高人民法院出台了《关于审理使用人脸识别技术处理个人信息相关民事案件适用法律若干问题的规定》（以下简称《规定》），为人脸识别相关民事案件的审判提供了裁判指引，为人脸识别技术使用划定了清晰边界，为个人合法权益的保护构建了坚实壁垒。

从概念层面看，《规定》所规范的对象是“使用人脸识别技术处理人脸信息”。从人民法院的司法裁判以及国家标准《个人信息安全规范》《人脸识别数据安全要求（征求意见稿）》等综合观之，“人脸信息”不仅包括人脸识别技术通过算法生成的人脸特征数据，还包括人脸识别技术所抓取的原始人脸图像。《规定》使用“人脸信息”的概念，不仅符合人脸识别技术所牵涉的个人信息，也更有利于全面保护人民群众的人格利益。

从应用场景层面看，《规定》涵盖了人脸识别技术最常见的应用场景，如经营场所、公共场所、线上应用、物业服务等，从司法角度针对不同场景中人民群众普遍关心的问题予以界定和规制，体现了司法机关的问题导向和人民立场。

从使用目的层面看，《规定》全面涵盖了使用人脸识别技术的三种基础性目的：人脸验证、人脸辨识和人脸分析。

其中，人脸验证是将采集的人脸识别数据与存储的特定自然人的人脸识别数据进行比对（1:1比对），以确认特定自然人是否为其所声明的身份。以人脸验证为目的而使用人脸识别技术的，主要集中于安检、金融支付等重要领域，要求相对较高，管理较为规范。应用场景包括机场、火车站的人证比对，网络支付环境中的人脸验证等。

人脸辨识是将采集的人脸识别数据与已存储的指定范围内的人脸识别数据进行比对（1:N比对），以识别特定自然人。以人脸辨识为目的的人脸识别，应用场景较为广泛，技术层面也相对容易实现，比如公园入园、居民小区门禁、商场通过“无感”式人脸识别辨识特定客户或者中介等，实践中容易因未征得个人同意而触碰法律红线。

人脸分析是指通过分析人脸图像，预测评估个人年龄、健康、天赋、情绪、工作或者学习专注度等个人特征的活动。人脸分析可能会引发个人歧视，侵害人格尊严。部分国家对人脸分析持完全否定态度。

对于人脸识别的上述三种基础性目的，《人脸识别数据安全要求(征求意见稿)》中也有涉及。

从处理环节层面看，《规定》将人脸信息的处理界定为人脸信息的收集、存储、使用、加工、传输、提供、公开等，这与民法典第一千零三十五条的规定保持了一致。基于上述处理流程，《规定》通过不同条款完整覆盖了人脸信息处理的全链条，例如事先告知、单独同意、不得强迫同意、按约处理、安全存储、违约删除等。

总之，《规定》在全面深入总结人脸识别技术相关问题的基础上，对人脸识别技术所涉信息范围、主要场景、目的和环节均予以回应和规定，必将推动人脸信息的全面司法保护，也为规范人脸识别行业健康有序发展奠定良好基础。

无论是民法典还是网络安全法，都将个人同意作为个人信息处理首要合法性基础。然而，实践中的人脸识别应用存在各种不规范做法，使得个人同意往往流于形式。

常见的情况包括：“无感知被收集”，即进入人脸识别区域却毫无所知，自然人的人脸信息未经任何告知和同意就直接被收集；“一揽子收集”，即将人脸识别技术的使用和人脸信息的处理规则，与其他个人信息的授权和处理规则，一同写在隐私政策或者用户协议中，一次性征得用户同意，用户根本没有对人脸信息处理的选择权；“强迫收集”，即当人脸信息并非产品或服务的必要信息时，强制要求个人接受人脸识别才能安装或继续使用具体的产品或服务，既不符合自愿原则，还违反了“合法、正当、必要”原则。

人脸信息属于高度敏感的个人信息，也是生物识别信息中社交属性最强、最易采集的个人信息，一旦泄露将对个人的人身和财产安全造成极大危害，甚至还可能威胁公共安全。因此，必须对此类敏感个人信息采取更严格的保护措施。

《规定》在民法典第一千零三十五条的基础上，充分吸收个人信息保护立法重要成果，进一步将“同意”细化为“单独同意”，目的在于对人脸信息提供增强式保护，让个人更加充分地参与到人脸信息处理的决策之中。

根据《规定》第二条，基于个人同意处理人脸信息的，未征得自然人或者其监护人的单独同意，或者未按照法律、行政法规的规定征得自然人或者其监护人的书面同意的，应当认定属于侵害自然人人格权益的行为。

所谓“单独同意”，是指对人脸信息的处理行为及其规则，个人能够独立于其他个人信息处理行为及规则自由地作出同意。换句话说，对人脸信息的处理，不能与其他个人信息的处理合并在一起获得个人的同意。

根据国家标准《个人信息安全规范》第5.4（C）的规定，收集个人生物识别信息前，应单独向个人信息主体告知收集、使用个人生物识别信息的目的、方式和范围，以及存储时间等规则，并征得个人信息主体的明示同意。

国家标准《个人信息安全规范》自2020年10月1日实施以来，对规范人脸识别行业起到了积极作用。

从前文分析可知，单独同意，目的是为了保障个人对其人脸信息的处理享有知情权、决定权，确保个人有权限制或者拒绝他人对其人脸信息进行处理。笔者认为，充分知情、自愿、明确、单独构成了单独同意的四个要件。在法律规定需要征得个人同意方可处理个人信息的场景下，采集人脸信息必须符合单独同意的要求。

当然，应用商对人脸识别功能信息处理规则的要求，必须遵守必要原则，不能将不是实现功能所必需的信息收集和处理行为“私藏”于其中。

在充分知情、自愿、明确、单独等要素的有力支撑下，“单独同意”能够有效遏制人脸识别技术的使用乱象。

首先，“单独同意”能够破除“无感知被收集”的情形。除法律另有规定以及《规定》所列免责事由外，“单独同意”能够遏制在宾馆、商场、娱乐场所等经营场所、公共场所，在未征得客户单独同意的情况下，以无感知的人脸识别完成人脸辨识、人脸分析等社会反映强烈的问题。

其次，“单独同意”能够破除“一揽子授权”“捆绑授权”的情况，因为人脸信息处理的同意应当与其他的个人信息处理行为区分开，并分别征得个人的同意，个人因而获得了单独对人脸信息处理做出同意与否的决定，能够遏制APP、应用程序、专用设备等将人脸识别与其他个人信息授权或其他事项授权进行捆绑，由用户统一同意的情况。

再次，“单独同意”能够破除“强迫收集”的情形，在个人获得单独对人脸信息处理与否做出决定的机会时，当人脸信息不属于提供产品或者服务所必需时，个人完全可以拒绝，且拒绝操作并不影响产品或服务的使用。对于信息处理者虽然单独告知，但却采取其他技术手段强迫或者变相强迫收集人脸信息的，也属于违反自愿原则的情形，结合《规定》第四条的规定，应为无效同意。在这种情况下，信息处理者继续处理人脸信息的，个人可依法追究信息处理者的侵权责任。