关于人脸识别的新规解读

明确人脸信息属性

     《规定》第一条第3款规定，“本规定所称人脸信息属于民法典第一零三十四条规定的‘生物识别信息’”。具体定义可参照国家标准《信息安全技术远程人脸识别系统技术要求》（GB/T38671-2020）中对“人脸识别”的表述，即人脸识别技术中处理的“人脸信息”为能够识别个体身份的面部特征信息。

      因“人脸信息”能够识别个体身份，首先构成“个人信息”。其次，由于“人脸识别信息”为面部特征信息，可能包含身体、健康、年龄、种族等多元信息。再次，“人脸信息”可能包括个人的心理信息，因此构成“敏感个人信息”。最后，具体则属于敏感信息中的“生物识别信息”。

设定人脸识别技术应用的合法边界

     1.明示处理个人信息的目的、方式、范围-目的明确且公开透明

     2.获得单独同意-充分知情、排除捆绑授权、排除强迫或变相强迫同意

     3.采取技术措施及其他必要措施-传输和存储加密、人脸信息与个人身份信息分开存储、原则上不应存储原始人脸信息

     4.不得违法或违约向他人提供-《规定》第2条第6款

     5.责任豁免-为应对突发公共卫生事件，或者紧急情况下为保护自然人的生命健康和财产安全所必需、为维护公共安全，依据国家有关规定、为公共利益实施新闻报道舆论监督等行为在合理范围内处理、在自然人或者其监护人同意的范围内合理处理

民事责任形式及考量因素

     （1）《规定》第2条-违法处理人脸信息认定为侵害自然人人格权益的行为

     《民法典》第995条规定一般侵害人格权应承担的停止侵害、消除妨碍、消除危险、消除影响、恢复名誉、赔礼道歉等责任形式。

     《规定》第8条和第9条-自然人有权主张财产损害赔偿以及为制止侵权行为所支付的合理开支，同时对于特定情形下的侵害行为，自然人有权申请法院作出人格权侵害禁令。

     可能承担民事责任形式包括：停止侵害、消除妨碍、消除危险、消除影响、恢复名誉、赔礼道歉；财产损害赔偿；制止侵权行为的合理开支；人格权侵害禁令。

    （2）《规定》第三条明确了认定上述民事责任时应考量的因素-未成年人、告知同意情况以及信息处理的必要程度。