很多城市小區都安裝了人臉信息識別系統。 黃銳/攝

　　家住北京市石景山區楊莊某小區的劉女士一直對必須刷臉才能進小區耿耿于懷。她對記者說：“我回自己家還要刷臉，總感覺哪里不對，他們是不是不應該強制我?”

　　《最高人民法院關于審理使用人臉識別技術處理個人信息相關民事案件適用法律若干問題的規定》(以下簡稱《規定》)日前發布，劉女士的疑問在其中有了明確的答案：物業不得強制將人臉識別作為出入小區的唯一驗證方式。

　　《規定》對人臉識別進行了規范。明確賓館、商場、銀行、車站、機場、體育場館、娛樂場所等經營場所、公共場所違反法律、行政法規的規定使用人臉識別技術進行人臉驗證、辨識或者分析，應當認定屬于侵害自然人人格權益的行為。

　　在科技高速發展的今天，以人臉識別為代表的個人生物信息識別應用野蠻生長，給個人信息安全造成了隱患。作為維護自然人人格權益、保護人民群眾人臉信息安全的重要規范性文件，《規定》對人臉信息法律屬性的界定、對采集儲存使用的規范、侵權行為的性質以及糾紛處置的法律適用等，做了明確規定，給公民個人信息保護以法律保障。

　　刷臉糾紛頻發引關注

　　忽如一夜春風來，不知從何時起，一個人的日常活動和刷臉結下了千絲萬縷的聯系——早上一睜眼，拿起手機，刷臉解鎖;叫了個早點外賣，刷臉支付;進公司，刷臉打卡、刷臉測溫;出差到機場，刷臉登機;住酒店，除提供身份證之外還要刷臉才能入住;去商場購物，門口都有無感應式刷臉;回家了，要通過人臉識別門禁才能進小區;如果網購，則常常被各種APP提醒開通人臉識別，甚至強制索取人臉信息……

　　到處都是攝像頭，干什么都要刷臉，人臉識別正快速地滲透到我們生活的方方面面。但與此同時，人臉識別技術所帶來的個人信息保護問題也日益凸顯。人臉識別技術在諸多領域發揮著巨大作用的同時，也存在著過度收集、強制索取、違法使用等被濫用的情況。社交平臺和網站公開售賣人臉識別視頻和買賣人臉信息，因人臉信息等身份信息泄露導致“被貸款”“被詐騙”和隱私權、名譽權被侵害等問題時有發生，相關爭議、處罰和訴訟不時見諸媒體。

　　從今年4月杭州市上杭區市場監管局對某售樓處違規收集、使用人臉識別信息行為開出罰單，到8月4日科勒公司因在2020年2月至2021年3月期間未經消費者同意擅自在門店安裝攝像設備抓取人臉信息，被上海市靜安區市場監督管理局罰款50萬元并責令改正，經營者濫用人臉識別技術、侵害自然人合法權益的現象，引發了社會公眾的普遍關注和擔憂。

　　與此同時，司法實踐也在不斷探索信息化時代個人信息及隱私保護規則。在最高人民法院日前舉辦的新聞發布會上，最高人民法院副院長楊萬明透露，《民法典》施行以來，截至6月30日，各級人民法院正式以個人信息保護糾紛案由立案的一審案件達192件，審結103件。

　　據楊萬明介紹，“人臉識別第一案”于今年4月9日二審宣判，依法保護自然人人臉信息等生物識別信息。在刑事審判方面，侵犯公民個人信息犯罪近年來處于高發態勢，且與電信網絡詐騙、敲詐勒索、綁架等犯罪呈合流態勢，社會危害嚴重。各級人民法院依法懲治侵犯公民個人信息犯罪，案件數量顯著增長。據統計，2017年6月至2021年6月，全國法院新收侵犯公民個人信息刑事案件10059件，審結9743件，生效判決人數21726人，對3803名被告人判處三年以上有期徒刑。

　　人臉信息收集有原則

　　“目前，人臉識別、虹膜識別、指紋識別等人體信息識別技術野蠻生長并被隨意濫用，很多人對此感到無奈，又困惑于這樣一些問題：人臉識別行為是否具有正當性?是否合法?抗拒它是否正當合法?這些困惑都取決于人臉識別與身體權是什么關系。”復旦大學法學院教授孫笑俠撰文稱。

　　孫笑俠認為，人臉識別屬于人體生物信息采集和識別活動，包括對聲紋、掌紋、基因、指紋、虹膜和面部特征的信息采集和識別。任何組織和個人對他人面部識別特征進行采集，都觸及自然人的兩個法定權利：個人身體權和個人信息權。

　　“區分個人信息的種類，尤其是將個人信息分成一般信息和敏感信息，其目的是為不同類型的個人信息確定不同的保護路徑。”中國人民大學法學院教授、博士生導師朱虎說。《規定》界定了人臉信息屬于個人信息中的敏感信息中的生物識別信息，同時確立了對人臉信息更為強化的保護路徑。如規定收集人臉信息必須遵循特定目的和充分必要性原則、單獨同意規則。《規定》明確，事前影響評估和記錄規則，附加告知處理敏感個人信息的必要性以及對個人影響的規則，依照法律、行政法規獲得行政許可的規則等等。這些都要求對人臉信息的保護，人民法院不僅應當適用《民法典》和特別法中有關個人信息保護的一般規則，依法從嚴保護人臉信息、明確信息處理者的義務，還應當適用有關敏感個人信息處理的特殊規則。

　　侵犯主體權益必追責

　　朱虎認為，由于人臉識別技術可在信息主體毫無感知且無須信息主體配合的情況下進行，因此更容易侵害信息主體的權益。人臉識別的應用場景可分為受控環境和非受控環境，這兩種應用場景下使用人臉識別技術具有不同的合法性基礎。個人信息處理的合法性基礎要么是單純的個人同意，要么同時需要法律、行政法規的規定。《規定》則提高了非受控環境下個人信息處理的合法性門檻。明確信息處理者在賓館、商場、銀行、車站、機場、體育場館、娛樂場所等經營場所、公共場所違反法律、行政法規的規定使用人臉識別技術進行人臉驗證、辨識或者分析，屬于侵害信息主體人格權益的情形。

　　因此，在公共場所使用人臉識別技術應當滿足以下條件：為維護公共安全;遵守國家有關規定;設置顯著的提示標識;除取得個人單獨同意外，所收集的人臉識別信息只能用于維護公共安全的目的，不得用于其他目的。“顯然，這將有力地遏制商家為了門店營銷的目的而在自己的經營場所隨意使用人臉識別技術。”朱虎說。

　　此外，主體認同也是人臉信息處理合法性的一個基礎。孫笑俠撰文稱，公民享有身體生物識別信息采集決定權，而身體信息隱私是需要現代法律加以確認和保障的權利。

　　“應當是由具有同意能力的個人在充分知情的前提下自愿、明確作出同意，而不是強迫或者變相強迫信息主體。”朱虎說。《規定》細化了強迫同意的情形：信息處理者要求自然人同意處理其人臉信息才提供產品或者服務的，但是處理人臉信息屬于提供產品或者服務所必需的除外;信息處理者以與其他授權捆綁等方式要求自然人同意處理其人臉信息的;強迫或者變相強迫自然人同意處理其人臉信息的其他情形。基于此，在司法實踐中，《規定》確立了強迫作出的同意不得作為抗辯事由的規則，區分了強迫對法律行為效力和對同意效力的不同影響。

　　“明確強迫同意無效，更有利于實現個人信息保護的規范目的。明確同意的目的是保護信息主體的合法權益免遭信息處理者的不法侵害，明確強迫同意直接無效而非可撤銷意味著無須信息主體主張撤銷就可直接認定為無效，有助于免除信息主體主張撤銷的成本，更好地保護信息主體的合法權益。”朱虎說。

　　朱虎指出，從舉證責任的分配上，《規定》還將舉證責任分配給更容易提供證據證明其處理行為合法的信息處理者，更有利于保護個人合法權益的實現。此外，《規定》還確立了認定信息處理者民事責任的動態考量因素、免責事由、多數人侵權責任承擔、財產損失的界定、禁令、合并審理、公益訴訟和死者人格利益保護等規則。

　　“新科技廣泛、深入應用并密切貼近或緊逼個人的身體，這是一個廣泛和嚴峻的事實，并且還會在廣度和深度上繼續發展。”孫笑俠撰文稱，中國人在物質幸福感增強的今天，如果個人身體的完整性和行動自由被技術所侵害，那么這種幸福感的質量是下降的，是低級的。

　　業內人士一致認為，《規定》首次正式確立了審理使用人臉識別技術處理個人信息相關民事案件的全面且統一的法律適用規則意義重大，是以標準化、確定性的司法審理流程，來強化“侵犯人臉信息權益必被追責”的穩定預期。一方面，司法實踐有了更可適用、操作性強的依據;另一方面，對侵犯人臉信息權益的一方是一種威懾，因為大概率會被嚴格認定、依法懲戒。對普通用戶來說，強化了對人臉信息的保護，個人權益被侵犯的現狀必然會大大改善。