“人脸”算个人信息吗.docx

“人脸”算个人信息吗近日，杭州市物业管理条例（修订草案）引发网络热议，其中规定了物业服务人不得强制业主通过指纹、人脸 识别等生物信息方式使用共用设施设备，保障业主对共用设施设备的 正常使用权。随着智慧社区建设的推进，越来越多的小区开始安装人 脸识别门禁，点赞者称人脸识别方便小区安保管理，拍石专者则认为随 意采集个人信息程序违法，甚至担心数据信息泄漏造成不良后果。众 说纷纭的背后，是对收集个人信息的合理性与合法性的讨论。那么，“人脸”是否属于个人信息？法律对于“收集”行为是如何规定的?人脸识别进社区的正确方式是什么？01个人敏感信息包括“人脸”人脸识别是基于人的面部特征进行身份识别的一项生物识别技术， 这项技术通过采集人像、关键点提取,对人像进行预处理、特征提取、 人脸识别对比，实现个人身份识别验证的目的。人脸识别技术始于 20世纪60年代，随着大数据、互联网时代的到来，目前广泛应用于 安保、移动支付、公司管理等领域。各地多个社区推广人脸识别，正 是在安保、物业管理场景下的应用。即将实施的民法典详细明确了个人信息的具体内容。个人信息是 以电子或者其他方式记录的能够单独或者与其他信息结合识别特定 自然人的各种信息，包括自然人的姓名、出生日期、身份证件号码、 生物识别信息、住址、电话号码、电子邮箱、健康信息、行踪信息等。 隐私是自然人的私人生活安宁和不愿为他人知晓的私密空间、私密活 动、私密信息。个人信息中的私密信息，适用有关隐私权的规定；没 有规定的，适用有关个人信息保护的规定。2020年10月1日实施的信息安全技术个人信息安全规范，进 一步区分了一般个人信息和个人敏感信息。个人敏感信息指一旦泄露、 非法提供或滥用可能危害人身和财产安全，极易导致个人名誉、身心 健康受到损害或歧视性待遇等的个人信息，具体可包括身份证件号码、 个人生物识别信息、银行账户、通信记录和内容、财产信息、征信信 息、行踪轨迹、住宿信息、健康生理信息、交易信息、14岁以下（含） 儿童的个人信息等。个人信息控制者通过个人信息或其他信息加工处 理后形成的信息，如一旦泄露、非法提供或滥用可能危害人身和财产 安全，极易导致个人名誉、身心健康受到损害或歧视性待遇等的，也 属于个人敏感信息。因此，将“人脸”界定为个人敏感信息是合理的。个人信息的处 理包括个人信息的收集、存储、使用、加工、传输、提供、公开等， 社区推广人脸识别引发争议的焦点集中于信息的收集行为。02 “人脸”采集的合法性与合理性上述杭州市物业管理条例（修订草案）中所规定的“物业服务 人不得强制业主通过指纹、人脸识别等生物信息方式使用共用设施设 备，保障业主对共用设施设备的正常使用权”，属于新增条款，多家 媒体将其解读为全国首部将小区人脸识别纳入物业管理的法定条例， 与全国其他省市“来势汹汹”的人脸识别潮形成明显对比。物业服务合同双方权利义务受合同法的约束，合同法并没有对“收集个人信息”的行为进行规定，且民法典也没有明确“收集行为” 的具体含义，所以杭州市将物业服务人收集业主个人信息的行为纳入 条例内容难能可贵。信息安全技术个人信息安全规范对个人信息的收集行为进行 了明确。收集是获得个人信息的控制权的行为，包括由个人信息主体 主动提供、通过与个人信息主体交互或记录个人信息主体行为等自动 采集行为，以及通过共享、转让、搜集公开信息等间接获取个人信息 等行为。如果产品或服务的提供者提供工具供个人信息主体使用，提 供者不对个人信息进行访问的，则不属于本规范所称的收集。例如, 离线导航软件在终端获取个人信息主体位置信息后，如果不回传至软 件提供者，不属于个人信息主体位置信息的收集。民法典将收集行为列为处理个人信息的一种，应当遵循合法、正 当、必要原则，不得过度处理，并遵循四个条件：一是征得该自然人 或者其监护人同意；二是公开处理信息的规则；三是明示处理信息的 目的、方式和范围；四是不违反法律、行政法规的规定和双方的约定。 有规则，就有例外。处理个人信息免除民事责任的三个例外条件是: 一是在该自然人或者其监护人同意的范围内合理实施的行为；二是合 理处理该自然人自行公开的或者其他已经合法公开的信息，但是该自 然人明确拒绝或者处理该信息侵害其重大利益的除外；三是为维护公 共利益或者该自然人合法权益，合理实施的其他行为。因此，对于人脸识别进社区，其合法性是在个人信息保护的多层 法律框架内讨论，即是否符合民法典及信息安全技术个人信息安全 规范等相关法律的规定。例如不应以欺诈、诱骗、误导的方式收集 个人信息；不应隐瞒产品或服务所具有的收集个人信息的功能；不应 从非法渠道获取个人信息。今年10月首次亮相的个人信息保护法 （草案）中，规定了个人在个人信息处理活动中的权利，即个人对 其个人信息的处理享有知情权、决定权，有权限制或者拒绝他人对其 个人信息进行处理。而人脸识别进社区的合理性，是在法律上常用的比例原则内进行 讨论，即生活日常的场景下是否有必要收集、利用个人敏感信息。我 们应当坚持收集个人信息的最小必要原则，一方面收集的个人信息的 类型应与实现产品或服务的业务功能有直接关联，直接关联是指没有 上述个人信息的参与，产品或服务的功能无法实现；另一方面，自动 采集个人信息的频率应是实现产品或服务的业务功能所必需的最低 频率。再者，间接获取个人信息的数量应是实现产品或服务的业务功 能所必需的最少数量。03强制人脸识别或引发诉讼杭州市物业管理条例（修订草案）禁止物业强制人脸识别条款 的建议者为浙江理工大学特聘副教授郭兵，他作为“中国人脸识别第 一案”的原告，曾将杭州野生动物世界诉至法院。2019年4月，郭兵在杭州野生动物世界办理了一张1360元的双 人年卡。为了方便公园进行身份核验、防止他人冒用年卡，郭兵在办 卡时录入了姓名、手机号、指纹等信息。办理年卡后，他一直使用“年 卡+指纹”的方式入园。3个月之后，杭州野生动物世界先后两次发 短信通知称，园区系统升级，指纹识别将取消，年卡用户不注册人脸 识别将无法入园。郭兵不愿意被强制刷脸，不同意动物世界强制人脸 识别的要求。杭州野生动物世界表示，如果郭兵退卡，则需要按照正 常入园价格，补齐办理年卡以来数次入园的费用。郭兵不同意这一解决方案，将杭州野生动物世界诉至法院，认为 面部特征等个人生物识别信息属于个人敏感信息，一旦泄露、非法提 供或者滥用极易危害消费者的人身和财产安全。郭兵要求确认杭州野 生动物世界店堂告示和短信通知内容无效，退还年卡卡费，赔偿交通 费并删除其个人信息。杭州野生动物世界辩称，是在征得郭兵同意的 情况下收集个人信息的，双方订立的服务合同合法有效。目前并未检索到上述案件的审理结果，而且中国人脸识别第一案 是在合同法框架内进行审理，争议焦点为单方变更合同履行内容是否 构成违约的问题，并非民法典意义中的非法收集行为对人格权的侵犯。从上述案件来看，未经权利人同意强制收集“人脸”信息可引发 诉讼，因此在个人信息的处理中，征得权利人同意是十分重要的。另 外，我们也曾从媒体报道中看到在明星演唱会上利用人脸识别技术抓 到逃犯的新闻，很少有人会对此提出异议，因此可以说，技术利用的 目的是判断技术利用合理性、正当性的重要标准，而技术利用的法律 依据则是判断合法性的重要标准。04人脸识别进社区的正确方式大规模推行人脸识别进社区，方式不当或将引发法律纠纷。因此，人脸识别进社区也需要先合规。那么，什么是人脸识别进小区的正确方式呢?首先，业主知情同意是前提。依据信息安全技术个人信息安全 规范的要求，收集个人敏感信息前，一方面，应征得个人信息主体 的明示同意，并应确保个人信息主体的明示同意是其在完全知情的基 础上自主给出的、具体的、清晰明确的意愿表示；另一方面，应单独 向个人信息主体告知收集、使用个人生物识别信息的目的、方式和范 围，以及存储时间等规则，并征得个人信息主体的明示同意。其次，给予业主充分的决定权。无论采用何种方式进行社区建设， 其目的都是为业主营造舒心、温暖的居住环境，社区管理只是营造居 住环境的手段而不能作为目的。人脸识别进小区的同时，要为有异议 的业主提供其他身份核验的选项，例如NFC卡、出入证、手动登记等 多元化的选择。最后，明确人脸识别的责任主体。民法典明确了个人信息的处理 包括个人信息的收集、存储、使用、加工、传输、提供、公开等，任 何一个环节出现问题，都将导致数据泄漏，将权利人置于未知风险之 下。现有的人脸识别进社区活动牵头者众多，招标标准不同，对外宣 称的数据保管方式也千差万别，因此需要加快立法明确责任主体。在 法律保护框架不完善的现实情况下，是否可以参照产品质量责任中销 售者与生产者连带责任的方式，确定所有环节责任主体连带责任，以 提高上游收集者对于下游进一步处理者的选择门槛，提高数据安全性。（秦鹏博作者单位：北京市海淀区人民法院）