人脸识别存隐私权风险

隐私权风险是人脸识别技术发展中最为核心的问题

刷脸支付、刷脸进小区、进校园、进教室……近年来，人脸识别的应用场景不断扩大。去年“人脸识别第一案”将人脸识别的命题带入司法场域，也引起公众思考，我的脸谁来做主，如何保护我的脸？

2020年11月20日，国内备受瞩目的“人脸识别第一案”一审公开宣判，杭州市富阳区人民法院认为被告杭州野生动物世界有限公司（以下简称野生动物世界）“收集人脸识别信息，超出了必要原则要求，不具有正当性，最终判决赔偿原告合同利益损失及交通费共计1038元，删除原告办理指纹年卡时提交的包括照片在内的面部特征信息”。 

案情简介

2019年4月，原告支付1360元购买野生动物世界双人年卡，确定指纹识别的入园方式。原告及其妻子留存了姓名、身份证号码、电话号码等，并录入指纹、拍照。之后，野生动物世界将年卡用户的入园方式从指纹识别升级为人脸识别，并两次通过短信通知原告年卡入园识别系统更换事宜，要求激活人脸识别系统，否则将无法正常入园。原告认为人脸信息属于高度敏感个人信息，不同意接受人脸识别，要求园方退卡。双方协商未果，原告将野生动物世界诉至法院。

案件解读

首先，本案原告有权要求被告野生动物世界解除合同并退回办卡支付的款项。原告在被告处购买年卡即与被告之间成立了合同关系，在合同履行的过程中，被告将原指纹识别入园方式变更为人脸识别方式，属于单方变更合同的内容，需要与原告协商一致。如果双方就变更事项达不成一致，就应当按照原来的约定履行，否则就构成违约。本案中，尽管被告以短信方式通知了变更的内容，但原告并未同意，故被告构成违约，应当返还原告办卡支付的款项。

其次，本案的争议焦点为：经营者处理消费者个人信息，尤其是指纹、人脸等个人生物识别信息行为的评价和规范问题。我国法律对于个人信息在消费领域的收集和使用有明确规定，收集、使用个人信息，应当遵循合法、正当、必要的原则。原告在办理年卡时，约定采用的是以指纹识别方式入园，但被告采集原告及其妻子的照片信息，超过了法律意义上的必要原则要求，故不具有正当性。

此外，对于那些同意变更合同的消费者来说，野生动物世界在采集其面部信息后，依据《消费者保护法》第29条之规定，要对收集的消费者个人信息严格保密，不得泄露、出售或者非法向他人提供。如果野生动物世界在采集消费者面部信息后无法确保消费者的个人信息安全，可能构成侵权，要依法承担相应的法律责任。

该案之所以备受关注，在于面部（人脸）识别信息具有代表性，如果你的一般个人信息被滥用了，你可以更换手机号、姓名、地址，但个体生物信息，例如人脸、基因、虹膜、指纹、掌纹等，高度敏感，这些信息是不可更改的，一旦泄露、非法提供或者滥用，几乎不可救济。随着人脸识别首个司法诉讼案件有了阶段性的判决结果，各界对AI技术、大数据及其背后隐私问题将有更多的思考，也将推动相关立法不断的完善。《民法典》也强调了个人信息的保护，专章规定了隐私权和个人信息保护，并首次明确将个人生物识别信息纳入个人信息的保护范畴。

1.《民法典》确立了我国关于个人信息保护的方向

《民法典》从第1034条到1039条，用了六个条款对个人信息的基本概念、处理规则、例外情形、具体路径等进行了规定，并与第111条、第999条以及“侵权责任编”中若干条款相互配合，共同确立了我国个人信息保护的基本方向。

2.《民法典》确立了个人信息的双重保护原则

《民法典》第1035条在承袭《网络安全法》中“合法、正当、必要”原则的基础上，增加了“不得过度处理”原则。意味着即使信息处理行为已征得信息主体的同意，但仍需遵循合法、正当、必要且不得过度处理的原则，否则就可能构成侵权。

3.《民法典》强化了个人信息处理者的保障义务

《民法典》第1038条规定，信息处理者不得泄露或者篡改其收集、存储的个人信息，非经同意不得向他人非法提供其个人信息，同时还要采取技术措施和其他必要措施，以确保其收集、存储的个人信息的安全。对于较容易接触和处理个人信息的国家机关、承担行政职能的法定机构及其工作人员和公权力机构，在第1039条中也强调了他们的保密义务。

4.《民法典》赋予了信息主体的查阅复制权、异议更正权及删除权

《民法典》第1037条规定，信息主体可以依法向信息处理者查阅或者复制其个人信息，发现信息有错误的，有权提出异议并请求及时采取更正等必要措施。若发现信息处理者违反法律、行政法规的规定或者双方的约定处理其个人信息的，有权请求信息处理者及时删除。

《民法典》在强化对公民个人信息保护的同时，也对数据权属及与数据相关的行为做出了规定，顺应了互联网时代的发展要求。《民法典》的正式实施适用、相关案件的审理与裁判，加之后续《个人信息保护法》、《数据安全法》审议通过，将推动我国数据法律体系更趋完善。

“中国人脸识别第一案”虽然属于普通民事合同纠纷，但却备受社会各界关注，这是在大数据、人工智能、５Ｇ时代带来技术进步同时，又给我们个人信息安全带来不安和焦虑。随着科技的发展，对各种应用场景的人脸识别规范仍将任重道远，包括人脸信息、指纹等生物信息的人格权益，均应受到法律的保护和规制。

从人脸识别第一案，到戴头盔看房，人脸识别成为近年来舆论场中的高频词汇，尤其是新冠疫情下，不少社区摁下人脸识别应用的加速键，引来了不小的争议。如何保护我的脸，成为数据时代无法逃避的课题。

在媒体发布的《人脸识别应用公众调研报告（2020）》中，2万多名受访者中，有6成认为人脸识别技术有滥用趋势，3成受访者表示已因人脸信息泄露、滥用而遭受隐私或财产损失。

不过，人脸识别技术目前在中国已经有一定的应用范围。“一刀切”式的完全禁止可能会对经济社会发展形成制约，也不具有现实性。

但鉴于人脸识别技术可能对个人的基本权利造成严重的影响，监管部门应出台人脸识别应用的技术准入标准，必须贯彻合法、正当、必要等原则来进行严格的规制，用法律来打造抑制技术泛滥、保护个人权利的必要“防护盾”。