刷臉進出小區，這是不少人每天都會經歷的場景。然而就在不久前，天津一位26歲的小夥顧城，因為拒絕其小區的物業將人臉識別作為小區唯一的通行驗證方式，將物業公司告上了法庭，並在二審獲得了勝訴。
天津人臉識別案
事情發生在2021年3月，當時顧城從北京搬到天津工作，在網上籤約租住了天津誠基經貿中心的一套公寓。在拎包入住的當天，他從房屋中介口中得知，小區只提供人臉識別的方式出入。
按照顧城的説法，物業公司當時只提供了刷臉這一種方式進出小區。《新聞調查》試圖聯繫顧城所住小區的物業公司，但物業公司拒絕了採訪。在入住當下，顧城雖然心生疑慮，但因為已經租下了房子，便還是在物業登記了姓名、身份證號、房屋等信息，也拍照錄入了人臉信息。
顧城説，雖然他不是學法律出身，但以他樸素的理解，刷臉進出小區應該遵循自願的原則。因為有不少像他這樣不願意刷臉的人，都是因為擔心其中的風險性。
顧城：我們普通人有些考慮得不夠完善、不夠全面，他只是提到了方便效率，但是風險呢？也許沒有認識到。那如果我這張臉泄露了以後，如果別人去偽造了，去用我這張臉做了一些壞事，或者是造成了一些財產的損失呢？我沒有這個必要去承擔這個風險。
顧城的擔心其實不無道理。作為人工智能的重要應用，近年來，人臉識別逐步滲透到人們生活的方方面面，給人們的生活帶來了便利。但同時，人臉識別技術所帶來的個人信息保護問題也日益凸顯。一些經營者濫用人臉識別技術侵害個人合法權益的事件頻發，引發社會公眾的普遍關注和擔憂。
根據媒體報道，有部分線上平台或者應用軟件強制索取用户的人臉信息，還有的賣家在社交平台和網站公開售賣人臉識別視頻、買賣人臉信息等。此外，因人臉信息等身份信息泄露導致“被貸款”“被詐騙”和隱私權、名譽權被侵害等問題也多有發生。甚至還有一些犯罪分子利用非法獲取的身份證照片等個人信息製作成動態視頻，破解人臉識別驗證程序，實施竊取財產等犯罪行為。
曾經參與《民法典》立法論證工作的中國人民大學法學院教授石佳友，一直以來都非常關注人臉識別的相關法律問題。他指出，人臉信息屬於敏感個人信息中的生物識別信息，具有唯一性和不可更改性，一旦泄露將對個人的人身和財產安全造成極大危害，甚至還有可能威脅公共安全。
中國人民大學法學院教授 石佳友：這種風險主要在於它具有唯一性和不可更改性，比如個人信息裏，手機電話可以隨便改，但是一般人臉是很難更改的。這就決定了它一旦被泄露、一旦被盜用，那後果是很難設想的。比如未成年人、兒童可能遭到綁架，國外已經有這樣的教訓。你的人臉信息如果被黑客竊取，他就有可能進入到你的賬户、網上銀行，最後盜取你的資金。這裏可能對他的財產、對他的人身，可能都會造成影響。
公眾對於人臉識別技術濫用的擔心不斷增加，強化人臉信息保護的呼聲也日益高漲。2021年8月1日，《最高人民法院關於審理使用人臉識別技術處理個人信息相關民事案件適用法律若干問題的規定》生效施行。作為一部用於解決人臉識別信息民事糾紛案件的司法解釋，對處理人臉識別信息進行了有力的規範，其中不僅涉及賓館、商場、銀行、車站、機場、體育場館、娛樂場所等經營場所、公共場所，也專門提到，“物業服務企業或者其他建築物管理人以人臉識別作為業主或者物業使用人出入物業服務區域的唯一驗證方式，不同意的業主或者物業使用人請求其提供其他合理驗證方式的，人民法院依法予以支持。”這一司法解釋的出台，也讓顧城決定走法律途徑解決問題。
就此，顧城和他的代理律師葛向孜，將蘭州城關物業服務集團有限公司天津分公司告上了法庭。2021年9月3日，天津市和平區人民法院對顧城的起訴立案，並於2021年11月一審開庭。但由於案由定為隱私權糾紛，法院審理認為，顧城提供的相關證據，不能證明物業公司侵犯了他的隱私權。據此，一審法院駁回了顧城的全部訴訟請求。
天津人臉識別案原告代理律師 葛向孜：用隱私權糾紛去説這個案件，確實是很不恰當的，也不可能從隱私權的角度去勝訴。所以進入上訴階段，我們的主張就是一審法院適用法律錯誤、案由選擇錯誤，因為它適用的是隱私權相關的法律，我們認為它應該就是適用和個人信息保護相關的法律才可以。由此的話，一審法院在確定舉證責任的時候也分配錯誤，因為按照隱私權的思路的話，它把舉證責任就給到了原告顧城這一邊；按照個人信息保護糾紛，它就需要被告物業公司去證明自己處理個人信息的時候沒有過錯。
2021年11月，因不服一審判決，顧城上訴至天津市第一中級人民法院。二審法院糾正了案由，認為本案是因處理個人信息引發的糾紛，案由應確定為個人信息保護糾紛。二審法院認為，根據《最高人民法院關於審理使用人臉識別技術處理個人信息相關民事案件適用法律若干問題的規定》第10條規定，如果有業主或者物業使用人不同意採取人臉識別驗證方式而請求物業公司提供其他合理驗證方式的，物業公司不能以智能化管理為由予以拒絕。顧城在辦理入住時，雖然同意物業公司提取其人臉信息作為通行驗證方式，但其後多次就物業公司提取人臉信息作為唯一的驗證通行方式提出異議。物業公司以人臉識別驗證方式是業主委員會同意，拒絕為顧城提供其他驗證方式的抗辯理由，與第10條規定相悖。2022年5月18日，天津市第一中級人民法院對此案二審判決，要求物業公司刪除顧城的人臉信息，併為其提供其他通行驗證方式，承擔顧城因本案訴訟支出的律師費等合理費用。
最高法關於人臉識別的司法解釋，除了在財產損失上予以被侵權人更大的支持，在舉證責任分配上課以信息處理者更多的舉證責任，還明確了信息處理者處理人臉信息必須徵得自然人或者其監護人的單獨同意；信息處理者強迫或者變相強迫自然人同意處理其人臉信息時同意無效等重要原則。
參與司法解釋起草論證的石佳友表示，天津人臉識別案的勝訴，很好地驗證了最高法關於人臉識別的司法解釋的適用效果，而這一案件本身，也具有標誌性意義。
杭州人臉識別第一案
近幾年，我國集中出台了幾部重要的涉及個人信息保護的法律法規。2020年5月28日頒佈的《中華人民共和國民法典》中，明確規定了哪些信息屬於個人信息，同時規定了處理個人信息應當遵循合法、正當、必要的原則。2021年8月1日，《最高人民法院關於審理使用人臉識別技術處理個人信息相關民事案件適用法律若干問題的規定》生效施行，為因處理人臉識別信息引起的民事糾紛案件提供了審判指引。2021年11月1日，《中華人民共和國個人信息保護法》正式生效實施，明確了個人信息處理規則、個人在個人信息處理活動中的權利、個人信息處理者的義務等內容，並設專節嚴格規範包括人臉識別信息在內的敏感個人信息的處理規則。可以説這兩部法律和一部司法解釋，形成了對於人臉識別信息綜合、全面的法律保護體系。
司法上的進步，離不開典型案件的推動，在人臉識別領域，2019年發生在杭州的“人臉識別第一案”，就是一起對於司法進程具有重要意義的標誌性案件。因為不願意使用人臉識別，浙江理工大學法政學院特聘副教授、法學博士出身的郭兵將杭州野生動物世界告上了法庭。案件源於郭兵2019年4月在杭州野生動物世界辦理年卡的消費經歷。
浙江理工大學法政學院特聘副教授 郭兵：我們去辦卡的時候，要錄指紋，我就説你們怎麼能強制遊客錄指紋？他説我們這邊入園，必須年卡跟指紋同時錄入，你才能進去。2019年7月份，杭州野生動物世界發了短信，説我們要進行人臉識別的升級，然後要儘快去人臉識別註冊。2019年10月17日，它就正式發短信説，如果你不進行人臉識別註冊，就不能用了。
由於年卡用户的入園方式由指紋識別變更為了人臉識別，而郭兵認為，人臉信息屬於敏感個人信息，不同意接受人臉識別。雙方就入園方式、退卡等相關事宜協商未果，郭兵將杭州野生動物世界告上了法庭。2020年11月20日，杭州市富陽區人民法院作出一審判決，判令杭州野生動物世界賠償郭兵合同利益損失及交通費共計1038元，並刪除郭兵辦理指紋年卡時提交的包括照片在內的面部特徵信息；駁回郭兵要求確認店堂告示、短信通知中相關內容無效等其他訴訟請求。郭兵與野生動物世界均表示不服，分別向杭州中院提起上訴。
2020年12月11日，杭州中院立案受理該案，並於同年12月29日公開開庭審理。2021年4月9日，該案二審宣判。二審法院認為，指紋識別店堂告示對雙方具有約束力，但人臉識別店堂告示對郭兵不發生效力。郭兵辦理指紋年卡時選擇權並未受到限制或侵害。野生動物世界的行為不構成欺詐，但野生動物世界單方變更入園方式構成違約。野生動物世界欲利用收集的照片擴大信息處理範圍，超出事前收集目的，表明其存在侵害郭兵面部特徵信息之人格利益的可能與危險，應當刪除郭兵辦卡時提交的包括照片在內的面部特徵信息。鑑於野生動物世界停止使用指紋識別閘機，致使原約定的入園服務方式無法實現，故二審在原判決的基礎上增判野生動物世界刪除郭兵辦理指紋年卡時提交的指紋識別信息。
中國人民大學法學院教授 石佳友：這個案件發生當時，《民法典》還沒有正式生效實施，也沒有司法解釋，更沒有《個人信息保護法》。所以法院當時可能只能適用《消費者權益保護法》《合同法》，作出這樣一個判決，主要按照《合同法》框架，認為動物園有一個違約行為，單方面變更了合同的規定，所以是從違約這個角度去否定的。
目前，在《個人信息保護法》中明確了敏感個人信息的處理規則，其中包括：只有在具有特定的目的和充分的必要性，並採取嚴格保護措施的情形下，個人信息處理者方可處理敏感個人信息；處理敏感個人信息應當取得個人的單獨同意；個人信息處理者處理敏感個人信息的，除了向個人告知敏感個人信息的處理目的、處理方式、信息種類、保存期限等內容外，還應當向個人告知處理敏感個人信息的必要性以及對個人權益的影響；個人信息處理者處理敏感個人信息，應當事前進行個人信息保護影響評估，評估內容包括個人信息的處理目的、處理方式等是否合法、正當、必要；對個人權益的影響及安全風險；所採取的保護措施是否合法、有效並與風險程度相適應。
從杭州“人臉識別第一案”到天津人臉識別案，國家在個人信息立法上的進程，也能從這兩個案件中充分體現出來。
新的難點
顧城在2022年7月發給記者的手機視頻顯示，他依然能夠通過刷臉進入小區，這樣的情況讓顧城懷疑，物業是否真的刪除了他的人臉信息？此時，距離2022年5月18日天津市第一中級人民法院下達二審判決已經過去了近兩個月。二審法院明確判令，物業公司於判決生效之日起五日內刪除顧城的人臉信息併為其提供其他通行驗證方式。
對於刪除權，《個人信息保護法》第四十七條明確規定：“有下列情形之一的，個人信息處理者應當主動刪除個人信息，個人信息處理者未刪除的，個人有權請求刪除。”因為有明確的違法事實，顧城可以通過法律手段維護其刪除權的實現。但對於法律中提到的其他情形，比如處理目的已實現等情況，個人信息處理者是否能夠做到及時刪除呢？
2020年，在對“人臉識別第一案”的採訪過程中，為杭州野生動物世界提供技術支持的深圳鼎遊信息技術有限公司董事長丁東表示，他們是一家專門為旅遊機構提供信息化產品的公司。採訪中，他説明了公司對於人臉信息存儲和刪除的方式。
因為人臉識別需要比對，目前大多數企業都會採取本地存儲的方式。按照丁東的説法，他們與使用方之間的約定是，人臉信息存儲在使用方的服務器，並根據票的有效期實施自動刪除。2022年，我們再次採訪了鼎遊公司，技術總監李進表示，目前他們對於刪除的管理方式還和兩年前一致，但他透露，行業內對於人臉信息是否刪除，其實做法不一。
在對企業的採訪中我們側面瞭解到，行業內沒有嚴格執行刪除的情況不在少數。郭兵的代理律師麻策向我們談到，《個人信息保護法》其實在很多方面都作出了更全面更完善的規定，法律的變化也明顯體現出國家對於個人信息保護的力度越來越強。但目前的難點在於，如何能讓法律真正得到貫徹執行。
人臉識別第一案原告代理律師麻策認為，來自主管機構的監管，是保障法律得以貫徹的重要方面。按照《個人信息保護法》的規定，目前是由國家網信部門負責統籌協調個人信息保護工作和相關監督管理工作，國務院有關部門在各自職責範圍內負責個人信息保護和監督管理工作，它們都是履行個人信息保護職責的部門。
法學專家石佳友認為，按照目前的管理體制，監管部門可以側重於加強合規管理，從而達到監管的目的。通過監督檢查發現是否合規，那麼不合規的情況又如何處理呢？律師和專家都談到，《個人信息保護法》設立了專門的章節明確了“法律責任”，相關監管部門可以根據法律規定，加大執法力度。除了加強合規管理、加大執法監督，顧城的代理律師葛向孜認為，監管層面還可以配合相關法律，再出台一些更細化的規範或規則。
在《個人信息保護法》“個人信息處理者的義務”章節中，有一些諸如“對個人信息實行分類管理”“採取相應的加密、去標識化等安全技術措施”等規定，但在技術公司看來，他們還需要更細化的標準。
深圳鼎遊信息技術有限公司技術總監 李進：我認為要細化。比如人臉只存儲特徵值，而不存照片本身了，這樣的話即便這個服務器被盜，或者因為某種原因被泄露，它是還原不出照片來了。這個都可以作很強行的規定，法律規定就必須存特徵值不能存照片。
如何能讓法律真正得到貫徹執行，讓法律的進步真正惠及實踐，是目前人臉識別領域的一大難點。而另一方面，雖然人們有了更多的法律武器來維護自身的合法權益，但個人的維權成本高、維權難度大，也是一大難題。郭兵也一直在關注天津人臉識別案的進展，他認為，雖然法院支持了顧城的律師費等財產損失，但作為個體的維權動力依然是不足的。
目前，個人信息的公益訴訟已經在相關法律中得以明確。《個人信息保護法》第七十條規定，“個人信息處理者違反本法規定處理個人信息，侵害眾多個人的權益的，人民檢察院、法律規定的消費者組織和由國家網信部門確定的組織可以依法向人民法院提起訴訟。”《最高人民法院關於審理使用人臉識別技術處理個人信息相關民事案件適用法律若干問題的規定》第十四條規定，“信息處理者處理人臉信息的行為符合相關法律關於民事公益訴訟的相關規定，法律規定的機關和有關組織提起民事公益訴訟的，人民法院應予受理。”
近期，在杭州、廣州都已經出現了涉及人臉識別的公益訴訟。公益訴訟逐漸走向實踐，但其中的挑戰與難度，也是可以想象的。
中國人民大學法學院教授 石佳友：完全可以想象這裏有難度，特別是公益訴訟，公益訴訟往往要證明，第一，有眾多的受害者。第二，確實要確定有這個侵權的事實，要有非常確鑿的證據。它還要去證明損害，它往往會主張一個具體的損害金額。所以我覺得從訴訟的準備的專業性角度來講，要求比較高。中國個人信息保護髮展非常快，成就也非常顯著，《個人信息保護法》生效實施以來，效果還是非常好，這是社會進步的一個重要的表現。
來源：央視新聞