专业文章丨人脸识别有风险 企业合规需牢记

【珠海律师、珠海法律咨询、珠海律师事务所、京师律所、京师珠海律所、京师合肥律所】

（本文转载自京师合肥律所）

作者简介

作者简介：朱政，执业律师，北京京师（合肥）律师事务所主任，国家高级经济师。最高人民法院和国台办特邀“总对总”调解员，最高人民检察院和省级人民检察院民事、行政诉讼监督案件咨询专家，第八届中华全国律师协会破产与重整专业委员会委员、第九届中华全国律师协会公司法专业委员会委员，第八届、第九届安徽省律师协会常务理事、纪律委员会常务副主任，安徽省高级人民法院、安徽省司法厅确定的安徽律师调解员，安徽省《民法典》讲师团成员，合肥、六安、宿州、德州、淄博、日照、晋城、绥化、固原、嘉兴、濮阳仲裁委员会仲裁员。

编者按：

《中华人民共和国民法典》已于2021年1月1日起施行，作为新中国第一部以“法典”命名的法律，民法典具有里程碑式的意义，被誉为“社会生活的百科全书”。民法典聚焦现实社会的热点、难点，内容丰富鲜活，每一个条文都关乎社会生活的方方面面和我们每个人的衣食住行，规范了各类民事主体的人身关系和财产关系，从基本原则到具体法条、从公民权利到市场经济、从私人生活到人格权利、从出生到死亡，民法典影响着我们每个人的生活。

为了让读者进一步了解《中华人民共和国民法典》的新变化，我们特地开设了【首案说法】栏目，邀请到北京京师（合肥）律师事务所主任朱政律师。他将结合民法典并以各地刚刚审判的第一案为例，为大家进行细致地解读。

01

一、案件背景

2021年4月13日，市场监管局接到反映杭州某楼盘在公共区域违规使用摄像头违法抓拍消费者面部的举报。2021年4月16日和19日，根据举报，市场监管局对某楼盘售楼处进行现场检查，发现售楼处主入口有1台人脸抓拍机（摄像头），次入口有1台人脸抓拍机（摄像头），大厅处有2台人脸抓拍机（摄像头），主入口销售接待台平放着一块写有“本售楼处安装有人脸识别系统，您已进入视频监控区域，我们承诺保护您的人脸等信息安全。详情可扫描二维码或询问接待人员了解”的告示牌，财务室摆放有1台人证识别一体机，地下一层营销办公室电脑中有“**云客”客户管理系统，“**云客”平台案场全量到访记录模块储存有109029张人脸照片。

经调查取证，市场监管局认定当事人有如下违法事实：为促进销售，当事人开展了全民营销、老带新奖励、中介分销转介等营销活动，并于2020年11月通过安装摄像头人脸抓拍系统，识别区分案场访客来源。每当有来访人员到达售楼处，４台人脸抓拍机就会抓拍记录下来访者的人脸信息，并储存在服务器上，在消费者签订《商品房买卖合同》时，他们会通过消费者身份证信息和人脸再次识别，匹配出其首次到访时间、到访次数等信息，用来区分购房者的来源渠道，并据此来与分销商或推荐人结算佣金奖励。

从2020年12月9日起，售楼处入口处开始摆放“本售楼处安装有人脸识别系统，您已进入视频监控区域，我们承诺保护您的人脸等信息安全……”的告示牌；同时，在人证对比机旁摆放了“刷证时会采集您的人脸及个人信息，用于查询来访记录和签约管理，我们承诺保证您的人脸等信息安全……”的告示牌，但是两个告示牌都没有明确告诉消费者其收集、使用信息的真实目的和范围。最终，市场监管局对某楼盘的开发商依法作出责令改正并罚款25万元的行政处罚。

02

二、法律解读

人脸信息作为一种典型的个人生物信息，属于敏感个人信息，具有难以更改性和泄露后损害的不可逆性，一旦泄露将会是终身泄露，无法替换也极难逆转。近年来，伴随着人脸识别技术的快速发展，由此衍生的技术误差风险、信息泄露风险和算法歧视风险不断攀升，造成人民群众人身、财产上的安全风险和心理上的安全隐忧，加大对人脸识别中的个人生物信息处理进行法律规制的力度已到了刻不容缓的时刻。

上述案例就涉及到算法歧视风险，售楼部将收集到的人脸信息进行搜索和匹配，其目的是用于对自访客户和中介渠道客户的分类，用于精准营销。但，这种将人脸识别用于客户分类的做法直接侵害了购房者的平等权益，究其实质是一种算法歧视。现实中，甚至发生了有的购房者为了避免被算法歧视，戴着头盔看房，相关视频还一度引发网络热议。

为此，《民法典》人格权编对个人信息的保护做了专门的规定，其第一千零三十四条规定，“个人信息是以电子或者其他方式记录的能够单独或者与其他信息结合识别特定自然人的各种信息，包括自然人的姓名、出生日期、身份证件号码、生物识别信息、住址、电话号码、电子邮箱、健康信息、行踪信息等。”该条明确了个人信息的定义，将人脸这类的生物识别信息纳入《民法典》的保护范畴。第一千零三十五条规定，“处理个人信息的，应当遵循合法、正当、必要原则，不得过度处理，并符合下列条件：（一）征得该自然人或者其监护人同意，但是法律、行政法规另有规定的除外；（二）公开处理信息的规则；（三）明示处理信息的目的、方式和范围；（四）不违反法律、行政法规的规定和双方的约定。”根据上述规定，经营者收集、使用消费者个人信息，首先应当遵循合法、正当、必要的原则，其次还必须明示收集、使用信息的目的、方式和范围，并在经消费者同意后依法收集、使用。上述案例中，售楼部采集、使用消费者个人信息，目的在于准确区分消费者来源渠道，便于与分销商或推荐人结算佣金或奖励，目的是为了自身成本控制和精准营销，与消费者利益无关，虽然已经以文字的方式告知了消费者，但并没有赋予消费者对个人生物信息的采集同意或者拒绝的权利。因此，该行为仍然违背了《民法典》个人信息保护的相关规定，除应当依法给予行政处罚外，消费者还有权追究其民事侵权责任。

03

三、律师提醒

人脸信息属于敏感个人信息，除遵守《民法典》关于个人信息处理和保护的规定外，还需要遵守《个人信息保护法》关于敏感个人信息方面的特殊规定。

首先，经营者要积极践行“告知-同意”原则，不能认为自己采取了设置告知标识就算已经履行了自身的法定义务，而是应当通过书面形式告知消费者，使他们获知经营者对面部生物识别信息的处理目的、处理方式、保存期限等信息，并事先取得他们的单独同意。其次，应控制带有人脸识别功能设备的数量和覆盖区域，同时为消费者提供除人脸识别以外身份验证方式，赋予他们充分的选择权利。再次，经营者如需存储人脸信息，必须采取安全措施存储和传输，如加密存贮和传输人脸信息，并采用物理或逻辑隔离方式分别存储人脸信息和个人身份信息等，即针对不同层级的数据采用不同级别的安全措施，同时在完成验证或辨识后应立即删除人脸图像。最后，经营者应当全面建设数据安全的合规体系，定期进行个人信息保护影响评估，建议经营者按照《信息安全技术数据安全能力成熟度模型》的相关要求，结合律师团队和数据安全团队对数据保护现状的调研结果，从组织架构、制度流程、技术工具以及人员能力四方面来进行合规体系建设，做到合法、合规地经营。