天津人臉識別第一案

????????警用裝備網(wǎng)訊：?如今對生物識別信息的保護依然是遠遠不足的

　　全國人大及其常委會有必要考慮

　　對生物識別信息進行單獨立法

　　顧城拒絕“刷臉”回家。

　　每次到小區(qū)門口門閘前，他都拒絕對攝像頭亮出臉，而是直接叫保安開門，有時遇到別人刷臉開閘，他就尾隨在后一起通過。

　　顧城租住在天津誠基經(jīng)貿(mào)中心（下稱“誠基中心”）。2021年3月他搬入時，被告知小區(qū)只能刷臉進入，沒有其他進入方式。

　　想要入住，顧城必須向物業(yè)公司提供自己的人臉信息。

圖/視覺中國

　　人臉信息是生物識別信息的一種，屬于敏感個人信息。每個人只有一張臉，如果人臉信息被隨意采集和濫用，隱患極大。近年來，盡管保護人臉信息的法律法規(guī)層出不窮，但公共場所的人臉采集設施越來越多。

　　2021年8月1日，最高人民法院關于人臉識別的司法解釋正式實施，要求物業(yè)公司不得將人臉識別作為唯一的通行驗證方式。

　　據(jù)此，顧城起訴物業(yè)公司，要求物業(yè)公司為他提供其他通行驗證方式，同時刪除他此前提供的人臉信息。

　　2022年5月18日，天津市第一中級人民法院二審法院判決，支持了他的訴求。

　　“憑什么強制我刷臉進門？”

　　2021年3月，26歲的顧城在網(wǎng)上簽約租住了誠基中心的一套公寓。在拎包入住當天，他從房屋中介口中得知，小區(qū)只提供人臉識別的方式出入。

　　“因為房子我已經(jīng)簽了，如果不住的話，還得付違約金?！?顧城與多數(shù)怕麻煩的租戶一樣，雖然心生懷疑，但還是硬著頭皮讓物業(yè)拍照錄入人臉，登記姓名、身份證號等信息。

　　安頓下來后，顧城發(fā)現(xiàn)，人臉識別機旁邊就有刷門禁卡的位置，但物業(yè)不給辦理門禁卡。他曾向保安詢問，對方表示人臉識別是“為了業(yè)主的安全”，物業(yè)人員則答復他，安裝人臉識別門禁，經(jīng)過了業(yè)主委員會的同意，還有街道和社區(qū)這些官方組織的參與。

　　誠基中心的“刷臉”系統(tǒng)的確是為加強防護啟用的。這是位于天津市和平區(qū)商務核心區(qū)的商住兩用小區(qū)，由2 棟 33 層和 1 棟 50 層的超高樓宇構成，擁有居民住房 5536 套，商戶 400 家，容積率達 17.5。

　　在新冠疫情暴發(fā)之前，誠基中心就安裝了人臉識別系統(tǒng)的裝置，原計劃在2020年6月調試啟用，但由于新冠疫情的暴發(fā)，在2020年2月前后，這套系統(tǒng)就被提前啟用。

　　天津市在2020年1月24日啟動《天津市應對新型冠狀病毒感染的肺炎應急預案》一級響應。

　　“我們以高度的敏感性對形勢進行了預判，經(jīng)過多個部門的研究商討，決定緊急啟用人臉識別系統(tǒng)。”社區(qū)黨委書記陳思延在2020年2月公開表示，要保障疫情得到有效防控，必須進行人防+技防相結合的模式，基本原則就是“堵住口、卡住門、看住人”。啟用人臉識別系統(tǒng)，是誠基中心“技防”的重要一步。

　　陳思延還介紹，誠基中心的人臉信息數(shù)據(jù)通過四種方式采集：一是網(wǎng)格員上門入戶采集；二是居民自主到物業(yè)公司客服中心采集；三是居民自主采集，然后微信發(fā)給網(wǎng)格員；四是居民把照片以郵件形式發(fā)到社區(qū)郵箱進行采集。

　　但顧城意識到，如果只有“刷臉”一種選擇，可能侵犯他自己的權益，“自從住進誠基中心以后，我就一直疑惑：憑什么強制我用人臉識別進門？”

　　他表示，誠基中心的物業(yè)并不能給他足夠的安全感，“采集我的人臉信息之后，怎么傳輸，怎么使用，存儲在哪里，我都一無所知，我不想把人臉信息交給這種沒被證明可信任的機構來管理”。

　　顧城的擔憂不無道理。北京煒衡（成都）律師事務所律師魏冬冬告訴《中國新聞周刊》，一些大的互聯(lián)網(wǎng)公司或是強監(jiān)管領域的銀行等機構，合規(guī)體系相對完善，但一些小的企業(yè)，尤其是小物業(yè)公司，則是漏洞百出，明文存儲敏感個人信息是常態(tài)，也不把用戶人臉信息和身份信息分開存儲。

　　與用戶的數(shù)據(jù)安全相比，小公司會更注重成本和利潤。魏冬冬說，許多小物業(yè)公司購買的數(shù)據(jù)處理設備比較落后，并沒有完善的安全防護措施。

　　她甚至了解到，有的物業(yè)公司的人臉識別設施和員工考勤指紋打卡的設備價格都極為低廉，而設備供應商愿意低價供貨的原因，就是為了收集用戶的人臉等敏感個人信息。

　　“用戶的信息可以拿去賣錢，給供應商增加收益，所以很可能你我的人臉早就不知道被轉賣了多少手了?！蔽憾f。

　　作為敏感個人信息，人臉信息具有唯一性、易獲得性和安全性三個特性。魏冬冬說，其中，“唯一性”在于不可變更，“密碼丟了可以更改，但人只有一張臉，只有這一把鑰匙，如果被盜，是無法更改的”，而“易獲得性”在于，只要遠遠安一個攝像頭，就可以獲取人臉信息，這導致人臉識別技術便于用來跟蹤人的行蹤軌跡，這就引申至“安全性”。

　　“由于人臉信息和人是綁定的，需要真人到訪才能提供，較難仿冒，人臉常被用于關鍵場所的出入身份驗證和支付驗證等重要場景，但近年也出現(xiàn)了利用人臉圖片、3D模型和深度合成技術制作的視頻騙過人臉驗證的事件?！蔽憾f。

　　如何處理人臉信息才算恰當？魏冬冬說，無論是物業(yè)還是寫字樓要收集人臉信息，首先應獲取個人的單獨同意，讓其在載明人臉信息處理規(guī)則的清單上簽字，獲得同意后才可采集人臉信息，與此同時，還應給住戶提供替代的通行方式。

天津誠基經(jīng)貿(mào)中心的人臉識別門禁。圖/受訪者提供

　　采集了人臉信息后，也要采取適當?shù)募夹g措施去處理。魏冬冬介紹，首先在信息比對的環(huán)節(jié)，應盡量在本地完成人臉信息的比對，減少傳輸過程；其次，若需存儲，不存儲人臉照片或視頻本身，一般需要處理成“消息摘要”。消息摘要就是將任何一張人臉信息使用算法將其“翻譯”成一串唯一的字母數(shù)字組合，由于消息摘要是不能逆向還原為人臉信息本身的，所以可以防止人臉信息本身的泄露。

　　不過，魏冬冬指出，前述這些措施都只是推薦性國家標準的要求，不是強制性法律義務，只能作為行政執(zhí)法的參考，而非直接的執(zhí)法依據(jù)，對人臉識別的法律規(guī)制，還有賴于國家網(wǎng)信辦統(tǒng)籌協(xié)調有關部門出臺的人臉識別保護的細則、標準。

　　一審曾敗訴

　　2021年8月1日，最高人民法院出臺《關于審理使用人臉識別技術處理個人信息相關民事案件適用法律若干問題的規(guī)定》 （下稱《人臉識別司法解釋》）生效施行。

　　在法學界看來，這份司法解釋對處理人臉識別信息進行了有力的規(guī)范，其不僅規(guī)范了賓館、商場、銀行、車站、機場、體育場館、娛樂場所等經(jīng)營場所、公共場所和物業(yè)公司的采集人臉信息行為，還涉及舉證責任和維權合理開支等細節(jié)。

　　對于顧城遇到的情況，《人臉識別司法解釋》第十條規(guī)定，“物業(yè)服務企業(yè)或者其他建筑物管理人以人臉識別作為業(yè)主或者物業(yè)使用人出入物業(yè)服務區(qū)域的唯一驗證方式，不同意的業(yè)主或者物業(yè)使用人請求其提供其他合理驗證方式的，法院依法予以支持”。這意味著，顧城對物業(yè)采集人臉的拒絕“有法可依”。

　　司法解釋實施第二天，顧城再度向物業(yè)公司表達拒絕刷臉的訴求，要求其他通行方式，但仍然被拒絕。2021年8月9日，他委托律師向物業(yè)公司快遞律師函，對方在8月19日簽收后仍無回應，他決定起訴。

　　同年9月3日，天津市和平區(qū)人民法院對顧城的起訴立案，案由為“隱私權糾紛”，被起訴的誠基中心物業(yè)公司全名為蘭州城關物業(yè)服務集團有限公司天津分公司（下稱“城關物業(yè)”），顧城的訴訟請求包括物業(yè)刪除他的人臉信息，停止對他人臉信息的處理，并出具相關信息已刪除完畢的書面證明，為他提供其他能保證隱私權的便利出入誠基中心的方式，以及賠償律師費和訴訟費用。

　　顧城方除了援引《人臉識別司法解釋》第十條和第八條之外，還提到當時已由全國人大通過，即將生效的《個人信息保護法》第十五條：基于個人同意處理個人信息的，個人有權撤回其同意。個人信息處理者應當提供便捷的撤回同意的方式。

　　顧城訴稱，他曾多次要求城關物業(yè)刪除他的人臉識別信息，并提供其他合理驗證方式，但對方明確表示拒絕。城關物業(yè)拒絕刪除他的人臉識別信息，使用人臉識別作為出入服務區(qū)域的唯一驗證方式，侵犯了他的人格權，違反了處理人臉信息需要遵循的“合法、正當、必要”原則。

　　城關物業(yè)辯稱，人臉識別信息采集是通過業(yè)主委員會、綜合治理辦公室、社區(qū)、街道辦共同完成的工作，同時在天津市公安局和平分局進行聯(lián)網(wǎng)監(jiān)控，符合現(xiàn)在疫情管控要求，顧城的人臉信息只在門禁上使用，存儲在內(nèi)部數(shù)據(jù)庫和硬盤里，該數(shù)據(jù)庫沒有跟網(wǎng)絡連接。

　　和平區(qū)法院采信了城關物業(yè)的觀點。法院認為，鑒于誠基中心居住人員眾多，使用顧城人臉信息，是按照天津市疫情防控的相關規(guī)定和要求，“確為疫情防控的必要措施和需要”，此外法院還認為，顧城提供的相關證據(jù)，不能證明城關物業(yè)侵犯了他的隱私權。據(jù)此，一審法院駁回了顧城的全部訴訟請求。

　　“一審敗訴有點出乎意料?！鳖櫝钦f，“案情很簡單，法條也很清晰，覺得法院最多不支持賠償律師費，但是不會在問題定性上產(chǎn)生分歧?！?/p>

　　勞東燕是清華大學法學院教授，長期關注個人信息保護，她告訴《中國新聞周刊》，顧城案的一審判決“對于現(xiàn)行的法律規(guī)定理解明顯是錯誤的”。她指出，在《個人信息保護法》中明確規(guī)定撤回同意就可以刪除，而根本沒有規(guī)定必須證明數(shù)據(jù)處理者在處理過程中存在安全方面的隱患，個人才可以行使刪除權。

　　“如果像顧城案一審法院這么理解的話，任何個人都勢必會敗訴，因為個人根本沒法證明數(shù)據(jù)處理者處理個人信息的行為存在安全隱患，除非個人信息已經(jīng)被泄露了，但即使泄露了，也很難證明是誰泄露的?！彼f。

　　勞東燕還提出，一審法院考慮到疫情防控的因素，而駁回顧城的訴求，也存在對法律的理解偏差?！耙咔橐呀?jīng)不能說是突發(fā)狀態(tài)，更何況《個人信息保護法》和《人臉識別司法解釋》都是疫情期間公布的，自然可以推斷是適用于疫情期間的。”

　　她指出，一審法院可能過多地考慮到了疫情防控需要，“但是疫情防控也應該守法，在法治的軌道上進行，不能把臨時性的政策性規(guī)定凌駕于法律之上”。

　　顧城決定上訴。他與律師復盤，一審之所以敗訴，有可能是因為案由被定為“隱私權糾紛”，由于他無法證明自己的信息已被泄露，因此無法認定隱私權受到侵害。二審上訴時，上訴案由變?yōu)椤皞€人信息保護糾紛”，在個人信息保護方面，舉證責任在物業(yè)方。

　　2022年5月18日，天津市第一中級人民法院對此案二審判決，支持了顧城的訴求。

　　法院認為，城關物業(yè)于2020年2月啟用人臉識別系統(tǒng)作為業(yè)主及物業(yè)使用人出入驗證方式，能夠更精準識別出入小區(qū)人員，使小區(qū)管理更加安全、通行更加高效，在新冠肺炎疫情防控中發(fā)揮了較大作用，并不違反法律規(guī)定。但是，顧城辦理入住時，雖然同意城關物業(yè)提取其人臉信息作為通行驗證方式，但此后多次就城關物業(yè)提取人臉信息作為唯一的驗證通行方式提出異議。城關物業(yè)拒絕為顧城提供其他驗證方式，這種做法與《人臉識別司法解釋》第十條相悖。

　　因此二審法院認為，城關物業(yè)應積極履行法律義務，刪除顧城的人臉信息，并為其提供其他驗證方式，并承擔顧城因本案訴訟支出的律師費等合理費用。

　　有必要考慮單獨立法

　　如今人臉識別裝置在全國各個小區(qū)“全面開花”，如何規(guī)范物業(yè)公司對住戶人臉的采集行為？地方法規(guī)已經(jīng)先行一步。

　　浙江理工大學法政學院副教授郭兵告訴《中國新聞周刊》，今年3月1日，最新修訂的《杭州市物業(yè)管理條例》施行，其中增加了規(guī)定，“物業(yè)服務人不得強制業(yè)主通過指紋、人臉識別等生物信息方式進入物業(yè)管理區(qū)域或者使用共有部分?！?/p>

　　郭兵曾參與修訂《杭州市物業(yè)管理條例》的聽證會，并針對人臉識別信息的保護提出建議。當時，他的身份除了是法學專家，還是“中國人臉識別第一案”的發(fā)起人。

　　那是在2019年10月，身為杭州野生動物世界年卡會員的郭兵，被通知未經(jīng)注冊人臉識別，其所購年卡將無法正常入園，他不愿被采集人臉信息，要求退卡退費被拒，于是將動物世界告上法庭。

　　經(jīng)法院判決，動物世界最終刪除了郭兵辦理年卡時提交的面部特征信息，賠償了他合同利益損失及交通費。2020年，在這起引發(fā)廣泛關注的訴訟期間，《杭州市物業(yè)管理條例》開始修訂，在全國率先啟動強制人臉識別禁止性條款的地方立法。

　　緊隨其后，《四川省物業(yè)管理條例》在2021年開始修訂，其中更加明確了業(yè)主委員會及委員、候補委員和物業(yè)服務人等主體，不得泄露業(yè)主信息或者將業(yè)主信息用于與物業(yè)管理無關的活動；同時明確了物業(yè)服務人不得以強制業(yè)主通過指紋、人臉識別等生物信息的方式使用共用設施設備。

　　我國首部《個人信息保護法》在2021年11月1日起施行，突出了對生物識別信息作為敏感個人信息的特別保護，其中指出：“敏感個人信息是一旦泄露或者非法使用，容易導致自然人的人格尊嚴受到侵害或者人身、財產(chǎn)安全受到危害的個人信息?！泵舾袀€人信息包括生物識別、宗教信仰、特定身份、醫(yī)療健康、金融賬戶、行蹤軌跡等信息，以及不滿十四周歲未成年人的個人信息。

　　只有具有特定的目的和充分的必要性，并采取嚴格保護措施的情形下，個人信息處理者方可處理敏感個人信息。與普通的個人信息相比，《個人信息保護法》規(guī)定，處理個人敏感信息應該進行更多的告知，包括相應的風險，以及應當取得個人的單獨同意。

　　但是，在勞東燕看來，《個人信息保護法》將一般個人信息和敏感個人信息做了區(qū)分，體現(xiàn)了強化保護后者的精神，這種“強化”仍有明顯的不足之處。

　　“突出保護敏感個人信息的地方，其實只在于征求同意的環(huán)節(jié)，其他地方和普通個人信息幾乎沒有差別，并沒有在實質上抬高法律保護的門檻?！眲跂|燕認為，從法律層面來說，如今對生物識別信息的保護依然是是遠遠不足的，全國人大及其常委會有必要考慮對生物識別信息進行單獨立法，不應放在《個人信息保護法》的框架下來保護。

　　勞東燕還指出，《個人信息保護法》第二十六條規(guī)定，“在公共場所安裝圖像采集、個人身份識別設備，應當為維護公共安全所必需，遵守國家有關規(guī)定，并設置顯著的提示標識；所收集的個人圖像、身份識別信息只能用于維護公共安全的目的，不得用于其他目的；取得個人單獨同意的除外?！边@一條款存在用“公共安全”作為“口袋”的嫌疑。

　　“如果對這里面的‘公共安全’做擴張性的解釋，實際上就意味著除了家里，幾乎所有地方都可以安裝人臉識別裝置，比如地鐵、小區(qū)，甚至樓道?！彼J為，當以“公共安全”作為理由寫入立法后，就要對其進行嚴格的解釋和限定，不然就可能將過濫的人臉信息收集予以合法化。

　　此外，人臉信息收集的濫用，可能造成大量的信息泄露，產(chǎn)生許多事故和糾紛。“當問題洪水一般涌來，會給后端的監(jiān)管和執(zhí)法帶來特別大的壓力，而執(zhí)法資源是有限的?！眲跂|燕說，除了信息采集的濫用，還要關注對信息的保管與使用環(huán)節(jié)的規(guī)制，以及如何更好地行使刪除權。

　　2019年起訴杭州野生動物世界時，郭兵曾要求在第三方專業(yè)技術機構的見證之下，動物世界刪除他的人臉信息，但沒有獲得法院支持。

　　“我到現(xiàn)在仍然認為，這是刪除權的最佳實現(xiàn)方式?！彼赋?，在顧城的案子里，城關物業(yè)自稱將人臉信息存儲在“內(nèi)部數(shù)據(jù)庫和硬盤”，難以確保保密性，而對于顧城的“臉”到底刪沒刪，也不能聽信對方的一面之詞。

  新聞稿件歡迎直接聯(lián)系：QQ 34004818 微信公眾號：cpsjyzb

相關閱讀

• 想做電車之狼？即日起鐵路警方嚴打
• 全國治安管理工作視頻會召開
• 【倒計時10天】警用裝備、無人機
• 警用多功能腰帶：從工具理性到生命
• 突破！全球首款急救（轉運）無人機
• 第五屆福州國際數(shù)字產(chǎn)品博覽會低空

0 條評論

• 還沒有人評論過，趕快搶沙發(fā)吧！