汇业评论

文 | 洪桂彬 汇业律师事务所 合伙人

人脸识别是人工智能的重要运用，虽其技术并不完善，但已广泛运用于普通人的日常生活场景之中，包括小区门禁、酒店入住、考勤打卡、移动支付、各类APP解锁登录均随处可见人脸识别的影子。人脸识别技术在给人们带来便利的同时也危及百姓的人格利益和财产安全，为世界所关注。如2020年美国加州北区地方法院审理的Facebook人脸侵权案最终以Facebook支付6.5亿美元告终，中国人脸识别第一案在2021年4月终审判决，杭州野生动物世界被判决删除游客面部识别信息。2021年7月28日，最高院公布《最高人民法院关于审理使用人脸识别技术处理个人信息相关民事案件适用法律若干问题的规定》（以下简称“《司法解释》”），新规必将给中国人脸信息保护产生深远的影响。结合最新司法解释内容，笔者尝试以问答形式解析一一二。

第一问：人脸信息是何种性质的信息？涉及自然人哪些权益？

答：根据司法解释第一条，人脸信息属于民法典第一千零三十四条规定的“生物识别信息”。可见，人脸信息属于《民法典》所规定的个人信息范畴，由于人脸信息同时涉及个人肖像和隐私，故其所集合的权益不仅包括自然人的个人信息权益，还应包括肖像权和个人隐私权。人脸信息被筛选后是否具有财产属性尚存争论，根据司法解释的相关规定，本次规定侧重于从人格权而非财产权角度进行保护。

第二问：人脸信息处理是否征得自然人同意后就不会导致侵权？

答：非也。根据司法解释第二条，导致侵权的人脸信息处理不仅包括未经同意处理人脸信息，还包括以下任一侵权情形：

（1）在宾馆、商场、银行、车站、机场、体育场馆、娱乐场所等经营场所、公共场所违反法律、行政法规的规定使用人脸识别技术进行人脸验证、辨识或者分析；

（2）未公开处理人脸信息的规则或者未明示处理的目的、方式、范围；

（3）违反信息处理者明示或者双方约定的处理人脸信息的目的、方式、范围等；

（4）未采取应有的技术措施或者其他必要措施确保其收集、存储的人脸信息安全，致使人脸信息泄露、篡改、丢失；

（5）违反法律、行政法规的规定或者双方的约定，向他人提供人脸信息。

第三问：自然人对处理人脸信息的“同意”能否撤回？

答：根据司法解释第十一条，“信息处理者采用格式条款与自然人订立合同，要求自然人授予其无期限限制、不可撤销、可任意转授权等处理人脸信息的权利，该自然人依据民法典第四百九十七条请求确认格式条款无效的，人民法院依法予以支持。”可见，作为具有较高人格属性的人脸信息，当事人的同意并非无期限限制或不可撤销，如自然人向信息处理主体提出终止同意，应视为有效，相关主体不得通过合同条款来排除当事人的上述权利。

第四问：信息处理者能否设置“概括同意”或“默示同意”规则？

答：根据司法解释第二条规定，“基于个人同意处理人脸信息的，应征得自然人或者其监护人的单独同意。”可见只是通过张贴告示，设置不提出异议视为默认的方式不属于“同意”范畴。人脸信息的处理必须坚守“明示同意”和“单独同意”的规则，如企业设置钉钉刷脸考勤，不能通过规章制度方式设置概括同意规则，而应逐一与员工签字确认。此外，自然人实际使用了刷脸程序如通过刷脸门禁系统进出不能视为已明示同意。

第五问：小区、写字楼、用人单位、国家机关等能否强制刷脸门禁进出？

答：司法解释第十条规定，“物业服务企业或者其他建筑物管理人以人脸识别作为业主或者物业使用人出入物业服务区域的唯一验证方式，不同意的业主或者物业使用人请求其提供其他合理验证方式的，人民法院依法予以支持。”虽然该条仅提及物业和建筑物管理人，但考虑立法宗旨，应包括用人单位和相关行政事业单位设置刷脸门禁的情形。

第六问：经营者非法侵犯个人人脸信息（如非法安装人脸识别监控等），当事人可以采取哪些措施？如提起民事诉讼，赔偿责任如何确定？

答：结合本司法解释、《消费者权益保护法》等相关规定，当事人可以采取下列措施：

（1）向监管部门举报，拨打12315热线、12345热线等；根据《消费者权益保护法》第56条规定，侵害消费者个人信息权利，最高可罚款50万元，没收收违法所得，处以违法所得一倍以上十倍以下的罚款等；

（2）报警或向公安部门控告；结合《刑法修正案》和相关司法解释规定规定，非法获取、出售或者提供住宿信息、通信记录、健康生理信息、交易信息等其他可能影响人身、财产安全的公民个人信息五百条以上的，可以追究刑事责任。人脸信息应属于与健康生理信息同一位阶的信息，如未经员工同意私自向供应商交付人脸信息亦可能带来刑事法律风险。

（3）向法院提起民事诉讼，要求承担侵权责任；包括赔偿损失、赔礼道歉、删除人脸信息等；在诉讼开始前亦可以申请“诉前禁令”（参见司法解释第九条），防止损失扩大。

如当事人提起民事诉讼，受害者可以主张为制止侵权行为所支付的合理开支如调查取证费用（交通、差旅、误工费等）及合理的律师费等。结合民法典相关规定，如涉及个人隐私、肖像权等还可以主张赔礼道歉、精神损害赔偿。

第七问：人脸信息侵权诉讼，是否完全适用“谁主张谁举证”？

答：根据司法解释第六条规定，信息处理者主张其行为符合民法典第一千零三十五条第一款（即征得该自然人或者其监护人同意）规定情形的，应当就此所依据的事实承担举证责任。信息处理者主张其不承担民事责任的，应当就其行为符合本规定第五条规定的情形承担举证责任。可见，在是否同意、责任排除事项上，适用举证责任倒置规则，需由信息处理者承担否定侵权的责任。

第八问：违约责任纠纷中，自然人主张删除人脸信息是否需要合同的在先约定？

答：司法解释第十二条规定，信息处理者违反约定处理自然人的人脸信息，该自然人请求其承担违约责任的，人民法院依法予以支持。该自然人请求信息处理者承担违约责任时，请求删除人脸信息的，人民法院依法予以支持；信息处理者以双方未对人脸信息的删除作出约定为由抗辩的，人民法院不予支持。可见，要求删除人脸信息无需合同另行约定。

第九问：侵犯人脸信息，可否提起公益诉讼？

答：根据司法解释第十四条规定，“信息处理者处理人脸信息的行为符合民事诉讼法第五十五条、消费者权益保护法第四十七条或者其他法律关于民事公益诉讼的相关规定，法律规定的机关和有关组织提起民事公益诉讼的，人民法院应予受理。”可见人脸信息侵权案件可以发起公益诉讼，如涉及消费者权益保护的，受害者可以向当地消费者协会联络并以消费者协会作为原告提起公益诉讼。其他案件参考《关于检察公益诉讼案件适用法律若干问题的解释》规定，可以要求当地检察机关作为原告提起公益诉讼。

第十问：新司法解释从何时实施，是否溯及既往？

答：根据司法解释第十六条规定，新规自2021年8月1日起施行，不溯及既往，也即对司法解释实施前的行为不具有约束力。尽管如此，司法解释前的侵权行为，仍可以援引民法典、消费者权益保护法、网络安全法等进行评价，并非完全免责。