人臉信息不是誰(shuí)想采集就能采集
□ 本報(bào)記者 周宵鵬
購(gòu)買具有人臉識(shí)別功能的攝像設(shè)備安裝在旗下門店，6個(gè)月時(shí)間里共違規(guī)采集上傳客戶人臉照片43萬(wàn)余張，近日，上海小鵬汽車銷售服務(wù)有限公司（以下簡(jiǎn)稱“小鵬汽車”）為此被罰款10萬(wàn)元。這家公司因此次處罰被推上熱搜的同時(shí)，也再次引發(fā)社會(huì)對(duì)人臉信息采集的關(guān)注。
進(jìn)入“刷臉時(shí)代”，大到智慧城市建設(shè)，小到手機(jī)App登錄解鎖，人臉識(shí)別正在全面嵌入生活的諸多場(chǎng)景，一些商家門店出于統(tǒng)計(jì)客戶等銷售需要，強(qiáng)制進(jìn)行人臉識(shí)別。然而，由于人臉信息屬于重要的個(gè)人生物信息，一旦泄露就可能對(duì)公民的人身和財(cái)產(chǎn)安全造成極大危害。
目前，民法典、消費(fèi)者權(quán)益保護(hù)法、個(gè)人信息保護(hù)法等都對(duì)保護(hù)公民人臉信息進(jìn)行了相關(guān)規(guī)定。業(yè)內(nèi)人士表示，“臉不能隨便刷”是法律的明確規(guī)定，小鵬汽車此次被罰再次敲響警鐘，不管是地產(chǎn)銷售還是汽車經(jīng)銷，人臉信息不是誰(shuí)想采集就能采集。
售樓公司違法采集人臉被罰
2021年8月，河北省衡水市市場(chǎng)監(jiān)督管理綜合執(zhí)法局執(zhí)法人員在檢查中發(fā)現(xiàn)，該市某房地產(chǎn)營(yíng)銷公司在其負(fù)責(zé)的售樓部現(xiàn)場(chǎng)安裝了多臺(tái)攝像頭，其中有4臺(tái)攝像頭的外觀與平常的安防攝像頭明顯不同，這引起執(zhí)法人員的高度警覺(jué)。
執(zhí)法人員隨即找到該公司負(fù)責(zé)人，要求登錄系統(tǒng)后臺(tái)進(jìn)行查看。在該公司營(yíng)銷部電腦系統(tǒng)后臺(tái)中，執(zhí)法人員找到了被可疑“攝像頭”（人臉抓拍機(jī)）記錄下的人臉頭像，其中還包括執(zhí)法人員剛剛進(jìn)入售樓部時(shí)的頭像，總數(shù)達(dá)17萬(wàn)余張。執(zhí)法人員立刻固定證據(jù)，并對(duì)相關(guān)人員展開(kāi)詢問(wèn)調(diào)查。
經(jīng)查，為促進(jìn)銷售，該公司開(kāi)展了“老帶新”獎(jiǎng)勵(lì)、中介分銷轉(zhuǎn)介營(yíng)銷活動(dòng)，并于2020年12月通過(guò)安裝攝像頭人臉抓拍系統(tǒng)，識(shí)別區(qū)分銷售現(xiàn)場(chǎng)訪客的來(lái)源。每當(dāng)有來(lái)訪人員到達(dá)售樓處，4臺(tái)人臉抓拍機(jī)就會(huì)記錄下來(lái)訪者的人臉信息，并儲(chǔ)存在服務(wù)器上。
在消費(fèi)者簽訂購(gòu)房買賣合同時(shí)，該公司會(huì)通過(guò)消費(fèi)者身份證信息再次人臉識(shí)別，使用人證一體機(jī)匹配出其首次到訪時(shí)間、到訪次數(shù)等信息，用來(lái)區(qū)分購(gòu)房者的來(lái)源渠道，并據(jù)此與分銷商或推薦人結(jié)算傭金獎(jiǎng)勵(lì)。
執(zhí)法人員調(diào)查發(fā)現(xiàn)，自2020年12月起，該售樓處開(kāi)始在人臉抓拍攝像頭下方懸掛“為保證您的權(quán)益不受侵害，本售樓處已安裝視頻采集設(shè)備，我們承諾保護(hù)您的人臉等信息安全”的提示告示牌。但是并沒(méi)有明確告訴消費(fèi)者收集、使用人臉信息的真實(shí)目的和范圍。執(zhí)法人員隨機(jī)抽取部分購(gòu)房者了解情況，他們均表示對(duì)個(gè)人信息被采集和使用毫不知情。
此前，國(guó)內(nèi)多地爆出售樓處悄然安裝人臉識(shí)別系統(tǒng)的消息，售樓處都是為了識(shí)別人臉以區(qū)分客戶來(lái)源，并對(duì)不同客戶給出不同的價(jià)格。由于人臉識(shí)別直接與房?jī)r(jià)掛鉤，同時(shí)“看房刷臉”引發(fā)客戶對(duì)個(gè)人信息泄露的擔(dān)憂，不少地方出現(xiàn)客戶“戴著頭盔看房”的現(xiàn)象。這不僅表明消費(fèi)者對(duì)于保護(hù)個(gè)人隱私的無(wú)奈，也是對(duì)相關(guān)商家違法收集人臉信息的反諷。
由于涉事公司在其售樓處未明示收集、使用信息的真實(shí)目的和范圍，采集人臉信息的過(guò)程也未經(jīng)消費(fèi)者同意，違反了消費(fèi)者權(quán)益保護(hù)法相關(guān)規(guī)定，屬于侵害消費(fèi)者權(quán)益的行為。近日，衡水市市場(chǎng)監(jiān)督管理局對(duì)此案依法作出處理：責(zé)令涉事公司改正并罰款8萬(wàn)元。
人臉信息保護(hù)付諸法律實(shí)踐
2021年12月初，小鵬汽車被上海市徐匯區(qū)市場(chǎng)監(jiān)督管理局罰款10萬(wàn)元。相關(guān)處罰決定書(shū)顯示，小鵬汽車購(gòu)買具有人臉識(shí)別功能的攝像設(shè)備22臺(tái)，硬件及軟件采購(gòu)費(fèi)共計(jì)17.38萬(wàn)元，并全部安裝在其旗下門店，涉及5個(gè)直營(yíng)店兩個(gè)加盟店。2021年1至6月，上述人臉識(shí)別攝像設(shè)備共計(jì)采集人臉431623張。
小鵬汽車表示，對(duì)本次行政處罰表示完全服從，對(duì)因此事件給公眾和客戶造成的困擾深表歉意，并對(duì)此事做出深刻反省。其上海門店已撤下所有的采集設(shè)備，數(shù)據(jù)全部刪除。
保護(hù)包括人臉在內(nèi)的個(gè)人信息隱私已成為全球共識(shí)，人臉識(shí)別引發(fā)的數(shù)據(jù)隱私問(wèn)題，隨著近年來(lái)相關(guān)技術(shù)的大規(guī)模下沉，已從業(yè)界討論付諸法律行動(dòng)。
由于不愿被采集人臉信息，要求退卡退費(fèi)被拒，杭州市民郭某將某野生動(dòng)物世界有限公司訴上法庭，此案也被稱為國(guó)內(nèi)“人臉識(shí)別第一案”。2021年4月，杭州市中級(jí)人民法院對(duì)該案二審宣判，判令野生動(dòng)物世界有限公司賠償郭某合同利益損失及交通費(fèi)共計(jì)1038元，刪除郭某辦理指紋年卡時(shí)提交的指紋識(shí)別信息和包括照片在內(nèi)的面部特征信息。
“人臉識(shí)別第一案”是對(duì)所有公民個(gè)人信息保護(hù)的積極提醒，正如二審法院所指出的：生物識(shí)別信息作為敏感的個(gè)人信息，深度體現(xiàn)自然人的生理和行為特征，具備較強(qiáng)的人格屬性，一旦被泄露或者非法使用，可能導(dǎo)致個(gè)人受到歧視或者人身、財(cái)產(chǎn)安全受到不測(cè)危害，更應(yīng)謹(jǐn)慎處理和嚴(yán)格保護(hù)。
收集人臉必須征得單獨(dú)同意
民法典人格權(quán)編第1034條規(guī)定，個(gè)人信息是以電子或者其他方式記錄的能夠單獨(dú)或者與其他信息結(jié)合識(shí)別特定自然人的各種信息，包括自然人的姓名、出生日期、身份證件號(hào)碼、生物識(shí)別信息、住址、電話號(hào)碼、電子郵箱、健康信息、行蹤信息等。
“人臉就屬于民法典中規(guī)定的生物識(shí)別信息。與指紋、虹膜等生物信息一樣，人臉也具有唯一性，但又具有弱隱私性，不能總被遮擋隱蔽，因此更需要社會(huì)關(guān)注和法律保護(hù)?！北本┑潞秃饴蓭熓聞?wù)所律師陳江濤說(shuō)。
民法典人格權(quán)編第1035條規(guī)定，處理個(gè)人信息的，應(yīng)當(dāng)遵循合法、正當(dāng)、必要原則，不得過(guò)度處理，并符合下列條件：（一）征得該自然人或者其監(jiān)護(hù)人同意，但是法律、行政法規(guī)另有規(guī)定的除外；（二）公開(kāi)處理信息的規(guī)則；（三）明示處理信息的目的、方式和范圍；（四）不違反法律、行政法規(guī)的規(guī)定和雙方的約定。
國(guó)家市場(chǎng)監(jiān)督管理總局、國(guó)家標(biāo)準(zhǔn)化管理委員會(huì)發(fā)布的《信息安全技術(shù)個(gè)人信息安全規(guī)范》中也明確規(guī)定：人臉信息屬于生物識(shí)別信息，也屬于個(gè)人敏感信息，收集個(gè)人信息時(shí)，應(yīng)獲得個(gè)人信息主體的授權(quán)同意。
2021年7月28日，最高人民法院發(fā)布《關(guān)于審理使用人臉識(shí)別技術(shù)處理個(gè)人信息相關(guān)民事案件適用法律若干問(wèn)題的規(guī)定》，對(duì)人臉識(shí)別的應(yīng)用場(chǎng)景、使用目的、責(zé)任認(rèn)定等層面作出規(guī)范。其中，在民法典第1035條基礎(chǔ)上，進(jìn)一步將“同意”細(xì)化為“單獨(dú)同意”，并針對(duì)實(shí)踐中反映較為突出的問(wèn)題，從侵權(quán)責(zé)任、合同規(guī)則以及訴訟程序等方面規(guī)定了16個(gè)條文。
個(gè)人信息保護(hù)法自2021年11月1日起施行。針對(duì)備受關(guān)注的濫用人臉識(shí)別技術(shù)問(wèn)題，其中第26條規(guī)定，在公共場(chǎng)所安裝圖像采集、個(gè)人身份識(shí)別設(shè)備，應(yīng)當(dāng)為維護(hù)公共安全所必需，遵守國(guó)家有關(guān)規(guī)定，并設(shè)置顯著的提示標(biāo)識(shí)。所收集的個(gè)人圖像、身份識(shí)別信息只能用于維護(hù)公共安全的目的，不得用于其他目的；取得個(gè)人單獨(dú)同意的除外。
根據(jù)相關(guān)上位法，國(guó)內(nèi)多地開(kāi)始對(duì)人臉識(shí)別進(jìn)行規(guī)范。2021年1月1日起施行的《天津市社會(huì)信用條例》明確，企事業(yè)單位、行業(yè)協(xié)會(huì)、商會(huì)等被禁止采集人臉、指紋、聲音等生物識(shí)別信息。修訂后的《杭州市物業(yè)管理?xiàng)l例》將于2022年3月1日起施行，其中規(guī)定，物業(yè)服務(wù)人不得強(qiáng)制業(yè)主、非業(yè)主使用人通過(guò)提供人臉、指紋等生物信息方式進(jìn)入物業(yè)管理區(qū)域或者使用共有部分，不得泄露在物業(yè)服務(wù)中獲取的業(yè)主、非業(yè)主使用人個(gè)人信息。
陳江濤表示，目前針對(duì)個(gè)人信息保護(hù)的法律武器已經(jīng)比較完備，但針對(duì)人臉信息“無(wú)感知收集”“一攬子收集”“強(qiáng)迫收集”的現(xiàn)實(shí)情況，仍需要對(duì)人臉識(shí)別進(jìn)行詳細(xì)嚴(yán)格的規(guī)范和界定。如果消費(fèi)者發(fā)現(xiàn)可疑攝像頭“偷取”人臉信息等情況，可直接向市場(chǎng)監(jiān)管部門進(jìn)行投訴舉報(bào)。