一、事件回顾

又是一年“3.15国际消费者权益日”。今年3.15晚会以“提振消费、从心开始”为主题，开篇就重点报道了科勒卫浴、宝马、MaxMara商店等安装人脸识别摄像头，搜集海量的人脸信息。据晚会报道，科勒（中国）投资有限公司在旗下卫浴门店安装人脸识别摄像头抓取包括性别、年龄在内的个人信息，抓取的人脸数据信息累计上亿。该摄像头能通过人脸识别信息进行精准营销，一旦顾客进入门店就会被捕捉记录，以后再去哪家店、去了几次，科勒卫浴都知道。此外，该摄像头还可以在顾客不知情、没有感知的情况下抓取信息，手动添加各种标签，如职业打假人、记者，方便门店进行针对性处理。

3.15记者在全国多地先后调查了20多家装有人脸识别系统的商户，所到之处，人脸识别信息均被偷偷获取，没有一个商家明确告知，征得同意更是无从谈起。

二、什么是人脸识别技术

人脸识别技术是基于人的脸部特征,用摄像机或摄像头采集含有人脸的图像或视频,并自动在图像中检测和跟踪人脸,进而对检测到的人脸进行脸部识别的一系列相关技术。广义的人脸识别还包括利用人体的生物特征来进行人身验证的识别技术，如掌纹识别、声音识别、静脉识别、体型识别等等。人脸识别技术的研究开始于20世纪60年代末70年代初，90年代成为研究热点，伴随着21世纪科技的进步和社会的发展，人脸识别在学术研究和技术发展方面都取得了重大进步，越来越多的人脸识别技术产品走入我们的生活。人脸识别技术与其他生物特征识别技术相比，具有使用简单、获取方便、结果直观、非接触性验证及可扩展性良好等众多优势。近年来，人脸识别技术被广泛地运用到金融、保险、教育、电子商务等领域，刷脸支付、刷脸开门、面容解锁的应用场景也越来越广泛。

三、人脸识别技术的法律责任

人脸识别技术虽然给我们的生活带来的诸多便利，但是其中的法律风险不容忽视，由于面部特征具有终身唯一且无法改变的特点，一旦泄露，后果十分严重。因此，如何寻找科技与个人隐私之间的平衡点，成为摆在我们每个人面前的一道难题。2020年的“人脸识别第一案”便是其中的鲜明代表。某动物园年卡用户郭某以侵犯隐私权将实行人脸识别入场的某动物园告上法庭，法院判决动物园赔偿郭某合同利益损失及交通费共计1038元，删除郭某办理指纹年卡时提交的包括照片在内的面部特征信息。

面部特征属于“公民个人信息”的范畴，依法应当得到法律的保护。据第44次《中国互联网络发展状况统计报告》显示，44.4%的网民遭遇过网络安全问题，其中占比最大的就是个人信息泄露。近年来，利用人脸识别技术进行犯罪的案件逐渐增多，出现了利用非法获取的被害人人脸数据，恶意注册电话卡、信用卡甚至非法借贷的案件。2018年还发生了利用人脸识别技术进行诈骗的刑事案件，该案中，犯罪分子利用非法窃取的人脸数据，通过软件制作3D头像，骗过人脸识别系统认证，进而骗取被害人的钱财。此类型的侵犯公民个人信息行为涉嫌犯罪，我国《刑法》第二百五十三条之一规定，“违反国家有关规定，向他人出售或者提供公民个人信息，情节严重的，处三年以下有期徒刑或者拘役，并处或者单处罚金；情节特别严重的，处三年以上七年以下有期徒刑，并处罚金。违反国家有关规定，将在履行职责或者提供服务过程中获得的公民个人信息，出售或者提供给他人的，依照前款的规定从重处罚”。2017年，针对个人信息保护领域出现的新形势和新情况，最高人民法院、最高人民检察院出台了《关于办理侵犯公民个人信息刑事案件适用法律若干问题的解释》，更加详实地定义了“公民个人信息”的含义和相关处罚的标准。

此外，针对目前非法收集、滥用、泄露人脸识别信息乱象，在2020年修订的《信息安全技术个人信息安全规范》中，特别新增了用户画像的使用限制、个人信息处理活动记录等多项内容，明确规定在收集个人生物识别信息前，需单独向用户告知收集、使用个人生物识别信息的目的、方式和范围以及存储时间等规则，并应征得用户的明示同意。该规范确定了个人信息在收集、存储、使用、共享、转让与公开披露等信息处理环节中的相关行为，旨在遏制个人信息泄露，最大程度的保护个人的合法权益和社会公众利益。

滥用人脸识别信息，在民事领域还可能面临着侵犯他人肖像权或个人信息的风险。2021年1月1日正式实施的《民法典》第一千零一十九条明确规定“未经肖像权人同意，不得制作、使用、公开肖像权人的肖像”。该规定在《民法通则》的基础上，删除了“以营利为目的”的构成要件，只要是未经肖像权人同意制作、使用、公开肖像权人肖像的行为，均属于侵权行为。此外，《民法典》还将包含人脸识别信息在内的生物识别信息纳入个人信息的范畴，明确规定“自然人的个人信息受法律保护”。同时，还确定了处理个人信息应当遵循合法、正当、必要的基本原则，并从民事基本法的角度对个人信息的收集、使用、加工、传输、提供、公开等提出了更加严苛的要求，与《消费者权益保护法》、《网络安全法》等法律形成联动，更加全面地保护我们的个人信息安全。

四、律师提醒

个人层面，要谨慎向来路不明的机构、企业及个人提供自己的个人信息，特别是人脸识别信息、指纹信息等不可变信息。在提供相关信息前，要仔细询问采集相关信息的原因和用途，是否有合法依据，以及相关企业数据安全的保护措施。针对不合理的强制性采集，应当事前拒绝或者在事后主动收集证据，及时向当地的消费者协会、公安机关等单位举报。

企业层面，在遵守法律的基础上，要加强行业自律，规范需要采集用户个人信息的场合，对需要采集用户人脸识别信息等敏感信息的场合，应自觉提示并主动释明。此外，对于企业自身存储的用户个人信息，应本着合法、透明、适度的原则，强化对数据加密级别和脱敏层级，避免数据泄露。

政府层面，在正确引导人脸识别技术相关的产业发展的同时，要加强监管力度，明确监管者和数据掌控者的责任，尽快解决目前在个人信息保护领域还存在的法律适用不统一、裁判尺度差别较大的问题，使得法律之间更加协调。此外，在推动新技术应用和新产业发展的同时，要健全人脸识别信息的合法获取机制，运用刑事、行政、民事等多种手段从源头上惩治信息的非法收集与贩卖行为，杜绝技术的“野蛮生长”，保护我们每个人的“脸面”安全。

本文作者介绍

朱政律师

朱政，执业律师，北京京师（合肥）律师事务所主任，创始合伙人，国家高级经济师。现任安徽省律师协会常务理事、纪律委员会常务副主任，最高人民检察院和省级人民检察院民事、行政诉讼监督案件咨询专家，中华全国律师协会公司法专业委员会委员，安徽省高级人民法院、安徽省司法厅确定的安徽律师调解员，安徽省商会调解员，安徽省《民法典》讲师团成员。