“人臉識別技術的使用不得違反法律規定，應充分尊重他人的個人信息自主權，不得損害他人合法權益，不得強行剝奪被識別者的拒絕權”

《法治周末》記者 孟偉

(資料圖片)

將臉正對著電子屏站定，“咔噠”一聲小區門禁就打開了。這是在很多小區門外出現的場景。

隨著人臉識別技術的不斷發展，不少社區將NFC（NearFieldCommunication，意為近場通信）門禁更換成人臉識別的電子門禁。后者讓業主進入社區更加便捷，卻也引來了不少爭議。

近日，浙江省寧波市鎮海區人民法院通報的一起因小區物業公司安裝人臉識別門禁引發的“個人信息保護案”受到廣泛關注。法院最終判令物業公司刪除收集的原告面部特征信息。

小區物業是否有權力強制要求業主使用人臉識別？人臉識別技術應用邊界在哪兒？對此，《法治周末》記者采訪了多位法學專家。

大量“人臉識別”進入社區

“一刷臉，健康碼、體溫、名字等信息就都出現在門禁的電子屏上了。”李璐（化名）家住在北京的一個比較老舊的小區，近些年物業開始對小區內進行整改，進出小區的門禁用上了人臉識別系統。

“3年前，我們小區物業在單元樓里貼了通知，上面提到很多外賣員和小區外部人員私配了門禁卡，為社區業主安全考慮啟動人臉識別門禁系統，讓我們在一個小程序上上傳個人信息和照片。”李璐說，當時小區呈現出兩種狀態，年紀大一些的老人覺得不用拿門禁卡很方便，一些年輕的業主對此頗有微詞，“我們怕泄露個人信息，當時就有很多業主反對”。

家住河南省鄭州市的陳某也遇到了同樣的困境，因擔心信息被泄露拒絕備案，這兩年來都是“蹭臉”跟隨其他業主回家，給他的生活帶來了極大的不便。對此，小區物業認為，“大家都反映這個裝置很好，只有陳某是個例”。最終，經過協商，小區物業表示可以為陳某人工放行。

事實上，人臉識別技術早已圍繞在我們身邊。

2021年10月13日，南方都市報人工智能倫理課題組和App專項治理工作組發布的《人臉識別應用公眾調研報告（2020）》（以下簡稱《報告》）中顯示，人臉識別“強制使用”問題比較突出，其中就有門禁考勤這一項，占比21.76%。

把選擇權還給業主

刷臉為電子支付、公園驗票、物業安保、智能快遞等提供了較大的便利，但非維護公共安全所必需的情況下，經營者是否有理由強制要求他人使用人臉識別技術？針對這些問題，此次寧波市鎮海區人民法院審理的“個人信息保護案”中就有答案。

今年年初，原告余某某所住小區安裝了“人臉識別”開門系統。余某某作為住戶，物業采集了他的面部特征信息。今年7月，余某某以認為“人臉識別”技術存在個人信息保護方面的安全隱患為由將小區物業告上法庭，要求物業刪除其人臉識別面部特征信息，保證單元安全出口暢通，并向其提供其他自由出入方式。經審理，法院當庭判決：物業公司于判決生效之日起五日內刪除原告余某某被采集的面部特征信息，駁回余某某的其他訴訟請求。

該案法官表示：若物業強制要求驗證人臉信息進出小區屬于侵權。小區物業在使用人臉識別門禁系統錄入人臉信息時，應當征得業主或者物業使用人的同意，對于不同意的業主或者物業使用人，小區物業應當提供替代性驗證方式，不得侵害業主或物業使用人的人格權益和其他合法權益。

實際上，2021年，最高人民法院發布的《關于審理使用人臉識別技術處理個人信息相關民事案件適用法律若干問題的規定》中就有相應規定：“物業服務企業或者其他建筑物管理人以人臉識別作為業主或者物業使用人出入物業服務區域的唯一驗證方式，不同意的業主或者物業使用人請求其提供其他合理驗證方式的，人民法院依法予以支持。”

中央財經大學法學院副教授劉權向《法治周末》記者表示，個人有權拒絕人臉識別技術，經營者只有在消費者知情同意的前提下方能收集和使用生物識別信息，且須遵循合法、正當、必要原則。

“人臉識別技術的使用不得違反法律規定，應充分尊重他人的個人信息自主權，不得損害他人合法權益，不得強行剝奪被識別者的拒絕權。”劉權說。

中國政法大學傳播法研究中心副主任朱巍告訴《法治周末》記者，此前“中國人臉識別第一案”是根據合同約定拒絕人臉識別，而寧波的這個案件是在民法典和個人信息保護法出臺后依據個人信息權進行拒絕的。“作為物業公司、公園管理者或辦公地點管理者，他們首先是可以設置人臉識別的，但必須要事先征求被采集者、被使用者的同意，不同意的應該讓他們用其他的渠道進入”。

李璐所在小區的物業最終也尊重了業主的不同需求，“已經用上了人臉識別門禁，對于不同意錄入照片的業主，物業給的解決方案是：想辦就辦，不想辦就用原來的門禁卡也能進門”。

“對收集人臉識別信息的主體應當嚴格限定”

人臉識別技術使用范圍的不斷擴大引發部分民眾對人臉識別技術的不信任和抵觸，談“刷臉”而色變。

在李璐看來，物業掌握著業主的住址信息又增加了照片信息，信息的安全可能很難得到保證。

劉權坦言，人臉識別應用系統本質上是一個信息系統，極易遭受惡意的攻擊。一方面，人臉圖像本身具有隱私性，可以被直接用來識別自然人身份。另一方面，通過算法分析，可以從人臉圖像中分析出年齡、性別、健康狀況等其他多種個人隱私。攻擊各種人臉識別應用系統的主要目的是將面部信息用于實施非法經營行為，并從中獲利。

近些年在立法層面，我國對人臉信息使用也已有一些明確規定。

民法典中明確：處理個人信息應當遵循合法、正當、必要的原則。

個人信息保護法第二十六條對使用范圍作出明確規定，在公共場所安裝圖像采集、個人身份識別設備，應當為維護公共安全所必需，遵守國家有關規定，并設置顯著的提示標識。所收集的個人圖像、身份識別信息只能用于維護公共安全的目的，不得用于其他目的；取得個人單獨同意的除外。

劉權認為，在公共場所可以收集人臉識別信息的主體應當嚴格限定為負有維護公共安全目的的組織。由此類組織基于維護公共安全的目的，并限定在最小必要范圍內。

“人臉識別技術的主要目的是識別身份，精準識別身份有利于防止身份假冒，例如，金融業務，使用人臉識別完成精確的身份比對和驗證，有其必要性和合理性。”北京師范大學法學院教授劉德良告訴《法治周末》記者，人臉識別技術有其存在的必要。

“未來應該把重點放在人臉識別使用環節”

為保障人臉信息的安全，劉權建議，進一步明確個人信息保護法中關于包含生物識別信息在內的敏感信息的處理和保護規則，強化個人信息保護認證機制。建立健全關于人臉識別信息保護的一體適用的安全與責任底線，明確相關主體責任以及信息采集主體范圍，建議制定人臉信息保護的專門規定。

除了對前端的收集信息的手段和方式要進行嚴格管理外，更要關注人臉信息使用和處理。

朱巍認為，個人信息的保護，在嚴格遵照法律法規執行的基礎上，還要做好技術層面的保護，“未來的發展方向一定是采集方、存儲方、使用方、處理方是各自分開管理的。刷臉的采集方只有比對的權利，信息的儲存方和處理方應為政府機關部門，保證信息的安全性”。

大部分人擔憂個人信息被泄露后，他人冒用其身份辦理某種業務，卻需要自己承擔責任。

對此，劉德良表示，現行立法及其理論試圖通過控制使用而減少風險的做法難以實現立法目的。未來應該把重點放在使用環節，讓使用方承擔假冒風險的責任。他舉例，“如被人冒用個人信息到銀行辦理業務產生損失，應該由使用人臉識別的機構承擔舉證責任，證明他嚴格履行了對比識別的義務。這樣，機構就會積極采取措施來防止風險的發生，我們擔心的問題也就得到了解決，還可以促進技術產業發展和社會進步”。