魏靜靜

（中國人民公安大學(xué)法學(xué)院,北京 100038）

一、問題的提出

人臉識別技術(shù)是基于面部、人臉、面像特征進(jìn)行信息識別的技術(shù)，是一種利用已經(jīng)存儲的若干已知身份的人臉圖像數(shù)據(jù)庫，對給定場景的靜態(tài)或動態(tài)圖像中的一人或多人身份進(jìn)行驗(yàn)證和鑒別的生物識別技術(shù)。[1]2021年8月20日第十三屆全國人民代表大會常務(wù)委員會第三十次會議通過《中華人民共和國個人信息保護(hù)法《（以下簡稱《個人信息保護(hù)法》），第26條對于在公共場所安裝圖像的使用目的進(jìn)行了規(guī)定，其最終稿由二審稿中“所收集的個人圖像、個人身份信息不得公開或者向他人提供”改為“不得用于其他目的”。這雖然在一定程度上體現(xiàn)了私權(quán)自治，但對于圖像信息的采集和個人身份識別信息的使用限制進(jìn)行了限縮。人臉識別技術(shù)已經(jīng)由狹義的個人身份識別，發(fā)展成由現(xiàn)在的個人特征，如聲音、虹膜、視網(wǎng)膜等相關(guān)的個人信息組成的個人信息數(shù)據(jù)系統(tǒng)。[2]個人信息保護(hù)法中明確地將個人信息確立為“以電子或者其他方式記錄的與已識別或者可識別的自然人有關(guān)的各種信息”。從人臉識別運(yùn)行模式可以看出，人臉識別技術(shù)之所以能夠?qū)崿F(xiàn)較高精準(zhǔn)度的識別，是個人信息的小數(shù)據(jù)包進(jìn)入海量人臉數(shù)據(jù)庫篩選比對的結(jié)果，由此可知獲得人臉信息不僅相應(yīng)地獲得了個人相關(guān)的系列信息，還能擴(kuò)充數(shù)據(jù)庫，更高程度地掌握個人信息。[3]在現(xiàn)有階段，人臉識別技術(shù)在管理層面和技術(shù)層面的水平參差不齊，人臉識別技術(shù)在應(yīng)用領(lǐng)域不可控性就比較大。因人臉識別技術(shù)所涉及的個人信息保護(hù)運(yùn)用在多個領(lǐng)域，散見于各個法律，并沒有詳細(xì)的規(guī)定，本文僅剖析民事領(lǐng)域應(yīng)用人臉識別技術(shù)的法律問題。

2021年6月8日最高人民法院審判委員會通過《最高人民法院關(guān)于審理使用人臉識別技術(shù)處理個人信息相關(guān)民事案件適用法律若干問題規(guī)定》（以下簡稱《規(guī)定》）。根據(jù)《規(guī)定》精神人臉識別技術(shù)在民事領(lǐng)域內(nèi)主要涉及侵權(quán)責(zé)任的認(rèn)定，侵犯法益的類型，在人臉識別技術(shù)應(yīng)用中涉及侵權(quán)責(zé)任與違約責(zé)任、公民的個人信息權(quán)益、肖像權(quán)、隱私權(quán)、名譽(yù)權(quán)、人格權(quán)、財(cái)產(chǎn)權(quán)等。[4]關(guān)于此次人臉識別技術(shù)的司法解釋在民事領(lǐng)域有三個重要的方向：一是從人格權(quán)談?wù)撊四樞畔⒈Ｗo(hù)，此規(guī)定在個人信息保護(hù)的基礎(chǔ)上進(jìn)一步規(guī)定了人臉識別個人信息的權(quán)益性質(zhì)，相比《個人信息保護(hù)法》在對個人信息的保護(hù)上首次提出的“個人信息權(quán)益”概念，《規(guī)定》將人臉信息限定為民法典規(guī)定的“生物識別信息”。二是從侵權(quán)責(zé)任的角度明確了人臉識別技術(shù)中的侵權(quán)責(zé)任問題，被害是否成年、是否處于知情同意狀態(tài)和人臉技術(shù)處理操作是否具有必要性是追究侵權(quán)責(zé)任的考量因素。三是從合同的角度出發(fā)對重點(diǎn)問題進(jìn)行了梳理，《規(guī)定》主要針對生活基本設(shè)施和基本服務(wù)中產(chǎn)生的合同格式條款，就無限期不加限制的使用個人信息的情況做出了規(guī)定。隨著《侵權(quán)責(zé)任法》將隱私權(quán)確立為公民的一項(xiàng)權(quán)利，全國各級人民法院接連受理很大一批侵犯個人隱私的案件。此類案件引發(fā)一系列關(guān)于個人信息的爭議。人臉識別技術(shù)是能夠精準(zhǔn)地識別個人信息的一項(xiàng)技術(shù)，那么站在個人信息保護(hù)的角度，在人臉識別技術(shù)司法解釋出臺之際，需要梳理人臉識別技術(shù)在民事領(lǐng)域中應(yīng)用的典型問題。

二、人臉識別技術(shù)處理個人信息的保護(hù)現(xiàn)狀

我國法律對人臉識別技術(shù)處理個人信息的保護(hù)范圍具有一定的局限性，法律對平等主體間人臉識別技術(shù)應(yīng)用規(guī)制較少，對個人信息收集使用過程中相關(guān)主體的義務(wù)規(guī)定相對不夠明確。關(guān)于個人信息的保護(hù)不同國家有不同的保護(hù)格局。目前我國有關(guān)法律法規(guī)對于個人信息的保護(hù)大多排除了平等主體之間的收集與使用的情況，而將其局限于具有較強(qiáng)的專業(yè)性和商業(yè)性的領(lǐng)域。歐盟的《一般數(shù)據(jù)保護(hù)條例》，“重述”（“重述”不具有法律效力，但為《一般數(shù)據(jù)保護(hù)條例》提供補(bǔ)充信息，幫助相關(guān)主體理解和適用條例）第6條提到，“對于個人信息保護(hù)不適用于自然人在純粹個人或家庭活動中與專業(yè)或商業(yè)活動無關(guān)的個人數(shù)據(jù)處理”。[5]這種信息保護(hù)格局將個人信息局限于相對持續(xù)固定的關(guān)系格局下，在范圍上具有一定的局限性。美國在個人信息保護(hù)方面與歐盟具有相似之處，美國的各種信息保護(hù)立法針對的是潛在雇主、教育機(jī)構(gòu)、政府、醫(yī)療機(jī)構(gòu)。[6]這同樣跳出了平等主體之間的信息交流保護(hù)，也排除了政府執(zhí)法過程中的個人信息保護(hù)。由各國不同的法律規(guī)定分析得出，個人信息保護(hù)絕不是簡單的平等民事主體間的民法權(quán)利。對于人臉識別技術(shù)處理的個人信息保護(hù)要系統(tǒng)化、專業(yè)化、精準(zhǔn)化。個人信息保護(hù)涉及信息主體的知情、更正、刪除、被遺忘等各種復(fù)雜的新型權(quán)利，對人臉信息識別技術(shù)的研究建立在已有的個人信息保護(hù)格局之上，才能有利于從權(quán)益的實(shí)質(zhì)上進(jìn)行人臉識別信息保護(hù)。由于傳統(tǒng)的個人信息收集者在收集的過程中與個人信息主體形成了持續(xù)不平等的關(guān)系，在個人信息收集的過程中對收集者、使用者的義務(wù)才顯得尤為重要。那么在民事領(lǐng)域中的應(yīng)用就更有研究意義。

涉及人臉識別技術(shù)處理個人信息過程中需要保護(hù)部分的相關(guān)法律及專業(yè)術(shù)語界定缺少權(quán)威統(tǒng)一的規(guī)制，學(xué)術(shù)界及相關(guān)國家標(biāo)準(zhǔn)需要細(xì)化。人臉識別技術(shù)涉及較為專業(yè)的概念，需要制定權(quán)威的國家標(biāo)準(zhǔn)予以明確，關(guān)于個人信息保護(hù)的法律仍需有權(quán)解釋進(jìn)行釋明，對于人臉識別技術(shù)更需較為細(xì)化的國家標(biāo)準(zhǔn)?，F(xiàn)有《信息安全技術(shù)個人信息安全規(guī)范》①相關(guān)的國家標(biāo)準(zhǔn)需要進(jìn)行細(xì)化。有的雖然為推薦性國家標(biāo)準(zhǔn)，但卻精準(zhǔn)把握人臉識別技術(shù)的應(yīng)用方向。如由清華大學(xué)牽頭制定的國家標(biāo)準(zhǔn)《信息安全技術(shù)健康醫(yī)療數(shù)據(jù)安全指南》②中將可識別的個人的圖像歸類為個人屬性數(shù)據(jù)的身份信息分支，包含虹膜等面部特征則歸為生物識別信息分支。人臉識別技術(shù)的運(yùn)行模式大致分為人臉圖像采集、人像檢測定位、個人特征提取、三維建模、模型比對幾個階段。這些標(biāo)準(zhǔn)在一定程度上明確了專業(yè)領(lǐng)域的專業(yè)概念及范圍，有利于人臉識別技術(shù)在民事領(lǐng)域的具體應(yīng)用。

三、人臉識別技術(shù)個人信息處理中存在的問題

（一）人臉識別技術(shù)在經(jīng)營性場所管理的問題

人臉識別技術(shù)在公共場所與營利場所應(yīng)用范圍廣泛，人臉識別設(shè)備的安裝場所尤其是營利性場所亟需加強(qiáng)監(jiān)督與管理，管理主體及信息技術(shù)管理者責(zé)任不明確。從維護(hù)公共安全的需求度與人臉識別信息必要性分析，從出臺的人臉技術(shù)識別技術(shù)的保護(hù)安裝場所相關(guān)規(guī)定中可以看出，關(guān)于人臉識別技術(shù)的司法解釋是在充分考慮個人信息保護(hù)法和民法典銜接的基礎(chǔ)上落實(shí)的，根據(jù)《規(guī)定》第二條第一款，對人臉識別技術(shù)保護(hù)的適用情形進(jìn)行了擴(kuò)充，賓館、商場、網(wǎng)吧等娛樂場所擴(kuò)充進(jìn)了公共場所的范圍內(nèi)。這意味著個人信息保護(hù)法在原有保護(hù)格局上進(jìn)行了范圍的擴(kuò)充。由《個人信息保護(hù)法》中對公共場所安裝圖像設(shè)備、個人識別身份的規(guī)定進(jìn)行推導(dǎo)，在網(wǎng)吧、賓館等場所的人臉識別設(shè)備的安裝應(yīng)有更加嚴(yán)格的必要性程序。那么對在經(jīng)營性的場所、私立性的場所進(jìn)行的人臉識別如何進(jìn)行管理？如何在《個人信息保護(hù)法》及相關(guān)規(guī)定的規(guī)制下精準(zhǔn)化管理，落實(shí)人臉識別技術(shù)使用責(zé)任是需要思考的問題。

（二）反捆綁授權(quán)下信息主體的實(shí)質(zhì)性同意審查的問題

反捆綁授權(quán)下如何達(dá)到信息主體的實(shí)質(zhì)審查同意，如何擺脫同意規(guī)則下重合法輕必要審查現(xiàn)狀，使其不再能規(guī)避合法性審查規(guī)避，而是實(shí)質(zhì)性信息保護(hù)，這里仍有很多問題。在人臉技術(shù)識別信息的運(yùn)用中，尤其是在民事領(lǐng)域，常規(guī)的個人信息識別會與其他的個人信息捆綁授權(quán)，例如APP的人臉登錄驗(yàn)證、小區(qū)物業(yè)的人臉識別管理，會有捆綁授權(quán)的選項(xiàng)給個人造成不必要的負(fù)擔(dān)，在此捆綁授權(quán)的運(yùn)行模式下會滋生不法運(yùn)營商對其他授權(quán)事項(xiàng)進(jìn)行操作，從而侵犯公民個人信息的情況。在《規(guī)定》第二條第三款中規(guī)定，未能征得自然人或者其監(jiān)護(hù)人的單獨(dú)同意，或者未按照法律、行政法規(guī)的規(guī)定取得自然人或者監(jiān)護(hù)人的書面同意就進(jìn)行人像采集的視為侵害自然人人格權(quán)益的行為。這使得同意規(guī)則落地，對民事領(lǐng)域中與人臉識別技術(shù)中的捆綁授權(quán)問題作出了很好的回應(yīng)。此項(xiàng)規(guī)定的設(shè)定核心是防止個人信息權(quán)益主體被捆綁授權(quán)，與《個人信息保護(hù)法》中在公共場所安裝圖像采集、個人身份識別設(shè)備取得個人信息不得用于其他目的，取得個人單獨(dú)同意的除外立法目的相同。單獨(dú)同意規(guī)則的設(shè)定是在一般保護(hù)的基礎(chǔ)上基于“公開”“人臉識別信息應(yīng)用”等特殊的個人信息運(yùn)用進(jìn)行一個知情同意操作，可進(jìn)一步對公民個人信息進(jìn)行保護(hù)。那么在單獨(dú)同意規(guī)則下如何實(shí)質(zhì)性實(shí)現(xiàn)個人信息主體的知情同意目標(biāo)？擺脫同意規(guī)則下重合法輕必要審查的現(xiàn)狀？除此之外，對于通過人臉識別技術(shù)識別而來的信息，個人信息主體如何把握自主授權(quán)，對于“生命權(quán)、健康權(quán)”等權(quán)利之外的基本人格權(quán)，個人信息主體能否在“知情、同意”的情況下自行處置？[7]

（三）刪除權(quán)在人臉信息識別的技術(shù)中的應(yīng)用及相關(guān)規(guī)定的銜接

《個人信息保護(hù)法》中規(guī)定了個人信息的刪除權(quán)利?！兑?guī)定》從合同的角度也規(guī)定了自然人的信息刪除權(quán)，二者的刪除范圍是否有著本質(zhì)區(qū)別，通過人臉識別技術(shù)獲得的相關(guān)的個人信息刪除權(quán)是否只能在合同范圍使用？利用人臉識別技術(shù)獲得的學(xué)生信息在教育領(lǐng)域方面的運(yùn)用，學(xué)生的身份信息、學(xué)習(xí)狀態(tài)、考試狀態(tài)信息后這些信息可否刪除？在安防領(lǐng)域，小至地鐵乘車，大至海關(guān)出入境的人臉識別信息是否可以刪除？人臉識別技術(shù)的社會化運(yùn)用是一個比較復(fù)雜的問題，其社會化運(yùn)用比較正式的模式是通過合同的簽署和授權(quán)來獲得自然人的人臉信息采集權(quán)，《規(guī)定》僅從合同角度方面對自然人的信息刪除權(quán)進(jìn)行規(guī)定，《個人信息保護(hù)法》明確規(guī)定了個人信息主體對個人信息的刪除權(quán)?！秱€人信息保護(hù)法》第十二條規(guī)定當(dāng)信息處理者違反約定處理個人信息時，自然人可在請求侵害主體承擔(dān)違約責(zé)任的同時請求刪除，[5]此處的刪除是人臉識別信息所有者的一種權(quán)利，并不以是否事前約定為前提。關(guān)于人臉識別信息刪除權(quán)的規(guī)定事前是否約定不是抗辯理由。那么此刪除的權(quán)利能否推導(dǎo)適用在民事領(lǐng)域的其他方面？此處的刪除權(quán)與《個人信息保護(hù)法》中的關(guān)于刪除的規(guī)定如何銜接？

四、規(guī)制人臉識別技術(shù)應(yīng)用的創(chuàng)新策略

(一)關(guān)于人臉識別技術(shù)在經(jīng)營性場所管理的問題

《民法典》將公共場所解讀為“經(jīng)營場所”和“公共場所”的混合體，經(jīng)營場所既包括營利性場所也包括非營利性場所，此次關(guān)于人臉識別技術(shù)在民事領(lǐng)域應(yīng)用的司法解釋主要就適用范圍上增加了經(jīng)營性場所，那么就需要對各場所進(jìn)行精準(zhǔn)把握。對人臉技術(shù)使用的場所進(jìn)行明確的劃分，在劃分的基礎(chǔ)上建立專門的保護(hù)機(jī)制。第一，對于在經(jīng)營場所通過人臉識別技術(shù)取得的信息，管理先行，保障個人信息安全是基礎(chǔ)，還要針對人臉信息設(shè)置專門的保護(hù)規(guī)定，對于信息管理人的注意義務(wù)要進(jìn)行明確，充分考慮損害關(guān)聯(lián)性。第二，在非營利性場所，人臉識別信息的保護(hù)主要依靠誠信原則和合同約定進(jìn)行規(guī)制保護(hù)，確保適當(dāng)?shù)念A(yù)見可能性，保證相關(guān)的信息主體對個人信息使用的預(yù)期與知情。結(jié)合公共場所管理人義務(wù)分析考量管理行為的正當(dāng)性與必要性、利益權(quán)衡比較、危險(xiǎn)控制等對個人信息進(jìn)行保護(hù)。

（二）反捆綁授權(quán)下個人信息的主體如何實(shí)現(xiàn)實(shí)質(zhì)性信息保護(hù)的問題

《個人信息保護(hù)法》第二十五條規(guī)定“個人信息處理者不得公開其處理的個人信息，取得單獨(dú)授權(quán)的除外?！边@就明確了公民基于個人信息自動化決策下的明示拒絕選擇權(quán)。這就要求采集和使用個人信息的主體在技術(shù)限制的原因下，若有不可避免的對個人信息捆綁授權(quán)，要向信息主體提供拒絕的方式與渠道，以達(dá)到授權(quán)的實(shí)質(zhì)審查。

《規(guī)定》第二條第三款明確了“基于個人同意處理人臉信息的，未征得自然人或者其監(jiān)護(hù)人的單獨(dú)同意，或者未按照法律、行政法規(guī)的規(guī)定征得自然人或者其監(jiān)護(hù)人的書面同意”的，人民法院應(yīng)當(dāng)認(rèn)定屬于侵害自然人人格權(quán)益的行為。從而細(xì)化了《個人信息保護(hù)法》第二十五條的規(guī)定，使其更具有操作性。

（三）關(guān)于刪除權(quán)能否應(yīng)用在人臉識別信息涉及的其他領(lǐng)域的問題

《個人信息保護(hù)法》第四十七條第二款提到，當(dāng)個人信息處理者停止服務(wù)或者合同終止之時應(yīng)當(dāng)刪除相關(guān)的個人信息。個人信息處理者刪除采集到的個人信息要及時有效，如若在技術(shù)上存在刪除受限的問題，應(yīng)當(dāng)在原存儲的基礎(chǔ)上加強(qiáng)保護(hù)。個人信息使用要緊緊貼合個人信息的使用目的，要結(jié)合配套的存儲保護(hù)措施，即使技術(shù)受限的情況下也要確保能很好地采取人臉識別信息保護(hù)措施。在《決定》[8]中，人臉識別技術(shù)相關(guān)信息的刪除是一種法定權(quán)利，不依賴約定，事前是否約定不得為刪除的抗辯理由。比對二者可見《規(guī)定》更為詳盡，對于除通過人臉識別技術(shù)獲得的其他領(lǐng)域的信息，是否直接刪除且無抗辯，有賴于通過類似的專門司法解釋予以指導(dǎo)、或者通過相關(guān)原則予以釋明。

五、人臉識別技術(shù)處理個人信息保護(hù)的救濟(jì)途徑

《規(guī)定》第十三條、第十四條針對人臉識別信息的侵權(quán)救濟(jì)做出了規(guī)定，合并審理和公益訴訟都在法律層面給予人臉識別信息以較強(qiáng)的保護(hù)。人臉信息在個人信息保護(hù)中屬于敏感信息，而又因其涉及領(lǐng)域?qū)挿?，利益關(guān)系復(fù)雜，在對人臉識別信息研究時要采用跟進(jìn)一步的技術(shù)處理與技術(shù)保護(hù)。隨著人臉識別技術(shù)司法解釋的出臺，《個人信息保護(hù)法》的出臺使得個人信息保護(hù)更加有力，但是現(xiàn)有救濟(jì)也僅限于民事方面，責(zé)任規(guī)定也只限于個人信息處理者的侵權(quán)、損害賠償責(zé)任，關(guān)于一般規(guī)定的操作細(xì)則、個人信息保護(hù)法的一般規(guī)定及其他法律解釋、規(guī)定的契合有待進(jìn)一步地有權(quán)釋明。2021年8月21日《關(guān)于貫徹執(zhí)行個人信息保護(hù)法推進(jìn)個人信息保護(hù)公益訴訟檢察工作的通知》[9]規(guī)定在涉及“生物識別”等敏感信息強(qiáng)調(diào)檢察院的職責(zé)，建立完善的一體化辦案流程，拓展救濟(jì)途徑，明確個人信息使用主體及相關(guān)管理者的義務(wù)，為個人信息保護(hù)提供強(qiáng)有力的公力救濟(jì)支持。