隨著《中華人民共和國個人信息保護(hù)法》的出臺以及《最高人民法院關(guān)于審理使用人臉識別技術(shù)處理個人信息相關(guān)民事案件適用法律若干問題的規(guī)定》（法釋〔2021〕15號）的發(fā)布執(zhí)行。

處理個人信息的規(guī)則有了專門法律規(guī)定。作為日常管理措施而處理人臉信息的相關(guān)單位，需注意根據(jù)國家有關(guān)個人信息的管理規(guī)定，依法合規(guī)處理人臉信息，避免涉及違反法律規(guī)定而引發(fā)糾紛和爭議，甚至因此而承擔(dān)法律責(zé)任。據(jù)此背景，本所律師就人臉信息處理中的法律風(fēng)險分析提示如下：

一、《中華人民共和國個人信息保護(hù)法》《最高人民法院關(guān)于審理使用人臉識別技術(shù)處理個人信息相關(guān)民事案件適用法律若干問題的規(guī)定》對處理人臉信息的規(guī)定和要求概述

（一）《中華人民共和國個人信息保護(hù)法》就人臉信息的規(guī)定

1.明確目的正當(dāng)性和必要性 《中華人民共和國個人信息保護(hù)法》（以下簡稱《個人信息保護(hù)法》）明確規(guī)定，個人信息處理者只有在具有特定的目的和充分的必要性，并采取嚴(yán)格保護(hù)措施的情形下，方可處理敏感個人信息。該規(guī)定是對處理個人信息應(yīng)當(dāng)遵循合法、正當(dāng)、必要和誠信原則的具體體現(xiàn)，同時也對處理敏感個人信息提出了更高的要求。要求目的具有正當(dāng)性和必要性不僅是合法與合規(guī)，還應(yīng)包括誠實(shí)信用與公開透明的要求，不得通過欺詐、誤導(dǎo)等方式獲取并處理人臉信息，實(shí)踐中常見的通過欺詐、誤導(dǎo)從而獲取人臉信息的行為，如通過積分、獎勵、優(yōu)惠等方式欺騙、誤導(dǎo)用戶提供人臉信息。日常生活中，物業(yè)要求住戶刷臉進(jìn)出，公司刷臉打卡等方式可能也會因?yàn)槿狈δ康牡恼?dāng)性和必要性而遭受挑戰(zhàn)。 2.明確告知義務(wù)，擴(kuò)張用戶知情權(quán) 《個人信息保護(hù)法》確定了處理個人信息應(yīng)當(dāng)遵循告知同意義務(wù)，保障個人信息主體的知情權(quán)和同意權(quán)，而對于個人敏感信息，除了告知個人信息主體處理信息的規(guī)則，明示處理的目的、方式、范圍等一般規(guī)則外，《個人信息保護(hù)法》對于處理個人敏感信息提出了更高的要求，即個人信息處理者處理敏感個人信息的，還應(yīng)當(dāng)向個人告知處理敏感個人信息的必要性以及對個人權(quán)益的影響。這一規(guī)定進(jìn)一步落實(shí)了對于用戶知情權(quán)的保障。 3.引入單獨(dú)同意制度 《個人信息保護(hù)法》在告知同意規(guī)則的基礎(chǔ)上引入了單獨(dú)同意制度，結(jié)合《個人信息保護(hù)法》第二十三條、第二十五條、第二十九條的規(guī)定，個人信息處理者向其他處理者提供其處理的個人信息、公開其處理的個人信息、除用于維護(hù)公共安全的目的外在公共場所安裝圖像采集、個人身份識別設(shè)備，收集個人圖像、身份識別信息，以及處理包括生物識別、特定身份、金融賬戶、行蹤軌跡等在內(nèi)的敏感個人信息的，應(yīng)當(dāng)取得個人的單獨(dú)同意。即個人信息處理者應(yīng)確保個人充分知情，并排除一攬子告知捆綁授權(quán)強(qiáng)迫或變相強(qiáng)迫的同意等情形，保障個人在充分知情的情況下自愿且明確地作出同意的意思表示。 （二）《最高人民法院關(guān)于審理使用人臉識別技術(shù)處理個人信息相關(guān)民事案件適用法律若干問題的規(guī)定》對人臉信息的特別保護(hù)規(guī)定 1．屬于人臉信息收集、使用侵權(quán)行為的情形分析

根據(jù)《最高人民法院關(guān)于審理使用人臉識別技術(shù)處理個人信息相關(guān)民事案件適用法律若干問題的規(guī)定》第二條、第四條的規(guī)定，在經(jīng)營場所、公共場所違反法律、行政法規(guī)的規(guī)定使用人臉識別技術(shù)進(jìn)行人臉驗(yàn)證、辨識或者分析的、未公開處理人臉信息的規(guī)則，或者未明示處理的目的、方式、范圍的、基于個人同意處理人臉信息的，未征得自然人或者其監(jiān)護(hù)人的單獨(dú)同意，或者未按照法律、行政法規(guī)的規(guī)定征得自然人或者其監(jiān)護(hù)人的書面同意的、違反信息處理者明示或者雙方約定的處理人臉信息的目的、方式、范圍等、未采取應(yīng)有的技術(shù)措施或者其他必要措施確保其收集、存儲的人臉信息安全，致使人臉信息泄露、篡改、丟失，或違反法律、行政法規(guī)的規(guī)定或者雙方的約定，向他人提供人臉信息、違背公序良俗處理人臉信息以及違反合法、正當(dāng)、必要原則處理人臉信息的其他情形，均屬于侵犯自然人的人格權(quán)益的情形。

除此之外，當(dāng)出現(xiàn)信息處理者要求自然人同意處理其人臉信息才提供產(chǎn)品或者服務(wù)的（但是處理人臉信息屬于提供產(chǎn)品或者服務(wù)所必需的除外）、信息處理者以與其他授權(quán)捆綁等方式要求自然人同意處理其人臉信息的以及強(qiáng)迫或者變相強(qiáng)迫自然人同意處理其人臉信息的其他情形時，信息處理者以已征得自然人或者其監(jiān)護(hù)人同意為由抗辯的，人民法院將不予支持，仍然面臨認(rèn)定為均屬于侵犯自然人的人格權(quán)益的情形。 2．人臉信息收集、使用中免于承擔(dān)侵權(quán)責(zé)任的情形分析

《最高人民法院關(guān)于審理使用人臉識別技術(shù)處理個人信息相關(guān)民事案件適用法律若干問題的規(guī)定》第五條規(guī)定：有下列情形之一，信息處理者主張其不承擔(dān)民事責(zé)任的，人民法院依法予以支持：（一）為應(yīng)對突發(fā)公共衛(wèi)生事件，或者緊急情況下為保護(hù)自然人的生命健康和財產(chǎn)安全所必需而處理人臉信息的；（二）為維護(hù)公共安全，依據(jù)國家有關(guān)規(guī)定在公共場所使用人臉識別技術(shù)的；（三）為公共利益實(shí)施新聞報道、輿論監(jiān)督等行為在合理的范圍內(nèi)處理人臉信息的；（四）在自然人或者其監(jiān)護(hù)人同意的范圍內(nèi)合理處理人臉信息的；（五）符合法律、行政法規(guī)規(guī)定的其他情形。

此外，《中華人民共和國民法典》第一千零三十六條規(guī)定：處理個人信息，有下列情形之一的，行為人不承擔(dān)民事責(zé)任：（一）在該自然人或者其監(jiān)護(hù)人同意的范圍內(nèi)合理實(shí)施的行為；（二）合理處理該自然人自行公開的或者其他已經(jīng)合法公開的信息，但是該自然人明確拒絕或者處理該信息侵害其重大利益的除外；（三）為維護(hù)公共利益或者該自然人合法權(quán)益，合理實(shí)施的其他行為。

綜合《最高人民法院關(guān)于審理使用人臉識別技術(shù)處理個人信息相關(guān)民事案件適用法律若干問題的規(guī)定》《中華人民共和國民法典》的規(guī)定，免于承擔(dān)責(zé)任的情形限于突發(fā)事件、緊急情況下為保護(hù)自然人的生命健康和財產(chǎn)安全所必需，為維護(hù)公共安全和公共利益合理使用，獲取自然人或監(jiān)護(hù)人同意幾種特定情形。

3．對物業(yè)服務(wù)企業(yè)或者其他建筑物管理人收集、使用人臉信息的特別規(guī)定和要求

《最高人民法院關(guān)于審理使用人臉識別技術(shù)處理個人信息相關(guān)民事案件適用法律若干問題的規(guī)定》第十條規(guī)定：物業(yè)服務(wù)企業(yè)或者其他建筑物管理人以人臉識別作為業(yè)主或者物業(yè)使用人出入物業(yè)服務(wù)區(qū)域的唯一驗(yàn)證方式，不同意的業(yè)主或者物業(yè)使用人請求其提供其他合理驗(yàn)證方式的，人民法院依法予以支持。物業(yè)服務(wù)企業(yè)或者其他建筑物管理人存在本規(guī)定第二條規(guī)定的情形，當(dāng)事人請求物業(yè)服務(wù)企業(yè)或者其他建筑物管理人承擔(dān)侵權(quán)責(zé)任的，人民法院依法予以支持。

即針對物業(yè)服務(wù)企業(yè)或者其他建筑物管理人而言，并未禁止不得采集、使用人臉識別信息并進(jìn)行運(yùn)用，但同時明確要求如業(yè)主或者物業(yè)使用人請求其提供其他合理驗(yàn)證方式的，人民法院依法予以支持。換言之，不能將人臉識別方式作為入物業(yè)服務(wù)區(qū)域的唯一驗(yàn)證方式，需保留和提供其他方式供選擇。

二、對以處理人臉信息為管理方式單位的法律糾紛預(yù)防提示

結(jié)合前述對《中華人民共和國個人信息保護(hù)法》及《最高人民法院關(guān)于審理使用人臉識別技術(shù)處理個人信息相關(guān)民事案件適用法律若干問題的規(guī)定》有關(guān)規(guī)定的分析，就從事生產(chǎn)經(jīng)營活動的廣大企業(yè)而言，在處理人臉信息作為管理員工/客戶方式方面提示如下法律糾紛預(yù)防建議供參考。即：

（一）在擬引入人臉識別系統(tǒng)進(jìn)行管理前，廣泛征詢員工、客戶意見和建議，取得其充分的理解和支持，同時起到宣傳動員的作用。

（二）在采購人臉信息識別系統(tǒng)前，應(yīng)考慮要求供應(yīng)商承諾和保證生產(chǎn)和銷售的人臉信息識別系統(tǒng)為合法合規(guī)產(chǎn)品，不得存在違反國家法律法規(guī)規(guī)定不得使用、嵌入的技術(shù)。同時，不得通過售后服務(wù)、在線服務(wù)等其他任何方式收集使用單位采集、使用的人臉信息，否則由供應(yīng)商承擔(dān)因此引起的全部責(zé)任和后果，并賠償使用單位因此遭到的全部損失。

（三）需要人臉信息識別系統(tǒng)供應(yīng)商技術(shù)支持，要求其配套提供人臉信息識別系統(tǒng)的技術(shù)特征、工作原理等信息以在人臉信息識別系統(tǒng)加裝位置公示供廣大員工、客戶知悉。

（四）在引入人臉識別系統(tǒng)進(jìn)行管理時，至少保留一種非涉及生物識別信息的管理方式。在遇有相對人不同意采集人臉信息的情況下，可通過不涉及生物識別信息的方式進(jìn)行管理（包括但不限于二維碼、門禁卡、出入證、手動登記等）。

（五）在人臉識別信息系統(tǒng)投入使用前，應(yīng)制作具體的人臉信息采集、使用提示告知相對人，并要求相對人簽字確認(rèn)。即明確告知相對人，采集人臉信息背景（需求）、采集人臉信息的使用范圍和目的、采集人臉信息的使用時間等具體情況，確保相對人對該等事宜充分知悉、了解和認(rèn)可，并簽字確認(rèn)，不能通過一攬子告知同意等方式征得個人的同意，并且需要提供撤回同意的途徑。處理未成年人人臉信息的，須征得監(jiān)護(hù)人的單獨(dú)同意。

（六）人臉信息采集后在使用過程中，亦需嚴(yán)格采取保護(hù)措施，防止泄露?？煽紤]采取的措施包括但不限于：

（1）人臉信息管理系統(tǒng)嚴(yán)禁和互聯(lián)網(wǎng)相連，如需相連則需確保已采取相應(yīng)的數(shù)據(jù)安全保護(hù)措施，不會在傳輸過程中泄露。

（2）具體運(yùn)用過程中嚴(yán)格按照經(jīng)相對人簽署確認(rèn)的告知書中載明的使用目的、范圍、用途、時間使用，不得擴(kuò)大。

（3）對已采集的人臉信息采取安全的數(shù)據(jù)存儲保護(hù)措施，不提供給任何第三方。如存儲設(shè)備被盜、信息泄露等及時向公安機(jī)關(guān)報案。

（4）與本單位管理人臉信息系統(tǒng)的具體操作人員簽訂保密承諾書，由其本人承擔(dān)僅僅按單位明確的目的、范圍、用途、時間使用人臉信息，不以任何方式提供或泄露給任何第三方，如有違反由本人承擔(dān)全部法律責(zé)任和后果。

（5）定期清理、銷毀已收集的人臉信息。在特定事項(xiàng)完成后，及時清理、銷毀已收集的人臉信息，避免存儲期間管理問題因此產(chǎn)生法律風(fēng)險。

另外，如使用管理單位自身技術(shù)條件不具備采取保護(hù)措施，可以與第三方專業(yè)機(jī)構(gòu)合作，委托其對人臉信息采集、使用、保管進(jìn)行專業(yè)維護(hù)，防止通過人臉識別系統(tǒng)所采集的人臉信息被泄露、篡改或丟失。

三、其他提示

目前國家有關(guān)個人信息安全保護(hù)的法律法規(guī)正在完善中，《中華人民共和國個人信息保護(hù)法》與《最高人民法院關(guān)于審理使用人臉識別技術(shù)處理個人信息相關(guān)民事案件適用法律若干問題的規(guī)定》亦剛頒布實(shí)施，司法實(shí)踐中亦尚無成熟、完善的人臉信息處理管理模式供參考，對擬采用人臉信息系統(tǒng)的單位而言法律風(fēng)險尚存在不確定性。因此，務(wù)必高度認(rèn)識該等事宜的重要性和風(fēng)險性，盡量完善和采取可采取的措施進(jìn)行防范，特別是與該等系統(tǒng)的供應(yīng)商充分溝通交流，獲得其對使用中風(fēng)險防范措施的指導(dǎo)和支持。

以上分析提示僅供交流學(xué)習(xí)使用，不針對特定當(dāng)事人或客戶，亦不可直接作為收集、整理、使用人臉信息的依據(jù)進(jìn)行轉(zhuǎn)化和運(yùn)營，涉及收集、整理、使用人臉信息事宜的，請務(wù)必以國家法律法規(guī)規(guī)定為準(zhǔn)。