人臉識別技術在民事領域應用的法律問題研究

魏靜靜

（中國人民公安大學法學院,北京 100038）

一、問題的提出

人臉識別技術是基于面部、人臉、面像特征進行信息識別的技術，是一種利用已經(jīng)存儲的若干已知身份的人臉圖像數(shù)據(jù)庫，對給定場景的靜態(tài)或動態(tài)圖像中的一人或多人身份進行驗證和鑒別的生物識別技術。[1]2021年8月20日第十三屆全國人民代表大會常務委員會第三十次會議通過《中華人民共和國個人信息保護法《（以下簡稱《個人信息保護法》），第26條對于在公共場所安裝圖像的使用目的進行了規(guī)定，其最終稿由二審稿中“所收集的個人圖像、個人身份信息不得公開或者向他人提供”改為“不得用于其他目的”。這雖然在一定程度上體現(xiàn)了私權自治，但對于圖像信息的采集和個人身份識別信息的使用限制進行了限縮。人臉識別技術已經(jīng)由狹義的個人身份識別，發(fā)展成由現(xiàn)在的個人特征，如聲音、虹膜、視網(wǎng)膜等相關的個人信息組成的個人信息數(shù)據(jù)系統(tǒng)。[2]個人信息保護法中明確地將個人信息確立為“以電子或者其他方式記錄的與已識別或者可識別的自然人有關的各種信息”。從人臉識別運行模式可以看出，人臉識別技術之所以能夠實現(xiàn)較高精準度的識別，是個人信息的小數(shù)據(jù)包進入海量人臉數(shù)據(jù)庫篩選比對的結果，由此可知獲得人臉信息不僅相應地獲得了個人相關的系列信息，還能擴充數(shù)據(jù)庫，更高程度地掌握個人信息。[3]在現(xiàn)有階段，人臉識別技術在管理層面和技術層面的水平參差不齊，人臉識別技術在應用領域不可控性就比較大。因人臉識別技術所涉及的個人信息保護運用在多個領域，散見于各個法律，并沒有詳細的規(guī)定，本文僅剖析民事領域應用人臉識別技術的法律問題。

2021年6月8日最高人民法院審判委員會通過《最高人民法院關于審理使用人臉識別技術處理個人信息相關民事案件適用法律若干問題規(guī)定》（以下簡稱《規(guī)定》）。根據(jù)《規(guī)定》精神人臉識別技術在民事領域內主要涉及侵權責任的認定，侵犯法益的類型，在人臉識別技術應用中涉及侵權責任與違約責任、公民的個人信息權益、肖像權、隱私權、名譽權、人格權、財產(chǎn)權等。[4]關于此次人臉識別技術的司法解釋在民事領域有三個重要的方向：一是從人格權談論人臉信息保護，此規(guī)定在個人信息保護的基礎上進一步規(guī)定了人臉識別個人信息的權益性質，相比《個人信息保護法》在對個人信息的保護上首次提出的“個人信息權益”概念，《規(guī)定》將人臉信息限定為民法典規(guī)定的“生物識別信息”。二是從侵權責任的角度明確了人臉識別技術中的侵權責任問題，被害是否成年、是否處于知情同意狀態(tài)和人臉技術處理操作是否具有必要性是追究侵權責任的考量因素。三是從合同的角度出發(fā)對重點問題進行了梳理，《規(guī)定》主要針對生活基本設施和基本服務中產(chǎn)生的合同格式條款，就無限期不加限制的使用個人信息的情況做出了規(guī)定。隨著《侵權責任法》將隱私權確立為公民的一項權利，全國各級人民法院接連受理很大一批侵犯個人隱私的案件。此類案件引發(fā)一系列關于個人信息的爭議。人臉識別技術是能夠精準地識別個人信息的一項技術，那么站在個人信息保護的角度，在人臉識別技術司法解釋出臺之際，需要梳理人臉識別技術在民事領域中應用的典型問題。

二、人臉識別技術處理個人信息的保護現(xiàn)狀

我國法律對人臉識別技術處理個人信息的保護范圍具有一定的局限性，法律對平等主體間人臉識別技術應用規(guī)制較少，對個人信息收集使用過程中相關主體的義務規(guī)定相對不夠明確。關于個人信息的保護不同國家有不同的保護格局。目前我國有關法律法規(guī)對于個人信息的保護大多排除了平等主體之間的收集與使用的情況，而將其局限于具有較強的專業(yè)性和商業(yè)性的領域。歐盟的《一般數(shù)據(jù)保護條例》，“重述”（“重述”不具有法律效力，但為《一般數(shù)據(jù)保護條例》提供補充信息，幫助相關主體理解和適用條例）第6條提到，“對于個人信息保護不適用于自然人在純粹個人或家庭活動中與專業(yè)或商業(yè)活動無關的個人數(shù)據(jù)處理”。[5]這種信息保護格局將個人信息局限于相對持續(xù)固定的關系格局下，在范圍上具有一定的局限性。美國在個人信息保護方面與歐盟具有相似之處，美國的各種信息保護立法針對的是潛在雇主、教育機構、政府、醫(yī)療機構。[6]這同樣跳出了平等主體之間的信息交流保護，也排除了政府執(zhí)法過程中的個人信息保護。由各國不同的法律規(guī)定分析得出，個人信息保護絕不是簡單的平等民事主體間的民法權利。對于人臉識別技術處理的個人信息保護要系統(tǒng)化、專業(yè)化、精準化。個人信息保護涉及信息主體的知情、更正、刪除、被遺忘等各種復雜的新型權利，對人臉信息識別技術的研究建立在已有的個人信息保護格局之上，才能有利于從權益的實質上進行人臉識別信息保護。由于傳統(tǒng)的個人信息收集者在收集的過程中與個人信息主體形成了持續(xù)不平等的關系，在個人信息收集的過程中對收集者、使用者的義務才顯得尤為重要。那么在民事領域中的應用就更有研究意義。

涉及人臉識別技術處理個人信息過程中需要保護部分的相關法律及專業(yè)術語界定缺少權威統(tǒng)一的規(guī)制，學術界及相關國家標準需要細化。人臉識別技術涉及較為專業(yè)的概念，需要制定權威的國家標準予以明確，關于個人信息保護的法律仍需有權解釋進行釋明，對于人臉識別技術更需較為細化的國家標準?，F(xiàn)有《信息安全技術個人信息安全規(guī)范》①相關的國家標準需要進行細化。有的雖然為推薦性國家標準，但卻精準把握人臉識別技術的應用方向。如由清華大學牽頭制定的國家標準《信息安全技術健康醫(yī)療數(shù)據(jù)安全指南》②中將可識別的個人的圖像歸類為個人屬性數(shù)據(jù)的身份信息分支，包含虹膜等面部特征則歸為生物識別信息分支。人臉識別技術的運行模式大致分為人臉圖像采集、人像檢測定位、個人特征提取、三維建模、模型比對幾個階段。這些標準在一定程度上明確了專業(yè)領域的專業(yè)概念及范圍，有利于人臉識別技術在民事領域的具體應用。

三、人臉識別技術個人信息處理中存在的問題

（一）人臉識別技術在經(jīng)營性場所管理的問題

人臉識別技術在公共場所與營利場所應用范圍廣泛，人臉識別設備的安裝場所尤其是營利性場所亟需加強監(jiān)督與管理，管理主體及信息技術管理者責任不明確。從維護公共安全的需求度與人臉識別信息必要性分析，從出臺的人臉技術識別技術的保護安裝場所相關規(guī)定中可以看出，關于人臉識別技術的司法解釋是在充分考慮個人信息保護法和民法典銜接的基礎上落實的，根據(jù)《規(guī)定》第二條第一款，對人臉識別技術保護的適用情形進行了擴充，賓館、商場、網(wǎng)吧等娛樂場所擴充進了公共場所的范圍內。這意味著個人信息保護法在原有保護格局上進行了范圍的擴充。由《個人信息保護法》中對公共場所安裝圖像設備、個人識別身份的規(guī)定進行推導，在網(wǎng)吧、賓館等場所的人臉識別設備的安裝應有更加嚴格的必要性程序。那么對在經(jīng)營性的場所、私立性的場所進行的人臉識別如何進行管理？如何在《個人信息保護法》及相關規(guī)定的規(guī)制下精準化管理，落實人臉識別技術使用責任是需要思考的問題。

（二）反捆綁授權下信息主體的實質性同意審查的問題

反捆綁授權下如何達到信息主體的實質審查同意，如何擺脫同意規(guī)則下重合法輕必要審查現(xiàn)狀，使其不再能規(guī)避合法性審查規(guī)避，而是實質性信息保護，這里仍有很多問題。在人臉技術識別信息的運用中，尤其是在民事領域，常規(guī)的個人信息識別會與其他的個人信息捆綁授權，例如APP的人臉登錄驗證、小區(qū)物業(yè)的人臉識別管理，會有捆綁授權的選項給個人造成不必要的負擔，在此捆綁授權的運行模式下會滋生不法運營商對其他授權事項進行操作，從而侵犯公民個人信息的情況。在《規(guī)定》第二條第三款中規(guī)定，未能征得自然人或者其監(jiān)護人的單獨同意，或者未按照法律、行政法規(guī)的規(guī)定取得自然人或者監(jiān)護人的書面同意就進行人像采集的視為侵害自然人人格權益的行為。這使得同意規(guī)則落地，對民事領域中與人臉識別技術中的捆綁授權問題作出了很好的回應。此項規(guī)定的設定核心是防止個人信息權益主體被捆綁授權，與《個人信息保護法》中在公共場所安裝圖像采集、個人身份識別設備取得個人信息不得用于其他目的，取得個人單獨同意的除外立法目的相同。單獨同意規(guī)則的設定是在一般保護的基礎上基于“公開”“人臉識別信息應用”等特殊的個人信息運用進行一個知情同意操作，可進一步對公民個人信息進行保護。那么在單獨同意規(guī)則下如何實質性實現(xiàn)個人信息主體的知情同意目標？擺脫同意規(guī)則下重合法輕必要審查的現(xiàn)狀？除此之外，對于通過人臉識別技術識別而來的信息，個人信息主體如何把握自主授權，對于“生命權、健康權”等權利之外的基本人格權，個人信息主體能否在“知情、同意”的情況下自行處置？[7]

（三）刪除權在人臉信息識別的技術中的應用及相關規(guī)定的銜接

《個人信息保護法》中規(guī)定了個人信息的刪除權利?！兑?guī)定》從合同的角度也規(guī)定了自然人的信息刪除權，二者的刪除范圍是否有著本質區(qū)別，通過人臉識別技術獲得的相關的個人信息刪除權是否只能在合同范圍使用？利用人臉識別技術獲得的學生信息在教育領域方面的運用，學生的身份信息、學習狀態(tài)、考試狀態(tài)信息后這些信息可否刪除？在安防領域，小至地鐵乘車，大至海關出入境的人臉識別信息是否可以刪除？人臉識別技術的社會化運用是一個比較復雜的問題，其社會化運用比較正式的模式是通過合同的簽署和授權來獲得自然人的人臉信息采集權，《規(guī)定》僅從合同角度方面對自然人的信息刪除權進行規(guī)定，《個人信息保護法》明確規(guī)定了個人信息主體對個人信息的刪除權?！秱€人信息保護法》第十二條規(guī)定當信息處理者違反約定處理個人信息時，自然人可在請求侵害主體承擔違約責任的同時請求刪除，[5]此處的刪除是人臉識別信息所有者的一種權利，并不以是否事前約定為前提。關于人臉識別信息刪除權的規(guī)定事前是否約定不是抗辯理由。那么此刪除的權利能否推導適用在民事領域的其他方面？此處的刪除權與《個人信息保護法》中的關于刪除的規(guī)定如何銜接？

四、規(guī)制人臉識別技術應用的創(chuàng)新策略

(一)關于人臉識別技術在經(jīng)營性場所管理的問題

《民法典》將公共場所解讀為“經(jīng)營場所”和“公共場所”的混合體，經(jīng)營場所既包括營利性場所也包括非營利性場所，此次關于人臉識別技術在民事領域應用的司法解釋主要就適用范圍上增加了經(jīng)營性場所，那么就需要對各場所進行精準把握。對人臉技術使用的場所進行明確的劃分，在劃分的基礎上建立專門的保護機制。第一，對于在經(jīng)營場所通過人臉識別技術取得的信息，管理先行，保障個人信息安全是基礎，還要針對人臉信息設置專門的保護規(guī)定，對于信息管理人的注意義務要進行明確，充分考慮損害關聯(lián)性。第二，在非營利性場所，人臉識別信息的保護主要依靠誠信原則和合同約定進行規(guī)制保護，確保適當?shù)念A見可能性，保證相關的信息主體對個人信息使用的預期與知情。結合公共場所管理人義務分析考量管理行為的正當性與必要性、利益權衡比較、危險控制等對個人信息進行保護。

（二）反捆綁授權下個人信息的主體如何實現(xiàn)實質性信息保護的問題

《個人信息保護法》第二十五條規(guī)定“個人信息處理者不得公開其處理的個人信息，取得單獨授權的除外。”這就明確了公民基于個人信息自動化決策下的明示拒絕選擇權。這就要求采集和使用個人信息的主體在技術限制的原因下，若有不可避免的對個人信息捆綁授權，要向信息主體提供拒絕的方式與渠道，以達到授權的實質審查。

《規(guī)定》第二條第三款明確了“基于個人同意處理人臉信息的，未征得自然人或者其監(jiān)護人的單獨同意，或者未按照法律、行政法規(guī)的規(guī)定征得自然人或者其監(jiān)護人的書面同意”的，人民法院應當認定屬于侵害自然人人格權益的行為。從而細化了《個人信息保護法》第二十五條的規(guī)定，使其更具有操作性。

（三）關于刪除權能否應用在人臉識別信息涉及的其他領域的問題

《個人信息保護法》第四十七條第二款提到，當個人信息處理者停止服務或者合同終止之時應當刪除相關的個人信息。個人信息處理者刪除采集到的個人信息要及時有效，如若在技術上存在刪除受限的問題，應當在原存儲的基礎上加強保護。個人信息使用要緊緊貼合個人信息的使用目的，要結合配套的存儲保護措施，即使技術受限的情況下也要確保能很好地采取人臉識別信息保護措施。在《決定》[8]中，人臉識別技術相關信息的刪除是一種法定權利，不依賴約定，事前是否約定不得為刪除的抗辯理由。比對二者可見《規(guī)定》更為詳盡，對于除通過人臉識別技術獲得的其他領域的信息，是否直接刪除且無抗辯，有賴于通過類似的專門司法解釋予以指導、或者通過相關原則予以釋明。

五、人臉識別技術處理個人信息保護的救濟途徑

《規(guī)定》第十三條、第十四條針對人臉識別信息的侵權救濟做出了規(guī)定，合并審理和公益訴訟都在法律層面給予人臉識別信息以較強的保護。人臉信息在個人信息保護中屬于敏感信息，而又因其涉及領域寬泛，利益關系復雜，在對人臉識別信息研究時要采用跟進一步的技術處理與技術保護。隨著人臉識別技術司法解釋的出臺，《個人信息保護法》的出臺使得個人信息保護更加有力，但是現(xiàn)有救濟也僅限于民事方面，責任規(guī)定也只限于個人信息處理者的侵權、損害賠償責任，關于一般規(guī)定的操作細則、個人信息保護法的一般規(guī)定及其他法律解釋、規(guī)定的契合有待進一步地有權釋明。2021年8月21日《關于貫徹執(zhí)行個人信息保護法推進個人信息保護公益訴訟檢察工作的通知》[9]規(guī)定在涉及“生物識別”等敏感信息強調檢察院的職責，建立完善的一體化辦案流程，拓展救濟途徑，明確個人信息使用主體及相關管理者的義務，為個人信息保護提供強有力的公力救濟支持。