最高法：物业不得将人脸识别作为业主出入唯一验证方式
来源：中国新闻网
中新网北京7月28日电 28日，最高人民法院召开新闻发布会发布《关于审理使用人脸识别技术处理个人信息相关民事案件适用法律若干问题的规定》。针对物业服务企业或者其他建筑物管理人以人脸识别作为业主或者物业使用人出入物业服务区域的唯一验证方式的，该规定第10条明确，不同意的业主或者物业使用人请求其提供其他合理验证方式的，人民法院依法予以支持。
杨万明副院长介绍说，从民事审判工作来看，自《侵权责任法》将隐私权确认为一项独立的民事权利以来，全国各级人民法院审理了一大批隐私权等人格权纠纷案件。2010年7月1日侵权责任法实施以来至2020年12月31日，人格权纠纷案件共1144628件。2016年1月至2020年12月，隐私权纠纷案件共1678件。2014年，最高人民法院颁布了《关于审理利用信息网络侵害人身权益民事纠纷案件适用法律若干问题的规定》，对网络用户或者网络服务提供者利用网络公开他人隐私和个人信息的侵权责任予以规定。司法实践中，人民法院通过审理一系列新类型典型案例，不断探索信息化时代个人信息及隐私保护规则。如庞某诉东方航空公司、趣拿信息技术公司隐私权纠纷案，孙某某诉百度公司人格权纠纷案，等等。民法典颁布后，最高人民法院对《民事案件案由规定》进行了修正，新增了个人信息保护纠纷案由。民法典施行以来，截止到6月30日，各级人民法院正式以个人信息保护纠纷案由立案的一审案件192件，审结103件。“人脸识别第一案”也于今年4月9日二审宣判，依法保护自然人人脸信息等生物识别信息。随着民法典贯彻实施的不断深入、《个人信息保护法》即将颁布实施，人民法院将进一步通过司法裁判筑起保卫人民群众个人信息权益的坚强司法屏障。
从刑事审判工作来看，近年来，侵犯公民个人信息犯罪处于高发态势，而且与电信网络诈骗、敲诈勒索、绑架等犯罪呈合流态势，社会危害严重。为依法严惩此类犯罪，最高人民法院会同有关部门，于2017年5月9日发布了《关于办理侵犯公民个人信息刑事案件适用法律若干问题的解释》（法释〔2017〕10号），自2017年6月1日起施行。该司法解释根据刑法有关规定，对侵犯公民个人信息犯罪的定罪量刑标准和有关法律适用问题作了全面、系统的规定。该司法解释施行以来，各级人民法院立足审判职能，依法惩治侵犯公民个人信息犯罪，案件数量显著增长。2017年6月至2021年6月，全国法院新收侵犯公民个人信息刑事案件10059件，审结9743件，生效判决人数21726人，对3803名被告人判处三年以上有期徒刑，比例达17.50%。
在为社会生活带来便利的同时，人脸识别技术所带来的个人信息保护问题也日益凸显。一些经营者滥用人脸识别技术侵害自然人合法权益的事件频发，引发社会公众的普遍关注和担忧。比如，有些知名门店使用“无感式”人脸识别技术在未经同意的情况下擅自采集消费者人脸信息，分析消费者的性别、年龄、心情等，进而采取不同营销策略。又如，有些物业服务企业强制将人脸识别作为业主出入小区或者单元门的唯一验证方式，要求业主录入人脸并绑定相关个人信息，未经识别的业主不得进入小区。再如，部分线上平台或者应用软件强制索取用户的人脸信息，还有的卖家在社交平台和网站公开售卖人脸识别视频、买卖人脸信息等。因人脸信息等身份信息泄露导致“被贷款”“被诈骗”和隐私权、名誉权被侵害等问题也多有发生。甚至还有一些犯罪分子利用非法获取的身份证照片等个人信息制作成动态视频，破解人脸识别验证程序，实施窃取财产、虚开增值税普通发票等犯罪行为。上述行为严重损害自然人的人格权益，侵害其人身、财产等合法权益，破坏社会秩序，亟待进行规制。
人脸信息属于敏感个人信息中的生物识别信息，是生物识别信息中社交属性最强、最易采集的个人信息，具有唯一性和不可更改性，一旦泄露将对个人的人身和财产安全造成极大危害，甚至还可能威胁公共安全。据APP专项治理工作组去年发布的《人脸识别应用公众调研报告》显示，在2万多名受访者中，94.07%的受访者用过人脸识别技术，64.39%的受访者认为人脸识别技术有被滥用的趋势，30.86%受访者已经因为人脸信息泄露、滥用等遭受损失或者隐私被侵犯。这段时间，人脸识别成为热门词汇，社会公众对人脸识别技术滥用的担心不断增加，强化人脸信息保护的呼声日益高涨。
在谈到部分小区使用人脸识别门禁系统的问题时，杨万明说，我们一直在关注，前期也做了一些调研。伴随着人脸识别技术应用场景的不断丰富，一些小区引入人脸识别系统，用“刷脸”代替“刷卡”，可以说，这是新形势下小区物业管理的一种创新模式。当前，社会各界对此有不同看法。有意见认为，将人脸识别作为住户身份验证方式，是一种智能化管理，可以更精准识别出入小区人员，让小区管理更安全、更高效。也有意见认为，在录入人脸信息时，小区物业要求人脸信息和详细住址、身份信息相绑定，这些信息一旦泄露，可能给个人隐私造成损害。
调研中发现，群众关心小区物业安装人脸识别设备，集中在强制“刷脸”的问题上。人脸信息属于敏感个人信息，小区物业对人脸信息的采集、使用必须依法征得业主或者物业使用人的同意。只有业主或者物业使用人自愿同意使用人脸识别，对人脸信息的采集、使用才有了合法性基础。实践中，部分小区物业强制要求居民录入人脸信息，并将人脸识别作为出入小区的唯一验证方式，这种行为违反“告知同意”原则，群众质疑声较大。我们应该拥抱新科技，但同时也要尊重人格权益。小区物业不能以智能化管理为由，侵害居民人格权益。为此，《规定》第10条第1款专门规定：“物业服务企业或者其他建筑物管理人以人脸识别作为业主或者物业使用人出入物业服务区域的唯一验证方式，不同意的业主或者物业使用人请求其提供其他合理验证方式的，人民法院依法予以支持。”根据这一规定，小区物业在使用人脸识别门禁系统录入人脸信息时，应当征得业主或者物业使用人的同意，对于不同意的，小区物业应当提供替代性验证方式，不得侵害业主或物业使用人的人格权益和其他合法权益。
另外，为更好规范物业服务企业或者其他管理人，防止其将人脸信息泄露或者侵害业主或物业使用人隐私，第10条第2款又进一步明确：“物业服务企业或者其他建筑物管理人存在本规定第二条规定的情形，当事人请求物业服务企业或者其他建筑物管理人承担侵权责任的，人民法院依法予以支持。”这样就对业主及其他物业使用人的人脸信息形成全面保护。
一段时间以来，部分移动应用程序（APP）通过一揽子授权、与其他授权捆绑、“不点击同意就不提供服务”等方式强制索取非必要个人信息的问题比较突出，这既是广大用户的痛点，也是维权的难点。
为从司法角度规范此类行为，更好保护人民群众合法权益，《规定》根据民法典第1035条，在吸收个人信息保护立法精神、借鉴域外做法的基础上，明确了以下处理人脸信息的规则：
一是单独同意规则。由于人脸信息属于敏感个人信息，处理活动对个人权益影响重大，因此，在告知同意上，有必要设定较高标准，以确保个人在充分知情的前提下，合理考虑对自己权益的后果而作出同意。《规定》第2条第3项引入单独同意规则，即：信息处理者在征得个人同意时，必须就人脸信息处理活动单独取得个人的同意，不能通过一揽子告知同意等方式征得个人同意。
二是强迫同意无效规则。基于个人同意处理人脸信息的，个人同意是信息处理活动的合法性基础。只要信息处理者不超出自然人同意的范围，原则上该行为就不构成侵权行为。自愿原则是民法典的基本原则之一，个人的同意必须是基于自愿而作出。特别是对人脸信息的处理，不能带有任何强迫因素。如果信息处理者采取“与其他授权捆绑”、“不点击同意就不提供服务”等做法，会导致自然人无法单独对人脸信息作出自愿同意，或者被迫同意处理其本不愿提供且非必要的人脸信息。为强化人脸信息保护，防止信息处理者对人脸信息的不当采集，《规定》第4条对处理人脸信息的有效同意采取从严认定的思路。对于信息处理者采取“与其他授权捆绑”、“不点击同意就不提供服务”等方式强迫或者变相强迫自然人同意处理其人脸信息的，信息处理者据此认为其已征得相应同意的，人民法院不予支持。第4条的规定不仅适用于线上应用，对于需要告知同意的线下场景也同样适用。
