天津人臉識(shí)別第一案背后：“我的臉我做主”

苑蘇文

圖/視覺(jué)中國(guó)

顧城拒絕“刷臉”回家。

每次到小區(qū)門(mén)口門(mén)閘前，他都拒絕對(duì)攝像頭亮出臉，而是直接叫保安開(kāi)門(mén)，有時(shí)遇到別人刷臉開(kāi)閘，他就尾隨在后一起通過(guò)。

顧城租住在天津誠(chéng)基經(jīng)貿(mào)中心（下稱(chēng)“誠(chéng)基中心”）。2021年3月他搬入時(shí)，被告知小區(qū)只能刷臉進(jìn)入，沒(méi)有其他進(jìn)入方式。

想要入住，顧城必須向物業(yè)公司提供自己的人臉信息。

人臉信息是生物識(shí)別信息的一種，屬于敏感個(gè)人信息。每個(gè)人只有一張臉，如果人臉信息被隨意采集和濫用，隱患極大。近年來(lái)，盡管保護(hù)人臉信息的法律法規(guī)層出不窮，但公共場(chǎng)所的人臉采集設(shè)施越來(lái)越多。

2021年8月1日，最高人民法院關(guān)于人臉識(shí)別的司法解釋正式實(shí)施，要求物業(yè)公司不得將人臉識(shí)別作為唯一的通行驗(yàn)證方式。

據(jù)此，顧城起訴物業(yè)公司，要求物業(yè)公司為他提供其他通行驗(yàn)證方式，同時(shí)刪除他此前提供的人臉信息。

2022年5月18日，天津市第一中級(jí)人民法院二審法院判決，支持了他的訴求。

2021年3月，26歲的顧城在網(wǎng)上簽約租住了誠(chéng)基中心的一套公寓。在拎包入住當(dāng)天，他從房屋中介口中得知，小區(qū)只提供人臉識(shí)別的方式出入。

“因?yàn)榉孔游乙呀?jīng)簽了，如果不住的話(huà)，還得付違約金?！?顧城與多數(shù)怕麻煩的租戶(hù)一樣，雖然心生懷疑，但還是硬著頭皮讓物業(yè)拍照錄入人臉，登記姓名、身份證號(hào)等信息。

安頓下來(lái)后，顧城發(fā)現(xiàn)，人臉識(shí)別機(jī)旁邊就有刷門(mén)禁卡的位置，但物業(yè)不給辦理門(mén)禁卡。他曾向保安詢(xún)問(wèn)，對(duì)方表示人臉識(shí)別是“為了業(yè)主的安全”，物業(yè)人員則答復(fù)他，安裝人臉識(shí)別門(mén)禁，經(jīng)過(guò)了業(yè)主委員會(huì)的同意，還有街道和社區(qū)這些官方組織的參與。

誠(chéng)基中心的“刷臉”系統(tǒng)的確是為加強(qiáng)防護(hù)啟用的。這是位于天津市和平區(qū)商務(wù)核心區(qū)的商住兩用小區(qū)，由2 棟 33 層和 1 棟 50 層的超高樓宇構(gòu)成，擁有居民住房 5536 套，商戶(hù) 400 家，容積率達(dá) 17.5。

在新冠疫情暴發(fā)之前，誠(chéng)基中心就安裝了人臉識(shí)別系統(tǒng)的裝置，原計(jì)劃在2020年6月調(diào)試啟用，但由于新冠疫情的暴發(fā)，在2020年2月前后，這套系統(tǒng)就被提前啟用。

天津市在2020年1月24日啟動(dòng)《天津市應(yīng)對(duì)新型冠狀病毒感染的肺炎應(yīng)急預(yù)案》一級(jí)響應(yīng)。

“我們以高度的敏感性對(duì)形勢(shì)進(jìn)行了預(yù)判，經(jīng)過(guò)多個(gè)部門(mén)的研究商討，決定緊急啟用人臉識(shí)別系統(tǒng)。”社區(qū)黨委書(shū)記陳思延在2020年2月公開(kāi)表示，要保障疫情得到有效防控，必須進(jìn)行人防+技防相結(jié)合的模式，基本原則就是“堵住口、卡住門(mén)、看住人”。啟用人臉識(shí)別系統(tǒng)，是誠(chéng)基中心“技防”的重要一步。

陳思延還介紹，誠(chéng)基中心的人臉信息數(shù)據(jù)通過(guò)四種方式采集：一是網(wǎng)格員上門(mén)入戶(hù)采集;二是居民自主到物業(yè)公司客服中心采集;三是居民自主采集，然后微信發(fā)給網(wǎng)格員;四是居民把照片以郵件形式發(fā)到社區(qū)郵箱進(jìn)行采集。

但顧城意識(shí)到，如果只有“刷臉”一種選擇，可能侵犯他自己的權(quán)益，“自從住進(jìn)誠(chéng)基中心以后，我就一直疑惑：憑什么強(qiáng)制我用人臉識(shí)別進(jìn)門(mén)？”

他表示，誠(chéng)基中心的物業(yè)并不能給他足夠的安全感，“采集我的人臉信息之后，怎么傳輸，怎么使用，存儲(chǔ)在哪里，我都一無(wú)所知，我不想把人臉信息交給這種沒(méi)被證明可信任的機(jī)構(gòu)來(lái)管理”。

顧城的擔(dān)憂(yōu)不無(wú)道理。北京煒衡（成都）律師事務(wù)所律師魏冬冬告訴《中國(guó)新聞周刊》，一些大的互聯(lián)網(wǎng)公司或是強(qiáng)監(jiān)管領(lǐng)域的銀行等機(jī)構(gòu)，合規(guī)體系相對(duì)完善，但一些小的企業(yè)，尤其是小物業(yè)公司，則是漏洞百出，明文存儲(chǔ)敏感個(gè)人信息是常態(tài)，也不把用戶(hù)人臉信息和身份信息分開(kāi)存儲(chǔ)。

與用戶(hù)的數(shù)據(jù)安全相比，小公司會(huì)更注重成本和利潤(rùn)。魏冬冬說(shuō)，許多小物業(yè)公司購(gòu)買(mǎi)的數(shù)據(jù)處理設(shè)備比較落后，并沒(méi)有完善的安全防護(hù)措施。

她甚至了解到，有的物業(yè)公司的人臉識(shí)別設(shè)施和員工考勤指紋打卡的設(shè)備價(jià)格都極為低廉，而設(shè)備供應(yīng)商愿意低價(jià)供貨的原因，就是為了收集用戶(hù)的人臉等敏感個(gè)人信息。

“用戶(hù)的信息可以拿去賣(mài)錢(qián)，給供應(yīng)商增加收益，所以很可能你我的人臉早就不知道被轉(zhuǎn)賣(mài)了多少手了?！蔽憾f(shuō)。

作為敏感個(gè)人信息，人臉信息具有唯一性、易獲得性和安全性三個(gè)特性。魏冬冬說(shuō)，其中，“唯一性”在于不可變更，“密碼丟了可以更改，但人只有一張臉，只有這一把鑰匙，如果被盜，是無(wú)法更改的”，而“易獲得性”在于，只要遠(yuǎn)遠(yuǎn)安一個(gè)攝像頭，就可以獲取人臉信息，這導(dǎo)致人臉識(shí)別技術(shù)便于用來(lái)跟蹤人的行蹤軌跡，這就引申至“安全性”。

“由于人臉信息和人是綁定的，需要真人到訪(fǎng)才能提供，較難仿冒，人臉常被用于關(guān)鍵場(chǎng)所的出入身份驗(yàn)證和支付驗(yàn)證等重要場(chǎng)景，但近年也出現(xiàn)了利用人臉圖片、3D模型和深度合成技術(shù)制作的視頻騙過(guò)人臉驗(yàn)證的事件?！蔽憾f(shuō)。

如何處理人臉信息才算恰當(dāng)？魏冬冬說(shuō)，無(wú)論是物業(yè)還是寫(xiě)字樓要收集人臉信息，首先應(yīng)獲取個(gè)人的單獨(dú)同意，讓其在載明人臉信息處理規(guī)則的清單上簽字，獲得同意后才可采集人臉信息，與此同時(shí)，還應(yīng)給住戶(hù)提供替代的通行方式。

采集了人臉信息后，也要采取適當(dāng)?shù)募夹g(shù)措施去處理。魏冬冬介紹，首先在信息比對(duì)的環(huán)節(jié)，應(yīng)盡量在本地完成人臉信息的比對(duì)，減少傳輸過(guò)程;其次，若需存儲(chǔ)，不存儲(chǔ)人臉照片或視頻本身，一般需要處理成“消息摘要”。消息摘要就是將任何一張人臉信息使用算法將其“翻譯”成一串唯一的字母數(shù)字組合，由于消息摘要是不能逆向還原為人臉信息本身的，所以可以防止人臉信息本身的泄露。

不過(guò)，魏冬冬指出，前述這些措施都只是推薦性國(guó)家標(biāo)準(zhǔn)的要求，不是強(qiáng)制性法律義務(wù)，只能作為行政執(zhí)法的參考，而非直接的執(zhí)法依據(jù)，對(duì)人臉識(shí)別的法律規(guī)制，還有賴(lài)于國(guó)家網(wǎng)信辦統(tǒng)籌協(xié)調(diào)有關(guān)部門(mén)出臺(tái)的人臉識(shí)別保護(hù)的細(xì)則、標(biāo)準(zhǔn)。

2021年8月1日，最高人民法院出臺(tái)《關(guān)于審理使用人臉識(shí)別技術(shù)處理個(gè)人信息相關(guān)民事案件適用法律若干問(wèn)題的規(guī)定》 （下稱(chēng)《人臉識(shí)別司法解釋》）生效施行。

在法學(xué)界看來(lái)，這份司法解釋對(duì)處理人臉識(shí)別信息進(jìn)行了有力的規(guī)范，其不僅規(guī)范了賓館、商場(chǎng)、銀行、車(chē)站、機(jī)場(chǎng)、體育場(chǎng)館、娛樂(lè)場(chǎng)所等經(jīng)營(yíng)場(chǎng)所、公共場(chǎng)所和物業(yè)公司的采集人臉信息行為，還涉及舉證責(zé)任和維權(quán)合理開(kāi)支等細(xì)節(jié)。

對(duì)于顧城遇到的情況，《人臉識(shí)別司法解釋》第十條規(guī)定，“物業(yè)服務(wù)企業(yè)或者其他建筑物管理人以人臉識(shí)別作為業(yè)主或者物業(yè)使用人出入物業(yè)服務(wù)區(qū)域的唯一驗(yàn)證方式，不同意的業(yè)主或者物業(yè)使用人請(qǐng)求其提供其他合理驗(yàn)證方式的，法院依法予以支持”。這意味著，顧城對(duì)物業(yè)采集人臉的拒絕“有法可依”。

司法解釋實(shí)施第二天，顧城再度向物業(yè)公司表達(dá)拒絕刷臉的訴求，要求其他通行方式，但仍然被拒絕。2021年8月9日，他委托律師向物業(yè)公司快遞律師函，對(duì)方在8月19日簽收后仍無(wú)回應(yīng)，他決定起訴。

同年9月3日，天津市和平區(qū)人民法院對(duì)顧城的起訴立案，案由為“隱私權(quán)糾紛”，被起訴的誠(chéng)基中心物業(yè)公司全名為蘭州城關(guān)物業(yè)服務(wù)集團(tuán)有限公司天津分公司（下稱(chēng)“城關(guān)物業(yè)”），顧城的訴訟請(qǐng)求包括物業(yè)刪除他的人臉信息，停止對(duì)他人臉信息的處理，并出具相關(guān)信息已刪除完畢的書(shū)面證明，為他提供其他能保證隱私權(quán)的便利出入誠(chéng)基中心的方式，以及賠償律師費(fèi)和訴訟費(fèi)用。

顧城方除了援引《人臉識(shí)別司法解釋》第十條和第八條之外，還提到當(dāng)時(shí)已由全國(guó)人大通過(guò)，即將生效的《個(gè)人信息保護(hù)法》第十五條：基于個(gè)人同意處理個(gè)人信息的，個(gè)人有權(quán)撤回其同意。個(gè)人信息處理者應(yīng)當(dāng)提供便捷的撤回同意的方式。

顧城訴稱(chēng)，他曾多次要求城關(guān)物業(yè)刪除他的人臉識(shí)別信息，并提供其他合理驗(yàn)證方式，但對(duì)方明確表示拒絕。城關(guān)物業(yè)拒絕刪除他的人臉識(shí)別信息，使用人臉識(shí)別作為出入服務(wù)區(qū)域的唯一驗(yàn)證方式，侵犯了他的人格權(quán)，違反了處理人臉信息需要遵循的“合法、正當(dāng)、必要”原則。

城關(guān)物業(yè)辯稱(chēng)，人臉識(shí)別信息采集是通過(guò)業(yè)主委員會(huì)、綜合治理辦公室、社區(qū)、街道辦共同完成的工作，同時(shí)在天津市公安局和平分局進(jìn)行聯(lián)網(wǎng)監(jiān)控，符合現(xiàn)在疫情管控要求，顧城的人臉信息只在門(mén)禁上使用，存儲(chǔ)在內(nèi)部數(shù)據(jù)庫(kù)和硬盤(pán)里，該數(shù)據(jù)庫(kù)沒(méi)有跟網(wǎng)絡(luò)連接。

和平區(qū)法院采信了城關(guān)物業(yè)的觀點(diǎn)。法院認(rèn)為，鑒于誠(chéng)基中心居住人員眾多，使用顧城人臉信息，是按照天津市疫情防控的相關(guān)規(guī)定和要求，“確為疫情防控的必要措施和需要”，此外法院還認(rèn)為，顧城提供的相關(guān)證據(jù)，不能證明城關(guān)物業(yè)侵犯了他的隱私權(quán)。據(jù)此，一審法院駁回了顧城的全部訴訟請(qǐng)求。

“一審敗訴有點(diǎn)出乎意料。”顧城說(shuō)，“案情很簡(jiǎn)單，法條也很清晰，覺(jué)得法院最多不支持賠償律師費(fèi)，但是不會(huì)在問(wèn)題定性上產(chǎn)生分歧?！?/p>

勞東燕是清華大學(xué)法學(xué)院教授，長(zhǎng)期關(guān)注個(gè)人信息保護(hù)，她告訴《中國(guó)新聞周刊》，顧城案的一審判決“對(duì)于現(xiàn)行的法律規(guī)定理解明顯是錯(cuò)誤的”。她指出，在《個(gè)人信息保護(hù)法》中明確規(guī)定撤回同意就可以刪除，而根本沒(méi)有規(guī)定必須證明數(shù)據(jù)處理者在處理過(guò)程中存在安全方面的隱患，個(gè)人才可以行使刪除權(quán)。

“如果像顧城案一審法院這么理解的話(huà)，任何個(gè)人都勢(shì)必會(huì)敗訴，因?yàn)閭€(gè)人根本沒(méi)法證明數(shù)據(jù)處理者處理個(gè)人信息的行為存在安全隱患，除非個(gè)人信息已經(jīng)被泄露了，但即使泄露了，也很難證明是誰(shuí)泄露的。”她說(shuō)。

勞東燕還提出，一審法院考慮到疫情防控的因素，而駁回顧城的訴求，也存在對(duì)法律的理解偏差?！耙咔橐呀?jīng)不能說(shuō)是突發(fā)狀態(tài)，更何況《個(gè)人信息保護(hù)法》和《人臉識(shí)別司法解釋》都是疫情期間公布的，自然可以推斷是適用于疫情期間的?！?/p>

她指出，一審法院可能過(guò)多地考慮到了疫情防控需要，“但是疫情防控也應(yīng)該守法，在法治的軌道上進(jìn)行，不能把臨時(shí)性的政策性規(guī)定凌駕于法律之上”。

顧城決定上訴。他與律師復(fù)盤(pán)，一審之所以敗訴，有可能是因?yàn)榘赣杀欢椤半[私權(quán)糾紛”，由于他無(wú)法證明自己的信息已被泄露，因此無(wú)法認(rèn)定隱私權(quán)受到侵害。二審上訴時(shí)，上訴案由變?yōu)椤皞€(gè)人信息保護(hù)糾紛”，在個(gè)人信息保護(hù)方面，舉證責(zé)任在物業(yè)方。

2022年5月18日，天津市第一中級(jí)人民法院對(duì)此案二審判決，支持了顧城的訴求。

法院認(rèn)為，城關(guān)物業(yè)于2020年2月啟用人臉識(shí)別系統(tǒng)作為業(yè)主及物業(yè)使用人出入驗(yàn)證方式，能夠更精準(zhǔn)識(shí)別出入小區(qū)人員，使小區(qū)管理更加安全、通行更加高效，在新冠肺炎疫情防控中發(fā)揮了較大作用，并不違反法律規(guī)定。但是，顧城辦理入住時(shí)，雖然同意城關(guān)物業(yè)提取其人臉信息作為通行驗(yàn)證方式，但此后多次就城關(guān)物業(yè)提取人臉信息作為唯一的驗(yàn)證通行方式提出異議。城關(guān)物業(yè)拒絕為顧城提供其他驗(yàn)證方式，這種做法與《人臉識(shí)別司法解釋》第十條相悖。

因此二審法院認(rèn)為，城關(guān)物業(yè)應(yīng)積極履行法律義務(wù)，刪除顧城的人臉信息，并為其提供其他驗(yàn)證方式，并承擔(dān)顧城因本案訴訟支出的律師費(fèi)等合理費(fèi)用。

如今人臉識(shí)別裝置在全國(guó)各個(gè)小區(qū)“全面開(kāi)花”，如何規(guī)范物業(yè)公司對(duì)住戶(hù)人臉的采集行為？地方法規(guī)已經(jīng)先行一步。

浙江理工大學(xué)法政學(xué)院副教授郭兵告訴《中國(guó)新聞周刊》，今年3月1日，最新修訂的《杭州市物業(yè)管理?xiàng)l例》施行，其中增加了規(guī)定，“物業(yè)服務(wù)人不得強(qiáng)制業(yè)主通過(guò)指紋、人臉識(shí)別等生物信息方式進(jìn)入物業(yè)管理區(qū)域或者使用共有部分?！?/p>

天津誠(chéng)基經(jīng)貿(mào)中心的人臉識(shí)別門(mén)禁。圖/受訪(fǎng)者提供

郭兵曾參與修訂《杭州市物業(yè)管理?xiàng)l例》的聽(tīng)證會(huì)，并針對(duì)人臉識(shí)別信息的保護(hù)提出建議。當(dāng)時(shí)，他的身份除了是法學(xué)專(zhuān)家，還是“中國(guó)人臉識(shí)別第一案”的發(fā)起人。

那是在2019年10月，身為杭州野生動(dòng)物世界年卡會(huì)員的郭兵，被通知未經(jīng)注冊(cè)人臉識(shí)別，其所購(gòu)年卡將無(wú)法正常入園，他不愿被采集人臉信息，要求退卡退費(fèi)被拒，于是將動(dòng)物世界告上法庭。

經(jīng)法院判決，動(dòng)物世界最終刪除了郭兵辦理年卡時(shí)提交的面部特征信息，賠償了他合同利益損失及交通費(fèi)。2020年，在這起引發(fā)廣泛關(guān)注的訴訟期間，《杭州市物業(yè)管理?xiàng)l例》開(kāi)始修訂，在全國(guó)率先啟動(dòng)強(qiáng)制人臉識(shí)別禁止性條款的地方立法。

緊隨其后，《四川省物業(yè)管理?xiàng)l例》在2021年開(kāi)始修訂，其中更加明確了業(yè)主委員會(huì)及委員、候補(bǔ)委員和物業(yè)服務(wù)人等主體，不得泄露業(yè)主信息或者將業(yè)主信息用于與物業(yè)管理無(wú)關(guān)的活動(dòng);同時(shí)明確了物業(yè)服務(wù)人不得以強(qiáng)制業(yè)主通過(guò)指紋、人臉識(shí)別等生物信息的方式使用共用設(shè)施設(shè)備。

我國(guó)首部《個(gè)人信息保護(hù)法》在2021年11月1日起施行，突出了對(duì)生物識(shí)別信息作為敏感個(gè)人信息的特別保護(hù)，其中指出：“敏感個(gè)人信息是一旦泄露或者非法使用，容易導(dǎo)致自然人的人格尊嚴(yán)受到侵害或者人身、財(cái)產(chǎn)安全受到危害的個(gè)人信息?！泵舾袀€(gè)人信息包括生物識(shí)別、宗教信仰、特定身份、醫(yī)療健康、金融賬戶(hù)、行蹤軌跡等信息，以及不滿(mǎn)十四周歲未成年人的個(gè)人信息。

只有具有特定的目的和充分的必要性，并采取嚴(yán)格保護(hù)措施的情形下，個(gè)人信息處理者方可處理敏感個(gè)人信息。與普通的個(gè)人信息相比，《個(gè)人信息保護(hù)法》規(guī)定，處理個(gè)人敏感信息應(yīng)該進(jìn)行更多的告知，包括相應(yīng)的風(fēng)險(xiǎn)，以及應(yīng)當(dāng)取得個(gè)人的單獨(dú)同意。

但是，在勞東燕看來(lái)，《個(gè)人信息保護(hù)法》將一般個(gè)人信息和敏感個(gè)人信息做了區(qū)分，體現(xiàn)了強(qiáng)化保護(hù)后者的精神，這種“強(qiáng)化”仍有明顯的不足之處。

“突出保護(hù)敏感個(gè)人信息的地方，其實(shí)只在于征求同意的環(huán)節(jié)，其他地方和普通個(gè)人信息幾乎沒(méi)有差別，并沒(méi)有在實(shí)質(zhì)上抬高法律保護(hù)的門(mén)檻?！眲跂|燕認(rèn)為，從法律層面來(lái)說(shuō)，如今對(duì)生物識(shí)別信息的保護(hù)依然是是遠(yuǎn)遠(yuǎn)不足的，全國(guó)人大及其常委會(huì)有必要考慮對(duì)生物識(shí)別信息進(jìn)行單獨(dú)立法，不應(yīng)放在《個(gè)人信息保護(hù)法》的框架下來(lái)保護(hù)。

勞東燕還指出，《個(gè)人信息保護(hù)法》第二十六條規(guī)定，“在公共場(chǎng)所安裝圖像采集、個(gè)人身份識(shí)別設(shè)備，應(yīng)當(dāng)為維護(hù)公共安全所必需，遵守國(guó)家有關(guān)規(guī)定，并設(shè)置顯著的提示標(biāo)識(shí);所收集的個(gè)人圖像、身份識(shí)別信息只能用于維護(hù)公共安全的目的，不得用于其他目的;取得個(gè)人單獨(dú)同意的除外?！边@一條款存在用“公共安全”作為“口袋”的嫌疑。

“如果對(duì)這里面的‘公共安全’做擴(kuò)張性的解釋?zhuān)瑢?shí)際上就意味著除了家里，幾乎所有地方都可以安裝人臉識(shí)別裝置，比如地鐵、小區(qū)，甚至樓道?！彼J(rèn)為，當(dāng)以“公共安全”作為理由寫(xiě)入立法后，就要對(duì)其進(jìn)行嚴(yán)格的解釋和限定，不然就可能將過(guò)濫的人臉信息收集予以合法化。

此外，人臉信息收集的濫用，可能造成大量的信息泄露，產(chǎn)生許多事故和糾紛?！爱?dāng)問(wèn)題洪水一般涌來(lái)，會(huì)給后端的監(jiān)管和執(zhí)法帶來(lái)特別大的壓力，而執(zhí)法資源是有限的。”勞東燕說(shuō)，除了信息采集的濫用，還要關(guān)注對(duì)信息的保管與使用環(huán)節(jié)的規(guī)制，以及如何更好地行使刪除權(quán)。

2019年起訴杭州野生動(dòng)物世界時(shí)，郭兵曾要求在第三方專(zhuān)業(yè)技術(shù)機(jī)構(gòu)的見(jiàn)證之下，動(dòng)物世界刪除他的人臉信息，但沒(méi)有獲得法院支持。

“我到現(xiàn)在仍然認(rèn)為，這是刪除權(quán)的最佳實(shí)現(xiàn)方式。”他指出，在顧城的案子里，城關(guān)物業(yè)自稱(chēng)將人臉信息存儲(chǔ)在“內(nèi)部數(shù)據(jù)庫(kù)和硬盤(pán)”，難以確保保密性，而對(duì)于顧城的“臉”到底刪沒(méi)刪，也不能聽(tīng)信對(duì)方的一面之詞。