进小区不用“赏脸” 看房不用戴头盔

最高人民法院：不得强制将人脸识别作为出入小区唯一验证方式

图源：IT时报

文/ 潘少颖

7月28日，最高人民法院发布《最高人民法院关于审理使用人脸识别技术处理个人信息相关民事案件适用法律若干问题的规定》（以下简称“规定”），对滥用人脸识别问题作出了司法统一规定，该规定自8月1日起施行。

图源：最高人民法院

《规定》显示，商场、宾馆、车站等经营场所、公共场所违反法律、行政法规的规定，使用人脸识别技术进行人脸验证、辨识或者分析，应当认定属于侵害自然人人格权益的行为；物业也不得将“刷脸”作为进出社区的唯一验证方式；此外，信息处理者必须就人脸信息处理活动单独取得个人同意，而不能与其他信息捆绑授权。

如此，被滥用的人脸识别会“踩刹车”吗？

01 供应商暂停提供人脸识别方案

20多平方米的万科上海一售楼处内，安装了10多个大大小小的摄像头，其中人脸识别摄像头用于记录客户的到访时间；而在上海爱琴海购物公园，每个进入商场的大门和从车库进入商场的电梯口，均安装了球体摄像头，据供应商介绍，在这幢6层楼的商场内安装了200多个人脸识别球体摄像头……这是去年12月“带头盔看房”一事发酵后，本报进行的跟踪报道。

上海爱琴海购物公园里布满了摄像头，图源：IT时报

在今年的“3·15”晚会中，科勒、宝马等使用人脸识别摄像头的情况被曝光，当消费者的面部被系统抓取后，后台会自动读出年龄、性别及到店次数、消费记录和偏好等信息。甚至，连消费者的心情都可以获知，而且无须征得客户同意。

根据《规定》，商场、宾馆、车站等经营场所使用人脸识别技术进行人脸验证、辨识或者分析，应当认定属于侵害自然人人格权益的行为。

近日，《IT时报》记者走访了上海的一些商场，发现大多数商场内每隔三五米都会有一个球体摄像头，也鲜有商场有“摄像头正在监控”等此类提示。这些球体摄像头作何用，是否依然会记录人脸，商场工作人员均表示“否定”，“摄像头主要是进行客流量统计以及安防监控，并没有记录进店用户的人脸。”一家大型商场的工作人员告诉《IT时报》记者。

图源：IT时报

此前，在人脸识别“肆意生长”的时候，不少科技公司都推出了植入人脸识别技术的方案，主要为商场等经营场所提供用户信息。

“技术上可以，法律上不允许。”一位向门店提供智慧方案的科技公司人士对《IT时报》记者表示。

《IT时报》记者以店内需要安装摄像头为由，咨询了多家供应商，当记者表示解决方案中需要有人脸识别技术能记录一位用户到店次数、爱好等数据时，大家均表示“人脸识别现在比较敏感，无法提供此类方案，现在提供的方案主要包括客流量、性别比例、店内某区域某一时间段内的客流量、缺货提醒等一些和人脸无关的信息。”

“如果一定要使用人脸识别功能，需你向进店的每一位用户分别告知店内在进行人脸识别，征得每一位用户的同意才能采集人脸，而且要和我们签订承诺书，确保店里的每一位用户都同意，但这是很难做到的。”一家科技公司销售人员告诉《IT时报》记者，自从“3·15”之后，尤其是最近最高法的《规定》出台后，行业内都比较谨慎。

02 业主可以“不赏脸”

“小区自从装了人脸识别门禁后，每家只给两张门卡，其余的人都要刷脸才能进小区。”此前，《IT时报》记者在采访中经常听到此类抱怨，甚至有的小区、商务楼启用刷脸之后，就完全摈弃了刷卡方式。

针对此现象，《规定》明确：物业服务企业或者其他建筑物管理人以人脸识别作为业主或者物业使用人出入物业服务区域的唯一验证方式，不同意的业主或者物业使用人请求其提供其他合理验证方式的，人民法院依法予以支持。

也就是说，对于不同意刷脸的业主或者物业使用人，小区物业应当提供替代性验证方式，不得侵害业主或物业使用人的人格权益和其他合法权益。

在最高人民法院研究室副主任郭锋看来，小区人脸识别设备的使用，主要集中在强制“刷脸”的问题上，在录入人脸信息时，小区物业会要求人脸信息与详细住址、身份信息相绑定，这些信息一旦泄露，可能给个人隐私造成损害，因此不能以智能化管理为由。

“我们小区有两个出入口，一个出入口只能刷卡，另外一个既可以刷卡也可以刷人脸，考虑到信息安全，我们把刷卡作为主要进小区的方式，现在400多家住户中有一半不到住户录入过人脸。”浦东一小区的物业工作人员告诉《IT时报》记者。

《IT时报》记者随机采访了上海的部分小区，绝大多数小区都有刷卡和刷脸两种方式，只不过有的小区前期在大力宣传刷脸进小区，录入人脸的业主比较多，而有的小区并未大力推行刷脸进小区，愿意刷脸的业主比例并不高。

“我们是从今年初开始推行刷脸进门洞的，由业委会牵头，进行公示、通知等流程，得到了大部分业主的同意。而且考虑到信息安全，人脸识别门禁只‘识人’不‘记人’，也就是只采集人脸，不采集身份信息、电话号码、名字等，数据也只保存在本地。”普陀一小区业委会主任向《IT时报》记者表示，如果不愿刷脸，刷卡也可以进门洞。

近日，广东省人民检察院公布4件个人信息保护检察公益诉讼典型案例，其中一件是处置住宅小区违规设置“人脸信息识别”门禁系统，当地7个住宅小区物管公司在未向行政主管部门申请并审核验收的情况下，擅自安装并投入使用“人脸信息识别”门禁系统，且已完成大部分小区业主的人脸信息采集。

03 大多数App未单独征求同意

App向用户过度索取权限的现象近年来受到全社会高度关注，有关部门也开展了整治行动。《规定》中也明确，信息处理者在征得个人同意时，必须就人脸信息处理活动单独取得个人的同意，不能通过一揽子告知同意等方式征得个人同意；此外，不能带有任何强迫因素，包括“不点击同意就不提供服务”等。

最高人民法院研究室民事处处长陈龙业表示，自愿原则是《民法典》的基本原则，个人的同意必须是基于其自愿而作出，特别是对人脸信息的处理。如果信息处理者采取“与其他授权捆绑”“不点击同意就不提供服务”等模式，会导致自然人无法单独对人脸信息作出自愿同意，或者被迫同意处理其本不欲提供且非必要的人脸信息。

《IT时报》记者查看了几款常用的App，发现和金融相关的App一般都有关于采集人脸信息相关的提示。比如在支付宝的隐私政策里，有关“身份验证”中提到，选择刷脸登录服务，需提供脸部图像或视频。如果不需要使用刷脸登录、指纹登录或面容ID登录，也可以选择密码登录、短信验证码登录等其他方式。

图源：支付宝隐私协议

而在农行的隐私政策里也提到，在使用个人掌银指纹/人脸识别登录服务时，需提供指纹识别信息、面部识别信息。

不过，有部分App在隐私政策里并没有和人脸信息相关的规定。在京东上，记者开通刷脸登录，在其隐私政策中，并没有关于人脸信息的相关说明，只是在部分特殊类型商品交易或服务时还需要提供其他必要信息中提到，可能需要提供本人的照片或视频。

根据《规定》中明确的不能一揽子告知同意、不能强迫同意两点要求，大多数App都做到了不强迫同意这一点，但在“不一揽子告知同意”方面，不少App并没有把和生物信息相关的采集方法、存储方式、使用范围等单独列出，基本都是和隐私政策融合在一起，用户如果同意隐私政策就意味着同意App采集个人生物信息。

#记者手记#

人脸识别，莫“不讲武德”

对于这项《规定》的出台，业内人士是叫好的。

作为网络安全专家，上海众人网络安全技术公司董事长谈剑锋近年来一直关注个人生物信息的保护，对于此次《规定》，他表示，对滥用人脸识别技术作出了明确规定，很有指导意义。“生物信息包含很多内容，先从人脸识别开始，跨出第一步很不容易。”

记者在采访中也感受到，目前随着各方面对生物信息保护的重视，滥用人脸识别的情况已经有所“刹车”。

不过， “刹车”之后会出现“加把油再冲刺”吗？正如上述科技公司销售人员所说，因为近段时间以来，不断有媒体曝光，再加上《规定》的出台，所以，大家都小心翼翼。

但是，当这阵风吹过之后，人脸识别供应商、商场等还能继续“刹住车”吗？

我们自己的生物信息要用一辈子，业内安全人士在保护个人生物信息方面已经做了很长时间的努力，也正在着力唤醒大家对个人生物信息保护新的认识，所以，并不希望现在“刹车”是一时的，是因为《规定》出台而暂时“止步”。

繁荣数字经济，是为了共享数字红利，法治落地，让人脸识别规范起来，用户体验也会更加便利，数字经济也回拥有健康发展的新助力。