随着人脸识别技术的广泛应用,随之而来的纠纷也越来越多。8月1日起施行的《最高人民法院关于审理使用人脸识别技术处理个人信息相关民事案件适用法律若干问题的规定》(下称《规定》),对经营场所滥用人脸识别技术等问题作出规制。我所诉讼中心负责人王晓倩律师,对其中的部分条款进行分析。
《规定》的适用范围是什么?
《规定》第一条,在宾馆、商场、银行、车站、机场、体育场馆、娱乐场所等经营场所、公共场所违反法律、行政法规的规定使用人脸识别技术进行人脸验证、辨识或者分析,应当认定属于侵害自然人人格权益的行为。这意味着《规定》适用于所有公共场所的人脸识别应用。
需要注意的是,人脸信息属于个人信息的一部分,属于个人信息中的“生物识别信息”。人脸信息的处理包括人脸信息的收集、存储、使用、加工、传输、提供、公开。此《规定》适用于平等民事主体之间因使用人脸识别技术处理人脸信息所引起的相关民事纠纷。此外,虽然没有使用人脸识别技术,但是处理基于人脸识别技术生成的人脸信息,引起的民事案件也符合该规定。
“前一种情形针对的是现实生活中普遍存在的人脸识别行为,而后一种情形则似乎是为了防止‘深度伪造’类技术滥用而量身定制。”王晓倩说,“AI换脸”等人脸生成、人脸属性修改、人脸替换、表情操纵都属于深度伪造手段类技术。近年来,因人脸信息等身份信息泄露导致“被贷款”“被诈骗”和隐私权、名誉权被侵害等问题也多有发生。甚至还有一些犯罪分子利用非法获取的身份证照片等个人信息制作成动态视频,破解人脸识别验证程序,实施窃取财产、虚开增值税普通发票等犯罪行为。
人脸识别讨论最多争议最大的非物业管理和建筑物管理人莫属了。物业公司以管理为名强制收集业主人脸信息、各景区场馆非必要收集客户人脸信息、售楼处入门即收集客户人脸信息。导致小区业主集体反对声讨和客户戴头盔看房的热门新闻事件频频发生。
《规定》第十条明确了物业服务与建筑物管理人不得将人脸识别作为唯一出入验证方式,应当按照业主或者物业使用人的要求提供其他合理验证方式,并且收集的人脸识别信息如存在《规定》第二条规定的情形,还应当承担侵权责任。
滥用权利收集人脸信息和随意泄露业主、客户个人信息的时代已经一去不复返了。这对物业公司和建筑物管理人以及其身后提供人脸识别技术的公司来说都是不小的挑战。违法收集、滥用、泄露等都可能构成侵权,根据即将出台的《个人信息保护法》的相关建议,最高可面临五千万元的罚款并可吊销营业执照,对直接责任人最高可处一百万元的罚款。
由于实践中受害者分散、个人维权成本高、举证能力有限等因素,个人提起诉讼维权的情况相对较少,而公益诉讼制度能够有效弥补这一不足。证明侵害自然人人格权益的损害后果,或许需要专业性,或许需要借助第三方评估或者公证机构,这为受害人的举证增加了难度,也就是说,一张截图不足以承担举证证明责任。
可喜的是,《规定》第八条吸收了侵害知识产权的保护规则,将侵权行为进行调查、取证的合理费用、合理的律师费都纳入了赔偿范围。这也是鼓励受害者积极维权,净化网络环境,保护个人信息。
另外,根据信息数据传播快、受众广、影响大的特点,《规定》明确人民法院可以根据案件具体情况依法作出人格权侵害禁令。“禁止令可以对涉及人脸识别信息的内容采取删除、屏蔽、断开链接等必要措施。”王晓倩说,禁止令针对的不是侵害人脸信息后的行为,而是对正在实施或者即将实施侵害其隐私权或者其他人格权益的行为。
值得注意的是,《规定》第6条依据现有举证责任的法律适用规则,以及民法典规定内容,充分考虑双方当事人的经济实力不对等、专业信息不对称等因素,在举证责任分配上给信息处理者更多的举证责任。“也就是说,市民觉得自己的人脸信息被信息处理者侵害,对方要负责证明没有侵害。”王晓倩说,在民事诉讼中,相较于“谁主张,谁举证”的一般举证责任分配,举证责任倒置是一种较为特例的举证规则。举证规则的变化,最直接的影响就是负有举证责任的一方,将为其举证不力承担败诉后果。以售楼处非法收集客户人脸信息为例,现有的举证规则下,市民如果无法提供“售楼处收集了自己的人脸信息”的证据,则意味着其向售楼处追责诉求无法得到司法支持,若一旦举证责任倒置,则证明售楼处未收集客户人脸信息的责任就落到了售楼处身上,售楼处如果不主动采取有效的事前预防和存证措施,就很可能因此承担败诉风险。
什么情况下,信息处理者未经同意处理人脸信息可以免责?
随着信息技术飞速发展,人脸识别逐步渗透到人们生活的方方面面。大到智慧城市建设,小到手机客户端的登录解锁,都能见到人脸识别的应用。在国境边防、公共交通、城市治安、疫情防控等诸多领域,人脸识别技术发挥着巨大作用。
因此,在保护当事人合法权益和促进数字经济健康发展之间实现平衡,促进信息数据依法合理有效利用的情况下,以下情形人脸识别可免责:为应对突发公共卫生事件,或者紧急情况下为保护自然人的生命健康和财产安全所必需而处理人脸信息的；为维护公共安全,依据国家有关规定在公共场所使用人脸识别技术的；为公共利益实施新闻报道、舆论监督等行为在合理的范围内处理人脸信息的；在自然人或者其监护人同意的范围内合理处理人脸信息的；符合法律、行政法规规定的其他情形。
部分APP通过捆绑授权获得人脸识别授权,是否合法呢?
如果用户同意企业采集自己的人脸信息,是否意味着企业的做法就是正当的?《规定》第2条和第4条明确,处理自然人的人脸信息,必须征得自然人或者其监护人的单独同意；对于违反单独同意,或者强迫、变相强迫自然人同意处理其人脸信息的,构成侵害自然人人格权益的行为。
针对部分商家采用一次概括授权、与其他授权捆绑、“不交出人脸信息就不能使用”的潜规则,已然被法律打破,市民可以吃下定心丸了。
未成年人的人脸信息被采集的场景也越来越多。据团中央最近发布的《2020年全国未成年人互联网使用情况研究报告》显示,2020年我国未成年网民规模达到1.83亿,个人信息未经允许在网上被公开的比例为4.9%。在这些个人信息中,人脸信息具有唯一性和不可更改性。
按照告知同意原则,第2条第3项规定,信息处理者处理未成年人人脸信息的,必须征得其监护人的单独同意。此外,《规定》明确将“受害人是否为未成年人”作为责任认定特殊考量因素,对于违法处理未成年人人脸信息的,在责任承担时依法予以从重从严,确保未成年人人脸信息依法得到特别保护,呵护未成年人健康成长。
值得一提的是,《规定》发布后,腾讯成长守护平台表示:如果是未成年人实名账号,会按照政策要求直接纳入防沉迷,不会触发人脸。
从民事责任来看,针对一些侵犯个人信息、侵犯隐私权的行为,可要求对方承担赔礼道歉、损害赔偿、停止侵害等民事责任。
从刑事责任来看,于2017年6月1日起施行的《关于办理侵犯公民个人信息刑事案件适用法律若干问题的解释》(法释〔2017〕10号),对侵犯公民个人信息犯罪的定罪量刑标准和有关法律适用问题作了全面、系统的规定。同时《刑法》第二百五十三条规定:违反国家有关规定,向他人出售或者提供公民个人信息,情节严重的,处三年以下有期徒刑或者拘役,并处或者单处罚金；情节特别严重的,处三年以上七年以下有期徒刑,并处罚金。
违反国家有关规定,将在履行职责或者提供服务过程中获得的公民个人信息,出售或者提供给他人的,依照前款的规定从重处罚。窃取或者以其他方法非法获取公民个人信息的,依照《刑法》第二百五十三条规定处罚。单位违反以上规定的,对单位判处罚金,并对其直接负责的主管人员和其他直接责任人员,依照相应规定处罚。