“人脸识别技术的使用不得违反法律规定，应充分尊重他人的个人信息自主权，不得损害他人合法权益，不得强行剥夺被识别者的拒绝权”

《法治周末》记者 孟伟

(资料图片)

将脸正对着电子屏站定，“咔哒”一声小区门禁就打开了。这是在很多小区门外出现的场景。

随着人脸识别技术的不断发展，不少社区将NFC（NearFieldCommunication，意为近场通信）门禁更换成人脸识别的电子门禁。后者让业主进入社区更加便捷，却也引来了不少争议。

近日，浙江省宁波市镇海区人民法院通报的一起因小区物业公司安装人脸识别门禁引发的“个人信息保护案”受到广泛关注。法院最终判令物业公司删除收集的原告面部特征信息。

小区物业是否有权力强制要求业主使用人脸识别？人脸识别技术应用边界在哪儿？对此，《法治周末》记者采访了多位法学专家。

大量“人脸识别”进入社区

“一刷脸，健康码、体温、名字等信息就都出现在门禁的电子屏上了。”李璐（化名）家住在北京的一个比较老旧的小区，近些年物业开始对小区内进行整改，进出小区的门禁用上了人脸识别系统。

“3年前，我们小区物业在单元楼里贴了通知，上面提到很多外卖员和小区外部人员私配了门禁卡，为社区业主安全考虑启动人脸识别门禁系统，让我们在一个小程序上上传个人信息和照片。”李璐说，当时小区呈现出两种状态，年纪大一些的老人觉得不用拿门禁卡很方便，一些年轻的业主对此颇有微词，“我们怕泄露个人信息，当时就有很多业主反对”。

家住河南省郑州市的陈某也遇到了同样的困境，因担心信息被泄露拒绝备案，这两年来都是“蹭脸”跟随其他业主回家，给他的生活带来了极大的不便。对此，小区物业认为，“大家都反映这个装置很好，只有陈某是个例”。最终，经过协商，小区物业表示可以为陈某人工放行。

事实上，人脸识别技术早已围绕在我们身边。

2021年10月13日，南方都市报人工智能伦理课题组和App专项治理工作组发布的《人脸识别应用公众调研报告（2020）》（以下简称《报告》）中显示，人脸识别“强制使用”问题比较突出，其中就有门禁考勤这一项，占比21.76%。

把选择权还给业主

刷脸为电子支付、公园验票、物业安保、智能快递等提供了较大的便利，但非维护公共安全所必需的情况下，经营者是否有理由强制要求他人使用人脸识别技术？针对这些问题，此次宁波市镇海区人民法院审理的“个人信息保护案”中就有答案。

今年年初，原告余某某所住小区安装了“人脸识别”开门系统。余某某作为住户，物业采集了他的面部特征信息。今年7月，余某某以认为“人脸识别”技术存在个人信息保护方面的安全隐患为由将小区物业告上法庭，要求物业删除其人脸识别面部特征信息，保证单元安全出口畅通，并向其提供其他自由出入方式。经审理，法院当庭判决：物业公司于判决生效之日起五日内删除原告余某某被采集的面部特征信息，驳回余某某的其他诉讼请求。

该案法官表示：若物业强制要求验证人脸信息进出小区属于侵权。小区物业在使用人脸识别门禁系统录入人脸信息时，应当征得业主或者物业使用人的同意，对于不同意的业主或者物业使用人，小区物业应当提供替代性验证方式，不得侵害业主或物业使用人的人格权益和其他合法权益。

实际上，2021年，最高人民法院发布的《关于审理使用人脸识别技术处理个人信息相关民事案件适用法律若干问题的规定》中就有相应规定：“物业服务企业或者其他建筑物管理人以人脸识别作为业主或者物业使用人出入物业服务区域的唯一验证方式，不同意的业主或者物业使用人请求其提供其他合理验证方式的，人民法院依法予以支持。”

中央财经大学法学院副教授刘权向《法治周末》记者表示，个人有权拒绝人脸识别技术，经营者只有在消费者知情同意的前提下方能收集和使用生物识别信息，且须遵循合法、正当、必要原则。

“人脸识别技术的使用不得违反法律规定，应充分尊重他人的个人信息自主权，不得损害他人合法权益，不得强行剥夺被识别者的拒绝权。”刘权说。

中国政法大学传播法研究中心副主任朱巍告诉《法治周末》记者，此前“中国人脸识别第一案”是根据合同约定拒绝人脸识别，而宁波的这个案件是在民法典和个人信息保护法出台后依据个人信息权进行拒绝的。“作为物业公司、公园管理者或办公地点管理者，他们首先是可以设置人脸识别的，但必须要事先征求被采集者、被使用者的同意，不同意的应该让他们用其他的渠道进入”。

李璐所在小区的物业最终也尊重了业主的不同需求，“已经用上了人脸识别门禁，对于不同意录入照片的业主，物业给的解决方案是：想办就办，不想办就用原来的门禁卡也能进门”。

“对收集人脸识别信息的主体应当严格限定”

人脸识别技术使用范围的不断扩大引发部分民众对人脸识别技术的不信任和抵触，谈“刷脸”而色变。

在李璐看来，物业掌握着业主的住址信息又增加了照片信息，信息的安全可能很难得到保证。

刘权坦言，人脸识别应用系统本质上是一个信息系统，极易遭受恶意的攻击。一方面，人脸图像本身具有隐私性，可以被直接用来识别自然人身份。另一方面，通过算法分析，可以从人脸图像中分析出年龄、性别、健康状况等其他多种个人隐私。攻击各种人脸识别应用系统的主要目的是将面部信息用于实施非法经营行为，并从中获利。

近些年在立法层面，我国对人脸信息使用也已有一些明确规定。

民法典中明确：处理个人信息应当遵循合法、正当、必要的原则。

个人信息保护法第二十六条对使用范围作出明确规定，在公共场所安装图像采集、个人身份识别设备，应当为维护公共安全所必需，遵守国家有关规定，并设置显著的提示标识。所收集的个人图像、身份识别信息只能用于维护公共安全的目的，不得用于其他目的；取得个人单独同意的除外。

刘权认为，在公共场所可以收集人脸识别信息的主体应当严格限定为负有维护公共安全目的的组织。由此类组织基于维护公共安全的目的，并限定在最小必要范围内。

“人脸识别技术的主要目的是识别身份，精准识别身份有利于防止身份假冒，例如，金融业务，使用人脸识别完成精确的身份比对和验证，有其必要性和合理性。”北京师范大学法学院教授刘德良告诉《法治周末》记者，人脸识别技术有其存在的必要。

“未来应该把重点放在人脸识别使用环节”

为保障人脸信息的安全，刘权建议，进一步明确个人信息保护法中关于包含生物识别信息在内的敏感信息的处理和保护规则，强化个人信息保护认证机制。建立健全关于人脸识别信息保护的一体适用的安全与责任底线，明确相关主体责任以及信息采集主体范围，建议制定人脸信息保护的专门规定。

除了对前端的收集信息的手段和方式要进行严格管理外，更要关注人脸信息使用和处理。

朱巍认为，个人信息的保护，在严格遵照法律法规执行的基础上，还要做好技术层面的保护，“未来的发展方向一定是采集方、存储方、使用方、处理方是各自分开管理的。刷脸的采集方只有比对的权利，信息的储存方和处理方应为政府机关部门，保证信息的安全性”。

大部分人担忧个人信息被泄露后，他人冒用其身份办理某种业务，却需要自己承担责任。

对此，刘德良表示，现行立法及其理论试图通过控制使用而减少风险的做法难以实现立法目的。未来应该把重点放在使用环节，让使用方承担假冒风险的责任。他举例，“如被人冒用个人信息到银行办理业务产生损失，应该由使用人脸识别的机构承担举证责任，证明他严格履行了对比识别的义务。这样，机构就会积极采取措施来防止风险的发生，我们担心的问题也就得到了解决，还可以促进技术产业发展和社会进步”。