“最少使用、遵循自愿、最小储存。”

文 / 巴九灵

上海打响了反对“强制刷脸”的第一枪。

4月12日，上海市旅馆业治安管理信息系统发文强调：

◎ 严禁对已出示本人有效身份证件的旅客进行“强制刷脸”核验；

◎ 严禁发生不“刷脸”不能入住问题；

◎ 对为忘带身份证件旅客提供便民核验服务的，应当明确征得旅客本人同意。

这条新规定，很快就得到了落实。4月21日，《21世纪经济报道》的记者致电上海亚朵、桔子、如家、全季、希尔顿欢朋等酒店，酒店均表示携带身份证可以直接入住。只有在旅客没带身份证的情况下，征求旅客同意后，才能进行人脸识别。

上海酒店业的做法，得到了很多网友的赞赏，因为天下苦“刷脸”久矣。

不知从何时开始，中国大大小小的酒店都装上了人脸识别系统，对办理入住的顾客强制“刷脸”认证。

麻烦随之而来。首先是拖慢了办理入住的效率，原本只要刷一下身份证，一分钟不到的功夫。现在却要排着长队“刷脸”，如果遇到设备失灵，顾客还要不停地晃脑袋，让人感觉很尴尬。

如果人长胖了、换发型了或者脸部受伤了，一旦系统识别不出来，顾客就会被酒店拒绝。

更可怕的是，我们存进去的脸部信息，可能会被不良商家泄露出去。早在2019年9月，就有媒体爆料，某网络商城中有商家公开售卖“人脸数据”，数量达17万条。

这些“人脸数据”涵盖2000多人的肖像，每个人约有50到100张照片。每张照片搭配有一份数据文件，除了人脸位置的信息外，还有人脸的106处关键点，如眼睛、耳朵、鼻子、嘴、眉毛等轮廓信息。

这些个人隐私信息，只要用AI技术加工一下，就能生成一个和真人几乎一样的数字人，不免细思极恐。

今年“两会”期间，全国政协委员戴斌提交了《关于限制旅游场景过度使用“人脸识别”的提案》。

戴斌认为，在酒店加装人脸识别设备终端的行为，不仅降低服务效率，容易引起游客的不满和投诉，而且也增加了企业的经营成本。戴斌建议公安部指导地方取消入住酒店必须刷脸的规定，并召回相关软硬件设备。

如今上海成了拒绝“强制刷脸”的先行者。据报道，广州、杭州等地方也相继跟进。

在此背景下，即将到来的五一假期，如果你面对酒店等公共场所的刷脸需求，能否更有底气说“不”呢？我们问了一些相关的法律专家和互联网观察家，一起出出主意。

姚成杰

上海邦信阳(杭州)律师事务所律师

我来帮大家梳理下当前关于人脸识别的“法律底线”。

涉及人脸识别的隐私保护的法律法规，主要是《民法典》与《个人信息保护法》。《民法典》从民事权利保护的角度规定了私密信息及其保护原则，《个人信息保护法》从个人信息处理的角度规定了敏感信息及其处理原则和基本规则。

2023年，关于人脸识别技术，国家网信办出台了一个关于《人脸识别技术应用安全管理规定（试行）（征求意见稿）》 ，但提醒各位注意，这不是法律法规，充其量是部门规章。

它有几条明确规定了：

◎ 实现相同目的或者达到同等业务要求，存在其他非生物特征识别技术方案的，应当优先选择非生物特征识别技术方案。

◎ 使用人脸识别技术处理人脸信息应当取得个人的单独同意或者依法取得书面同意。法律、行政法规规定不需取得个人同意的除外。

◎ 只有在具有特定的目的和充分的必要性，并采取严格保护措施的情形下，个人信息处理者方可处理敏感个人信息。

另外，很多时候人们涉及到人脸识别或者个人信息保护，都不免提及“隐私权”，但在法律层面，隐私权与个人信息保护有关联但也有明确区隔，不能混同。

《民法典》对隐私权和个人信息保护有不同法条分别明确，其中第1034条规定：“个人信息是以电子或者其他方式记录的能够单独或者与其他信息结合识别特定自然人的各种信息，包括自然人的姓名、出生日期、身份证件号码、生物识别信息、住址、电话号码、电子邮箱、健康信息、行踪信息等。”

个人信息中的私密信息，适用有关隐私权的规定；没有规定的，适用有关个人信息保护的规定。

人的脸部信息属于《个人信息保护法》所述的“敏感个人信息”，是指一旦泄露或者非法使用，容易导致自然人的人格尊严受到侵害或者人身、财产安全受到危害的个人信息，包括生物识别、宗教信仰、特定身份、医疗健康、金融账户、行踪轨迹等信息，以及不满十四周岁未成年人的个人信息。

在司法实践和学术论争中，人脸信息是否属于《民法典》所规定的“私密信息”存在争议。

敏感信息与私密信息之间存在交叉重合的关系，私密信息承载的人格利益主要是人格尊严、生命健康和财产安全，敏感信息还包括了政治权利和人权，与前者相比承载的人格利益更为广泛。

单纯的人脸信息不能将其作为隐私权保护的私密信息的范畴，但是若某些特定案例中人脸信息的美丑、脸部特殊识别标记等已影响到自然人人格尊严了，也有可能纳入私密信息而获得隐私权保护。

第二，在处罚上，隐私权与个人信息保护区别的侧重点也不同。

隐私权的损害赔偿采用过错责任原则而个人信息保护采取过错推定原则。

所谓“过错责任原则”，指的是通常由受害人证明行为人是否有过错；过错推定原则，指的是行为人不能证明自己没有过错的，应当承担损害赔偿等侵权责任。

换言之，张三认为自己被侵犯隐私的，只要拿出证据证明自己确实被侵犯了，就可以判定对方有错；但如果张三指控李四侵犯了自己的个人信息，需要由李四来证明自己没有侵犯。

董毅智

上海正策律师事务所律师

在我接触到的许多案例中，不难发现，如果不是消费者刻意指出、投诉举报，根本很难被发现，不被发现也意味着许多侵权行为很难被摆到公开的平台去讨论和解决。

在此我可以举两个简单案例帮助各位理解。

第一个案例，是发生在上海徐汇的一家展览馆。有群众举报，在这家展览馆有八个监控头，从不同的角度对准访客。

接到投诉后，公安机关侦查发现，这家企业采用了某公司开发的人脸采集分析软件，可实现包括巡店、安全管理、客流分析等功能在内的许多功能。而且除了这个展览馆，这套软件在商业上的用途十分广泛，作为日常管理的一部分，不少零售商店也配置了相同的软件。

据了解，在被立案调查后，该展览馆已经收集的人脸数据已经高达8000多万条。

公安机关认为，徐汇展览馆未经消费者同意采集了人脸信息，且信息已经有被滥用或者买卖的可能性。

这个案例反映了人脸信息的采集背后，存在一定的甚至丰厚的商业利益，而不仅仅只是所谓的“便利性”。

第二个判例，发生在乘客和成都铁路运输管理局之间。有乘客举报，认为高铁过闸时，会采用人脸识别的功能，侵犯了他的个人隐私权。这也是全国首例“刷脸坐火车”案。

原告认为，被告在采集和识别人脸信息以后，并没有向原告告知有没有存储原告的个人信息，也没有向原告告知有没有删除原告的个人信息。

在庭审中，成都铁路局出具了中国铁道科学研究院对核验闸机人脸比对流程的说明，载明“核验过程中，通过比对二代身份证识读设备读取的证件照片和刷证时采集的乘客现场照片，确认是否为本人过闸，整个比对流程均离线完成，不保存任何照片”。

最后原告胜诉，最高法院认为，消费者的知情权应该得到应有的保护。

从这个案例我们能看到的三点。

▶▷ 第一，即便是铁路这样的公共部门，在个人隐私保护方面，也存在着“告知”不清的情况。

▶▷ 第二，即便取得了当事人的同意，人脸数据信息的采集和保存，对很多人而言也是“冷知识”，如果不是这个案例，我们可能都不清楚，闸机是否具备存储能力这件事。

更何况在很多的商场，也是人脸采集的高发地带，重要的人脸信息的储存，都停留在“文件管理”上，任何人都能取用，没有任何加密的举措。

▶▷ 第三，依然是“问题的发现，严重依赖消费者的自觉，而非人脸采集方和储存方的自觉”，这就让个人隐私保护的工作较为被动。

当下，综合我对美国和欧盟等相关法律的研究发现，从法律层面出发，我国在个人隐私保护上并不“落后”，但缺少对法规的敬畏和对违法行为的自觉维护。

以美国为例，美国联邦法律针对人脸识别技术并没有做出统一的规定，但美国部分州，为了更好地保护个人信息和隐私安全，通过专门立法来进一步规范人脸识别技术的应用。

再说欧盟，欧洲议会官方网站上公布的《人工智能法案》草案中，人脸识别等实时远程生物识别技术从“高风险”级别被调整为“不可接受”级别，这意味着除法律规定的例外情形外，企业将被禁止利用人工智能技术在欧盟国家的公共场合进行人脸识别。

我国，人脸信息是典型的个人生物识别信息，因此已经纳入到了《网络安全法》保护的范围。另根据《个人信息保护法》第62条——针对小型个人信息处理者、处理敏感个人信息以及人脸识别、人工智能等新技术、新应用，制定专门的个人信息保护规则、标准。

再加上2023年8月8日公布《人脸识别技术应用安全管理规定（试行）（征求意见稿）》中，第九条有明确规定，宾馆、银行、车站、机场、体育场馆、展览馆、博物馆、美术馆、图书馆等经营场所，除法律、行政法规规定应当使用人脸识别技术验证个人身份的，不得以办理业务、提升服务质量等为由强制、误导、欺诈、胁迫个人接受人脸识别技术验证个人身份。

因此，法律上我们并不落后，但在普法上还有待提高。

说回到上海当前的举措，在进一步营造个人隐私保护方面，提供了一次很好的引导和示范，值得倡导，这样会鼓励更多地方能够自觉把“保护个人隐私”提到优先位置，也让更多个人有勇气对“侵犯个人隐私”行为说“不”。

其实这也不难，对于个人信息保护，只要记住12个字即可：最少使用、遵循自愿、最小储存 。

丁道师

速途传媒执行总编兼速途研究院院长

我有一位残疾人朋友，十几年前因为遭遇了一场火灾，把脸部烧伤了，所以系统识别不出他的脸部信息。涉及到用人脸识别验证的服务，他都用不了，给他带来很大的困扰。

观察互联网这么多年，我认为各种高新技术的发明，是为了让更多的人在原有的基础上给予更多的方便，但这里有个前提，不能为了追求某种新科技的便捷，就把之前的这些基本权利都取消了，人脸识别，相当于就是加了一层验证方式，或者说是提供了一种新的服务方式，但有的已经为此放弃了一些基本的保障。

这样的案例在现实中还有很多，例如，有些景区只允许在线上预约购买，线下买票渠道被取消了，还有订机票、看病挂号等。

从这个意义上说，我认为，安全和便捷总是呈反比的，很难兼得。这两年我国在人工智能、大模型、个人脸识别等领域出台了一系列的法律法规，就是想要尽可能在提供便捷的时候，保障安全，不让技术起反作用。

韩旭至

华东政法大学法律学院副教授、数字法治研究院副院长

身份校验有很多种方式，输密码是一种方式，看身份证是一种方式，人脸识别也是一种。

酒店管理条例要求我们核实住店人的身份，那问题就在于它需要核实到什么程度。如果核实程度要求高的，举个例子，如果只看身份证，人的模样可能会发生变化，因此单凭身份证不一定能分辨的出来，因此需要使用双因子身份验证，身份证是一个因子，人脸识别又是一个。

根据《个人信息保护法》第26条的规定，在公共场所安装图像采集、个人身份识别设备，应当为维护公共安全所必需，遵守国家有关规定，并设置显著的提示标识。所收集的个人图像、身份识别信息只能用于维护公共安全的目的，不得用于其他目的；取得个人单独同意的除外。

这也是在告诉人们，人脸信息采集，只有一个目的，就是维护公共安全。

那么，对于其他公共场所如酒店、公园等而言，如果不是出于这个目的，那么进行人脸识别其实是一件成本很高的事。

根据《个人信息保护法》第28条，个人信息处理者要处理敏感个人信息，必须满足三个要件，一要具有特定的目的，二要具有充分的必要性，三要采取严格保护措施。

这意味着，他们既需要写清楚自己做人脸识别的目的，也需要证明自己是必须这么做，还要公示自己是否有能力严格地保护这些信息。

作为一种身份识别机制，刷脸的技术逻辑与规制方式均不复杂。因此，刷脸风险的核心，既不在于“看”也不于“脸”，而在于对个人信息的数字化处理、比对和分析。

在身份识别机制向识别分析机制的转换中，刷脸的风险了发生迁移，规制机制的适用自然也会产生转向——从单纯地将其作为身份识别工具来维护公共安全等，到规范个人信息处理者的行为。

在这样的基础上，若相关企业依然坚持如此，那么一方面，可能对当前个人信息保护的意识还不足，另一方面，就是背后有其他商业利益作为引诱，而这正是法律想要杜绝的事。

相关链接：《封面报道｜“刷脸”攻防战》

《网信办拟出台人脸识别新规 银行、展馆、小区等场所不得强制“刷脸”》