天津人臉識別第一案背后：“我的臉我做主”

苑蘇文

圖/視覺中國

顧城拒絕“刷臉”回家。

每次到小區門口門閘前，他都拒絕對攝像頭亮出臉，而是直接叫保安開門，有時遇到別人刷臉開閘，他就尾隨在后一起通過。

顧城租住在天津誠基經貿中心（下稱“誠基中心”）。2021年3月他搬入時，被告知小區只能刷臉進入，沒有其他進入方式。

想要入住，顧城必須向物業公司提供自己的人臉信息。

人臉信息是生物識別信息的一種，屬于敏感個人信息。每個人只有一張臉，如果人臉信息被隨意采集和濫用，隱患極大。近年來，盡管保護人臉信息的法律法規層出不窮，但公共場所的人臉采集設施越來越多。

2021年8月1日，最高人民法院關于人臉識別的司法解釋正式實施，要求物業公司不得將人臉識別作為唯一的通行驗證方式。

據此，顧城起訴物業公司，要求物業公司為他提供其他通行驗證方式，同時刪除他此前提供的人臉信息。

2022年5月18日，天津市第一中級人民法院二審法院判決，支持了他的訴求。

2021年3月，26歲的顧城在網上簽約租住了誠基中心的一套公寓。在拎包入住當天，他從房屋中介口中得知，小區只提供人臉識別的方式出入。

“因為房子我已經簽了，如果不住的話，還得付違約金。” 顧城與多數怕麻煩的租戶一樣，雖然心生懷疑，但還是硬著頭皮讓物業拍照錄入人臉，登記姓名、身份證號等信息。

安頓下來后，顧城發現，人臉識別機旁邊就有刷門禁卡的位置，但物業不給辦理門禁卡。他曾向保安詢問，對方表示人臉識別是“為了業主的安全”，物業人員則答復他，安裝人臉識別門禁，經過了業主委員會的同意，還有街道和社區這些官方組織的參與。

誠基中心的“刷臉”系統的確是為加強防護啟用的。這是位于天津市和平區商務核心區的商住兩用小區，由2 棟 33 層和 1 棟 50 層的超高樓宇構成，擁有居民住房 5536 套，商戶 400 家，容積率達 17.5。

在新冠疫情暴發之前，誠基中心就安裝了人臉識別系統的裝置，原計劃在2020年6月調試啟用，但由于新冠疫情的暴發，在2020年2月前后，這套系統就被提前啟用。

天津市在2020年1月24日啟動《天津市應對新型冠狀病毒感染的肺炎應急預案》一級響應。

“我們以高度的敏感性對形勢進行了預判，經過多個部門的研究商討，決定緊急啟用人臉識別系統。”社區黨委書記陳思延在2020年2月公開表示，要保障疫情得到有效防控，必須進行人防+技防相結合的模式，基本原則就是“堵住口、卡住門、看住人”。啟用人臉識別系統，是誠基中心“技防”的重要一步。

陳思延還介紹，誠基中心的人臉信息數據通過四種方式采集：一是網格員上門入戶采集;二是居民自主到物業公司客服中心采集;三是居民自主采集，然后微信發給網格員;四是居民把照片以郵件形式發到社區郵箱進行采集。

但顧城意識到，如果只有“刷臉”一種選擇，可能侵犯他自己的權益，“自從住進誠基中心以后，我就一直疑惑：憑什么強制我用人臉識別進門？”

他表示，誠基中心的物業并不能給他足夠的安全感，“采集我的人臉信息之后，怎么傳輸，怎么使用，存儲在哪里，我都一無所知，我不想把人臉信息交給這種沒被證明可信任的機構來管理”。

顧城的擔憂不無道理。北京煒衡（成都）律師事務所律師魏冬冬告訴《中國新聞周刊》，一些大的互聯網公司或是強監管領域的銀行等機構，合規體系相對完善，但一些小的企業，尤其是小物業公司，則是漏洞百出，明文存儲敏感個人信息是常態，也不把用戶人臉信息和身份信息分開存儲。

與用戶的數據安全相比，小公司會更注重成本和利潤。魏冬冬說，許多小物業公司購買的數據處理設備比較落后，并沒有完善的安全防護措施。

她甚至了解到，有的物業公司的人臉識別設施和員工考勤指紋打卡的設備價格都極為低廉，而設備供應商愿意低價供貨的原因，就是為了收集用戶的人臉等敏感個人信息。

“用戶的信息可以拿去賣錢，給供應商增加收益，所以很可能你我的人臉早就不知道被轉賣了多少手了。”魏冬冬說。

作為敏感個人信息，人臉信息具有唯一性、易獲得性和安全性三個特性。魏冬冬說，其中，“唯一性”在于不可變更，“密碼丟了可以更改，但人只有一張臉，只有這一把鑰匙，如果被盜，是無法更改的”，而“易獲得性”在于，只要遠遠安一個攝像頭，就可以獲取人臉信息，這導致人臉識別技術便于用來跟蹤人的行蹤軌跡，這就引申至“安全性”。

“由于人臉信息和人是綁定的，需要真人到訪才能提供，較難仿冒，人臉常被用于關鍵場所的出入身份驗證和支付驗證等重要場景，但近年也出現了利用人臉圖片、3D模型和深度合成技術制作的視頻騙過人臉驗證的事件。”魏冬冬說。

如何處理人臉信息才算恰當？魏冬冬說，無論是物業還是寫字樓要收集人臉信息，首先應獲取個人的單獨同意，讓其在載明人臉信息處理規則的清單上簽字，獲得同意后才可采集人臉信息，與此同時，還應給住戶提供替代的通行方式。

采集了人臉信息后，也要采取適當的技術措施去處理。魏冬冬介紹，首先在信息比對的環節，應盡量在本地完成人臉信息的比對，減少傳輸過程;其次，若需存儲，不存儲人臉照片或視頻本身，一般需要處理成“消息摘要”。消息摘要就是將任何一張人臉信息使用算法將其“翻譯”成一串唯一的字母數字組合，由于消息摘要是不能逆向還原為人臉信息本身的，所以可以防止人臉信息本身的泄露。

不過，魏冬冬指出，前述這些措施都只是推薦性國家標準的要求，不是強制性法律義務，只能作為行政執法的參考，而非直接的執法依據，對人臉識別的法律規制，還有賴于國家網信辦統籌協調有關部門出臺的人臉識別保護的細則、標準。

2021年8月1日，最高人民法院出臺《關于審理使用人臉識別技術處理個人信息相關民事案件適用法律若干問題的規定》 （下稱《人臉識別司法解釋》）生效施行。

在法學界看來，這份司法解釋對處理人臉識別信息進行了有力的規范，其不僅規范了賓館、商場、銀行、車站、機場、體育場館、娛樂場所等經營場所、公共場所和物業公司的采集人臉信息行為，還涉及舉證責任和維權合理開支等細節。

對于顧城遇到的情況，《人臉識別司法解釋》第十條規定，“物業服務企業或者其他建筑物管理人以人臉識別作為業主或者物業使用人出入物業服務區域的唯一驗證方式，不同意的業主或者物業使用人請求其提供其他合理驗證方式的，法院依法予以支持”。這意味著，顧城對物業采集人臉的拒絕“有法可依”。

司法解釋實施第二天，顧城再度向物業公司表達拒絕刷臉的訴求，要求其他通行方式，但仍然被拒絕。2021年8月9日，他委托律師向物業公司快遞律師函，對方在8月19日簽收后仍無回應，他決定起訴。

同年9月3日，天津市和平區人民法院對顧城的起訴立案，案由為“隱私權糾紛”，被起訴的誠基中心物業公司全名為蘭州城關物業服務集團有限公司天津分公司（下稱“城關物業”），顧城的訴訟請求包括物業刪除他的人臉信息，停止對他人臉信息的處理，并出具相關信息已刪除完畢的書面證明，為他提供其他能保證隱私權的便利出入誠基中心的方式，以及賠償律師費和訴訟費用。

顧城方除了援引《人臉識別司法解釋》第十條和第八條之外，還提到當時已由全國人大通過，即將生效的《個人信息保護法》第十五條：基于個人同意處理個人信息的，個人有權撤回其同意。個人信息處理者應當提供便捷的撤回同意的方式。

顧城訴稱，他曾多次要求城關物業刪除他的人臉識別信息，并提供其他合理驗證方式，但對方明確表示拒絕。城關物業拒絕刪除他的人臉識別信息，使用人臉識別作為出入服務區域的唯一驗證方式，侵犯了他的人格權，違反了處理人臉信息需要遵循的“合法、正當、必要”原則。

城關物業辯稱，人臉識別信息采集是通過業主委員會、綜合治理辦公室、社區、街道辦共同完成的工作，同時在天津市公安局和平分局進行聯網監控，符合現在疫情管控要求，顧城的人臉信息只在門禁上使用，存儲在內部數據庫和硬盤里，該數據庫沒有跟網絡連接。

和平區法院采信了城關物業的觀點。法院認為，鑒于誠基中心居住人員眾多，使用顧城人臉信息，是按照天津市疫情防控的相關規定和要求，“確為疫情防控的必要措施和需要”，此外法院還認為，顧城提供的相關證據，不能證明城關物業侵犯了他的隱私權。據此，一審法院駁回了顧城的全部訴訟請求。

“一審敗訴有點出乎意料。”顧城說，“案情很簡單，法條也很清晰，覺得法院最多不支持賠償律師費，但是不會在問題定性上產生分歧。”

勞東燕是清華大學法學院教授，長期關注個人信息保護，她告訴《中國新聞周刊》，顧城案的一審判決“對于現行的法律規定理解明顯是錯誤的”。她指出，在《個人信息保護法》中明確規定撤回同意就可以刪除，而根本沒有規定必須證明數據處理者在處理過程中存在安全方面的隱患，個人才可以行使刪除權。

“如果像顧城案一審法院這么理解的話，任何個人都勢必會敗訴，因為個人根本沒法證明數據處理者處理個人信息的行為存在安全隱患，除非個人信息已經被泄露了，但即使泄露了，也很難證明是誰泄露的。”她說。

勞東燕還提出，一審法院考慮到疫情防控的因素，而駁回顧城的訴求，也存在對法律的理解偏差。“疫情已經不能說是突發狀態，更何況《個人信息保護法》和《人臉識別司法解釋》都是疫情期間公布的，自然可以推斷是適用于疫情期間的。”

她指出，一審法院可能過多地考慮到了疫情防控需要，“但是疫情防控也應該守法，在法治的軌道上進行，不能把臨時性的政策性規定凌駕于法律之上”。

顧城決定上訴。他與律師復盤，一審之所以敗訴，有可能是因為案由被定為“隱私權糾紛”，由于他無法證明自己的信息已被泄露，因此無法認定隱私權受到侵害。二審上訴時，上訴案由變為“個人信息保護糾紛”，在個人信息保護方面，舉證責任在物業方。

2022年5月18日，天津市第一中級人民法院對此案二審判決，支持了顧城的訴求。

法院認為，城關物業于2020年2月啟用人臉識別系統作為業主及物業使用人出入驗證方式，能夠更精準識別出入小區人員，使小區管理更加安全、通行更加高效，在新冠肺炎疫情防控中發揮了較大作用，并不違反法律規定。但是，顧城辦理入住時，雖然同意城關物業提取其人臉信息作為通行驗證方式，但此后多次就城關物業提取人臉信息作為唯一的驗證通行方式提出異議。城關物業拒絕為顧城提供其他驗證方式，這種做法與《人臉識別司法解釋》第十條相悖。

因此二審法院認為，城關物業應積極履行法律義務，刪除顧城的人臉信息，并為其提供其他驗證方式，并承擔顧城因本案訴訟支出的律師費等合理費用。

如今人臉識別裝置在全國各個小區“全面開花”，如何規范物業公司對住戶人臉的采集行為？地方法規已經先行一步。

浙江理工大學法政學院副教授郭兵告訴《中國新聞周刊》，今年3月1日，最新修訂的《杭州市物業管理條例》施行，其中增加了規定，“物業服務人不得強制業主通過指紋、人臉識別等生物信息方式進入物業管理區域或者使用共有部分。”

天津誠基經貿中心的人臉識別門禁。圖/受訪者提供

郭兵曾參與修訂《杭州市物業管理條例》的聽證會，并針對人臉識別信息的保護提出建議。當時，他的身份除了是法學專家，還是“中國人臉識別第一案”的發起人。

那是在2019年10月，身為杭州野生動物世界年卡會員的郭兵，被通知未經注冊人臉識別，其所購年卡將無法正常入園，他不愿被采集人臉信息，要求退卡退費被拒，于是將動物世界告上法庭。

經法院判決，動物世界最終刪除了郭兵辦理年卡時提交的面部特征信息，賠償了他合同利益損失及交通費。2020年，在這起引發廣泛關注的訴訟期間，《杭州市物業管理條例》開始修訂，在全國率先啟動強制人臉識別禁止性條款的地方立法。

緊隨其后，《四川省物業管理條例》在2021年開始修訂，其中更加明確了業主委員會及委員、候補委員和物業服務人等主體，不得泄露業主信息或者將業主信息用于與物業管理無關的活動;同時明確了物業服務人不得以強制業主通過指紋、人臉識別等生物信息的方式使用共用設施設備。

我國首部《個人信息保護法》在2021年11月1日起施行，突出了對生物識別信息作為敏感個人信息的特別保護，其中指出：“敏感個人信息是一旦泄露或者非法使用，容易導致自然人的人格尊嚴受到侵害或者人身、財產安全受到危害的個人信息。”敏感個人信息包括生物識別、宗教信仰、特定身份、醫療健康、金融賬戶、行蹤軌跡等信息，以及不滿十四周歲未成年人的個人信息。

只有具有特定的目的和充分的必要性，并采取嚴格保護措施的情形下，個人信息處理者方可處理敏感個人信息。與普通的個人信息相比，《個人信息保護法》規定，處理個人敏感信息應該進行更多的告知，包括相應的風險，以及應當取得個人的單獨同意。

但是，在勞東燕看來，《個人信息保護法》將一般個人信息和敏感個人信息做了區分，體現了強化保護后者的精神，這種“強化”仍有明顯的不足之處。

“突出保護敏感個人信息的地方，其實只在于征求同意的環節，其他地方和普通個人信息幾乎沒有差別，并沒有在實質上抬高法律保護的門檻。”勞東燕認為，從法律層面來說，如今對生物識別信息的保護依然是是遠遠不足的，全國人大及其常委會有必要考慮對生物識別信息進行單獨立法，不應放在《個人信息保護法》的框架下來保護。

勞東燕還指出，《個人信息保護法》第二十六條規定，“在公共場所安裝圖像采集、個人身份識別設備，應當為維護公共安全所必需，遵守國家有關規定，并設置顯著的提示標識;所收集的個人圖像、身份識別信息只能用于維護公共安全的目的，不得用于其他目的;取得個人單獨同意的除外。”這一條款存在用“公共安全”作為“口袋”的嫌疑。

“如果對這里面的‘公共安全’做擴張性的解釋，實際上就意味著除了家里，幾乎所有地方都可以安裝人臉識別裝置，比如地鐵、小區，甚至樓道。”她認為，當以“公共安全”作為理由寫入立法后，就要對其進行嚴格的解釋和限定，不然就可能將過濫的人臉信息收集予以合法化。

此外，人臉信息收集的濫用，可能造成大量的信息泄露，產生許多事故和糾紛。“當問題洪水一般涌來，會給后端的監管和執法帶來特別大的壓力，而執法資源是有限的。”勞東燕說，除了信息采集的濫用，還要關注對信息的保管與使用環節的規制，以及如何更好地行使刪除權。

2019年起訴杭州野生動物世界時，郭兵曾要求在第三方專業技術機構的見證之下，動物世界刪除他的人臉信息，但沒有獲得法院支持。

“我到現在仍然認為，這是刪除權的最佳實現方式。”他指出，在顧城的案子里，城關物業自稱將人臉信息存儲在“內部數據庫和硬盤”，難以確保保密性，而對于顧城的“臉”到底刪沒刪，也不能聽信對方的一面之詞。