2022年度《八五普法导读》---五、“个人生物识别信息”的...

admin

                 

典型案例

2019年 4月 27日，郭某支付 1360元购买杭州野生动物世界“畅游 365天”双人年卡，确定指纹识别入园方式。郭某与其妻子留存了姓名、身份证号码、电话号码等，并录入指纹、拍照。后来杭州野生动物世界决定将入园方式从指纹识别调整为人脸识别。2019年 7月，杭州野生动物世界向持年卡客户群发短信通知人脸识别激活事宜。 2019年 10月杭州野生动物世界停止使用指纹识别闸机，并以短信告知没有注册人脸识别的客户无法正常入园。杭州野生动物世界两次向郭某发送短信，通知年卡入园识别系统更换的事宜，要求郭某激活人脸识别系统，否则将无法正常入园游玩。郭某认为人脸信息属于高度敏感个人隐私，不同意接受人脸识别，要求杭州野生动物世界退卡退费。双方因协商未果，遂引发纠纷。郭某向杭州市富阳区人民法院提起诉讼。

法律处理

杭州市富阳区人民法院一审判决，杭州野生动物世界赔偿郭某合同利益损失及交通费 1038元；删除郭某办理年卡时提交的包括照片在内的面部特征信息；驳回郭某提出的确认杭州野生动物世界店堂告示、短信通知中相关内容无效等其他诉讼请求。郭某与杭州野生动物世界均不服一审判决，向杭州市中级人民法院提起上诉。

杭州市中级人民法院经审理认为，郭某在知悉杭州野生动物世界指纹识别店堂告示内容的情况下，自主作出办理年卡的决定并提供相关个人信息，该店堂告示对双方均具有约束力。人脸识别店堂告示并非双方的合同条款，对郭某不发生效力。杭州野生动物世界将已收集的郭某照片激活处理为人脸识别信息，超出此前双方合同约定内容，并违反了个人面部信息处理的正当性原则，故应当删除郭某办卡时提交的包括照片在内的面部特征信息。

法律分析

本案中，杭州野生动物世界随意改变此前与客户之间合同约定的条款，将指纹识别入园方式调整为人脸识别入园。因人脸信息属于个人高度敏感的信息，具有直接识别性和恒定不变性，人脸信息使用关系到个人人身利益和财产安全的核心利益。杭州野生动物世界将指纹识别入园调整为人脸识别入园违反法律的相关规定，涉嫌侵犯客户的个人信息，给客户个人信息造成安全隐患。因此，郭某拒绝杭州野生动物世界人脸识别的不当要求，与杭州野生动物世界协商未果后，向法院起诉维护自己的合法权利。法院依法作出判决，赔偿郭某合同利益损失，杭州野生动物世界删除郭某办卡时留下的指纹信息和包括照片在内的人脸信息。法院的判决明确了司法裁判的价值导向，即在大数据时代，法律最大程度地保护公民个人信息安全。

孔子曰：“非礼勿视，非礼勿听，非礼勿言，非礼勿行。”隐私权是一项古老的权利，我国从古代就注意保护个人隐私。在今天大数据时代，数据信息成为驱动经济社会发展的新型生产资料。我们如何保护个人信息安全？法律为我们保护个人信息安全筑起了“防火墙”。杭州郭某开启的“人脸识别第一案”是个人信息司法保护的典范。

人脸识别技术是基于人的脸部特征，用摄像机或摄像头采集含有人脸的图像或视频，并自动在图像中检测和跟踪人脸，进而对检测到的人脸进行脸部识别的一系列相关技术。人脸信息属于最敏感个人信息中的生物识别信息，是生物识别信息中社交属性最强、最易采集的个人信息，具有唯一性和不可更改性，一旦泄露将对个人的人身和财产安全造成极大危害。因此，《民法典》将人脸信息为代表的生物识别信息纳入了个人信息的保护范畴，并规定了处理个人信息，应当遵循“合法、正当、必要”的原则。《网络安全法》规定收集、使用个人信息应公开进行，告知使用个人信息的目的、方式和范围，并经被收集者同意。《信息安全技术个人信息安全规范》明确规定个人生物识别信息属于敏感信息，在收集前，需单独向个人信息主体告知收集、使用个人生物识别信息的目的、方式和范围，以及存储时间等规则，并应征得个人信息主体的明示同意。《刑法修正案（九）》扩大了侵犯公民个人信息罪的犯罪主体和个人信息的范围，加大对非法采集、转让、使用个人信息犯罪行为的打击力度。

专家点评

大数据时代下，个人信息安全成为一个尤为重要的议题。《民法典》肯定了个人生物识别信息的人格权属性，生物识别信息承载着人格尊严与个人隐私利益，需要给予更为严格的保护。该案对个人信息的法律规制有了诸多启发，二审判决的观点符合个人信息保护的大势所趋，很好地阐释了生物识别信息所蕴含的人格权精神内核。

——中国社会科学院法学所副研究员 窦海阳

法律依据

《民法典》第一千零三十四条  个人信息是以电子或者其他方式记录的能够单独或者与其他信息结合识别特定自然人的各种信息，包括自然人的姓名、出生日期、身份证件号码、生物识别信息、住址、电话号码、电子邮箱、健康信息、行踪信息等。

个人信息中的私密信息，适用有关隐私权的规定；没有规定的，适用有关个人信息保护的规定。

《民法典》第一千零三十五条  处理个人信息的，应当遵循合法、正当、必要原则，不得过度处理，并符合下列条件：（一）征得该自然人或者其监护人同意，但是法律、行政法规另有规定的除外；（二）公开处理信息的规则；（三）明示处理信息的目的、方式和范围；（四）不违反法律、行政法规的规定和双方的约定。个人信息的处理包括个人信息的收集、存储、使用、加工、传输、提供、公开等。

《网络安全法》第四十一条  网络运营者收集、使用个人信息，应当遵循合法、正当、必要的原则，公开收集、使用规则，明示收集、使用信息的目的、方式和范围，并经被收集者同意。