【案件背景】
近日，天津市第一中級人民法院二審判決的人臉識别糾紛案受到社會關注。該案因顧某所住小區的物業公司采用人臉識别作為出入小區的唯一驗證方式而起。原告顧某要求被告物業公司删除其人臉信息并提供無障礙出入小區方式，物業公司拒絕了該要求。一審法院認定本案屬于隐私權糾紛，由于原告并未證明被告侵害了其隐私權，駁回顧某請求。二審法院則将本案認定為個人信息糾紛，并适用《最高人民法院關于審理使用人臉識别技術處理個人信息等相關民事案件适用法律若幹問題的規定》的規定，最終判令物業公司必須給業主或者其他有權進出的人提供人臉識别之外的其他合理驗證方式。
近日，天津市第一中級人民法院二審判決的人臉識别糾紛案受到社會關注。該案并非是人臉識别糾紛的第一起案件，2019年杭州市就發生了被稱為“人臉識别第一案”的郭兵訴杭州野生動物世界有限公司服務合同糾紛案。相比而言，天津人臉識别糾紛案顯然是更典型的使用人臉識别技術處理個人信息的民事案件。因為，一方面，現實生活中有很多小區在疫情防控期間采取了人臉識别技術來管控小區的人員出入，因此本案具有很廣泛的代表性；另一方面，本案也涉及到個人信息保護法領域的一些重要問題，值得關注和思考，如人臉信息是隐私還是個人信息？何種情況下利用人臉識别技術處理個人信息是合法的等。
人臉信息是隐私還是個人信息
個人信息是指，以電子或者其他方式記錄的與已識别或者可識别的自然人有關的各種信息，不包括匿名化處理後的信息。人臉信息就是自然人的面部特征信息，屬于生物識别信息之一。故此，人臉信息當然是個人信息。依據《民法典》與《個人信息保護法》，自然人就其人臉信息等個人信息享有個人信息權益，受到法律的保護。在天津人臉識别糾紛案中，兩審法院之所以有不同的判決，根本原因在于對人臉信息究竟是隐私還是個人信息存在認識上的不同。
依據《民法典》第1032條第2款，隐私是自然人的私人生活安甯和不願為他人知曉的私密空間、私密活動、私密信息。自然人的私密信息屬于隐私，該私密信息可能是個人信息，也可能不是個人信息。如果人臉信息被認定為個人信息中的私密信息的話，那麼依據《民法典》第1034條第3款，“個人信息中的私密信息，适用有關隐私權的規定；沒有規定的，适用有關個人信息保護的規定。”
顯然，人臉信息僅僅是個人信息，而不屬于私密信息。所謂私密信息是指自然人不願為他人知曉的信息，這些信息一旦未經自然人同意被他人知曉或公開，将會侵害自然人的私生活安甯、私生活自主乃至人格尊嚴。隻有這樣的信息才屬于私密信息，如自然人的健康信息、婚姻信息、家庭信息、财産信息、犯罪記錄、人生經曆、嗜好、性取向等。人臉信息暴露于外，除非自然人隐居荒無人煙之處或者通過美容而改頭換面，否則他（她）在社會交往中是無法隐藏或不願他人知曉其臉部特征信息的。因為，人們在日常社會交往中必須通過臉部特征來識别特定的自然人，人與人之間的交流也需要借助面部表情加以實現。故此，人臉信息當然不屬于私密信息，不是隐私。
故此，本案的案由應确定為 “個人信息保護糾紛”，而非“隐私權糾紛”。
人臉信息屬于敏感的個人信息
人臉信息不僅屬于個人信息，還屬于敏感的個人信息。
《個人信息保護法》第28條第1款規定：“敏感個人信息是一旦洩露或者非法使用，容易導緻自然人的人格尊嚴受到侵害或者人身、财産安全受到危害的個人信息，包括生物識别、宗教信仰、特定身份、醫療健康、金融賬戶、行蹤軌迹等信息，以及不滿十四周歲未成年人的個人信息。”該款中的生物識别信息，是指關于自然人的身體、生理或行為特征的信息， 包括人臉、指紋、聲紋、掌紋、基因、虹膜、耳廓等信息。《最高人民法院關于審理使用人臉識别技術處理個人信息等相關民事案件适用法律若幹問題的規定》(以下簡稱“人臉識别司法解釋”)第1條第3款明确規定：“本規定所稱人臉信息屬于民法典第一千零三十四條規定的‘生物識别信息’。”
生物識别信息是與特定的自然人唯一對應的，并且難以或無法改變的。數據化的個人生物特征可以被永久性使用。生物識别信息既可以看作是關于某個自然人的個人信息的内容，也可以看作是一個信息與該自然人的關聯，例如，張三的指紋這一生物識别信息既可以說是張三的指紋，也可以說與張三有關（如張三曾觸摸過某物品而在其上留下了指紋）。因此，生物識别信息可以作為身份識别指标，用于識别特定的自然人。特别是随着人臉識别等生物識别技術的發展，個人生物特征這一信息可以很容易獲取并被用于驗證、識别和分析特定的自然人，從而形成對個人的全面監控（邊沁所謂的“圓形監獄”），侵害人格尊嚴、損害人格自由，對個人的人身權益、财産權益造成損害。故此，人臉信息等個人生物識别信息屬于敏感的個人信息。
對于處理敏感的個人信息，我國《個人信息保護法》作出了嚴格的規定，包括：首先，隻有在具有特定的目的和充分的必要性，并采取嚴格保護措施的情形下，個人信息處理者方可處理敏感個人信息。其次，處理敏感個人信息應當取得個人的單獨同意；法律、行政法規規定處理敏感個人信息應當取得書面同意的，從其規定。再次，個人信息處理者處理敏感個人信息的，除《個人信息保護法》第17條第1款規定的事項外，還應當向個人告知處理敏感個人信息的必要性以及對個人權益的影響，除非依照《個人信息保護法》的規定可以不向個人告知。最後，個人信息處理者處理敏感個人信息的，應當事前進行個人信息保護影響評估，并對處理情況進行記錄。
利用人臉識别技術屬于個人信息處理活動
人臉識别（facial recognition），通俗地說，就是使用面部識别或确認個人身份的方法。專業地說，就是指自動處理包含個人面部的數字圖像，以便對這些個人進行識别、認證/驗證或分類。人臉識别技術屬于生物識别技術一類，其他的還包括語音識别、指紋識别、虹膜識别等。人臉識别技術實際上包含了一系列的技術，可以為實現不同的目的而執行不同的任務。總的來說，人臉識别的功能就是驗證、識别與分類等三種。所謂驗證，也稱身份驗證，屬于“一對一的比對”，即通過比較兩個生物特征識别模闆以确定兩張圖像上顯示的人是否是同一個人。識别功能屬于“一對多的比對”，在個體識别的情況下，該功能的實現是通過将一個人的面部圖像模闆與存儲在數據庫中的許多其他模闆進行比較，以确定他或她的圖像是否存儲在那裡。分類功能也稱“匹配一般特征”，是指除了驗證和識别外，面部識别技術還用于提取有關個人特征的信息。故此，分類也被稱為“面部分析”。
現代社會中的人臉識别技術被廣泛運用于很多場景，從日常生活中的解鎖手機、電腦等設備，登錄網上銀行，電子支付，到出入境安全檢查、機場與車站的乘客身份驗證、執法部門的偵查犯罪等。總的來說，人臉識别的主要應用領域就是安全應用、醫療保健、産品服務營銷等三大領域。天津人臉識别糾紛案就是将人臉識别技術用于防疫期間管控小區出入人員，通過人臉識别技術的身份驗證功能，來确定進入小區的人員屬于小區的業主或者物業使用人。
依據《民法典》第1035條第2款以及《個人信息保護法》第4條第2款，個人信息的處理包括個人信息的收集、存儲、使用、加工、傳輸、提供、公開、删除等。“人臉識别司法解釋”第1條第2款也明确規定：“人臉信息的處理包括人臉信息的收集、存儲、使用、加工、傳輸、提供、公開等。”故此，無論在哪一種場景下，也不管發揮人臉識别技術的何種功能，隻要是對個人信息進行了收集、存儲、使用、加工等活動，就屬于使用人臉識别技術處理個人信息。此種個人信息處理活動必須嚴格遵守《民法典》《個人信息保護法》等法律法規的規定。
處理人臉信息必須有合法性根據
自然人對其個人信息享有個人信息權益，個人信息處理者要處理人臉信息等個人信息，其處理行為必須具有合法性根據，否則就是侵害個人信息權益的違法行為，必須依法承擔法律責任。依據《民法典》第1035條、第1036條以及《個人信息保護法》第13條的規定，處理個人信息的合法性根據分為兩大類：
一是，取得個人的同意，即取得自然人或者其監護人的同意。具體到處理人臉識别信息，處理者不僅要取得同意，而且還必須取得自然人或者其監護人的單獨同意。單獨同意的要求本質上就是法律強制要求個人信息處理者将個人針對某類處理活動作出的同意與對其他的處理活動作出的同意予以區分、凸顯出來。這就意味着，個人信息處理者在取得個人同意的時候，既不能将需要取得同意的個人信息處理活動的内容與其他信息混在一起，也不能将處理目的、處理方式和個人信息種類等不同的個人信息處理活動混在一起概括取得個人的同意。處理者必須就法律所規定的特定類型的個人信息處理活動專門取得個人的同意。
二是，符合法律、行政法規規定的情形，從而不需要取得個人的同意。如為訂立、履行個人作為一方當事人的合同所必須，或者按照依法制定的勞動規章制度和依法簽訂的集體合同實施人力資源管理所必須；為履行法定職責或者法定義務所必須；為應對突發公共衛生事件，或者緊急情況下為保護自然人的生命健康和财産安全所必須；為公共利益實施新聞報道、輿論監督等行為，在合理的範圍内處理個人信息等。
在天津的人臉識别案中，二審法院認為，物業公司基于涉案小區人員密集、安全防範難度較大的情況，在征得業主及物業使用人同意的情形下，于2020年2月啟用人臉識别系統作為業主及物業使用人出入驗證方式，能夠更精準識别出入小區人員，在新冠肺炎疫情防控中發揮了較大作用，并不違反法律規定。筆者認為，這一觀點并無道理。
首先，個人信息權益屬于人格權益，不得轉讓、繼承，也不得放棄，故此，該權益隻能由自然人自行行使，也就是說，必須由自然人自己作出同意即單獨同意的表示。物業公司不能以小區業主大會或業主委員會決定的方式來決定業主的個人信息權益的行使。
再次，人臉識别系統在疫情防控中發揮了較大的作用，不等于在使用人臉識别技術處理業主的個人信息的行為就是合法行為。或有人認為，疫情防控屬于《個人信息保護法》第13條第1款第4項規定的為應對突發公共衛生事件所必須的情形。對此，筆者認為，新冠肺炎疫情的發生屬于突發公共衛生事件，但即便如此，也并不意味當然可以不取得個人的單獨同意就以人臉識别技術處理人臉信息。
《個人信息保護法》第5條規定，處理個人信息應當遵循合法、正當、必要和誠信原則，不得通過誤導、欺詐、脅迫等方式處理個人信息。物業公司為了管控小區人員出入，有很多種方式，如可以發放出入證、門禁卡或者核查身份證等方式，人臉識别隻是可以采用的方式之一，絕不是唯一、必須的方式。然而，本案中，物業公司将人臉識别作為出入小區的唯一驗證方式，就等于如果不同意，業主或物業使用人就無法進出小區，因此，物業公司的行為就是脅迫業主必須同意處理人臉信息，明顯違反了個人信息保護法的合法、正當和誠信原則。
依據“人臉識别司法解釋”第4條，處理者強迫或者變相強迫自然人同意處理其人臉信息的情形的，不得以已征得自然人或者其監護人同意作為抗辯事由。也正因如此，該解釋第10條第1款還明确規定，物業服務企業或者其他建築物管理人以人臉識别作為業主或者物業使用人出入物業服務區域的唯一驗證方式，不同意的業主或者物業使用人請求其提供其他合理驗證方式的，人民法院依法予以支持。
綜上所述，本案二審法院認定物業公司處理人臉信息不違反法律，并不妥當。當然，其判令物業公司必須提供人臉識别之外的其他合理驗證方式則是正确的。
