全国首例乘客诉铁路部门刷脸进站侵权案引发思考
“刷脸”时代 如何保住我们的“面子”？
刷脸支付、刷脸进门、刷脸入站……如今，刷脸仿佛已经成为了生活的常态。近年来，人脸识别作为一项新的信息技术在各领域广泛应用，同时，由此产生的个人信息侵权纠纷也随之而来。
无处不在的“镜头”，在提供便利的同时也让人们少了安全感，谁来保护我们的“脸”？
2023年4月27日，成都铁路运输中级法院依法在线开庭审理了汪某某与中国铁路成都局集团有限公司个人信息保护纠纷案，这也是全国首例公共交通领域使用人脸识别技术引发的个人信息侵权案件。处理人脸等敏感个人信息是否需要取得当事人单独同意?获取人脸信息有哪些告知义务?这起案件的审理提供了难得的启示。
她把铁路公司告了
2018年9月，贵阳东站投放自助闸机，同时保留人工验票通道。此后，央视新闻、贵州及贵阳地方新闻对自助闸机投入运营及“刷脸进站”陆续进行了相关报道。2021年11月25日，汪某通过12306购票系统购买了一张当天从贵阳东站至贵阳北站的高铁客票，车票5元。同日，汪某于贵阳东站进站乘车时，有人工验票通道和自助验票通道，车站广播提示乘客需要手持身份证、摘掉口罩刷脸进站。汪某通过自助验票通道刷脸验证后进站乘车。
汪某某认为，铁路部门在采集其人脸信息时，未依法作出明确告知，也未取得其授权或同意，侵害了她的合法权益，遂向法院提起诉讼。
2023年4月27日，成都铁路运输中级法院依法在线开庭审理了汪某某与中国铁路成都局集团有限公司个人信息保护纠纷案，这也是全国首例公共交通领域使用人脸识别技术引发的个人信息侵权案件。
原告汪某某认为，在她持票证刷脸进站的过程中，成都铁路局采集并存储了她的敏感人脸信息。其委托代理人表示，被告在采集和识别人脸信息以后，并没有向原告告知有没有存储原告的个人信息，也没有向原告告知有没有删除原告的个人信息。
“本案中的自助实名制核验闸机只是利用人脸识别技术比对人证是否一致，而我们的闸机仅仅使用的是比对的结果，有别于公众所熟悉的动物园刷脸入园，小区刷脸进门，闸机不具备储存功能。”在庭审中，被告成都铁路局出具了中国铁道科学研究院对核验闸机人脸比对流程的说明，载明“核验过程中，通过比对二代身份证识读设备读取的证件照片和刷证时采集的乘客现场照片，确认是否为本人过闸，整个比对流程均离线完成，不保存任何照片”。
车站在处理个人信息过程中是否存在存储传输等行为？为了查清这一事实，案件合议庭走访了相关的技术专家，并到自助闸机程序设计方中国铁道科学研究院电子所取证。
“通过相关证据证实，在乘客通过铁路自助闸机进站过程中，虽然采集了乘客的人脸信息，但并未存储传输及其他处理行为，并未对个人信息安全构成重大威胁。”成铁中院法官赖佳鹃表示，铁路部门基于履行维护公共安全的法定义务，处理乘客人脸信息符合个人信息保护法不需取得乘客个人同意的情形。法院经审理同时认为，取得同意义务的免除并不免除告知义务，成都铁路局未对采集乘客人脸信息的目的、方式、信息处理等事项履行告知义务，存在告知缺陷。
法庭审理认为，本案中人脸信息作为生物识别的敏感个人信息，个人信息处理者还应该依据个人信息保护法规定向个人告知处理敏感个人信息的必要性及对个人权益的影响。
综合考量成都铁路局为乘客提供人工通道选择权、多方广告告示、未过度使用人脸信息及告知义务缺陷对汪某某的影响和损害小等因素，告知缺陷亦不足以单独构成侵权。法院对汪某某请求判令成都铁路局停止违法采集人脸信息、赔礼道歉、赔偿损失800元等诉讼请求不予支持。宣判后，当事人未上诉。
被滥用的人脸识别
1月10日至1月11日，记者调查走访发现，成都一些企业、商场、写字楼、小区都装有人脸识别系统。
1月10日，记者在成都市成华区某小区看到，该小区除了使用门禁卡开门，还能使用人脸识别系统进入小区。该小区物管告诉记者：“刷脸进小区并非唯一进入方式，业主也可选择刷卡或报房门号等方式进入，而且上传业主照片是由业主自行选择是否上传。”
业主刘女士在该小区住了几年了，她从人脸识别门禁开始使用至今，一直不愿意录入个人信息。刘女士告诉记者：“人脸识别也就起个开门的作用，和之前的门禁卡没有什么区别。我还担心自己的隐私被泄露了。”
1月11日，记者在成都市锦江区某便利店购买商品，付款时只需对准摄像头就可以选择是否通过人脸识别系统进行支付。
记者采访时，许多市民也纷纷表达了顾虑：“人脸数据具有高度重要性、财产相关性、不可再生性、唯一性等特征，如果被泄露、盗用、滥用，可能会给我们带来财产、生命健康损害的风险，我们当然顾虑多。”
据记者了解，除商场、小区、便利店之外，有些监控摄像头也具有人脸识别功能。
2021年3月下旬，佛山市检察院牵头，联合佛山市市场监督管理局、市公安局、市住房和城乡建设局在全市范围内开展人脸识别摄像头专项行动。同年3月26日上午，执法人员在佛山市南海区一楼盘营销中心发现了11个尾部接有网线的长焦摄像头，执法人员随后来到该营销中心机房，发现其中一台设备电线上竟贴有人脸识别的字样。
此前，“被滥用的人脸识别”登上了央视3·15晚会，20多家装有人脸识别系统的商户都没有明确告知消费者并征得其同意，全是偷偷获取的人脸信息，这些商户包括汽车4S店、服饰店及卫浴店。
谁都能识别我们的“脸”？
记者在多个电商平台了解到，人脸识别系统相关的产品很多，根据功能划分，售价在200元到数千元不等。
1月11日上午，记者在某电商平台上搜索“人脸识别摄像头”，已显示不出任何商品，但通过人脸识别等关键词搜索，依然出现了很多商品。记者发现，购买带有人脸识别功能的监控产品并不需要特别的程序，也不需要出示相关证件，可直接购买。
目前，市面上常见的半球形监控摄像头、枪型监控摄像头、云台旋转摄像头、云台室外球机摄像头，哪一款是用于人脸识别的摄像头？多名行业内部人士表示，从技术上说，即使是最简单的半球形摄像头，经过后台改装也具有人脸识别功能。
那么，能否通过摄像头外观判断摄像头是否具有人脸识别功能？技术人员明确表示，基本不可能。
谁来保护我们的“脸”？
为规范人脸识别技术应用，2023年8月，国家互联网信息办公室发布了《人脸识别技术应用安全管理规定（试行）（征求意见稿）》，其中提到“优先选择非生物特征识别技术方案”“不得保存人脸原始图像、图片、视频”等内容。业内专家普遍认为，对于生物识别技术，整体政策基调已从早前的“鼓励”转向“审慎”，行业对“刷掌”识别技术的态度也趋于谨慎，并建议设立专门的机构对平台企业的数据获取、数据应用等行为进行常态化监管。
关于人脸识别技术涉及的人脸图像、人脸特征与人脸识别数据的术语和定义，2022年10月12日，全国信息安全标准化技术委员会发布的国家标准《信息安全技术人脸识别数据安全要求》予以明确：人脸图像——是自然人脸部信息的模拟或数字表示，可从设备收集或通过视频、数字照片等获取，主要包括可见光图像、非可见光图像（如红外图像）、三维图像等。
个人信息保护法第十七条规定，个人信息处理者在处理个人信息前，应当以显著方式、清晰易懂的语言真实、准确、完整地向个人告知个人信息处理者的名称或者姓名和联系方式；个人信息的处理目的、处理方式，处理的个人信息种类、保存期限等。
针对上述汪某某与中国铁路成都局集团有限公司个人信息保护纠纷案，成都铁路运输中级法院法官陈洲表示，案涉车站播放的“需要手持身份证、摘掉口罩”的进站广播虽隐含有“刷脸进站”用于人脸信息验证的意思，但该广播内容不符合个人信息保护法关于告知的相关要求。该案宣判后，中国国家铁路局集团公司进一步完善了相关告知义务，通过12306网站更新了隐私政策，设置了提示标志，提供人工通道等方式，满足人民群众的知情权和选择权。
如果发现被商业机构摄像头进行人脸识别，该怎样维权？
我国民法典、个人信息保护法、消费者权益保护法等法律法规中规定，针对发生在经营场所和公共场所的人脸信息处理在“告知+同意”规则的基础上，还增设了“单独同意”的要求。如果超市等经营场所没有明示有安装人脸识别系统且未取得消费者单独同意，则应该对消费者承担侵权行政、民事责任。
四川君合律师事务所律师陈蕾冰表示，人的面部特征具有唯一性，不经同意的人脸识别肯定是侵权。消费者权益保护法将包含人脸信息的消费者个人信息纳入法律保护范围。消费者权益保护法第二十九条规定，经营者收集、使用消费者个人信息，应当遵循合法、正当、必要的原则，明示收集、使用信息的目的、方式和范围，并经消费者同意。经营者收集、使用消费者个人信息，应当公开其收集、使用规则，不得违反法律、法规的规定和双方的约定收集、使用信息。经营者及其工作人员对收集的消费者个人信息必须严格保密，不得泄露、出售或者非法向他人提供。经营者应当采取技术措施和其他必要措施，确保信息安全，防止消费者个人信息泄露、丢失。在发生或者可能发生信息泄露、丢失的情况时，应当立即采取补救措施。这是我国法律首次从民事权利的角度对个人信息进行规定。
另外，陈蕾冰补充道，最高人民法院于2021年发布《最高人民法院关于审理使用人脸识别技术处理个人信息相关民事案件适用法律若干问题的规定》（以下简称《规定》，《规定》从人格权和侵权责任角度明确了滥用人脸识别技术处理人脸信息的性质和责任，以及从物业服务、格式条款效力、违约责任承担等角度对滥用人脸识别技术处理人脸信息进行了规定。“因此，信息处理者滥用人脸识别技术有可能构成人格权侵权责任、合同违约责任等。公众如果遭遇商家擅自收集人脸识别信息，可向消委会等组织进行投诉，或向法院提起诉讼。”陈蕾冰进而提醒道，由于很多人脸识别具有隐蔽性，证据并不在公民一方，因此，若要起诉，可向公诉机关或法院申请先进行证据保全。
四川法治报全媒体记者 李欣璐