□ 本报记者 周宵鹏
购买具有人脸识别功能的摄像设备安装在旗下门店，6个月时间里共违规采集上传客户人脸照片43万余张，近日，上海小鹏汽车销售服务有限公司（以下简称“小鹏汽车”）为此被罚款10万元。这家公司因此次处罚被推上热搜的同时，也再次引发社会对人脸信息采集的关注。
进入“刷脸时代”，大到智慧城市建设，小到手机App登录解锁，人脸识别正在全面嵌入生活的诸多场景，一些商家门店出于统计客户等销售需要，强制进行人脸识别。然而，由于人脸信息属于重要的个人生物信息，一旦泄露就可能对公民的人身和财产安全造成极大危害。
目前，民法典、消费者权益保护法、个人信息保护法等都对保护公民人脸信息进行了相关规定。业内人士表示，“脸不能随便刷”是法律的明确规定，小鹏汽车此次被罚再次敲响警钟，不管是地产销售还是汽车经销，人脸信息不是谁想采集就能采集。
售楼公司违法采集人脸被罚
2021年8月，河北省衡水市市场监督管理综合执法局执法人员在检查中发现，该市某房地产营销公司在其负责的售楼部现场安装了多台摄像头，其中有4台摄像头的外观与平常的安防摄像头明显不同，这引起执法人员的高度警觉。
执法人员随即找到该公司负责人，要求登录系统后台进行查看。在该公司营销部电脑系统后台中，执法人员找到了被可疑“摄像头”（人脸抓拍机）记录下的人脸头像，其中还包括执法人员刚刚进入售楼部时的头像，总数达17万余张。执法人员立刻固定证据，并对相关人员展开询问调查。
经查，为促进销售，该公司开展了“老带新”奖励、中介分销转介营销活动，并于2020年12月通过安装摄像头人脸抓拍系统，识别区分销售现场访客的来源。每当有来访人员到达售楼处，4台人脸抓拍机就会记录下来访者的人脸信息，并储存在服务器上。
在消费者签订购房买卖合同时，该公司会通过消费者身份证信息再次人脸识别，使用人证一体机匹配出其首次到访时间、到访次数等信息，用来区分购房者的来源渠道，并据此与分销商或推荐人结算佣金奖励。
执法人员调查发现，自2020年12月起，该售楼处开始在人脸抓拍摄像头下方悬挂“为保证您的权益不受侵害，本售楼处已安装视频采集设备，我们承诺保护您的人脸等信息安全”的提示告示牌。但是并没有明确告诉消费者收集、使用人脸信息的真实目的和范围。执法人员随机抽取部分购房者了解情况，他们均表示对个人信息被采集和使用毫不知情。
此前，国内多地爆出售楼处悄然安装人脸识别系统的消息，售楼处都是为了识别人脸以区分客户来源，并对不同客户给出不同的价格。由于人脸识别直接与房价挂钩，同时“看房刷脸”引发客户对个人信息泄露的担忧，不少地方出现客户“戴着头盔看房”的现象。这不仅表明消费者对于保护个人隐私的无奈，也是对相关商家违法收集人脸信息的反讽。
由于涉事公司在其售楼处未明示收集、使用信息的真实目的和范围，采集人脸信息的过程也未经消费者同意，违反了消费者权益保护法相关规定，属于侵害消费者权益的行为。近日，衡水市市场监督管理局对此案依法作出处理：责令涉事公司改正并罚款8万元。
人脸信息保护付诸法律实践
2021年12月初，小鹏汽车被上海市徐汇区市场监督管理局罚款10万元。相关处罚决定书显示，小鹏汽车购买具有人脸识别功能的摄像设备22台，硬件及软件采购费共计17.38万元，并全部安装在其旗下门店，涉及5个直营店两个加盟店。2021年1至6月，上述人脸识别摄像设备共计采集人脸431623张。
小鹏汽车表示，对本次行政处罚表示完全服从，对因此事件给公众和客户造成的困扰深表歉意，并对此事做出深刻反省。其上海门店已撤下所有的采集设备，数据全部删除。
保护包括人脸在内的个人信息隐私已成为全球共识，人脸识别引发的数据隐私问题，随着近年来相关技术的大规模下沉，已从业界讨论付诸法律行动。
由于不愿被采集人脸信息，要求退卡退费被拒，杭州市民郭某将某野生动物世界有限公司诉上法庭，此案也被称为国内“人脸识别第一案”。2021年4月，杭州市中级人民法院对该案二审宣判，判令野生动物世界有限公司赔偿郭某合同利益损失及交通费共计1038元，删除郭某办理指纹年卡时提交的指纹识别信息和包括照片在内的面部特征信息。
“人脸识别第一案”是对所有公民个人信息保护的积极提醒，正如二审法院所指出的：生物识别信息作为敏感的个人信息，深度体现自然人的生理和行为特征，具备较强的人格属性，一旦被泄露或者非法使用，可能导致个人受到歧视或者人身、财产安全受到不测危害，更应谨慎处理和严格保护。
收集人脸必须征得单独同意
民法典人格权编第1034条规定，个人信息是以电子或者其他方式记录的能够单独或者与其他信息结合识别特定自然人的各种信息，包括自然人的姓名、出生日期、身份证件号码、生物识别信息、住址、电话号码、电子邮箱、健康信息、行踪信息等。
“人脸就属于民法典中规定的生物识别信息。与指纹、虹膜等生物信息一样，人脸也具有唯一性，但又具有弱隐私性，不能总被遮挡隐蔽，因此更需要社会关注和法律保护。”北京德和衡律师事务所律师陈江涛说。
民法典人格权编第1035条规定，处理个人信息的，应当遵循合法、正当、必要原则，不得过度处理，并符合下列条件：（一）征得该自然人或者其监护人同意，但是法律、行政法规另有规定的除外；（二）公开处理信息的规则；（三）明示处理信息的目的、方式和范围；（四）不违反法律、行政法规的规定和双方的约定。
国家市场监督管理总局、国家标准化管理委员会发布的《信息安全技术个人信息安全规范》中也明确规定：人脸信息属于生物识别信息，也属于个人敏感信息，收集个人信息时，应获得个人信息主体的授权同意。
2021年7月28日，最高人民法院发布《关于审理使用人脸识别技术处理个人信息相关民事案件适用法律若干问题的规定》，对人脸识别的应用场景、使用目的、责任认定等层面作出规范。其中，在民法典第1035条基础上，进一步将“同意”细化为“单独同意”，并针对实践中反映较为突出的问题，从侵权责任、合同规则以及诉讼程序等方面规定了16个条文。
个人信息保护法自2021年11月1日起施行。针对备受关注的滥用人脸识别技术问题，其中第26条规定，在公共场所安装图像采集、个人身份识别设备，应当为维护公共安全所必需，遵守国家有关规定，并设置显著的提示标识。所收集的个人图像、身份识别信息只能用于维护公共安全的目的，不得用于其他目的；取得个人单独同意的除外。
根据相关上位法，国内多地开始对人脸识别进行规范。2021年1月1日起施行的《天津市社会信用条例》明确，企事业单位、行业协会、商会等被禁止采集人脸、指纹、声音等生物识别信息。修订后的《杭州市物业管理条例》将于2022年3月1日起施行，其中规定，物业服务人不得强制业主、非业主使用人通过提供人脸、指纹等生物信息方式进入物业管理区域或者使用共有部分，不得泄露在物业服务中获取的业主、非业主使用人个人信息。
陈江涛表示，目前针对个人信息保护的法律武器已经比较完备，但针对人脸信息“无感知收集”“一揽子收集”“强迫收集”的现实情况，仍需要对人脸识别进行详细严格的规范和界定。如果消费者发现可疑摄像头“偷取”人脸信息等情况，可直接向市场监管部门进行投诉举报。
