人脸识别技术应用“划红线”：商场、电影院等场景将迎来整改

医院是人脸识别应用较多的场景。 新华社照片

1

对人脸识别应用场景分层级“划红线”

从手机开屏解锁到智慧城市建设，人脸识别技术已侵入生活的方方面面，且广泛用于金融、医疗、安检、支付、文娱等各个领域。

据顶象发布的《人脸识别安全白皮书》数据显示，人脸识别应用场景最多的是安防，占比超五成，其次是金融占16%，娱乐10%、医疗7%、电商零售6%、出行3%、政务2%、其他2%。

人脸识别技术在带来便利，促进数字经济繁荣的同时，也面临着个人信息被无底线盗用。现实中，一些经营者滥用人脸识别技术盗用个人信息获取利益，譬如有些线下门店使用“无感式”人脸识别技术，在未经同意的情况下擅自采集消费者人脸信息、有的卖家在社交平台公开贩卖人脸信息等。

在上海星瀚律师事务所合伙人律师吴晴霞看来，作为上位法的《中华人民共和国个人信息保护法》、《中华人民共和国网络安全法》等法律已经对敏感个人信息的保护做出了一些原则性的规定，而2021年7月27日，最高人民法院发布《关于审理使用人脸识别技术处理个人信息相关民事案件适用法律若干问题的规定》（以下简称“司法解释”），也从司法层面对违法处理人脸信息的行为及救济进行了部分的规定。

“本征求意见稿则分别阐述了不同场景下对人脸识别技术的应当采取不同层级的合规要求，增加了更多可对照执行的操作性措施。 同时，也提出了人脸识别技术使用者处理人脸信息，应当事前进行个人信息保护影响评估，并对处理情况进行记录的前置要求。”吴晴霞向南都记者表示，如规定明确了涉及个人隐私的场所（公共浴室、卫生间、旅馆客房、更衣室等）不得安装图像采集、个人身份识别设备；首次提出了涉及个人重大权益的，不得使用人脸识别技术代替人工审核个人身份，例如社会救助、不动产处分等场景；首次提出了针对远距离、无感式人脸识别技术的场景使用规范。

2

经营场所不得将“刷脸”作为唯一验证方式

其次是针对经营性场所对人脸识别技术的应用也有了更详细的规范。《征求意见稿》指出宾馆、银行、车站、机场、体育场馆、展览馆、博物馆、美术馆、图书馆等经营场所，除法律、行政法规规定应当使用人脸识别技术验证个人身份的，不得以办理业务、提升服务质量等为由强制、误导、欺诈、胁迫个人接受人脸识别技术验证个人身份。

个人自愿选择使用人脸识别技术验证个人身份的，应当确保个人充分知情并在个人主动参与的情况下进行，验证过程中应当以清晰易懂的语音或者文字等方式即时明确提示身份验证的目的。

“首先我们注意到的是这里所说的是经营性的公共场所，对于非经营性的场所（例如公检法机关的接待大厅等），其实不受本条款的限制”，吴晴霞表示，其次，《征求意见稿》中所称的法律、行政法规规定的情形，主要是指出于“维护国家安全”、“公共安全”、“为紧急情况下保护自然人生命健康和财产安全”等情形，例如边检边控为了海关安全设立人脸认证系统、公安机关为了维护人民群众的人身财产安全所设立的“天眼”系统的情形，另有一种可能的情形是为履行与用户之间的合同关系所必需的，但这种情形极少见；此外经营场所为了验证身份信息而使用人脸识别技术的，也应当提供除了人脸识别之外能够另行核实身份信息的选项，供用户自愿选择。

值得注意的是，今年以来大量线下演唱会、体育赛事、展览会等活动现场都配置了人脸识别门禁闸机或人证核验闸机，在入场处需要粉丝们进行人脸识别，刷身份证核验入场，且仅提供这一种验证方式。

此外《征求意见稿》第十四条提出，物业服务企业等建筑物管理人不得将使用人脸识别技术验证个人身份作为出入物业管理区域的唯一方式，个人不同意通过人脸信息进行身份验证的，物业服务企业等建筑物管理人应当提供其他合理、便捷的身份验证方式。

南都记者留意到，此前有业主因“不刷脸不让进小区”将物管告上法庭。原本刷卡进出的闸机被换成了人脸识别系统，业主需录入人脸信息，才能进入小区，对此业主张先生认为其存在隐私风险，故不同意人脸识别验证方式，其每次只能跟随其他业主通行，造成极大不便。而小区物管则回应称，采用人脸录入系统是为了更好地确保业主的安全。早在2021年8月，最高法也曾出台司法解释，明确人脸信息作为人人信息中的生物识别信息，已经被纳入保护范围，其中专门规定，物业公司不得将人脸识别作为出入小区唯一验证方式。

针对出入公司、上班打卡“刷脸”的使用，广东合邦律师事务所专职律师李泽坤认为，未来也会有所影响，“日常可以用非生物特征识别技术的场景如进出小区、上班打卡等，也将逐步用密码、指纹等方式替代，不能将刷脸作为唯一验证方式。使用该技术的app、物业、公司亦面临向所属地市级以上网信部门备案的要求，可以预见企业对人脸识别技术的使用会趋于保守和谨慎。”

3

远距离、无感式人脸识别纳入强监管

《征求意见稿》第十条中明确，在公共场所、经营场所使用人脸识别技术远距离、无感式辨识特定自然人，应当为维护国家安全、公共安全或者为紧急情况下保护自然人生命健康和财产安全所必需，并由个人或者利害关系人主动提出。

人脸识别技术使用者应个人或者利害关系人请求使用人脸识别技术远距离、无感式辨识特定个人或者利害关系人的，应当将相关服务限定在最小必要的时间、地点或者人群范围内，不得关联与个人请求事项无直接必然相关的个人信息。

南都记者留意到，近年来，不少售楼处为了辨别客源，分析客户个人信息，通过远距离、无感式的人脸识别系统，抓拍消费者人脸照片并记录消费者在售楼中心内的行动轨迹议；也有线下门店使用“无感式”人脸识别技术，在未经同意的情况下擅自采集消费者人脸信息。

如2021年10月29日，杭州市上城区人民法院受理了一起消费者诉商场人脸抓拍的案件。2021年8月1日，浙江理工大学学生小涛在杭州湖滨银泰in77商场购物时，发现MCM门店外安装了人脸识别抓拍摄像头。他进一步了解到，该摄像头使用了人脸识别技术，消费者只要到店，就会自动被抓拍并注册为会员，而商家通过将人脸信息与消费行为结合分析，来进行下一步精准营销。

央视315晚会也曾曝光多个线下门店未经消费者同意，用摄像头捕捉消费者人脸的违法行为。此后多家人脸识别企业发布声明整改。但截至发稿前，南都记者检索发现，仍有大量企业提供商场、食堂等线下场景的人脸识别技术方案。

“本次征求意见稿首次提出了针对远距离、无感式的人脸识别技术的场景。要求应当为维护国家安全、公共安全或者为紧急情况下保护自然人生命健康和财产安全所必需，并由个人或者利害关系人主动提出，且必须将相关服务限定在最小必要的时间、地点或者人群范围内，不得关联与个人请求事项无直接必然相关的个人信息。这样等于说是在上述场景下禁止了商家以自身经营目的为由而识别特定自然人。”上海星瀚律师事务所合伙人律师吴晴霞向南都记者表示。

李泽坤同样向南都记者表示，楼盘、线下商场等场所使用摄像头抓拍人脸这一模式是否有必要性需要进一步深究，根据征求意见稿第四条“只有在具有特定目的和充分的必要性”大前提下才能使用该模式，楼盘、商场不一定具备这种大前提；其次，即使该模式可行，也需要显著提示和充分告知消费者，如有被采集人的书面授权同意或签署告知书方可使用，这意味着人脸采集将进入精细化，使用企业将“能不采集尽量不采集”。

4

存储超过1万人脸信息的使用者应当备案

此外，《征求意见稿》指出，在公共场所使用人脸识别技术，或者存储超过1万人人脸信息的人脸识别技术使用者，应当在30个工作日内向所属地市级以上网信部门备案。在人脸信息处理上，应当尽量避免采集与提供服务无关的人脸信息，无法避免的，应当及时删除或者进行匿名化处理。人脸识别技术使用者应当每年对图像采集设备、个人身份识别设备的安全性和可能存在的风险进行检测评估，并根据检测评估情况改进安全策略，调整置信度阈值，采取有效措施保护图像采集设备、个人身份识别设备免受攻击、侵入、干扰和破坏。

在李泽坤看来，备案制度从源头杜绝了人脸采集滥用，涉及的企业多为营利性app、小区物业、打卡公司等，从使用企业的角度出发，人脸技术的使用门槛和风险都大幅提升，大部分企业都会降低人脸采集的使用频率。

吴晴霞则向南都记者表示，《征求意见稿》中所要求的备案义务主体是“人脸识别使用者”，而不是单纯的“技术提供方”，所以之前常常会被忽略的线下主体（例如商场、办公楼宇、电影院、博物馆等）都将被纳入备案的范围。

“人脸识别技术使用者这一覆盖面其实是非常广泛的，这也就意味着上述企业都会被重点监管，公共场所的经营者都必须要严格遵守《个保法》、《规定》中明确的各项义务，而不能粗暴地将责任推卸到设备提供商或者技术服务方身上。”吴晴霞称，“公共场所不得随心所欲地安装带有人脸识别功能的摄像头，也不得擅自存储带有人脸信息的画面，更不能随意对人脸信息进行进一步的处理甚至于向第三方分享、转让。例如咖啡店门口安装摄像头不能随心所欲拍摄门口的公共空间、汽车的车外摄像头只能出于驾驶目的进行录像而不能随意扩大范围拍摄路面或是对路上车辆和行人进行身份识别。据我们了解，现在线下要求强行进行人脸识别、或是无感进行人脸识别的场所不在少数，若《征求意见稿》正式实施，必将掀起一波整改的浪潮。”

值得注意的是，《规定》还就未成年人脸识别方面做出指示，强调在处理不满十四周岁未成年人人脸信息时，应当取得未成年人的父母或者其他监护人的单独同意或者书面同意。未成年人的父母或者其他监护人也应当正确履行监护职责，教育引导不满十四周岁未成年人增强个人信息保护意识和能力。