隨著《中華人民共和國個人信息保護法》的出臺以及《最高人民法院關于審理使用人臉識別技術處理個人信息相關民事案件適用法律若干問題的規定》（法釋〔2021〕15號）的發布執行。

處理個人信息的規則有了專門法律規定。作為日常管理措施而處理人臉信息的相關單位，需注意根據國家有關個人信息的管理規定，依法合規處理人臉信息，避免涉及違反法律規定而引發糾紛和爭議，甚至因此而承擔法律責任。據此背景，本所律師就人臉信息處理中的法律風險分析提示如下：

一、《中華人民共和國個人信息保護法》《最高人民法院關于審理使用人臉識別技術處理個人信息相關民事案件適用法律若干問題的規定》對處理人臉信息的規定和要求概述

（一）《中華人民共和國個人信息保護法》就人臉信息的規定

1.明確目的正當性和必要性 《中華人民共和國個人信息保護法》（以下簡稱《個人信息保護法》）明確規定，個人信息處理者只有在具有特定的目的和充分的必要性，并采取嚴格保護措施的情形下，方可處理敏感個人信息。該規定是對處理個人信息應當遵循合法、正當、必要和誠信原則的具體體現，同時也對處理敏感個人信息提出了更高的要求。要求目的具有正當性和必要性不僅是合法與合規，還應包括誠實信用與公開透明的要求，不得通過欺詐、誤導等方式獲取并處理人臉信息，實踐中常見的通過欺詐、誤導從而獲取人臉信息的行為，如通過積分、獎勵、優惠等方式欺騙、誤導用戶提供人臉信息。日常生活中，物業要求住戶刷臉進出，公司刷臉打卡等方式可能也會因為缺乏目的的正當性和必要性而遭受挑戰。 2.明確告知義務，擴張用戶知情權 《個人信息保護法》確定了處理個人信息應當遵循告知同意義務，保障個人信息主體的知情權和同意權，而對于個人敏感信息，除了告知個人信息主體處理信息的規則，明示處理的目的、方式、范圍等一般規則外，《個人信息保護法》對于處理個人敏感信息提出了更高的要求，即個人信息處理者處理敏感個人信息的，還應當向個人告知處理敏感個人信息的必要性以及對個人權益的影響。這一規定進一步落實了對于用戶知情權的保障。 3.引入單獨同意制度 《個人信息保護法》在告知同意規則的基礎上引入了單獨同意制度，結合《個人信息保護法》第二十三條、第二十五條、第二十九條的規定，個人信息處理者向其他處理者提供其處理的個人信息、公開其處理的個人信息、除用于維護公共安全的目的外在公共場所安裝圖像采集、個人身份識別設備，收集個人圖像、身份識別信息，以及處理包括生物識別、特定身份、金融賬戶、行蹤軌跡等在內的敏感個人信息的，應當取得個人的單獨同意。即個人信息處理者應確保個人充分知情，并排除一攬子告知捆綁授權強迫或變相強迫的同意等情形，保障個人在充分知情的情況下自愿且明確地作出同意的意思表示。 （二）《最高人民法院關于審理使用人臉識別技術處理個人信息相關民事案件適用法律若干問題的規定》對人臉信息的特別保護規定 1．屬于人臉信息收集、使用侵權行為的情形分析

根據《最高人民法院關于審理使用人臉識別技術處理個人信息相關民事案件適用法律若干問題的規定》第二條、第四條的規定，在經營場所、公共場所違反法律、行政法規的規定使用人臉識別技術進行人臉驗證、辨識或者分析的、未公開處理人臉信息的規則，或者未明示處理的目的、方式、范圍的、基于個人同意處理人臉信息的，未征得自然人或者其監護人的單獨同意，或者未按照法律、行政法規的規定征得自然人或者其監護人的書面同意的、違反信息處理者明示或者雙方約定的處理人臉信息的目的、方式、范圍等、未采取應有的技術措施或者其他必要措施確保其收集、存儲的人臉信息安全，致使人臉信息泄露、篡改、丟失，或違反法律、行政法規的規定或者雙方的約定，向他人提供人臉信息、違背公序良俗處理人臉信息以及違反合法、正當、必要原則處理人臉信息的其他情形，均屬于侵犯自然人的人格權益的情形。

除此之外，當出現信息處理者要求自然人同意處理其人臉信息才提供產品或者服務的（但是處理人臉信息屬于提供產品或者服務所必需的除外）、信息處理者以與其他授權捆綁等方式要求自然人同意處理其人臉信息的以及強迫或者變相強迫自然人同意處理其人臉信息的其他情形時，信息處理者以已征得自然人或者其監護人同意為由抗辯的，人民法院將不予支持，仍然面臨認定為均屬于侵犯自然人的人格權益的情形。 2．人臉信息收集、使用中免于承擔侵權責任的情形分析

《最高人民法院關于審理使用人臉識別技術處理個人信息相關民事案件適用法律若干問題的規定》第五條規定：有下列情形之一，信息處理者主張其不承擔民事責任的，人民法院依法予以支持：（一）為應對突發公共衛生事件，或者緊急情況下為保護自然人的生命健康和財產安全所必需而處理人臉信息的；（二）為維護公共安全，依據國家有關規定在公共場所使用人臉識別技術的；（三）為公共利益實施新聞報道、輿論監督等行為在合理的范圍內處理人臉信息的；（四）在自然人或者其監護人同意的范圍內合理處理人臉信息的；（五）符合法律、行政法規規定的其他情形。

此外，《中華人民共和國民法典》第一千零三十六條規定：處理個人信息，有下列情形之一的，行為人不承擔民事責任：（一）在該自然人或者其監護人同意的范圍內合理實施的行為；（二）合理處理該自然人自行公開的或者其他已經合法公開的信息，但是該自然人明確拒絕或者處理該信息侵害其重大利益的除外；（三）為維護公共利益或者該自然人合法權益，合理實施的其他行為。

綜合《最高人民法院關于審理使用人臉識別技術處理個人信息相關民事案件適用法律若干問題的規定》《中華人民共和國民法典》的規定，免于承擔責任的情形限于突發事件、緊急情況下為保護自然人的生命健康和財產安全所必需，為維護公共安全和公共利益合理使用，獲取自然人或監護人同意幾種特定情形。

3．對物業服務企業或者其他建筑物管理人收集、使用人臉信息的特別規定和要求

《最高人民法院關于審理使用人臉識別技術處理個人信息相關民事案件適用法律若干問題的規定》第十條規定：物業服務企業或者其他建筑物管理人以人臉識別作為業主或者物業使用人出入物業服務區域的唯一驗證方式，不同意的業主或者物業使用人請求其提供其他合理驗證方式的，人民法院依法予以支持。物業服務企業或者其他建筑物管理人存在本規定第二條規定的情形，當事人請求物業服務企業或者其他建筑物管理人承擔侵權責任的，人民法院依法予以支持。

即針對物業服務企業或者其他建筑物管理人而言，并未禁止不得采集、使用人臉識別信息并進行運用，但同時明確要求如業主或者物業使用人請求其提供其他合理驗證方式的，人民法院依法予以支持。換言之，不能將人臉識別方式作為入物業服務區域的唯一驗證方式，需保留和提供其他方式供選擇。

二、對以處理人臉信息為管理方式單位的法律糾紛預防提示

結合前述對《中華人民共和國個人信息保護法》及《最高人民法院關于審理使用人臉識別技術處理個人信息相關民事案件適用法律若干問題的規定》有關規定的分析，就從事生產經營活動的廣大企業而言，在處理人臉信息作為管理員工/客戶方式方面提示如下法律糾紛預防建議供參考。即：

（一）在擬引入人臉識別系統進行管理前，廣泛征詢員工、客戶意見和建議，取得其充分的理解和支持，同時起到宣傳動員的作用。

（二）在采購人臉信息識別系統前，應考慮要求供應商承諾和保證生產和銷售的人臉信息識別系統為合法合規產品，不得存在違反國家法律法規規定不得使用、嵌入的技術。同時，不得通過售后服務、在線服務等其他任何方式收集使用單位采集、使用的人臉信息，否則由供應商承擔因此引起的全部責任和后果，并賠償使用單位因此遭到的全部損失。

（三）需要人臉信息識別系統供應商技術支持，要求其配套提供人臉信息識別系統的技術特征、工作原理等信息以在人臉信息識別系統加裝位置公示供廣大員工、客戶知悉。

（四）在引入人臉識別系統進行管理時，至少保留一種非涉及生物識別信息的管理方式。在遇有相對人不同意采集人臉信息的情況下，可通過不涉及生物識別信息的方式進行管理（包括但不限于二維碼、門禁卡、出入證、手動登記等）。

（五）在人臉識別信息系統投入使用前，應制作具體的人臉信息采集、使用提示告知相對人，并要求相對人簽字確認。即明確告知相對人，采集人臉信息背景（需求）、采集人臉信息的使用范圍和目的、采集人臉信息的使用時間等具體情況，確保相對人對該等事宜充分知悉、了解和認可，并簽字確認，不能通過一攬子告知同意等方式征得個人的同意，并且需要提供撤回同意的途徑。處理未成年人人臉信息的，須征得監護人的單獨同意。

（六）人臉信息采集后在使用過程中，亦需嚴格采取保護措施，防止泄露。可考慮采取的措施包括但不限于：

（1）人臉信息管理系統嚴禁和互聯網相連，如需相連則需確保已采取相應的數據安全保護措施，不會在傳輸過程中泄露。

（2）具體運用過程中嚴格按照經相對人簽署確認的告知書中載明的使用目的、范圍、用途、時間使用，不得擴大。

（3）對已采集的人臉信息采取安全的數據存儲保護措施，不提供給任何第三方。如存儲設備被盜、信息泄露等及時向公安機關報案。

（4）與本單位管理人臉信息系統的具體操作人員簽訂保密承諾書，由其本人承擔僅僅按單位明確的目的、范圍、用途、時間使用人臉信息，不以任何方式提供或泄露給任何第三方，如有違反由本人承擔全部法律責任和后果。

（5）定期清理、銷毀已收集的人臉信息。在特定事項完成后，及時清理、銷毀已收集的人臉信息，避免存儲期間管理問題因此產生法律風險。

另外，如使用管理單位自身技術條件不具備采取保護措施，可以與第三方專業機構合作，委托其對人臉信息采集、使用、保管進行專業維護，防止通過人臉識別系統所采集的人臉信息被泄露、篡改或丟失。

三、其他提示

目前國家有關個人信息安全保護的法律法規正在完善中，《中華人民共和國個人信息保護法》與《最高人民法院關于審理使用人臉識別技術處理個人信息相關民事案件適用法律若干問題的規定》亦剛頒布實施，司法實踐中亦尚無成熟、完善的人臉信息處理管理模式供參考，對擬采用人臉信息系統的單位而言法律風險尚存在不確定性。因此，務必高度認識該等事宜的重要性和風險性，盡量完善和采取可采取的措施進行防范，特別是與該等系統的供應商充分溝通交流，獲得其對使用中風險防范措施的指導和支持。

以上分析提示僅供交流學習使用，不針對特定當事人或客戶，亦不可直接作為收集、整理、使用人臉信息的依據進行轉化和運營，涉及收集、整理、使用人臉信息事宜的，請務必以國家法律法規規定為準。