最高法關于人臉識別適用規定作出司法解釋

7月28日，最高人民法院正式發布《最高人民法院關于審理使用人臉識別技術處理個人信息相關民事案件適用法律若干問題的規定》（以下簡稱《人臉識別適用規定》），對人臉識別技術應用作出司法解釋。

法律鏈接

最高人民法院關于審理使用人臉識別技術處理個人信息相關民事案件適用法律若干問題的規定

（2021年6月8日最高人民法院審判委員會第1841次會議通過，自2021年8月1日起施行）

為正確審理使用人臉識別技術處理個人信息相關民事案件，保護當事人合法權益，促進數字經濟健康發展，根據《中華人民共和國民法典》《中華人民共和國網絡安全法》《中華人民共和國消費者權益保護法》《中華人民共和國電子商務法》《中華人民共和國民事訴訟法》等法律的規定，結合審判實踐，制定本規定。

第一條 因信息處理者違反法律、行政法規的規定或者雙方的約定使用人臉識別技術處理人臉信息、處理基于人臉識別技術生成的人臉信息所引起的民事案件，適用本規定。

人臉信息的處理包括人臉信息的收集、存儲、使用、加工、傳輸、提供、公開等。

本規定所稱人臉信息屬于民法典第一千零三十四條規定的生物識別信息。

第二條 信息處理者處理人臉信息有下列情形之一的，人民法院應當認定屬于侵害自然人人格權益的行為：

（一）在賓館、商場、銀行、車站、機場、體育場館、娛樂場所等經營場所、公共場所違反法律、行政法規的規定使用人臉識別技術進行人臉驗證、辨識或者分析；

（二）未公開處理人臉信息的規則或者未明示處理的目的、方式、范圍；

（三）基于個人同意處理人臉信息的，未征得自然人或者其監護人的單獨同意，或者未按照法律、行政法規的規定征得自然人或者其監護人的書面同意；

（四）違反信息處理者明示或者雙方約定的處理人臉信息的目的、方式、范圍等；

（五）未采取應有的技術措施或者其他必要措施確保其收集、存儲的人臉信息安全，致使人臉信息泄露、篡改、丟失；

（六）違反法律、行政法規的規定或者雙方的約定，向他人提供人臉信息；

（七）違背公序良俗處理人臉信息；

（八）違反合法、正當、必要原則處理人臉信息的其他情形。

第三條 人民法院認定信息處理者承擔侵害自然人人格權益的民事責任，應當適用民法典第九百九十八條的規定，并結合案件具體情況綜合考量受害人是否為未成年人、告知同意情況以及信息處理的必要程度等因素。

第四條 有下列情形之一，信息處理者以已征得自然人或者其監護人同意為由抗辯的，人民法院不予支持：

（一）信息處理者要求自然人同意處理其人臉信息才提供產品或者服務的，但是處理人臉信息屬于提供產品或者服務所必需的除外；

（二）信息處理者以與其他授權捆綁等方式要求自然人同意處理其人臉信息的；

（三）強迫或者變相強迫自然人同意處理其人臉信息的其他情形。

第五條 有下列情形之一，信息處理者主張其不承擔民事責任的，人民法院依法予以支持：

（一）為應對突發公共衛生事件，或者緊急情況下為保護自然人的生命健康和財產安全所必需而處理人臉信息的；

（二）為維護公共安全，依據國家有關規定在公共場所使用人臉識別技術的；

（三）為公共利益實施新聞報道、輿論監督等行為在合理的范圍內處理人臉信息的；

（四）在自然人或者其監護人同意的范圍內合理處理人臉信息的；

（五）符合法律、行政法規規定的其他情形。

第六條 當事人請求信息處理者承擔民事責任的，人民法院應當依據民事訴訟法第六十四條及《最高人民法院關于適用〈中華人民共和國民事訴訟法〉的解釋》第九十條、第九十一條，《最高人民法院關于民事訴訟證據的若干規定》的相關規定確定雙方當事人的舉證責任。

信息處理者主張其行為符合民法典第一千零三十五條第一款規定情形的，應當就此所依據的事實承擔舉證責任。

信息處理者主張其不承擔民事責任的，應當就其行為符合本規定第五條規定的情形承擔舉證責任。

第七條 多個信息處理者處理人臉信息侵害自然人人格權益，該自然人主張多個信息處理者按照過錯程度和造成損害結果的大小承擔侵權責任的，人民法院依法予以支持；符合民法典第一千一百六十八條、第一千一百六十九條第一款、第一千一百七十條、第一千一百七十一條等規定的相應情形，該自然人主張多個信息處理者承擔連帶責任的，人民法院依法予以支持。

信息處理者利用網絡服務處理人臉信息侵害自然人人格權益的，適用民法典第一千一百九十五條、第一千一百九十六條、第一千一百九十七條等規定。

第八條 信息處理者處理人臉信息侵害自然人人格權益造成財產損失，該自然人依據民法典第一千一百八十二條主張財產損害賠償的，人民法院依法予以支持。

自然人為制止侵權行為所支付的合理開支，可以認定為民法典第一千一百八十二條規定的財產損失。合理開支包括該自然人或者委托代理人對侵權行為進行調查、取證的合理費用。人民法院根據當事人的請求和具體案情，可以將合理的律師費用計算在賠償范圍內。

第九條 自然人有證據證明信息處理者使用人臉識別技術正在實施或者即將實施侵害其隱私權或者其他人格權益的行為，不及時制止將使其合法權益受到難以彌補的損害，向人民法院申請采取責令信息處理者停止有關行為的措施的，人民法院可以根據案件具體情況依法作出人格權侵害禁令。

第十條 物業服務企業或者其他建筑物管理人以人臉識別作為業主或者物業使用人出入物業服務區域的唯一驗證方式，不同意的業主或者物業使用人請求其提供其他合理驗證方式的，人民法院依法予以支持。

物業服務企業或者其他建筑物管理人存在本規定第二條規定的情形，當事人請求物業服務企業或者其他建筑物管理人承擔侵權責任的，人民法院依法予以支持。

第十一條 信息處理者采用格式條款與自然人訂立合同，要求自然人授予其無期限限制、不可撤銷、可任意轉授權等處理人臉信息的權利，該自然人依據民法典第四百九十七條請求確認格式條款無效的，人民法院依法予以支持。

第十二條 信息處理者違反約定處理自然人的人臉信息，該自然人請求其承擔違約責任的，人民法院依法予以支持。該自然人請求信息處理者承擔違約責任時，請求刪除人臉信息的，人民法院依法予以支持；信息處理者以雙方未對人臉信息的刪除作出約定為由抗辯的，人民法院不予支持。

第十三條 基于同一信息處理者處理人臉信息侵害自然人人格權益發生的糾紛，多個受害人分別向同一人民法院起訴的，經當事人同意，人民法院可以合并審理。

第十四條 信息處理者處理人臉信息的行為符合民事訴訟法第五十五條、消費者權益保護法第四十七條或者其他法律關于民事公益訴訟的相關規定，法律規定的機關和有關組織提起民事公益訴訟的，人民法院應予受理。

第十五條 自然人死亡后，信息處理者違反法律、行政法規的規定或者雙方的約定處理人臉信息，死者的近親屬依據民法典第九百九十四條請求信息處理者承擔民事責任的，適用本規定。

第十六條 本規定自2021年8月1日起施行。

信息處理者使用人臉識別技術處理人臉信息、處理基于人臉識別技術生成的人臉信息的行為發生在本規定施行前的，不適用本規定。 重點條文解讀

《人臉識別適用規定》針對在實踐中人們反映較為突出的問題，從侵權責任、合同規則以及訴訟程序等幾個方面制定了16項條文，嚴格依照《民法典》《網絡安全法》《消費者權益保護法》《電子商務法》《民事訴訟法》等法律，吸收個人信息保護立法有關經驗成果，對人臉信息提供司法保護。包括以下幾大要點：

一、明確人臉識別的適用范圍

《人臉識別適用規定》第1條對其適用范圍作出了明確的規定，首先，《人臉識別適用規定》是適用于平等民事主體之間因使用人臉識別技術處理人臉信息所引起相關民事糾紛的司法解釋；其次，信息處理者使用人臉識別技術處理人臉信息，或者雖然沒有使用人臉識別技術但是處理基于人臉識別技術生成的人臉信息，都屬于《人臉識別適用規定》的適用范圍。涉及的責任承擔既包括侵權責任，也包括違約責任，受侵害的權益既包括個人信息權益，也包括肖像權、隱私權、名譽權等人格權及財產權。

二、在人格權和侵權責任方面為人臉信息保護作出規定

《人臉識別適用規定》第2條至第9條主要是從人格權和侵權責任的角度，明確了濫用人臉識別技術處理人臉信息行為的性質和責任。

《人臉識別適用規定》第2條具體列明了應當認定屬于侵害自然人人格權益的八大行為，為人臉信息加入單獨同意規則。人臉信息屬于敏感的個人信息，處理活動對個人權益影響重大。為確保個人在充分知情的前提下使用人臉信息，合理考慮對自己權益的后果，不能僅依靠告知獲得使用權，還必須獲得本人或未成年人監護人的同意。即：基于個人同意處理人臉信息的，未征得自然人或者其監護人的單獨同意，或者未按照法律、行政法規的規定征得自然人或者其監護人的書面同意信息的，將視為侵害自然人人格權益的侵權。

第4條規定了信息采集者強迫個人同意收集人臉信息的行為無效。自愿原則是民法典的基本原則之一，個人的同意必須是基于自愿而作出。特別是對人臉信息的處理，不能帶有任何強迫因素。信息采集者違反自愿原則，強迫、變相強迫自然人同意處理其人臉信息的行為，侵害了自然人的人格權益，該行為無效。

第5條是對民法典第1036條的細化，明確了處理人臉信息的免責事由；第6條到第9條分別規定了舉證責任、多個信息處理者侵權責任的承擔、財產損失的范圍界定以及人格權侵害禁令的適用等問題。

三、確定人臉識別糾紛案件的處置規則

《人臉識別適用規定》第10條規定：物業服務企業或者其他建筑物管理人以人臉識別作為業主或者物業使用人出入物業服務區域的唯一驗證方式，不同意的業主或者物業使用人請求其提供其他合理驗證方式的，人民法院依法予以支持。

而針對信息處理者通過采用格式條款與自然人訂立合同，要求自然人授予其無期限限制、不可撤銷、可任意轉授權等處理人臉信息的權利的行為。《人臉識別適用規定》在第11條明確指出：對于上述格式條款，自然人可以依據民法典第497條的規定，向人民法院依法請求確認合同無效。

第12條明確了個人維權的范圍，不僅能要求信息處理者承擔違約責任，還能要求侵權方刪除其人臉信息。第13條、14條，對相關訴訟程序進行細化規定。第15、第16條，對涉及個人信息的死者人格利益保護以及本次司法解釋的施行日期以及溯及力作出了明確規定。

企業警示

一、企業在經營活動中，應注意是否存在人臉識別信息的收集、使用行為。如果涉及人臉識別信息，要檢視是否符合《人臉識別適用規定》的授權要求：獲得客戶的單獨同意確認（未成年人需要獲得其監護人的同意），不能通過捆綁、強迫的方式獲得許可。

二、企業在收集客戶的人臉識別信息時，要嚴格遵循規定的要求，應做到：1.告知客戶人臉識別信息采集的目的和范圍，獲得客戶授權認可；2.采用技術措施和管理措施確保所收集人臉信息的安全。3.檢查授權許可的具體條款（格式條款），避免出現無期限限制、不可撤銷、可任意轉授權等字眼，造成合同條款無效的情況。

三、對屬于《人臉識別適用規定》免責事由的信息采集行為，企業應提前做好相關的證據收集保存工作。從訴訟風險防范角度，做好證據的日常收集和固化工作，為未來履行自身舉證責任做好準備。