您好!欢迎来到侵权责任纠纷案件资深律师网,我们竭诚为您提供卓越的法律服务!

13681086635

400-650-5090

QQ/微信号

1056606199

 侵权责任纠纷案件资深律师网 > 人格权损害纠纷案件 > 个人信息权

朱虎:人脸信息保护的司法维度:现实考量与规则表达 | 前沿

信息来源: 中国民商法律网  文章编辑:majiali  发布时间:2022-02-15 19:17:36  

现代社会中,人脸识别技术在日益丰富的场景中被用来验证、辨识和分析等,在提高了生活便捷度的同时,其合法性和安全性存在大量争议,可能存在的滥用问题也受到高度关注。

据此,最高人民法院以问题为导向,制定出台了《关于审理使用人脸识别技术处理个人信息相关民事案件适用法律若干问题的规定》(以下简称《规定》),对实践中所涉及的主要问题从司法角度予以规范。

一、人脸信息的法律性质与保护路径

区分个人信息的种类,尤其是将个人信息分成一般信息和敏感信息,其目的是为不同类型的个人信息确定不同的保护路径。

《规定》第一条第三款明确规定人脸信息属于民法典第一千零三十四条规定的“生物识别信息”。这一规定有两方面的意义:一方面,界定了人脸信息属于个人信息中的敏感信息中的生物识别信息;另一方面,确立了对人脸信息更为强化的保护路径。

这意味着对于人脸信息的保护,法院不仅应当适用民法典和特别法中有关个人信息保护的一般规则,为依法从严保护人脸信息、明确信息处理者的义务,还应当适用有关敏感个人信息处理的特殊规则。

比如,遵循特定目的和充分必要性原则、单独同意规则,《规定》第二条第三项对此明确予以规定;比如,事前影响评估和记录规则;附加告知处理敏感个人信息的必要性以及对个人的影响的规则;依照法律、行政法规获得行政许可的规则,等等。

二、处理人脸信息的合法性基础

人脸识别的应用场景可以被区分为受控环境和非受控环境。需要信息主体参与才能使用的场景是受控环境;可以自由进入或通行而无需信息主体参与就可以使用的场景是非受控环境,包括各类经营场所和公共场所。

与受控环境相比,在非受控环境下,人脸识别技术可在信息主体毫无感知且无需信息主体配合的情况下进行,更容易侵害信息主体的权益。

因此,这两种应用场景下使用人脸识别技术具有不同的合法性基础。个人信息处理的合法性基础要么是单纯的个人同意,要么同时需要法律、行政法规的规定。要提高非受控环境下个人信息处理的合法性门槛,最好的方案就是,将其合法性基础同时限制在法律、行政法规作出明确规定的情形下。

正因如此,《规定》第二条第一项规定,信息处理者在宾馆、商场、银行、车站、机场、体育场馆、娱乐场所等经营场所、公共场所违反法律、行政法规的规定使用人脸识别技术进行人脸验证、辨识或者分析,属于侵害信息主体人格权益的情形。

《规定》第二条第一项也与个人信息保护的规范实践相互呼应。一般认为,在公共场所使用人脸识别技术应当满足以下条件:为维护公共安全;遵守国家有关规定;设置显著的提示标识;除取得个人单独同意外,所收集的人脸识别信息只能用于维护公共安全的目的,不得用于其他目的。显然,这将有力地遏制商家为了门店营销的目的而在自己的经营场所随意使用人脸识别技术。

正因为存在上述区分,《规定》第五条规定的免责事由也被区分为基于法律或行政法规规定的免责事由和基于个人同意的免责事由。这也与民法典第一千零三十六条规定的处理个人信息的免责事由保持了一致。

三、强迫同意与格式条款的控制

处理个人信息的同意,应当由具有同意能力的个人在充分知情的前提下自愿、明确作出。强迫或者变相强迫信息主体作出同意,则不符合上述要求,此时,信息处理者不能以该因强迫做出的同意为由抗辩;当然,信息处理者有其他证据证明同意确系自然人自愿做出的,另当别论。

《规定》第四条细化规定强迫同意的三种情形:(1)信息处理者要求自然人同意处理其人脸信息才提供产品或者服务的,但是处理人脸信息属于提供产品或者服务所必需的除外;(2)信息处理者以与其他授权捆绑等方式要求自然人同意处理其人脸信息的;(3)强迫或者变相强迫自然人同意处理其人脸信息的其他情形。

需要明确的是,首先,《规定》第四条的适用前提仅限于基于信息主体同意处理人脸信息而非基于法律或行政法规规定处理人脸信息的情形。其次,该条区分了产品或服务的基本业务功能和扩展业务功能,同时明确人脸信息的处理即使符合必要原则,也不能以与其他授权捆绑等方式取得同意。再次,该条的“同意”在性质上属于抗辩事由或违法阻却事由,不同于人格权商业化利用中的许可使用。

此种区分也与民法典人格权编明确区分同意和许可使用保持了一致,例如民法典第一千零一十八条第一项规定了肖像权人肖像的许可使用,第一千零一十九条则规定了肖像权人的同意阻却了侵害肖像权人肖像权的违法性。

《规定》第四条确立了强迫作出的同意不得作为抗辩事由的规则,区分了强迫对法律行为效力和对同意效力的不同影响。根据民法典第一百五十条,因胁迫作出的法律行为属于可撤销的法律行为,而根据《规定》第四条,强迫作出的同意属于无效同意。

此区分的理由在于:一方面,受害人同意作为抗辩事由的正当性基础来自于古老的拉丁法谚“对自愿者不构成侵害”,这意味着同意所针对的原本是侵害权利主体合法权益的行为。为从严保护权利主体的合法权益,法律必须提高对该种同意有效性的要求:任何违背权利主体自由意志的同意都是无效的同意,不能发生抗辩或违法阻却的效力。这一理念同样适用于个人信息保护领域。

另一方面,规定强迫同意无效,更有利于实现个人信息保护的规范目的。规定同意的目的就是为了保护信息主体的合法权益免遭信息处理者的不法侵害,规定强迫同意直接无效而非可撤销意味着无需信息主体主张撤销就可直接认定为无效,有助于免除信息主体主张撤销的成本,更好地保护信息主体的合法权益。

考虑到信息处理者一般是通过格式条款来获取信息主体的同意,为了对此种格式条款进行效力控制,《规定》第十一条规定:“信息处理者采用格式条款与自然人订立合同,要求自然人授予其无期限限制、不可撤销、可任意转授权等处理人脸信息的权利,该自然人依据民法典第四百九十七条请求确认格式条款无效的,人民法院依法予以支持。”

之所以该类格式条款无效,是因为“要求自然人授予其无期限限制、不可撤销、可任意转授权等处理人脸信息的权利”,属于民法典第四百九十七条第二项所规定的“提供格式条款一方不合理地免除或者减轻其责任、加重对方责任、限制对方主要权利”。

应当注意《规定》第四条和第十一条之间递进的适用关系:当存在《规定》第四条的情形,直接适用第四条认定同意无效,无需适用第十一条;只有不存在《规定》第四条的情形,才考虑是否适用第十一条认定格式条款无效。

四、举证责任的分配

由于在信息处理过程中,信息主体对于信息处理者如何处理信息并不了解,让其承担信息处理者信息处理行为违法的证明责任,将面临知识和信息上的障碍。

反之,将举证责任分配给更容易提供证据证明其处理行为合法的信息处理者,更有利于强化信息主体权益保护的同时不会不当增加信息处理者负担,也符合民事诉讼法中举证责任分配的便利性原则。

据此,《规定》第六条第二款规定,“信息处理者主张其行为符合民法典第一千零三十五条第一款规定情形的,应当就此所依据的事实承担举证责任”。

五、小区门禁的特别规定

考虑到物业服务企业在小区门禁中使用人脸识别技术面临着较大的现实争议,《规定》第十条予以专门规定。该条第一款规定:“物业服务企业或者其他建筑物管理人以人脸识别作为业主或者物业使用人出入物业服务区域的唯一验证方式,不同意的业主或者物业使用人请求其提供其他合理验证方式的,人民法院依法予以支持。”

据此可知,首先,《规定》对物业服务企业在业主进出小区时使用人脸识别技术并未持否定态度;其次,《规定》要求物业服务企业或者其他建筑物管理人必须为不同意使用人脸识别的业主提供其他的合理验证方式,否则属于变相强迫业主同意使用人脸识别技术。这一规定既满足了物业服务企业通过人脸识别技术提升小区安全保障水平的现实需求,又兼顾了业主的选择自由,可谓妥当之举。

此外,《规定》还确立了认定信息处理者民事责任的动态考量因素、免责事由、多数人侵权责任承担、财产损失的界定、禁令、合并审理、公益诉讼和死者人格利益保护等规则。

总而言之,《规定》首次正式确立了审理使用人脸识别技术处理个人信息相关民事案件的全面且统一的法律适用规则,对于正确审理相关案件意义重大;同时,《规定》从司法视角出发,强化了对信息主体人脸信息的保护,有效衔接对人脸信息的其他保护方式,为进一步规范人脸识别技术的使用提供了有益的指引,也为加强其他类型生物识别信息的保护提供了借鉴思路。



注:本文转载目的在于传递更多信息,并不代表本网赞同其观点和对其真实性负责。如有侵权行为,请联系我们,我们会及时删除。
侵权责任纠纷案件资深律师网 版权所有 京ICP备16000443号-24