小区以刷脸作为唯一通行方式，违法！天津人脸识别第一案：“我的脸我作主”

2021 年8 月，顾城与小区物业多次沟通，要求删除其人脸信息，并向其提供无障碍出入小区的方式，但物业拒绝了他的要求。于是，顾城将物业诉至法院。2022 年5 月18 日，天津市第一中级人民法院二审判决，支持了他的诉求。

人脸信息是生物识别信息的一种，属于敏感个人信息。每个人只有一张脸，如果人脸信息被随意采集和滥用，隐患极大。如今，人脸识别装置在全国各个小区“全面开花”，该如何规范物业公司对住户人脸的采集行为？

“凭什么强制我刷脸进门”

顾城拒绝“刷脸”回家。

每次到小区门口门闸前，他都拒绝对摄像头亮出脸，而是直接叫保安开门。有时遇到别人刷脸开闸，他就尾随在后一起通过。

顾城租住在天津诚基经贸中心（下称“诚基中心”）。2021年3 月他搬入时，被告知小区只能刷脸进入，没有其他进入方式。想要入住，顾城必须向物业公司提供自己的人脸信息。无奈之下，顾城只好让物业拍照录入人脸，登记个人信息。

安顿下来后，顾城发现，人脸识别机旁边就有刷门禁卡的位置，但物业不给办理门禁卡。他曾向保安询问，对方表示人脸识别是“为了业主的安全”。物业人员则答复他，安装人脸识别门禁，经过了业主委员会的同意，还有街道和社区这些官方组织的参与。

但顾城意识到，如果只有“刷脸”一种选择，可能侵犯他的权益。“自从住进诚基中心以后，我就一直疑惑：凭什么强制我用人脸识别进门？”

他表示，诚基中心的物业并不能给他足够的安全感。“采集我的人脸信息之后，怎么传输，怎么使用，存储在哪里，我都一无所知。我不想把人脸信息交给这种没被证明可信任的机构来管理。”

2021 年8 月1 日，最高人民法院出台《关于审理使用人脸识别技术处理个人信息相关民事案件适用法律若干问题的规定》（下称《人脸识别司法解释》）生效施行，要求物业公司不得将人脸识别作为唯一的通行验证方式。

据此，顾城起诉物业公司，要求物业公司为他提供其他通行验证方式，同时删除他此前提供的人脸信息。

一审败诉，二审获支持

顾城的担忧不无道理。北京炜衡（成都）律师事务所律师魏冬冬说，许多小物业公司购买的数据处理设备比较落后，并没有完善的安全防护措施。甚至有的物业公司的人脸识别设备价格极为低廉，而设备供应商愿意低价供货的原因，就是为了收集用户的人脸等敏感个人信息。

“用户的信息可以拿去卖钱，给供应商增加收益，所以很可能你我的人脸早就不知道被转卖了多少手了。”魏冬冬说。

对于顾城遇到的情况，《人脸识别司法解释》第十条规定：“物业服务企业或者其他建筑物管理人以人脸识别作为业主或者物业使用人出入物业服务区域的唯一验证方式，不同意的业主或者物业使用人请求其提供其他合理验证方式的，法院依法予以支持。”这意味着，顾城对物业采集人脸的拒绝“有法可依”。

2021 年9 月3 日，天津市和平区人民法院对顾城的起诉立案，案由为“隐私权纠纷”。

顾城诉称，他曾多次要求物业删除他的人脸识别信息，并提供其他合理验证方式，但对方明确表示拒绝。物业使用人脸识别作为出入小区的唯一验证方式，侵犯了他的人格权，违反了处理人脸信息需要遵循的“合法、正当、必要”原则。

法院认为，鉴于诚基中心居住人员众多，使用顾城人脸信息是按照天津市疫情防控的相关规定和要求，“确为疫情防控的必要措施和需要”。此外，法院还认为，顾城提供的相关证据不能证明物业侵犯了他的隐私权。据此，一审法院驳回了顾城的全部诉讼请求。

顾某不服一审判决，后上诉至天津市第一中级人民法院。他与律师复盘，一审之所以败诉，有可能是因为案由被定为“隐私权纠纷”。由于他无法证明自己的信息已被泄露，因此无法认定隐私权受到侵害。二审上诉时，上诉案由变为“个人信息保护纠纷”。

2022 年5 月18 日，天津市第一中级人民法院对此案二审判决，支持了顾城的诉求。

法院认为，物业公司于2020 年2 月启用人脸识别系统作为业主及物业使用人出入验证方式，能够更精准识别出入小区人员，使小区管理更加安全、通行更加高效，在新冠肺炎疫情防控中发挥了较大作用，并不违反法律规定。但是，顾城办理入住时，虽然同意物业提取其人脸信息作为通行验证方式，但此后多次就物业提取人脸信息作为唯一的验证通行方式提出异议。物业拒绝为顾城提供其他验证方式，这种做法与《人脸识别司法解释》第十条相悖。

因此，二审法院认为，物业应积极履行法律义务，删除顾城的人脸信息，并为其提供其他验证方式，并承担顾城因本案诉讼支出的律师费等合理费用。

如何处理人脸信息才算恰当

人脸信息是生物识别信息的一种，属于敏感个人信息。每个人只有一张脸，如果人脸信息被随意采集和滥用，隐患极大。如何处理人脸信息才算恰当？

魏冬冬说，无论是物业还是写字楼要收集人脸信息，首先应获取个人的同意，让其在载明人脸信息处理规则的清单上签字，获得同意后才可采集人脸信息。与此同时，还应给住户提供替代的通行方式。

采集了人脸信息后，也要采取适当的技术措施去处理。魏冬冬介绍，首先，在信息比对的环节，应尽量在本地完成人脸信息的比对，减少传输过程；其次，若需存储，不存储人脸照片或视频本身，一般需要处理成“消息摘要”。消息摘要就是将任何一张人脸信息使用算法将其“翻译”成一串唯一的字母数字组合，可以防止人脸信息泄露。

不过，魏冬冬指出，前述这些措施都只是推荐性国家标准的要求，不是强制性法律义务。对人脸识别的法律规制，还有赖于国家网信办统筹协调有关部门出台人脸识别保护的细则、标准。

有必要考虑单独立法

如今，人脸识别装置在全国各个小区“全面开花”，如何规范物业公司对住户人脸信息的采集行为？目前，地方法规已经先行一步。

浙江理工大学法政学院副教授郭兵表示，今年3 月1 日，最新修订的《杭州市物业管理条例》施行，其中增加了规定，“物业服务人不得强制业主通过指纹、人脸识别等生物信息方式进入物业管理区域或者使用共有部分”。

郭兵曾参与修订《杭州市物业管理条例》的听证会，并针对人脸识别信息的保护提出建议。当时，他的身份除了是法学专家外，还是“中国人脸识别第一案”（详情请见2020 年第26期26 版《看动物，刷人脸？中国“人脸识别第一案”》）的发起人。

我国首部个人信息保护法在2021 年11 月1 日起施行，突出了对生物识别信息作为敏感个人信息的特别保护。只有具有特定的目的和充分的必要性，并采取严格保护措施的情形下，个人信息处理者方可处理敏感个人信息。另外，与普通的个人信息相比，处理个人敏感信息应该进行更多的告知义务，包括相应的风险以及应当取得当事人的同意。

但是，在清华大学法学院教授劳东燕看来，个人信息保护法将一般个人信息和敏感个人信息进行了区分，体现了强化保护后者的精神，但这种“强化”仍有明显的不足之处。

“突出保护敏感个人信息的地方，其实只在于征求同意的环节，其他地方和普通个人信息几乎没有差别，并没有在实质上抬高法律保护的门槛。”劳东燕认为，从法律层面来说，如今对生物识别信息的保护依然是远远不足的，全国人大及其常委会有必要考虑对生物识别信息进行单独立法，不应放在个人信息保护法的框架下来保护。

此外，人脸信息收集的滥用，可能造成大量的信息泄露，产生许多事故和纠纷。“当问题如洪水一般涌来，会给监管和执法带来特别大的压力，而执法资源是有限的。”劳东燕说，除了信息采集的滥用外，还要关注对信息的保管与使用环节的规制，以及如何更好地行使删除权。