最新看法发布:民间借贷纠纷举证倒置,侵害他人知识产权情节严重的被侵权人有权请求相应的惩罚性赔偿

9月10日，第七期“南都数字经济治理论坛”在京举办，主题是“个人信息保护法解读与展望”。会上，广州互联网法院综合审判三庭庭长段莉琼围绕《中华人民共和国个人信息保护法》（下称“个人信息保护法”）中关于公共场所安装人脸识别设备的规定做了分享。

段莉琼认为，随着人脸识别设备的普及，司法判定具体案例时应从收集、存储、使用三方面做出认定。她建议，在司法治理中，可以通过刑事附带民事公益诉讼和消费公益诉讼、举证责任倒置并引入惩罚性赔偿机制等方式促进个人维权。

门店人脸分析可能侵犯用户权益

个人信息保护法第二十六条规定，在公共场所安装图像采集、个人身份识别设备，应当为维护公共安全所必需，遵守国家有关规定，并设置显著的提示标识。所收集的个人图像、身份识别信息只能用于维护公共安全的目的，不得用于其他目的；取得个人单独同意的除外。

其中个人身份识别设备就包括人脸识别设备。段莉琼认为，人脸识别可分为三个场景：人脸验证、人脸辨识和人脸分析。

人脸验证主要应用于线上场景和App，如账号身份认证、特定人物甄别、手机刷脸解锁、移动支付等等。她指出，在这些场景下，一些机构在进行人脸检测时仍在使用技术含量较低的算法，使用者的信息可能会被不法分子冒用，达到以假乱真的效果。

此前，广州互联网法院刚审结的一个案件就是受害者在身份证丢失的情况下，“被刷脸”后背上了万元贷款。最后法院判决认为，银行未能举证证明系受害者本人“刷脸”申办借记卡并申请贷款，受害人无需还款。“（银行）除了以人脸识别技术为主之外，应该建立一个更加全面的身份识别系统，才能够对交易双方的真实性进行交叉核验。”段莉琼说。

人脸辨识主要用于公共空间的出入管理，如小区、公司、学校、商场等。“（这些场景）大部分属于一个线下的采集告知，那么在这些情况下哪些会构成侵权，需要区分不同的场景，具体问题具体分析。”段莉琼表示。

人脸分析这类无感式采集则常发生于大型商场等购物场所，用于统计人流，构建客户群体画像，以便进行精准营销等。段莉琼提到，这类场景可能产生的法律问题是如何将出于公共利益需要而进行的正当收集行为和商业化的人脸识别收集分析行为进行相应的区分。

今年的3·15晚会中，就有卫浴、汽车4S店因门口安装人脸识别设备而被点名曝光，这些设备通过客户进出门店的次数、表情和时间等信息来推断其购买意愿，从而进行精准营销，甚至是价格歧视。此类案例中，消费者对于个人信息被收集是不知情的。

“在门店进行分析之后，人脸信息不再是单独的个人生物信息，和其他的信息结合之后，能够更深层次地透露消费者的消费习惯、收入情况，甚至是可能精准匹配到其家庭情况等私密信息，存在侵犯公民基本权利的可能。”段莉琼说。

应从收集、存储、使用评估风险

“其实公众对于人脸信息被运用，人和人的主观标准是不一致的，而且对于人脸信息是否被滥用，每个人内心的期待也是不一致的。”段莉琼认为，上述案例反映出的主要问题在于，面对公众不一样的内心期待，如何客观化地进行精准甄别？

最高人民法院7月发布的《最高人民法院关于审理使用人脸识别技术处理个人信息相关民事案件适用法律若干问题的规定》（以下简称《规定》）给出了解决方案。

结合《规定》，段莉琼认为，此后在具体案例中应当综合考虑收集、存储、使用三个方面——如果在这三个过程中出现了滥用人脸识别信息的行为，就应当被认定为侵害自然人的人格权益。

首先，在收集的过程中，信息主体应遵循告知-同意原则，向数据主体告知收集的规则，包括目的、数量以及方式，并取得信息主体的同意。其次，在存储的过程中，应经过信息主体的单独书面授权，如果信息主体明示停用服务、撤回服务时，信息处理者应当删除或脱敏处理其相应数据。最后，在使用的过程中，信息处理者应当在完成验证或辨别行为后立刻删除人脸数据，避免意外泄露或挪为他用的风险。

单独同意是认定是否侵权的基石

会上，段莉琼还对人脸识别的司法治理提出了建议。

“谈到司法治理，首先是界定人脸识别的生物信息属于什么权利类型。”她认为，从外延上看，人脸信息不仅仅包括通过算法生成的人脸特征，也包括人脸识别技术抓取到的原始人脸图像。而且人脸信息不同于基因、虹膜和指纹信息等纯生物特征信息，因难以隐藏，很难被认定是隐私。

段莉琼还指出，相较于纯生物特征信息，人脸信息具有更强的人格权属性，在实践运用中要注意对原始人脸图像的侵害，既有可能违反个人信息处理规则、侵犯个人权利，也可能构成对肖像的不当使用，侵害个人的肖像权。至于当人脸信息被应用于算法训练或其他财产权侵权行为时，它是否带来财产权利侵权也需要进一步探索。

而在公共场所使用人脸识别技术时，她认为，应该遵循法律保留以及比例原则。在《规定》的场景式列举中，在公共场所使用人脸识别技术处理到人脸信息的，除法律、行政法规规定的不需要征得个人同意的情形外，都应该经过自然人以及监护人的单独同意——“是否经过单独同意是（认定是否侵权的）基石”。

谈到人脸信息相关的诉讼模式，段莉琼提到，当出现深度伪造、远程窃取等行为时，被侵害方可能处于不知情的状态。所以要让零散分布于各地的被侵害方以个人起诉，会面临诉讼能力受限的问题。在这一点上，《规定》第十四条中提到的公益诉讼机制是很好的补充。

“这一类案件和目前已有的公益诉讼要不要有所区别？通过刑事附带民事公益诉讼方式，甚至于在刑事审查之后，对高技术手段带来的难以消弭的侵害后果是否可以进行独立的民事公益诉讼？同时作为消费者权益保护方，能否提出消费公益诉讼？我觉得这些都是司法下一步应该去思考的一个方向。”她说。

段莉琼还表示，公益诉讼的诉讼主体可能在获取第一手侵权证据时面对着相当大的难度，尤其是无法精准举证在信息在转运、存储、使用过程中，哪个环节发生了信息泄露。在她看来，或许可以实行举证责任倒置，削弱侵权方享有的数据特权。

她还建议，在涉人脸识别信息侵权纠纷案件中探索适用惩罚性赔偿机制。“目前，立法只规定了环境污染、食品安全、知识产权三种适用情形，但是在公民个人信息被大量侵害的过程中，侵权的恶性和获利往往不是说通过普通的民事赔偿就能够达到一个惩罚性的标准”，她认为，将惩罚性赔偿适用到公益诉讼，可以起到威慑作用，从实质上维护社会的公共利益。

出品：南都个人信息保护研究中心

采写：南都见习记者胡耕硕