天津人脸识别案终审宣判：小区以刷脸作为唯一通行方式违法！
基本案情
顾某居住于天津市和平区诚基经贸中心，该小区物业公司采用人脸识别作为出入小区的验证方式。
2021年8月2日至5日期间，顾某与兰州城关物业服务集团有限公司天津分公司（以下简称“城关天津公司”）诚基经贸中心项目部工作人员多次沟通，要求删除其人脸信息，并向其提供无障碍出入小区的方式，但物业公司拒绝了顾某的要求。此后，顾某委托律师事务所向城关天津公司发出律师函，提出同样要求，后者签收律师函后，并未与顾某或其代理人联系。
2021年9月，顾某将兰州城关物业服务集团有限公司及城关天津公司告上法庭。
顾某诉称，被告拒绝删除其人脸识别信息、使用人脸识别作为出入物业服务区域的唯一验证方式，侵犯了原告的人格权，违反了处理人脸信息需要遵循的合法、正当、必要原则。城关天津公司辩称，人脸识别信息采集是经过业主委员会、综合洽理办公室、社区、街道办共同完成的工作，同时在天津市公安局和平分局进行联网监控，并符合现在疫情管控要求，原告人脸信息只在门禁上使用。
一审结果
此案一审的案由被法院定为隐私权纠纷。依据《民事诉讼法》第六十四条“当事人对自己提供的主张，有责任提供证据”的规定，一审法院判决认为，原告顾某并未提交被告对其信息存在泄露、篡改、丟失的相关证据，且提供的相关证据不能证明二被告侵犯了其隐私权。故原告的诉讼请求没有事实和法律依据，不予支持，驳回全部诉讼请求。
顾某不服一审判决，后上诉至天津市第一中级人民法院。上诉人认为，本案的主要法律问题是个人信息保护而非隐私权，一审法院适用法律错误，案由选择错误。其未主张个人信息被泄露、篡改、丢失，无需提供相关证据，一审法院对举证责任的认定有误。
二审结果
二审法院对一审法院查明的事实予以确认，认为本案系因处理个人信息引发的纠纷，案由应确定为个人信息保护纠纷。
隐私只有在受到实际的侵害或潜在威胁时候，才能受到保护，隐私案件中的举证责任主要由原告承担，而在个人信息案件中举证责任是倒置的。二审法院将案由纠正为个人信息保护纠纷，主要举证责任就转变到物业公司一方。这是原告本案二审胜诉的基础。”
二审法院审理指出，城关天津公司基于涉案小区人员密集、安全防范难度较大的情况，在征得业主及物业使用人同意的情形下，于2020年2月启用人脸识别系统作为业主及物业使用人出入验证方式，能够更精准识别出入小区人员，在新冠肺炎疫情防控中发挥了较大作用，并不违反法律规定。
但二审法院同时指出，根据2021年8月1日起施行的《最高人民法院关于审理使用人脸识别技术处理个人信息相关民事案件适用法律若干问题的规定》第10条规定，如果有业主或者物业使用人不同意采取上述验证方式而请求物业公司提供其他合理验证方式的，物业公司不能以智能化管理为由予以拒绝。
二审法院认为，顾某在办理入住时虽然同意城关天津公司提取其人脸信息作为通行验证方式，但其后多次就城关天津公司提取人脸信息作为唯一的验证通行方式提出异议。城关天津公司以人脸识别验证方式系业主委员会同意拒绝为顾某提供其他验证方式的抗辩理由，与前述规定相悖。城关天津公司关于使用人脸识别验证方式是按照疫情防控的相关规定和要求的主张，亦无证据证实。
最终，二审法院撤销一审判决，要求城关天津公司删除顾某人脸信息，并提供其他通行验证方式，赔偿合理费用6200元。
上诉能够改判的关键是二审法院对于现有法律法规及司法解释的理解更为准确，比如对必要性原则的理解。 “《个人信息保护法》本来就规定了撤回权，基于个人同意处理个人信息的，个人有权撤回同意。个人信息处理者应当提供便捷的撤回同意的方式。对业主来说，根本不需要具备个人信息存在被泄露、篡改、丢失等危险的前提，便可以向物业提出撤回、删除的要求。”劳东燕说。
人脸信息采集有风险，物业公司需合法合规存储
人脸信息具有唯一性、不可变性和易获得性，这既为人脸识别技术带来了价值，又带来了风险。魏冬冬表示，人脸识别滥用的风险主要在于加大了人脸信息泄露的风险，泄露后可能危害个人的人身安全、隐私权和财产安全，如泄露的人脸信息，可能被用于追踪个人行踪、盗窃资金账户、私闯住宅以及未经授权进入机要场所等。
为保障居民的合法权益，部分地区已立法规制物业的个人信息采集行为。2022年3月起施行的新修《杭州市物业管理条例》规定，物业服务人不得强制业主、非业主使用人通过提供人脸、指纹等生物信息方式进入物业管理区域或者使用共有部分，不得泄露在物业服务中获取的业主、非业主使用人个人信息。
而在人脸识别设施的安装过程中，劳东燕特别强调了“告知—同意”原则的基本要求——个人信息收集方必须就收集目的、范围相关与风险做明确而充分的告知，并事先征得被收集人的单独同意。
“根据《个人信息保护法》相关规定，人脸信息属于敏感个人信息，在使用人脸识别设施之前，物业需要单独征求每个居民的同意。”劳东燕表示，“另外，部分已经安装人脸识别装置的小区，看似很多居民都同意了，但此种情形下同意的获得，可能是因为在征求同意时，物业并没有把人脸信息采集可能存在的风险真实全面地告诉居民。严格说来，这样的同意在法律上是无效的。”
转自：第一法商
声明：本文仅供交流学习，版权归原作者所有，部分文章推送时未能及时与原作者取得联系，若来源标注错误或侵犯到您的权益，烦请告知删除。
人脸信息的采纳有利有弊，但总体利大于弊，“关键在于物业是否能够守住底线，保护业主的合法权益。”
“不光是小区，在商务楼宇、消费场所，人脸识别的应用越来越多。”浙江欧硕律师事务所律师胡海波说，在《个人信息保护法》落地后，对如何处理个人信息，保护个人信息安全提出了更高要求。在他看来，生物识别信息作为极度敏感的个人信息，一旦被泄露或者被非法使用，可能导致个人人身、财产安全受到严重损害，应谨慎处理和严格保护。
人脸识别让业主出入更加便利。
根据《个人信息保护法》规定，只有在具有特定的目的和充分的必要性、并采取严格保护措施的情形下，个人信息处理者方可处理敏感个人信息。此外，处理敏感个人信息还应当取得个人的单独同意，向个人告知处理敏感个人信息的必要性以及对个人权益的影响。根据《个人信息保护法》第七十一条，违反本法规定，构成违反治安管理行为的，依法给予治安管理处罚；构成犯罪的，依法追究刑事责任。
最高人民法院
关于审理使用人脸识别技术处理个人信息相关民事案件适用法律若干问题的规定
法释〔2021〕15号
（2021年6月8日最高人民法院审判委员会
第1841次会议通过，自2021年8月1日起施行）
为正确审理使用人脸识别技术处理个人信息相关民事案件，保护当事人合法权益，促进数字经济健康发展，根据《中华人民共和国民法典》《中华人民共和国网络安全法》《中华人民共和国消费者权益保护法》《中华人民共和国电子商务法》《中华人民共和国民事诉讼法》等法律的规定，结合审判实践，制定本规定。
第一条 因信息处理者违反法律、行政法规的规定或者双方的约定使用人脸识别技术处理人脸信息、处理基于人脸识别技术生成的人脸信息所引起的民事案件，适用本规定。
人脸信息的处理包括人脸信息的收集、存储、使用、加工、传输、提供、公开等。
本规定所称人脸信息属于民法典第一千零三十四条规定的“生物识别信息”。
第二条 信息处理者处理人脸信息有下列情形之一的，人民法院应当认定属于侵害自然人人格权益的行为：
（一）在宾馆、商场、银行、车站、机场、体育场馆、娱乐场所等经营场所、公共场所违反法律、行政法规的规定使用人脸识别技术进行人脸验证、辨识或者分析；
（二）未公开处理人脸信息的规则或者未明示处理的目的、方式、范围；
（三）基于个人同意处理人脸信息的，未征得自然人或者其监护人的单独同意，或者未按照法律、行政法规的规定征得自然人或者其监护人的书面同意；
（四）违反信息处理者明示或者双方约定的处理人脸信息的目的、方式、范围等；
（五）未采取应有的技术措施或者其他必要措施确保其收集、存储的人脸信息安全，致使人脸信息泄露、篡改、丢失；
（六）违反法律、行政法规的规定或者双方的约定，向他人提供人脸信息；
（七）违背公序良俗处理人脸信息；
（八）违反合法、正当、必要原则处理人脸信息的其他情形。
第三条 人民法院认定信息处理者承担侵害自然人人格权益的民事责任，应当适用民法典第九百九十八条的规定，并结合案件具体情况综合考量受害人是否为未成年人、告知同意情况以及信息处理的必要程度等因素。
第四条 有下列情形之一，信息处理者以已征得自然人或者其监护人同意为由抗辩的，人民法院不予支持：
（一）信息处理者要求自然人同意处理其人脸信息才提供产品或者服务的，但是处理人脸信息属于提供产品或者服务所必需的除外；
（二）信息处理者以与其他授权捆绑等方式要求自然人同意处理其人脸信息的；
（三）强迫或者变相强迫自然人同意处理其人脸信息的其他情形。
第五条 有下列情形之一，信息处理者主张其不承担民事责任的，人民法院依法予以支持：
（一）为应对突发公共卫生事件，或者紧急情况下为保护自然人的生命健康和财产安全所必需而处理人脸信息的；
（二）为维护公共安全，依据国家有关规定在公共场所使用人脸识别技术的；
（三）为公共利益实施新闻报道、舆论监督等行为在合理的范围内处理人脸信息的；
（四）在自然人或者其监护人同意的范围内合理处理人脸信息的；
（五）符合法律、行政法规规定的其他情形。
第六条 当事人请求信息处理者承担民事责任的，人民法院应当依据民事诉讼法第六十四条及《最高人民法院关于适用〈中华人民共和国民事诉讼法〉的解释》第九十条、第九十一条，《最高人民法院关于民事诉讼证据的若干规定》的相关规定确定双方当事人的举证责任。
信息处理者主张其行为符合民法典第一千零三十五条第一款规定情形的，应当就此所依据的事实承担举证责任。
信息处理者主张其不承担民事责任的，应当就其行为符合本规定第五条规定的情形承担举证责任。
第七条 多个信息处理者处理人脸信息侵害自然人人格权益，该自然人主张多个信息处理者按照过错程度和造成损害结果的大小承担侵权责任的，人民法院依法予以支持；符合民法典第一千一百六十八条、第一千一百六十九条第一款、第一千一百七十条、第一千一百七十一条等规定的相应情形，该自然人主张多个信息处理者承担连带责任的，人民法院依法予以支持。
信息处理者利用网络服务处理人脸信息侵害自然人人格权益的，适用民法典第一千一百九十五条、第一千一百九十六条、第一千一百九十七条等规定。
第八条 信息处理者处理人脸信息侵害自然人人格权益造成财产损失，该自然人依据民法典第一千一百八十二条主张财产损害赔偿的，人民法院依法予以支持。
自然人为制止侵权行为所支付的合理开支，可以认定为民法典第一千一百八十二条规定的财产损失。合理开支包括该自然人或者委托代理人对侵权行为进行调查、取证的合理费用。人民法院根据当事人的请求和具体案情，可以将合理的律师费用计算在赔偿范围内。
第九条 自然人有证据证明信息处理者使用人脸识别技术正在实施或者即将实施侵害其隐私权或者其他人格权益的行为，不及时制止将使其合法权益受到难以弥补的损害，向人民法院申请采取责令信息处理者停止有关行为的措施的，人民法院可以根据案件具体情况依法作出人格权侵害禁令。
第十条 物业服务企业或者其他建筑物管理人以人脸识别作为业主或者物业使用人出入物业服务区域的唯一验证方式，不同意的业主或者物业使用人请求其提供其他合理验证方式的，人民法院依法予以支持。
物业服务企业或者其他建筑物管理人存在本规定第二条规定的情形，当事人请求物业服务企业或者其他建筑物管理人承担侵权责任的，人民法院依法予以支持。
第十一条 信息处理者采用格式条款与自然人订立合同，要求自然人授予其无期限限制、不可撤销、可任意转授权等处理人脸信息的权利，该自然人依据民法典第四百九十七条请求确认格式条款无效的，人民法院依法予以支持。
第十二条 信息处理者违反约定处理自然人的人脸信息，该自然人请求其承担违约责任的，人民法院依法予以支持。该自然人请求信息处理者承担违约责任时，请求删除人脸信息的，人民法院依法予以支持；信息处理者以双方未对人脸信息的删除作出约定为由抗辩的，人民法院不予支持。
第十三条 基于同一信息处理者处理人脸信息侵害自然人人格权益发生的纠纷，多个受害人分别向同一人民法院起诉的，经当事人同意，人民法院可以合并审理。
第十四条 信息处理者处理人脸信息的行为符合民事诉讼法第五十五条、消费者权益保护法第四十七条或者其他法律关于民事公益诉讼的相关规定，法律规定的机关和有关组织提起民事公益诉讼的，人民法院应予受理。
第十五条 自然人死亡后，信息处理者违反法律、行政法规的规定或者双方的约定处理人脸信息，死者的近亲属依据民法典第九百九十四条请求信息处理者承担民事责任的，适用本规定。
第十六条 本规定自2021年8月1日起施行。
信息处理者使用人脸识别技术处理人脸信息、处理基于人脸识别技术生成的人脸信息的行为发生在本规定施行前的，不适用本规定。
