人脸识别第一案成乱象终结者（人脸识别与个人信息处理的）

人脸识别第一案成乱象终结者（人脸识别与个人信息处理的）专家点评·《中国法治实施报告(2022)》全文收录，· 中国行为法学会和中南大学联合主办。2019年，郭兵购买了杭州野生动物世界年卡。该年卡确定的入园方式为指纹识别。后野生动物世界向郭兵发送短信，通知入园识别系统更换，要求激活人脸识别，否则无法正常入园。郭兵不同意人脸识别，要求园方退卡。一审法院审理后，判令野生动物世界赔偿郭兵合同利益损失；删除郭兵的面部特征信息；驳回郭兵要求确认店堂告示、短信通知中相关内容无效等其他诉讼请求。二审法院认为，人脸识别店堂告示对郭兵不发生效力；野生动物世界欲将已收集的照片激活处理为人脸识别信息，超出事前收集目的，违反了正当性原则，故应删除郭兵的面部特征信息。鉴于原约定的入园服务方式无法实现，亦应删除郭兵的指纹识别信息。据此，二审在原判决的基础上增判野生动物世界删除郭兵的指纹识别信息。

· 专访法学专家、法律实务工作者、媒体记者近百位，

· 共同发掘2021年最具法治实施意义的事件、案件，

· 国内十位顶级专家撰文详解，

· CLER官微元旦首发十日连载，

·《中国法治实施报告(2022)》全文收录，

· 中国行为法学会和中南大学联合主办。

2019年，郭兵购买了杭州野生动物世界年卡。该年卡确定的入园方式为指纹识别。后野生动物世界向郭兵发送短信，通知入园识别系统更换，要求激活人脸识别，否则无法正常入园。郭兵不同意人脸识别，要求园方退卡。一审法院审理后，判令野生动物世界赔偿郭兵合同利益损失；删除郭兵的面部特征信息；驳回郭兵要求确认店堂告示、短信通知中相关内容无效等其他诉讼请求。二审法院认为，人脸识别店堂告示对郭兵不发生效力；野生动物世界欲将已收集的照片激活处理为人脸识别信息，超出事前收集目的，违反了正当性原则，故应删除郭兵的面部特征信息。鉴于原约定的入园服务方式无法实现，亦应删除郭兵的指纹识别信息。据此，二审在原判决的基础上增判野生动物世界删除郭兵的指纹识别信息。

专家点评

人脸识别与个人信息处理的“合法、正当、必要”原则

申卫星

清华大学法学院院长、教授

中国法学会网络与信息法学研究会副会长

《个人信息保护法》已于2021年11月1日生效。该法第5条规定：“处理个人信息应当遵循合法、正当、必要和诚信原则，不得通过误导、欺诈、胁迫等方式处理个人信息。”该条确立了我国法律上个人信息处理的合法、正当、必要和诚信原则。

本案中，郭兵于2019年4月购买了野生动物世界双人年卡，并留存相关个人身份信息，同意以指纹识别作为入园方式。后杭州野生动物世界于2019年7月和10月两次以短信方式通知郭兵入园方式变更，要求郭兵激活人脸识别，以人脸识别作为入园方式。法院根据合同法规则，认为“人脸识别店堂告示并非郭兵与野生动物世界之间的合同条款，对郭兵不发生效力”，并以此为由，判定野生动物世界单方变更入园方式构成违约，应承担违约责任。从法理上看，无论是店堂告示还是短信，均系格式条款，即野生动物世界为了重复使用而预先拟定，并在订立合同时未与对方协商的条款。按照格式条款的订入规则，采用格式条款订立合同的，提供格式条款的一方有义务采取合理的方式提示对方注意免除或者减轻其责任等与对方有重大利害关系的条款，并按照对方的要求，对该条款予以说明；若提供格式条款的一方未履行提示或者说明义务，致使对方没有注意或者理解与其有重大利害关系的条款的，对方可以主张该条款不成为合同的内容（《民法典》第496条）。本案中，人脸识别入园方式条款与郭兵有重大利害关系，根据当事人自述，该条款已引起郭兵足够程度的注意，故不能以该条款违反格式条款订入规则为由，主张该条款不构成合同内容。问题在于，人脸识别条款是否违反了格式条款的内容控制规则？根据《民法典》第497条，提供格式条款一方不合理地免除或者减轻其责任、加重对方责任、限制或排除对方主要权利的，格式条款无效。那么，人脸识别条款是否不合理地减轻了园方责任、限制排除了郭兵的主要权利呢？这就需要结合《个人信息保护法》中的个人信息处理规则进行考察。

根据《个人信息保护法》第28条，人脸识别信息属于敏感个人信息；对于这类个人信息，只有在具有特定的目的和充分的必要性 并采取严格保护措施的情形下方可处理。《个人信息保护法》第28条可谓是对该法第5条的“合法、正当、必要和诚信原则”在敏感个人信息处理领域的进一步细化。从个人信息处理的合法性基础来看，除具备《个人信息保护法》第13条第1款第二项至第七项规定情形外，处理个人信息均需要取得信息主体的同意。又由于人脸识别信息属于敏感个人信息，故而处理这类信息所需的同意标准要高于非敏感个人信息：后者只要取得个人的明示同意（《个人信息保护法》第14条）；敏感个人信息处理则需要取得个人的单独同意，法律、行政法规规定应当取得书面同意的，从其规定（《个人信息保护法》第29条）。本案中，郭兵不同意杭州野生动物世界以其面部识别信息激活人脸识别，遂引发诉讼。因此，野生动物世界不能以信息主体已同意个人指纹信息处理为由，主张将人脸识别作为入园方式。

惟有疑问的是，人脸识别是否构成《个人信息保护法》第13条第1款第（二）项至第（七）项规定的同意的例外情形？在该款规定的各项个人信息同意的例外情形中，与人脸识别入园比较相关的当属第（二）项的“为订立、履行个人作为一方当事人的合同所必需”。本案中，郭兵与野生动物世界之间订立了服务合同，那么，野生动物世界是否可以主张人脸识别入园系履行服务合同所必需呢？笔者亦认为不可以，原因在于：所谓履行合同所“必需”，指的是处理活动与合同目的之间是否存在直接的事实联系 该目的必须尽可能狭义地限定，缩小到实际核心。有的个人信息处理活动，例如本文中的人脸识别，对于履行合同而言的确是有用的，因为它可以改善服务和产品提供的质量。但是，这种“有用性”不等于履行合同的“必需性”，否则，“合同所必需”的范围将被不恰当地大大扩大，也不符合《个人信息保护法》保护个人信息权益的立法目的。综上，野生动物世界欲将其已收集的照片激活处理为人脸识别信息缺乏相应的个人信息处理的合法性基础，不符合《个人信息保护法》的规定。

【极速引证】申卫星：《人脸识别与个人信息处理的“合法、正当、必要”原则》，载江必新主编：《中国法治实施报告（2022）》，人民法院出版社2022年版。

名家评析全文 持续连载中

转载请于显著位置注明主办方出处