2. 人脸识别技术滥用与监管

当前，我国已经发布的，正在制定的直接与人脸识别数据合规直接相关的法律文件可整理如下表：

表2：人脸识别相关法律文件表

下文我们将综合上述文件，提炼现行法律要求下的人脸识别合规思路与落地要求。

在阐述人脸识别数据合规思路之前，首先厘清何为人脸识别数据。根据《人脸识别数据安全要求》第3.1-3.3条，人脸识别数据为人脸识别图像与人脸特征的统称，其具体定义与关系如下图所示：

图1：人脸识别数据定义图

人脸识别数据属于生物识别信息，落入敏感个人信息范畴，所以在处理人脸识别数据时，首先应遵循敏感个人信息的保护规则。

同时，实践之中，关于人脸识别数据有一个常见的疑问：是否所有的人脸照片均属于人脸识别图像，从而构成敏感个人信息？

关于该问题，根据我们的理解，判断人脸照片是否构成人脸识别图像，主要取决于人脸照片的使用场景，如该人脸照片用于人脸识别场景，例如办公楼宇的刷脸门禁等，则构成人脸识别图像，属于敏感个人信息；如该等人脸照片仅用于个人介绍栏的照片展示，而非用于人脸识别目的，则不落入敏感个人信息范畴。

实践之中，我们可将企业的合规思路总结为五个步骤，具体如图2所示：

图2：企业关于人脸识别技术的合规思路

下文我们将逐一分析每一步骤下企业应具体实施的合规措施。

综合《个人信息保护法》第二十六条、《人脸识别数据安全要求》第5条a、b款，我们将判断特定场景下是否应该使用人脸识别功能的思路总结如下表：

图3：判断特定场景下是否应使用人脸识别功能的思路图

下文我们将结合几个具体场景进一步阐述上述分析思路。

场景分析：在火车站进展场景下，综合《中华人民共和国反恐怖主义法》、《铁路安全管理条例》《铁路旅客车票实名制管理办法》等有关规定，铁路运输企业需基于维护公共安全的法定义务，对乘客进行“票、人、证”一致核对查验。该等情形落入《个人信息保护法》第二十六条为维护公共安全所必需之情形，故，铁路运输企业可采用人脸识别方式，且可免除铁路运输企业的单独同意义务。

典型案例：2021年11月，汪某某与中国铁路成都局集团有限公司（以下简称“成都铁路局”）个人信息保护纠纷案对该铁路运输企业如何合规使用刷脸进站功能进行探讨。法院认为《个人信息保护法》第二十六条虽然免除了铁路运输企业的单独同意义务，但未免除其告知义务，从而认为成都铁路局存在告知缺陷。不过，法院综合考量成都铁路局为乘客提供人工通道选择权、多方广告告示、未过度使用人脸信息以及告知义务缺陷对汪某某的影响和损害小等因素，认为上述告知缺陷亦不足以单独构成侵权。最终，法院判令驳回汪某某诉讼请求。

不过，案件宣判后，成都铁路运输中级法院向成都铁路局发送司法建议，建议成都铁路局在互联网以及车站进站口以多种方式对个人信息处理进行明确告知。后，成都铁路局于2023年8月就司法建议的整改情况正式复函，立即推动全国铁路运输企业及时采取更新网站、优化设备等措施，履行人脸信息采集告知义务。

场景分析：关于小区居住场景下，使用刷脸门禁是为了增强小区居住环境的安全性，但并非是维护公共安全所必需，即并非基于法定义务而必须采取人脸识别方式进行门禁设置。基于该等场景，小区可以使用刷脸门禁，但应取得小区住户的单独同意，且为不愿意使用小区门禁的住户提供刷脸门禁以外的通行方式。

典型案例：2021年8月，顾某与某物业公司个人信息保护纠纷案就小区刷脸门禁的合规使用边界问题进行探讨。顾某入住某小区，录入人脸信息以用于小区门禁，后顾某要求物业公司删除其人脸识别信息，并提供其他出入小区的方式，物业公司拒绝，顾某遂向法院提起诉讼。

该诉讼正值《人脸识别司法解释》生效施行之后。根据《人脸识别司法解释》第十条，“物业服务企业或者其他建筑物管理人以人脸识别作为业主或者物业使用人出入物业服务区域的唯一验证方式，不同意的业主或者物业使用人请求其提供其他合理验证方式的，人民法院依法予以支持”，最终，天津市第一中级人民法院作出二审判决，要求物业公司删除顾某的人脸信息并为其提供其他通行验证方式。

场景分析：将人脸面部识别数据用于新老客识别及营销活动需取得个人信息主体单独同意，《人脸识别数据安全要求》第五条j款对此情形进行声明性说明，“除非经数据主体单独同意或书面同意,不应将人脸识别数据用于数据主体的评估或预测,包括但不限于评估或预测数据主体的工作表现、经济状况、健康状况、偏好、兴趣、消费行为和活动轨迹等。”

不过，考虑到在门店场景下，很难在当下场景下及时取得入店消费者的单独同意后，再行处理其人脸面部识别数据。故，此等场景下，在无法解决“单独同意”前提下，不应使用人脸识别功能。

在人脸识别功能的实现过程之中，不同参与主体所涉及的数据处理活动各不相同，属于《个人信息保护法》下不同的数据角色，应承担不同的数据处理义务。

以办公楼门禁系统为例，其中各主体参与情况如下图所示：

图4：办公楼门禁系统各参与方关系图

表3：办公楼门禁系统各参与方数据角色表

以上述情形为例，在开展人脸识别功能时，各参与方应结合自己的数据角色，采取相应的合规措施，并与合作方签署相关数据处理协议，以明确各自的权利与义务边界。

综合《个人信息保护法》第56条及《人脸识别数据安全要求》第5条f款，企业应在处理人脸识别数据个人信息保护影响评估，评估内容包括但不限于:

此外，企业应将上述个人信息保护影响评估记录存储三年。

综合《个人信息保护法》《人脸识别数据安全要求》等，在收集阶段，企业应采取的合规措施包括：

综合《个人信息保护法》《生物特征识别信息保护基本要求》《人脸识别数据安全要求》等，在存储阶段，企业应采取的合规措施包括：

综合《个人信息保护法》《生物特征识别信息保护基本要求》《人脸识别数据安全要求》等，在使用阶段，企业应采取的合规措施包括：

综合《个人信息保护法》《生物特征识别信息保护基本要求》《人脸识别数据安全要求》等，在对外提供阶段，企业应采取的合规措施包括：

综合《个人信息保护法》《生物特征识别信息保护基本要求》《人脸识别数据安全要求》等，在删除阶段，企业应采取的合规措施包括：

综合《个人信息保护法》《生物特征识别信息保护基本要求》《人脸识别数据安全要求》等，对于涉及处理人脸识别数据的企业，其应具备的数据安全管理与技术能力包括：