律师解读商家、物业和车企采集人脸信息：消费者应坚决依法维权

3月18日晚间消息，针对多起个人信息被商家和厂商违规采集并用以商业化目的，黑龙江海闻律师事务所主任李学军律师接受了新浪科技的采访，为广大用户在法律层面答疑解惑的同时，也提供了不少保护个人信息，避免个人信息裸奔的方法。他建议，对于违法采集、保护不当造成个人信息泄露的行为，即使违规方道歉并采取补救措施，消费者也应该坚决依法维权。2020年9月，北京某社区居委会发出通知，要求居民带好手机、身份证、购房户带房产证、租户带租房合同，4天内在指定地点注册登记。通知中还附上了智能门禁注册流程。所谓的智能门禁，就是应用人脸识别技术打开门禁，取代原先传统的门禁卡的方式。2021年“央视315晚会”曝光科勒卫浴、宝马、MaxMara等多家知名商店安装具有人脸识别功能的摄像头，用以识别监控营业场所范围内自然人的性别、年龄，甚至用户心情，达到精准营销目的。央视3·15晚会曝光后，科勒等商家连夜整改，拆除了具有人脸识别功能的摄像头，并向受到侵害的消费者致歉。同样，在智能汽车越来越受欢迎的今天，人脸、车内活动等个人隐私和信息被采集，存在泄露风险也正逐步引发消费者的担忧。近日，有用户向特斯拉CEO马斯克询问，特斯拉的车内摄像头是否可以检测车主的目光。马斯克对此直接回答“Yes”。这也是特斯拉首次承认车内摄像头可以采集车主在车内的信息。李学军律师表示，众多消费者的人脸识别信息在消费者不知情的情况下被商家“偷走”，消费者在震怒之后，还要面对的人脸识别信息泄露或被滥用的风险，公民个人信息安全问题需要引起全社会的关注。大数据与人工智能技术的发展使得商家对海量数据的分析与使用变得异常便捷和简单，个人信息被滥用的可能性被无限放大。商家在利用海量的个人信息对目标群体做人格画像，实施精准营销的同时，严重侵害了消费者的人格尊严，是对消费者实施的侵权行为。此外，因人脸识别广泛用于支付宝、微信支付等领域，一旦人脸识别信息泄露，无异于将支付密码、密钥、指纹、或电子签名泄露给他人，并且无法更改，将给消费者带来极大资金支付安全隐患。因此，商家违法收集消费者人脸识别信息的社会危害后果极其严重，且风险难以预测。就银行业而言，尽管目前人脸识别信息还没有作为支付结算的安全工具使用，但是，人脸识别技术已作为客户身份识别的重要手段被广泛运用于电子银行和自助机具（如柜员机等）的客户身份识别系统。尽管人脸识别信息的泄露对银行支付结算业务有无危害及危害程度还有待于进一步评估和论证，但是毫无疑问，一旦不法分子将公民的人脸识别信息与其他个人信息连接使用，将为不法分子诱导公民自行操作办理支付结算业务提供了方便和可能。在汽车制造领域，车企往往将摄像头设计安装置于车内，通过人脸识别技术检测驾驶人员的面部表情，虽然名义上用于防止疲劳驾驶，但是是否还有其他用途，全在车企的掌握之中。车辆采集驾驶人员的面部表情后，不是在车内进行数据的分析，而是通过互联网上传到车企的数据中心（后台）进行数据处理。汽车制造领域使用车内摄像头采集车内人员的人脸识别信息，似已成为一种趋势。既然通过车内摄像头，可以检测到车内人员面部的细微表情，那么对于车内人员的隐私，车企也将一览无余。还有，许多物业服务企业通过刷脸解除门禁的摄像头，与安置于汽车内的摄像头会侵犯人们的隐私权的道理相同。李学军律师强调，如何确保车企和物业服务企业不将人脸识别信息挪作他用，又如何确保车企和物业服务企业采集的人脸识别信息不会泄露，又不会由不法分子将其与人们的财产权益相关联，就成为一个现实问题。人脸识别信息被挪作他用、被泄露、被不法分子与人们的财产权益相关联，不仅涉及侵犯车内人员和物业业主的隐私权问题，也存在侵犯公民财产权利的潜在风险。那是不是商家拆除了摄像头、向消费者道了歉，就案结事了？商家在拆除摄像头、向消费者道歉后还需要应当承担什么样的法律责任？李学军律师建议，如果公民的个人信息被非法采集，并被泄露或者未经同意被用于商业用途，任何人都应该坚决拿起法律武器维护自己的合法权益。人脸识别信息是公民特有的敏感信息，与公民身份不可分割，具有不可替代的专有属性，是大数据时代最重要的个人信息之一。根据相关法律规定，有权收集、处理公民个人信息的机构有法律授权的主体，包括司法机关、行政执法机关等，还包括获得信息主体同意的信息收集机构。可见，未经消费者同意擅自收集消费者的人脸识别信息是违法行为。违法取得消费者人脸识别信息的商家自行拆除具有人脸识别功能的摄像头只能说明商家自行停止了侵权行为，但是不能免除商家因实施违法行为应承担的法律责任和商家采集和滥用消费者个人信息带来的安全隐患的救济义务。只要商家未经公民（当然不限于消费者）本人同意而取得公民的人脸识别信息，就是违法行为，就应当承担法律责任。从法理上讲，由于商家违法收集消费者人脸识别信息，掌握海量的消费者人脸识别信息，商家对已经保存的消费者人脸识别信息不得使用并负有避免再次泄露义务。如因商家使用和再次泄露，导致消费者人脸识别信息被不法分子利用从事违法犯罪活动，给消费者造成经济损失的，应当承担相应的民事赔偿责任。法律对公民个人信息的保护经历了从以公法保护为主到日益重视私法保护的发展历程。现行法律认可经公民同意而取得公民个人信息行为的合法性。2021年开始实施的《民法典》关于人格权的规定独立成编，严格规范了对公民个人信息的处理和法律责任，对公民个人信息的保护提高到前所未有的高度。《民法典》第1035条规定，处理个人信息应当遵循合法、正当、必要的原则。需要说明，即便商家经公民（当然不限于消费者）本人的同意而取得了公民的人脸识别信息，也不应滥用。虽然商家取得公民人脸识别信息的方式是合法的，但是，基于合法行为取得的人脸识别信息的基础关系属合同法律关系，商家应当承担合同法意义的附随义务，即商家对合法取得的人脸识别信息应负妥善保管义务，同时，商家使用公民的人脸识别信息应依据商家与公民之间的合同约定，没有明确约定的，应依据法律规定进行。依据《民法典》的上述规定，对于商家已经保存的消费者人脸识别信息，商家应承担正当和必要使用的义务。如果商家在处理消费者人脸识别信息时，超过必要和正当的法定界线，也应当承担相应的民事赔偿责任。2005年《刑法修正案（五）》增加规定了窃取、收买、非法提供信用卡信息罪，这是我国刑事法律中第一个关于侵害公民个人信息犯罪的法律规定。稍后的《刑法修正案（七）》、最高人民法院会同最高人民检察院发布的《关于办理侵犯公民个人信息刑事案件适用法律若干问题的解释》《网络安全法》《消费者权益保护法》《电子签名法》等都有关于加强个人信息保护的规定。如果商家将获取的消费者人脸识别信息非法出售，造成不良的社会影响或人身、财产损失，应当依法承担刑事责任。大数据时代似乎人人无秘可保，大家似乎都在海量数据铺就的电子通道上裸奔。信息泄露无处不在，严重危及公民的人身和财产安全。随着信息化科学技术的发展，信息资源成为重要的生产要素和社会财富，经济利益的趋动成为违法者铤而走险盗取个人信息的原动力。依法保护个人信息安全是全社会共同的责任。央视曝光的商家违法收集消费者人脸识别信息后，部分涉事商家能主动拆除摄像头并向消费者赔礼道歉，商家能知错就改，值得肯定。同时，也应当看到，因受到侵害的消费者与商家的信息不对称，无法获取权利受到侵害的相关证据，只有通过相关执法部门对商家的违法行为进行调查处理，才能给受到侵害的消费者一个满意的交待。科学技术是生产力，不可否认，人脸识别技术在降低商家运营成本的同时，增加了商家获利的机会。科学技术也是社会治理的驱动力，从公共利益的角度看，开发、运用人脸识别技术可以大幅度降低政府治理社会的成本，对于提高政府的社会治理能力、完善社会治理体系、提高政府的公信力，意义重大。利用人脸识别信息，能轻而易举的确认实施违法、犯罪、不文明、不道德等行为主体的身份，让实施违法、犯罪、不文明、不道德等行为的人难以遁形，大幅度降低了制裁违法行为的成本，显著提高了政府打击违法、犯罪等的效率。人脸识别技术的运用在降低犯罪率、促进社会治安好转、减少刑事诉讼程序中刑讯逼供不法行为几率、提高法院生效判决主动履行的比例、减少强制执行措施的施适用频率等方面，也发挥了积极的作用，提高了国家机关的公信力。人脸识别信息是一柄双刃剑，它即可满足公共利益的需要，也能成为违法、犯罪活动的工具。立法机关应通过合理的制度安排，使全社会共享人脸识别信息之利而不受其害。人脸识别信息的收集、处理活动应纳入法律的调整范围，通过立法明确不同主体通过人脸识别技术收集处理个人信息的范围、条件、信息安全保障义务以及违反信息安全保障义务的法律责任。尽管侵犯公民个人信息的案件还时有发生，但我们也欣喜的看到，关于公民个人信息保护的立法脚步从未停止。随着关于个人信息保护法规体系的日益完善，随着公民个人信息保护意识的加强，随着行政主管部门监管能力的提高，公民的个人信息一定不会再继续裸奔。