住户物业的“刷脸之争” 加强个人信息保护还有哪些难点?

刷脸进出小区，这是不少人每天都会经历的场景。然而就在不久前，天津一位26岁的小伙顾城，因为拒绝其小区的物业将人脸识别作为小区唯一的通行验证方式，将物业公司告上了法庭，并在二审获得了胜诉。

出入小区只能人脸识别 住户担心隐私泄露风险

事情发生在2021年3月，当时顾城从北京搬到天津工作，在网上签约租住了天津诚基经贸中心的一套公寓。在拎包入住的当天，他从房屋中介口中得知，小区只提供人脸识别的方式出入。

按照顾城的说法，物业公司当时只提供了刷脸这一种方式进出小区。记者试图联系顾城所住小区的物业公司，但物业公司拒绝了采访。在入住当下，顾城虽然心生疑虑，但因为已经租下了房子，便还是在物业登记了姓名、身份证号、房屋等信息，也拍照录入了人脸信息。

顾城说，虽然他不是学法律出身，但以他朴素的理解，刷脸进出小区应该遵循自愿的原则。因为有不少像他这样不愿意刷脸的人，都是因为担心其中的风险性。顾城告诉记者，我们普通人有些考虑得不够完善、不够全面，他只是提到了方便效率，但是风险呢？也许没有认识到。那如果我这张脸泄露了以后，如果别人去伪造了，去用我这张脸做了一些坏事，或者是造成了一些财产的损失呢？我没有这个必要去承担这个风险。

顾城的担心其实不无道理。作为人工智能的重要应用，近年来，人脸识别逐步渗透到人们生活的方方面面，给人们的生活带来了便利。但同时，人脸识别技术所带来的个人信息保护问题也日益凸显，引发社会公众的普遍关注和担忧。

根据媒体报道，有部分线上平台或者应用软件强制索取用户的人脸信息，还有的卖家在社交平台和网站公开售卖人脸识别视频、买卖人脸信息等。此外，因人脸信息等身份信息泄露导致“被贷款”“被诈骗”和隐私权、名誉权被侵害等问题也多有发生。甚至还有一些犯罪分子利用非法获取的身份证照片等个人信息制作成动态视频，破解人脸识别验证程序，实施窃取财产等犯罪行为。

刷脸风险渐被人意识到 最高法出台相关规定

曾经参与《民法典》立法论证工作的中国人民大学法学院教授石佳友指出，人脸信息属于敏感个人信息中的生物识别信息，具有唯一性和不可更改性，一旦泄露将对个人的人身和财产安全造成极大危害，甚至还有可能威胁公共安全。他说，这种风险主要在于它具有唯一性和不可更改性，比如个人信息里，手机电话可以随便改，但是一般人脸是很难更改的。这就决定了它一旦被泄露、一旦被盗用，那后果是很难设想的。比如未成年人、儿童可能遭到绑架，国外已经有这样的教训。你的人脸信息如果被黑客窃取，他就有可能进入到你的账户、网上银行，最后盗取你的资金。可能对你的财产、对你的人身造成影响。公众对于人脸识别技术滥用的担心不断增加，强化人脸信息保护的呼声也日益高涨。2021年8月1日，《最高人民法院关于审理使用人脸识别技术处理个人信息相关民事案件适用法律若干问题的规定》生效施行。作为一部用于解决人脸识别信息民事纠纷案件的司法解释，对处理人脸识别信息进行了有力的规范，其中不仅涉及宾馆、商场、银行、车站、机场、体育场馆、娱乐场所等经营场所、公共场所，也专门提到，这一司法解释的出台，也让顾城决定走法律途径解决问题。

住户起诉物业二审胜诉 法院要求物业删除信息

顾城和他的代理律师葛向孜，将兰州城关物业服务集团有限公司天津分公司告上了法庭。2021年9月3日，天津市和平区人民法院对顾城的起诉立案，并于2021年11月一审开庭。但由于案由定为隐私权纠纷，法院审理认为，顾城提供的相关证据，不能证明物业公司侵犯了他的隐私权。据此，一审法院驳回了顾城的全部诉讼请求。

2021年11月，因不服一审判决，顾城上诉至天津市第一中级人民法院。二审法院纠正了案由，认为本案是因处理个人信息引发的纠纷，案由应确定为个人信息保护纠纷。二审法院认为，根据《最高人民法院关于审理使用人脸识别技术处理个人信息相关民事案件适用法律若干问题的规定》第10条规定，如果有业主或者物业使用人不同意采取人脸识别验证方式而请求物业公司提供其他合理验证方式的，物业公司不能以智能化管理为由予以拒绝。顾城在办理入住时，虽然同意物业公司提取其人脸信息作为通行验证方式，但其后多次就物业公司提取人脸信息作为唯一的验证通行方式提出异议。物业公司以人脸识别验证方式是业主委员会同意，拒绝为顾城提供其他验证方式的抗辩理由，与第10条规定相悖。2022年5月18日，天津市第一中级人民法院对此案二审判决，要求物业公司删除顾城的人脸信息，并为其提供其他通行验证方式，承担顾城因本案诉讼支出的律师费等合理费用。

石佳友表示，天津人脸识别案的胜诉，很好地验证了最高法关于人脸识别的司法解释的适用效果，而这一案件本身，也具有标志性意义。

住户刷脸依然能进小区 行业监督需要细化标准

顾城在2022年7月发给记者的手机视频显示，他依然能够通过刷脸进入小区，这样的情况让顾城怀疑，物业是否真的删除了他的人脸信息？此时，距离2022年5月18日天津市第一中级人民法院下达二审判决已经过去了近两个月。二审法院明确判令，物业公司于判决生效之日起五日内删除顾城的人脸信息并为其提供其他通行验证方式。对于删除权，《个人信息保护法》第四十七条明确规定：“有下列情形之一的，个人信息处理者应当主动删除个人信息，个人信息处理者未删除的，个人有权请求删除。”因为有明确的违法事实，顾城可以通过法律手段维护其删除权的实现。但对于法律中提到的其他情形，比如处理目的已实现等情况，个人信息处理者是否能够做到及时删除呢？

因为人脸识别需要比对，目前大多数企业都会采取本地存储的方式。在对企业的采访中我们侧面了解到，行业内没有严格执行删除的情况不在少数。

石佳友认为，按照目前的管理体制，监管部门可以侧重于加强合规管理，从而达到监管的目的。通过监督检查发现是否合规，那么不合规的情况又如何处理呢？律师和专家都谈到，《个人信息保护法》设立了专门的章节明确了“法律责任”，相关监管部门可以根据法律规定，加大执法力度。除了加强合规管理、加大执法监督，顾城的代理律师葛向孜认为，监管层面还可配合相关法律，再出台更细化的规范或规则。

在《个人信息保护法》“个人信息处理者的义务”章节中，有一些诸如“对个人信息实行分类管理”“采取相应的加密、去标识化等安全技术措施”等规定，但在技术公司看来，他们还需要更细化的标准。如何能让法律真正得到贯彻执行，让法律的进步真正惠及实践，是目前人脸识别领域的一大难点。另一方面，虽然人们有了更多的法律武器来维护自身合法权益，但个人维权成本高、维权难度大，也是一大难题。

近期，在杭州、广州都已经出现了涉及人脸识别的公益诉讼。公益诉讼逐渐走向实践，但其中的挑战与难度，也是可以想象的。石佳友说，完全可以想象这里有难度，特别是公益诉讼，公益诉讼往往要证明，第一，有众多的受害者。第二，确实要确定有这个侵权的事实，要有非常确凿的证据。它还要去证明损害，它往往会主张一个具体的损害金额。所以从诉讼准备的专业性角度来讲，要求比较高。     

据央视新闻、封面新闻