1、人脸识别技术应用现状

1、人脸识别技术典型应用场景

在实践中，人脸识别技术的应用场景相当广泛。我们可以将人脸识别技术的常见应用场景总结如下表：

表1 人脸识别技术典型应用场景

2. 人脸识别技术的滥用与监管

面部识别技术因其强大和便利而被滥用，这种滥用引起了社会的广泛关注。

2019年10月，浙江科技大学特聘副教授郭兵因杭州野生动物园强​​制游客刷脸入园提起诉讼。自此，“首例人脸识别案”开始了。这起案件引发了全社会对人脸的关注。对识别技术合规性应用进行深入思考和广泛讨论。

2021年3月15日晚会上，央视报道《直击人脸识别，谁偷了我的脸？》再次将人脸识别技术推向最前沿。报告显示，一些知名企业的线下门店安装了顾客识别摄像头，捕捉面部数据，分析消费者的性别、年龄、心情等，进而针对不同消费者进行差异化营销。随后，该摄像头供应商被当地市监局立案调查，最终被要求删除云端人脸识别照片、下架人脸识别功能，并被罚款50万元。

同年，全国各地多家房地产公司参与在售楼处安装人脸识别摄像头，识别来访者的行进路线，并用其支付佣金。面部识别的这一应用引起了轩然大波。全国各地监管机构已介入调查，并对违规行为处以罚款。例如，杭州临安的一家房地产公司于2020年7月在售楼处安装了人脸识别系统，以区分顾客是第一次来还是由经纪人带来。该公司被判非法使用面部识别系统收集数据。 、使用消费者个人信息数据被罚款10万元等

上述系列事件推动了《最高人民法院关于审理利用人脸识别技术处理个人信息民事案件适用法律若干问题的规定》的制定，并推动了后续一系列政策的出台的相关规范性文件。

2、人脸识别数据保护相关法律文件

目前，我国已颁布和正在制定的与人脸识别数据合规直接相关的法律文件可归纳如下表：

表2：人脸识别相关法律文件清单

下面，我们将综合上述文件，细化现行法律要求下的人脸识别合规思路和实施要求。

3、人脸识别数据的合规思路

1.什么是人脸识别数据？

(1)人脸识别数据的定义

在阐述人脸识别数据的合规思路之前，我们首先要明确什么是人脸识别数据。根据《人脸识别数据安全要求》第3.1-3.3条规定，人脸识别数据是人脸识别图像和人脸特征的统称。其具体定义及关系如下图所示：

图1：人脸识别数据定义图

(2)人脸识别数据的属性

人脸识别数据属于生物识别信息，属于敏感个人信息范畴。因此，在处理人脸识别数据时，首先应遵循个人敏感信息的保护规则。

同时，在实践中，关于人脸识别数据存在一个常见的问题：是否所有人脸照片都被视为人脸识别图像，从而构成敏感的个人信息？

对于这个问题，根据我们的理解，判断人脸照片是否构成人脸识别图像主要取决于人脸照片的使用场景。例如，如果人脸照片用于人脸识别场景，例如写字楼的人脸识别门禁等，则构成人脸识别图像，属于敏感的个人信息；如果此类人脸照片仅用于个人介绍栏中的照片展示，而不用于人脸识别目的，则不属于个人敏感信息范畴。

2、人脸识别数据的合规思路

在实践中，我们可以将企业的合规思路总结为五个步骤，如图2所示：

图2：企业对人脸识别技术的合规思路

下面我们将分析企业在每个环节应落实的具体合规措施。

四、企业使用人脸识别技术应采取的合规措施

1. 确定特定场景是否需要使用人脸识别功能

根据《个人信息保护法》第二十六条和《人脸识别数据安全要求》第五条甲、乙款，我们将具体场景下是否使用人脸识别功能的判断思路总结如下：如下：

图3：特定场景下判断是否使用人脸识别功能的思路图

下面我们将结合几个具体场景来进一步阐述上述分析思路。

（1）刷脸进火车站

场景分析：在火车站发展场景中，根据《中华人民共和国反恐怖主义法》、《铁路安全管理条例》、《铁路实名制管理办法》的相关规定旅客车票、铁路运输企业需要依据其法律义务维护公共安全。对旅客“票、人、证”进行一致核查和检查。该等情形属于个人信息保护法第二十六条规定，且为维护公共安全所必需的。因此，铁路运输企业可以使用人脸识别方式，并免除其单独同意义务。

典型案例：2021年11月，王某某与中国铁路成都局集团有限公司（以下简称“成都铁路局”）个人信息保护纠纷案讨论铁路运输公司如何利用人脸识别功能进入铁路公司站符合规定。法院认为，《个人信息保护法》第二十六条虽然免除了铁路运输企业的单独同意义务，但并未免除其告知义务，因此认为成都铁路局存在告知缺陷。但法院综合考虑成都铁路局为乘客提供人工通行选项、多处广告告示、未过度使用人脸信息、以及披露义务缺陷对王某某造成的影响和损害较小等因素，判决仅仅上述披露缺陷是不够的。构成侵权。最终，法院判决驳回王某某的诉讼。

不过，案件宣判后，成都铁路运输中院向成都铁路局发出司法建议，建议成都铁路局明确告知互联网和车站入口处以多种方式处理个人信息的情况。随后，2023年8月，成都铁路局正式回应司法整改建议，立即督促全国铁路运输企业及时采取更新网站、优化设备等措施，履行征集义务。通知面部信息。

(2)社区生活场景刷脸门禁

场景分析：在小区场景中，使用人脸识别门禁是为了增强小区环境的安全性，但并不是维护公共安全的必要。也就是说，它不基于法律义务，需要面部识别来设置访问控制。基于这些场景，小区可以使用人脸门禁，但必须单独征得小区居民的同意，对于不愿意使用小区门禁的居民，提供人脸门禁以外的门禁方式。

典型案例：2021年8月，顾某与物业公司发生的个人信息保护纠纷，讨论了社区刷脸门禁合规使用的边界。顾某搬进某小区，录入人脸信息进行小区门禁。随后，顾某要求物业公司删除其人脸识别信息，并提供其他进出小区的方式。物业公司不服，顾某向法院提起诉讼。

这起诉讼是在《人脸识别司法解释》生效后不久发生的。根据《人脸识别司法解释》第十条规定，“物业服务企业或者其他物业管理人以人脸识别作为业主或者物业使用人进出物业服务区域的唯一验证方式。如果业主或者物业使用人不同意如果请求提供其他合理的核实方式，人民法院将依法予以支持。”最终，天津市第一中级人民法院作出二审判决，要求物业公司删除顾某的人脸信息，并向其提供其他常用的验证方式。

（3）利用AI摄像头对店内新老顾客进行识别和营销

场景分析：利用人脸识别数据进行新老客户识别和营销活动需要个人信息主体的单独同意。 《人脸识别数据安全要求》第5(j)条声明了这种情况，“除非经数据主体单独同意或书面同意，人脸识别数据不得用于评估或预测数据主体，包括但不限于评估或预测数据主体的工作表现、经济状况、健康状况、偏好、兴趣、消费行为和活动轨迹等。”

然而，考虑到在商店场景中，在处理其面部识别数据之前，很难及时获得进入商店的消费者的个人同意。因此，在此类场景下，除非无法解决“个人同意”，否则不应使用人脸识别功能。

2、明确人脸比对场景中不同参与者的数据角色

在实现人脸识别功能的过程中，不同的参与者有不同的数据处理活动，属于个人信息保护法下不同的数据角色，应承担不同的数据处理义务。

以办公楼门禁系统为例，各主体的参与情况如下图所示：

图4：办公楼门禁系统各参与者关系图

表3：办公楼门禁系统各参与者数据角色表

以上述情况为例，各参与方在开发人脸识别功能时，应根据自身的数据角色采取相应的合规措施，并与合作伙伴签署相关数据处理协议，明确各自的权利和义务边界。

3、实施人脸识别功能前应进行个人信息安全评估。

根据《个人信息保护法》第五十六条和《人脸识别数据安全要求》第五条第f项规定，企业在处理人脸识别数据时应当进行个人信息保护影响评估。考核内容包括但不限于：

（一）是否符合法律、行政法规和国家标准的强制性要求，是否符合公序良俗；

（二）是否有特定目的和充分必要性；

（三）是否具有达到目的所需的准确度、精度要求；

（四）是否采取与面临的安全风险相适应的安全防护措施，防范人脸识别数据泄露、篡改、丢失、毁损或者非法获取、非法使用等安全风险；

（五）是否采取措施有效减少信息主体权益可能受到的损害和不利影响。

此外，企业应将上述个人信息保护影响评估记录保存三年。

4、人脸数据处理全生命周期应采取的措施

(一) 收藏

根据《个人信息保护法》和《人脸识别数据安全要求》，企业在收集阶段应采取合规措施，包括：

(2) 储存

根据《个人信息保护法》、《生物特征信息保护基本要求》、《人脸识别数据安全要求》等规定，在存储阶段，企业应采取的合规措施包括：

(3)用途

根据《个人信息保护法》、《生物特征信息保护基本要求》、《人脸识别数据安全要求》等，在使用阶段，企业应采取的合规措施包括：

(4) 提供

根据《个人信息保护法》、《生物识别信息保护基本要求》、《人脸识别数据安全要求》等规定，在对外提供阶段，企业应采取的合规措施包括：

(5)删除

根据《个人信息保护法》、《生物识别信息保护基本要求》、《人脸识别数据安全要求》等规定，在删除阶段，企业应采取的合规措施包括：

5、提高相应的数据安全管理和技术能力

根据《个人信息保护法》、《生物识别信息保护基本要求》、《人脸识别数据安全要求》等规定，涉及人脸识别数据处理的企业，应具备的数据安全管理和技术能力包括:

5. 总结

综上所述，实现人脸识别数据合规的步骤可以分为以下五个步骤：

首先，确定特定场景下是否需要使用人脸识别功能。如果该场景不宜使用人脸识别功能，请避免使用人脸识别，而采用其他替代方案。

其次，明确企业在此环节的数据角色，划分其可能的数据处理义务，并在合作实施后与相关合作伙伴签订数据处理协议，明确数据权利和义务。

第三，对拟议的人脸识别功能进行个人信息保护影响评估，识别主要风险，总结风险降低措施，并相应优化产品设计。

四是在功能设计、研发及后续上线过程中，密切关注人脸识别数据处理全生命周期的合规要求，以终为始，贯彻by idea。

五是提升数据安全管理和技术能力，增强企业人脸识别数据保护能力。