润方研析|最高院《关于审理使用人脸识别技术处理个人信息相关民事案件适用法律若干问题的规定》解读

【第一条】 因信息处理者违反法律、行政法规的规定或者双方的约定使用人脸识别技术处理人脸信息、处理基于人脸识别技术生成的人脸信息所引起的民事案件，适用本规定。

人脸信息的处理包括人脸信息的收集、存储、使用、加工、传输、提供、公开等。　

本规定所称人脸信息属于民法典第一千零三十四条规定的“生物识别信息”。

 本条是对司法解释适用范围及相关概念的规定。

首先，本规定的适用范围是“不当使用人脸识别技术处理个人信息”行为所引发的民事纠纷。从本条表述来看，无论是使用人脸识别技术首次对人脸信息进行处理（直接处理）、还是对已经被人脸识别技术处理过的人脸信息进行二次处理（间接处理），只要涉及了人脸识别技术，都将被纳入法律规制的范畴。

其次，司法解释对于“信息处理”作出了极为宽泛的解释，涵盖了“收集、存储、使用、加工、传输、提供、公开”等可能的各个环节。可以说，只要涉及人脸信息，对其进行的任何操作都属于本司法解释规制的范畴。

最后，《民法典》第1034条第二款规定：“个人信息是以电子或者其他方式记录的能够单独或者与其他信息结合识别特定自然人的各种信息，包括自然人的姓名、出生日期、身份证件号码、生物识别信息、住址、电话号码、电子邮箱、健康信息、行踪信息等”，本司法解释即规定人脸信息属于“生物识别信息”。

二、典型的不当处理人脸信息行为

【第二条】 信息处理者处理人脸信息有下列情形之一的，人民法院应当认定属于侵害自然人人格权益的行为：

（一）在宾馆、商场、银行、车站、机场、体育场馆、娱乐场所等经营场所、公共场所违反法律、行政法规的规定使用人脸识别技术进行人脸验证、辨识或者分析；　　

（二）未公开处理人脸信息的规则或者未明示处理的目的、方式、范围；

（三）基于个人同意处理人脸信息的，未征得自然人或者其监护人的单独同意，或者未按照法律、行政法规的规定征得自然人或者其监护人的书面同意；（四）违反信息处理者明示或者双方约定的处理人脸信息的目的、方式、范围等；

（五）未采取应有的技术措施或者其他必要措施确保其收集、存储的人脸信息安全，致使人脸信息泄露、篡改、丢失；

（六）违反法律、行政法规的规定或者双方的约定，向他人提供人脸信息；

（七）违背公序良俗处理人脸信息；

（八）违反合法、正当、必要原则处理人脸信息的其他情形。

 本条列举了几种典型的不当处理人脸信息行为，有以下需要注意。

就本条第一项，是对社会关注热点问题的积极回应。今年3.15晚会，央视曝光了“摄像头滥用，在不为人知的情况下收集人脸数据”问题。报道显示，科勒卫浴、宝马4S店、MaxMara等部分商家安装人脸识别摄像头抓取包括性别、年龄在内的个人信息，分析消费者的性别、年龄、心情等，进而采取不同营销策略。还有引发热议的“戴头盔看房”，也是缘于地产销售对人脸识别技术的滥用。本司法解释明确规定该行为属于侵害自然人人格权益的行为。

就本条第三项，有两点值得关注：一是处理未成年人人脸信息，须征得监护人的单独同意；二是应用程序不得强制索取非必要个人信息。1、伴随着人脸识别应用场景越来越广泛，未成年人的人脸信息被采集的场景也越来越多。新司法解释对未成年人的人脸信息保护作出了专门规定，规定必须征求其监护人的同意。2、长期以来，部分移动应用程序通过一揽子授权、与其他授权捆绑、“不点击同意就不提供服务”等方式强制索取非必要个人信息的问题十分突出。为此，司法解释确定了单独同意规则，即信息处理者在征得个人同意时，必须就人脸信息处理活动单独取得个人的同意，而不能通过一揽子告知同意等方式征得个人的同意。

三、酌定民事责任时的考虑因素

 本条规定酌定人脸信息处理者承担民事责任时应当考量的因素。

由于对人格权的特殊性，对人格权的侵害往往难以用具体金额权衡，只能交由裁判者酌定。《民法典》第998条规定了一些考量因素，即：“认定行为人承担侵害除生命权、身体权和健康权外的人格权的民事责任，应当考虑行为人和受害人的职业、影响范围、过错程度，以及行为的目的、方式、后果等因素。”

本司法解释在此基础上，更增加了“受害人是否为未成年人、告知同意情况以及信息处理的必要程度”等因素。

四、“强迫同意”无效规则

【第四条】 有下列情形之一，信息处理者以已征得自然人或者其监护人同意为由抗辩的，人民法院不予支持：

（一）信息处理者要求自然人同意处理其人脸信息才提供产品或者服务的，但是处理人脸信息属于提供产品或者服务所必需的除外；

（二）信息处理者以与其他授权捆绑等方式要求自然人同意处理其人脸信息的；

（三）强迫或者变相强迫自然人同意处理其人脸信息的其他情形。

 本条规定“强迫同意”无效规则，是为了避免信息处理者以“事先征求了同意”来逃避责任。

实践中有的信息服务提供者将“同意人脸识别”与“提供服务”捆绑，形成“不点击同意就不提供服务”的局面迫使用户同意采集人脸信息；也有的信息服务提供者将人脸信息采集的授权与其他授权捆绑，用户在不甚明了的情况下就同意了采集人脸信息。在这样不公平的情况下，用户作出的“同意”显然不是其真实意思表示。因此，司法解释明确规定这样的同意无效。

五、处理人脸信息的免责事由

【第五条】 有下列情形之一，信息处理者主张其不承担民事责任的，人民法院依法予以支持：

（一）为应对突发公共卫生事件，或者紧急情况下为保护自然人的生命健康和财产安全所必需而处理人脸信息的；

（二）为维护公共安全，依据国家有关规定在公共场所使用人脸识别技术的；

（三）为公共利益实施新闻报道、舆论监督等行为在合理的范围内处理人脸信息的；

（四）在自然人或者其监护人同意的范围内合理处理人脸信息的；

（五）符合法律、行政法规规定的其他情形。

 《民法典》第999条规定：“为公共利益实施新闻报道、舆论监督等行为的，可以合理使用民事主体的姓名、名称、肖像、个人信息等；使用不合理侵害民事主体人格权的，应当依法承担民事责任。”本条款就是对合理使用规则的细化。

六、诉讼中举证责任的分配

【第六条】 当事人请求信息处理者承担民事责任的，人民法院应当依据民事诉讼法第六十四条及《最高人民法院关于适用〈中华人民共和国民事诉讼法〉的解释》第九十条、第九十一条，《最高人民法院关于民事诉讼证据的若干规定》的相关规定确定双方当事人的举证责任。

信息处理者主张其行为符合民法典第一千零三十五条第一款规定情形的，应当就此所依据的事实承担举证责任。

信息处理者主张其不承担民事责任的，应当就其行为符合本规定第五条规定的情形承担举证责任。

 本条款引用的《民事诉讼法司法解释》第90、91条，即“谁主张谁举证”规则。因此本条第一款实际上是一个宣誓性的规定。《民法典》第1035条第1款规定的是：“处理个人信息的，应当遵循合法、正当、必要原则，不得过度处理，并符合下列条件：（一）征得该自然人或者其监护人同意，但是法律、行政法规另有规定的除外”。因此本条充分考虑双方当事人的经济实力不对等、专业信息不对称等因素，将举证责任倒置、由信息处理者证明其行为符合《民法典》第一千零三十五条的规定。

七、多数人侵权、利用网络侵权

【第七条】 多个信息处理者处理人脸信息侵害自然人人格权益，该自然人主张多个信息处理者按照过错程度和造成损害结果的大小承担侵权责任的，人民法院依法予以支持；符合民法典第一千一百六十八条、第一千一百六十九条第一款、第一千一百七十条、第一千一百七十一条等规定的相应情形，该自然人主张多个信息处理者承担连带责任的，人民法院依法予以支持。

信息处理者利用网络服务处理人脸信息侵害自然人人格权益的，适用民法典第一千一百九十五条、第一千一百九十六条、第一千一百九十七条等规定。

本条规定了存在多个信息处理者侵权时的责任承担。

按照本司法解释的规定，对人脸信息的不当处理包括收集、存储、使用、加工、传输、提供、公开等多个环节，因此很可能存在多个侵权者。本条就规定了如何认定各个信息处理者之间的责任。具体而言，其实就是按照既有的《侵权责任法》中对于多数人侵权的规定、《民法典》中对网络侵权的一般规定进行处理。

本条第一款规定分别适用“共同加害行为”、“共同危险行为”、“无意思联络数人侵权”情形的处理规则；本条第二款则分别适用“避风港规则”、“反通知规则”、“红旗规则”。

八、财产损害赔偿请求权

【第八条】信息处理者处理人脸信息侵害自然人人格权益造成财产损失，该自然人依据民法典第一千一百八十二条主张财产损害赔偿的，人民法院依法予以支持。

自然人为制止侵权行为所支付的合理开支，可以认定为民法典第一千一百八十二条规定的财产损失。合理开支包括该自然人或者委托代理人对侵权行为进行调查、取证的合理费用。人民法院根据当事人的请求和具体案情，可以将合理的律师费用计算在赔偿范围内。

 《民法典》第1182条规定：“侵害他人人身权益造成财产损失的，按照被侵权人因此受到的损失或者侵权人因此获得的利益赔偿；被侵权人因此受到的损失以及侵权人因此获得的利益难以确定，被侵权人和侵权人就赔偿数额协商不一致，向人民法院提起诉讼的，由人民法院根据实际情况确定赔偿数额。”

需要注意的是，此处的财产损失包括直接损失和间接损失。在该类案件中常见的间接损失包括：人脸信息泄露后被他人盗用导致的个人财产损失；人脸信息被非法交易后，个人维权所产生的财产支出等。

此外，当具体数额难以确定时，还需要依据最高院《关于审理利用信息网络侵害人身权益民事纠纷案件适用法律若干问题的规定》第十二条第2款“被侵权人因人身权益受侵害造成的财产损失以及侵权人因此获得的利益难以确定的，人民法院可以根据具体案情在50万元以下的范围内确定赔偿数额”之规定，在50万元以下酌定赔偿数额。

九、人格权侵害禁令

【第九条】自然人有证据证明信息处理者使用人脸识别技术正在实施或者即将实施侵害其隐私权或者其他人格权益的行为，不及时制止将使其合法权益受到难以弥补的损害，向人民法院申请采取责令信息处理者停止有关行为的措施的，人民法院可以根据案件具体情况依法作出人格权侵害禁令。

 本条是对于申请人格权侵害禁令的规定。

“人格权侵害禁令”制度的规定见于《民法典》第997条：“民事主体有证据证明行为人正在实施或者即将实施侵害其人格权的违法行为，不及时制止将使其合法权益受到难以弥补的损害的，有权依法向人民法院申请采取责令行为人停止有关行为的措施。”

在民法典施行后，广州互联网法院审理的首例人格权侵害禁制令值得关注。该案双方为购房者李某与房地产开发商某公司；李某在公众号上陆续发布了10篇涉及某房地产公司的文章，文章中出现了针对某公司的过激性不文明用语；2020年10月，某公司以李某侵害其名誉权为由向广州互联网法院提起诉讼。诉讼中，上述10篇文章被自媒体平台删除，之后李某又通过该公众号发布多篇文章，内容主要是对其购房遭遇的描述和对房产质量的主观感受，其中包含一些情绪化用语。

某公司于2021年1月4日向广州互联网法院申请人格权侵害禁令，请求禁止李某在自媒体平台发布/重复发布侵害该公司名誉权的文章、言论。该案中，广州互联网法院从四个方面进行了详细分析，最终驳回了原告申请：1、申请人的请求权基础；2、被申请人的侵权可能性；3、如不及时制止相关行为，是否将使申请人合法权益受到难以弥补的损害；4、作出禁令是否会使申请人与被申请人之间的利益失衡或损害社会公共利益。

十、不得强行设置刷脸进出

【第十条】 物业服务企业或者其他建筑物管理人以人脸识别作为业主或者物业使用人出入物业服务区域的唯一验证方式，不同意的业主或者物业使用人请求其提供其他合理验证方式的，人民法院依法予以支持。

物业服务企业或者其他建筑物管理人存在本规定第二条规定的情形，当事人请求物业服务企业或者其他建筑物管理人承担侵权责任的，人民法院依法予以支持。

 本条是对社会热点问题的回应，即部分小区强制将人脸识别作为出入小区的唯一验证方式。

实践中有的小区在引入人脸识别系统后用刷脸取代了刷卡，将人脸识别作为了进出的唯一验证方式。这种做法引发了巨大的争议，支持者认为人脸识别安全高效，用在进出小区的验证上是技术进步的体现；反对者认为人脸信息十分敏感，一旦泄露后果不堪设想，质疑物业无权强制要求业主录入信息。对此，本司法解释作出了明确规定，只有业主或物业使用人自愿同意使用人脸识别，对人脸信息的采集、使用才有了合法性基础；物业强制要求刷脸进出小区不合法，应承担侵权责任。

 本条对涉及人脸信息的格式条款的效力作出了规定。

《民法典》第497条规定格式条款无效的三种情形：“（一）具有本法第一编第六章第三节和本法第五百零六条规定的无效情形；（二）提供格式条款一方不合理地免除或者减轻其责任、加重对方责任、限制对方主要权利；（三）提供格式条款一方排除对方主要权利。”本司法解释主要基于第497条第2款进行的规定。人脸信息属于敏感信息，信息持有者作出允许处理的授权是非常谨慎的。如果信息处理者在格式条款中附加了要求自然人无期限授权、不可撤销授权、可任意转授权等条件，显然是对自然人权益的严重侵害，属于滥用格式条款的情形，可依申请被认定为无效。

十二、请求权竞合

【第十二条】 信息处理者违反约定处理自然人的人脸信息，该自然人请求其承担违约责任的，人民法院依法予以支持。该自然人请求信息处理者承担违约责任时，请求删除人脸信息的，人民法院依法予以支持；信息处理者以双方未对人脸信息的删除作出约定为由抗辩的，人民法院不予支持。

 本条规定了涉及人脸信息请求权竞合时的处理。

对人脸信息的不当使用无疑构成侵权，但当双方在事先有合同约定时还可能存在违约，由此构成了侵权与违约的请求权竞合。被侵权人有权择一进行主张。

需要注意的是，本条款还规定了信息提供者所享有的删除权。《民法典》第1037条规定：“自然人可以依法向信息处理者查阅或者复制其个人信息；发现信息有错误的，有权提出异议并请求及时采取更正等必要措施。自然人发现信息处理者违反法律、行政法规的规定或者双方的约定处理其个人信息的，有权请求信息处理者及时删除。”因此，信息处理者不能以“合同未约定”为由拒绝删除信息。

 本条规定了涉及人脸信息的纠纷可以合并审理。

人脸识别技术应用的实践中，往往是一个信息处理者对应多个特定或不特定的自然人，在发生纠纷时，权利人众多。在此情况下，合并审理可以高效解决同类案件，避免类案不同判，节省司法资源。

十四、涉人脸信息公益诉讼

【第十四条】 信息处理者处理人脸信息的行为符合民事诉讼法第五十五条、消费者权益保护法第四十七条或者其他法律关于民事公益诉讼的相关规定，法律规定的机关和有关组织提起民事公益诉讼的，人民法院应予受理。

 本条是对于涉及人脸信息纠纷的案件可以提起民事公益诉讼的规定。

民事公益诉讼的受案范围由法律明确规定，见于《民事诉讼法》第55条第一款：“对污染环境、侵害众多消费者合法权益等损害社会公共利益的行为，法律规定的机关和有关组织可以向人民法院提起诉讼。”在人脸识别技术应用场景越发广阔的背景下，侵权行为往往指向大量自然人，依然对社会公共利益有所危及；另外，单个自然人个人维权能力有限，为了维护该技术应用领域的社会公共利益，更好地保护自然人的个人信息权益，将其列为公益诉讼的范围更有利保护公民人格权益。

依据已经公布、即将施行的《个人信息保护法》第70条之规定，人民检察院、法律规定的消费者组织和由国家网信部门确定的组织可以提起人脸信息侵权公益诉讼。

十五、死者人脸信息的保护

【第十五条】 自然人死亡后，信息处理者违反法律、行政法规的规定或者双方的约定处理人脸信息，死者的近亲属依据民法典第九百九十四条请求信息处理者承担民事责任的，适用本规定。

 本条是对死者人脸信息的保护。

《民法典》第994条规定：“死者的姓名、肖像、名誉、荣誉、隐私、遗体等受到侵害的，其配偶、子女、父母有权依法请求行为人承担民事责任；死者没有配偶、子女且父母已经死亡的，其他近亲属有权依法请求行为人承担民事责任。”对死者面部信息的不当处理属于对死者人格权的侵犯，死者的近亲属有权作为原告提起诉讼。

十六、时间效力

【第十六条】 本规定自2021年8月1日起施行。

信息处理者使用人脸识别技术处理人脸信息、处理基于人脸识别技术生成的人脸信息的行为发生在本规定施行前的，不适用本规定。

 本条是对司法解释时间效力的规定。

需要注意的是，《中华人民共和国个人信息保护法》已于2021年8月20日公布、将于11月1日生效。虽然作为法律，《个人信息保护法》的效力比本司法解释更高；但本司法解释在制定时参照了《个人信息保护法（草案）》，因此二者不存在冲突问题，可以比照适用。