新规解读：最高院人脸识别司法解释逐条解析

最高院人脸识别司法解释逐条解析

文/泰和泰律师事务所 陈福中、潘兴琦、刘若愚

引言

2021年7月28日，最高人民法院发布了《关于审理使用人脸识别技术处理个人信息相关民事案件适用法律若干问题的规定》（下称“《规定》”），并通过新闻发布会的形式对《规定》的制定背景、主要内容、人民法院个人信息保护基本情况等进行了介绍。

《规定》作为最高人民法院民事领域首部直接针对个人信息处理行为出台的规范性文件，正式施行后，对于各级人民法院正确审理涉及使用人脸识别技术处理个人信息的相关案件、统一裁判标准具有重要而现实的意义。与此同时，《规定》从司法裁判的角度对各类信息处理者如何合法合规使用人脸识别技术处理个人信息提出了指引，预计将对今后各类使用人脸识别技术处理个人信息的行为起到很好的规范作用。

《规定》共十六条，主要内容包括适用范围、侵权行为种类、侵权责任判定、抗辩事由、举证责任分配、共同侵权和网络侵权责任承担、损失认定、人格权侵害禁令、特殊场景验证方式、格式条款效力、违约责任、诉讼程序等方面。

作为长期从事数据合规和个人信息保护领域法律研究和实务工作的律师，我们认为，此规定作为在《个人信息保护法（草案）》即将三审前夕通过并实施的司法解释，对于有关主体进行包括人脸信息在内的个人信息的处理活动以及开展相应的合规工作具有十分重大的意义。现结合自身经验和观察，对《规定》的具体内容逐条分析解读如下，供读者参考：

• 一、适用范围问题

《规定》第一条第一款规定：“因信息处理者违反法律、行政法规的规定或者双方的约定使用人脸识别技术处理人脸信息、处理基于人脸识别技术生成的人脸信息所引起的民事案件，适用本规定。”第二款规定：“人脸信息的处理包括人脸信息的收集、存储、使用、加工、传输、提供、公开等。”

从主体上讲，“信息处理者”这一概念源自《民法典》，但《民法典》未对其具体内涵进行解释，我们认为，在无其他特别规定的情况下，《规定》中的“信息处理者”含义基本对应即将出台的《个人信息保护法》中的“个人信息处理者”。《个人信息保护法（草案）》一审稿和二审稿均将“个人信息处理者”定义为“自主决定处理目的、处理方式等个人信息处理事项的组织或个人”，而此定义与现行国家推荐性标准《个人信息安全规范》中所定义的“个人信息控制者”亦有异曲同工之妙（后者定义为“有能力决定个人信息处理目的、方式等的组织或个人”）。

据此，就《规定》所适用的主体而言，与我们通常理解的、与个人信息主体相对的个人信息控制者是一致的，凡有能力或者能自主决定为什么处理、如何处理个人信息的组织或个人，都是《规定》所要规制的主体。

从行为上讲，《规定》所规制的不仅是信息处理者使用人脸识别技术处理人脸信息的行为，也规制处理基于人脸识别技术生成的人脸信息的行为。前一种情形针对的是现实生活中普遍存在的人脸识别行为，而后一种情形则似乎是为了防止“深度伪造”类技术滥用而量身定制。

就具体的处理方式而言，《规定》贯彻了与既有法规政策一致的个人信息全生命周期保护理念，对人脸信息的收集、存储、使用、加工、传输、提供、公开等行为均属于“处理”行为。

从时间上讲，《规定》第十六条规定其将于2021年8月1日起施行，并特别规定了其不适用于在此之前的人脸信息处理行为，这与“法不溯及既往”的原则一致。

以上是《规定》字面上直接体现出来的适用范围，但我们认为，对《规定》的适用范围或者说影响的理解不能仅限于此。

作为敏感个人信息中的生物识别信息之一，人脸信息是生物识别信息中社交属性最强、最易采集的个人信息，具有唯一性和不可更改性，一旦泄露将对个人的人身和财产安全造成极大危害，甚至还可能威胁公共安全，而目前社会生活中人脸识别技术的滥用问题特别严重且公众关注度非常高，这是最高院此时出台专门规制此类行为的规范性文件的主要原因。但这不意味着《规定》仅仅适用于人脸信息的保护。

事实上，对于与人脸信息并列的其他生物识别信息（比如指纹、声纹、基因）和其他敏感个人信息，法律法规设置的保护规则是基本相同的，即使是对于其他一般的个人信息，也有很多法律保护规则是相通的，最高院未来在出台通用性的个人信息保护司法解释时可能很难，也没有必要突破现有规则而另辟蹊径。再加上民法上在法无明文规定时本来就可以“类推适用”，《规定》对于人脸信息保护的相关规则未来很有可能可以直接或间接适用于涉及其他个人信息的案件，或至少会对涉及其他类型个人信息的民事案件的审理产生不可忽视的影响。

• 二、侵权行为的种类

《规定》第二条规定：

“信息处理者处理人脸信息有下列情形之一的，人民法院应当认定属于侵害自然人人格权益的行为：

（一）在宾馆、商场、银行、车站、机场、体育场馆、娱乐场所等经营场所、公共场所违反法律、行政法规的规定使用人脸识别技术进行人脸验证、辨识或者分析；

（二）未公开处理人脸信息的规则或者未明示处理的目的、方式、范围；

（三）基于个人同意处理人脸信息的，未征得自然人或者其监护人的单独同意，或者未按照法律、行政法规的规定征得自然人或者其监护人的书面同意；

（四）违反信息处理者明示或者双方约定的处理人脸信息的目的、方式、范围等；

（五）未采取应有的技术措施或者其他必要措施确保其收集、存储的人脸信息安全，致使人脸信息泄露、篡改、丢失；