律谈|商家采集消费者人脸识别信息为何违法

对于“个人信息”的概念，在《民法典》及《网络安全法》中已有明确的规定：

①《民法典》1034条2款

个人信息是以电子或者其他方式记录的能够单独或者与其他信息结合识别特定自然人的各种信息，包括自然人的姓名、出生日期、身份证件号码、生物识别信息、住址、电话号码、电子邮箱、健康信息、行踪信息等。

②《网络安全法》76条1款5项

个人信息，是指以电子或者其他方式记录的能够单独或者与其他信息结合识别自然人个人身份的各种信息，包括但不限于自然人的姓名、出生日期、身份证件号码、个人生物识别信息、住址、电话号码等。

两规定虽然在表述上稍有差别，但是内容方向基本一致。其中明确规定“个人生物识别信息”属于个人信息的保护范围之内。

首先，《民法典》第1035条第2款规定，个人信息的“处理”包括“收集、存储、使用、加工、传输、提供、公开等”。即，商家收集、存储、使用个人信息的行为均属于处理个人信息的行为，应当遵守相关法律法规的规定。

其次，《民法典》第1035条第1款规定：

处理个人信息的，应当遵循合法、正当、必要原则，不得过度处理，并符合下列条件：

（一）征得该自然人或者其监护人同意，但是法律、行政法规另有规定的除外；

（二）公开处理信息的规则；

（三）明示处理信息的目的、方式和范围；

（四）不违反法律、行政法规的规定和双方的约定。

以及《网络安全法》第41条规定：

网络运营者收集、使用个人信息，应当遵循合法、正当、必要的原则，公开收集、使用规则，明示收集、使用信息的目的、方式和范围，并经被收集者同意。

网络运营者不得收集与其提供的服务无关的个人信息，不得违反法律、行政法规的规定和双方的约定收集、使用个人信息，并应当依照法律、行政法规的规定和与用户的约定，处理其保存的个人信息。

此外，《消费者权益保护法》第29条也规定：经营者收集、使用消费者个人信息，应当遵循合法、正当、必要的原则，明示收集、使用信息的目的、方式和范围，并经消费者同意。经营者收集、使用消费者个人信息，应当公开其收集、使用规则，不得违反法律、法规的规定和双方的约定收集、使用信息。

由此可知，商家在采集个人信息时必须要遵循合法、正当、必要的原则，且应当公开处理信息的规则，明示处理信息的目的、方式和范围等。只有在被收集者充分了解情况并做出同意的意思表示后个人信息的处理人方能采集个人信息。

根据央视3·15晚会的视频内容，我们可将商家的行为简要归结如下：

①  商家通过入口处的摄像头在未告知且未经消费者同意的情况下“无感”采集进店消费者的人脸信息；

②  商家的后台网络系统对采集到的消费者的人脸信息汇总分析，掌握消费者曾去过哪家店、光顾的次数、消费习惯等信息，并将数据传输至其它门店；

③  商家基于②中对特定消费者的个人信息的分析结果，当该消费者再次前往其他门店时，可能采取不同的报价策略或应对决策。

通过将上述三中的商家行为与法律法规的比照不难得出商家已存在违法采集个人信息的结论。

首先，在国家市场监督管理总局及国家标准化管理委员会于2020年3月6日发布并于2020年10月1日实施的《信息安全技术 个人信息安全规范》（GB/T 35273—2020）的附录A表A.1“个人信息举例”中就明确，“个人脸部识别特征”属于“个人生物识别信息”。再对照《民法典》1034条2款之规定，人脸信息毫无疑问属于个人信息。

其次，商家对个人信息进行了采集，记录、汇总、分析、传输等行为均属于《民法典》中规定的处理个人信息的行为。

再次，在央视3·15晚会的曝光视频中，商家及人脸识别系统供应商也多次表明人脸信息是在“无感”的情况下进行采集的，并不需要也没有事前取得被采集人的同意。并且根据视频的内容看来，相关商家认为采集个人信息也应当不属于无需事前取得个人同意的情形。

综上，商家未对被采集人做任何告知或说明，且未取得其同意的前提下，擅自处理个人信息，已明显违反我国的法律规定。

根据《网络安全法》第64条之规定，对于网络运营者违反该法第41条至43条侵害个人信息依法得到保护的权利（包括未明示收集、使用信息的目的、方式和范围，未取得被收集者同意，未经被收集者同意，向他人提供个人信息等违法行为）的，有关主管部门可处以以下处罚：

 ①责令改正，可以根据情节单处或者并处警告；

 ②没收违法所得；

 ③处违法所得一倍以上十倍以下罚款，没有违法所得的，处一百万元以下罚款；

 ④对直接负责的主管人员和其他直接责任人员处一万元以上十万元以下罚款；

 ⑤情节严重的，并可以责令暂停相关业务、停业整顿、关闭网站、吊销相关业务许可证或者吊销营业执照。

作为消费者的个人，当意识到自身的个人信息权利已受到侵害时，我们可以如何保障自己的权利呢？

    ①要求个人信息处理者删除个人信息

    根据《民法典》1037条2款及《网络安全法》43条之规定，个人发现信息处理者或网络运营者违法处理个人信息的，可以要求其删除相关的个人信息。

    ②向个人信息处理者请求损害赔偿

    个人信息作为一种人身权益，因其受到侵害，导致权利人遭受损失，权利当然可以依据《民法典》1165条、1182条及1183条结合实际受损害情况主张损害赔偿乃至精神损害赔偿。

    ③向公安机关进行控告个人信息处理者

    如果个人信息处理者行为已涉嫌触犯刑法规定的“侵犯公民个人信息罪”时，个人可向公安部门提出控告，由公安部门依法追究个人信息处理者的刑事责任。

除《民法典》《网络安全法》《消费者权益保护法》及相关配套规定外，现已提请全国人大常委会审议的《个人信息保护法（草案）》对处理包括人脸等具备个人生物特征在内的敏感个人信息作出了专门规定，要求只有在具有特定目的和充分必要性的前提下，方可处理敏感个人信息，并在事前进行风险评估。基于个人同意处理敏感个人信息的，个人信息处理者应当取得个人的单独同意。法律、行政法规规定处理敏感个人信息应当取得书面同意的，从其规定。

在本次被央视曝光的违法采集消费者人脸识别信息的公司中不乏知名的欧美企业在中国的子公司。2019年，英国航空因泄露旅客个人信息违反《通用数据保护条例》，被英国ICO罚款1.83亿英镑，约占英国航空2018年收入的1.5%，后考虑到英国航空所做出的陈述以及新冠疫情造成的经济影响，ICO才调低了罚款。

我国《个人信息保护法（草案）》借鉴了欧盟《通用数据保护条例》的监管思路，设置了高达“五千万元以下或者上一年度营业额百分之五以下”的罚款上限，大幅提高个人信息违法成本。因此，国内企业也应提高个人信息合规意识，注意到人脸识别可能引发的风险，设置个人信息处理的制度，规范本公司及授权的门店对相关技术设备的使用，加强对直营及非直营的门店个人信息管理。

总而言之，在科技进步的同时，个人信息不断体现出其巨大的商业价值，商家违法收集处理个人信息的问题日益突出，监管机构对违法处理个人信息行为的打击力度越来越大。因此，建议企业务必重视在经营过程中涉及的个人信息处理问题，在利用科技开发新产品、新营销模式时，一定要时刻警惕切勿逾越“个人信息保护”这条红线。

联系方式：zhanghui@winlonglawfirm.com

特别声明：

以上所刊登的文章不代表盈隆律师事务所或其律师出具的任何形式之法律意见或建议。

如需转载或引用该等文章的任何内容，请联系沟通授权事宜，并于转载时在文章开头处注明来源。未经本所书面授权，不得转载或使用该等文章中的任何内容，含图片、影像等视听资料。如您有意就相关议题进一步交流或探讨，欢迎与本所联系。