最高法释法：处理人脸识别信息必须征得单独同意（附全文）

    最高人民法院召开新闻发布会，发布《最高人民法院关于审理使用人脸识别技术处理个人信息相关民事案件适用法律若干问题的规定》。最高人民法院副院长杨万明，最高人民法院研究室副主任郭锋，最高人民法院研究室民事处处长陈龙业出席发布会并介绍相关情况，最高人民法院新闻发言人李广宇主持发布会。

    图为发布会现场，侯裕盛摄
    最高人民法院审判委员会第1841次全体会议审议通过了《最高人民法院关于审理使用人脸识别技术处理个人信息相关民事案件适用法律若干问题的规定》(以下简称《规定》)。这部司法解释，是人民法院深入贯彻习近平法治思想，坚持以人民为中心，维护自然人人格权益，保护人民群众“人脸”安全的重要规范性文件;是人民法院切实实施民法典，服务构建新发展格局，强化个人信息司法保护，促进数字经济健康发展的有力司法举措。这部司法解释的颁布实施，对最高人民法院指导各级人民法院正确审理相关案件、统一裁判标准、维护法律统一正确实施、实现高质量司法，具有重要而现实的意义。
    发布会上，杨万明介绍了人民法院个人信息保护基本情况、《规定》的制定背景及其主要内容。
    一、人民法院个人信息保护基本情况
    全国各级人民法院历来重视个人信息的司法保护工作。最高人民法院通过司法解释、典型 、案件审判、加强对地方法院的审判指导等举措，对包括人脸信息在内的个人信息提供有力司法保护，严惩各种侵犯个人信息的违法犯罪行为。
    从民事审判工作来看，自《侵权责任法》将隐私权确认为一项独立的民事权利以来，全国各级人民法院审理了一大批隐私权等人格权纠纷案件。2010年7月1日侵权责任法实施以来至2020年12月31日，人格权纠纷案件共1144628件。2016年1月至2020年12月，隐私权纠纷案件共1678件。2014年，最高人民法院颁布了《关于审理利用信息网络侵害人身权益民事纠纷案件适用法律若干问题的规定》，对网络用户或者网络服务提供者利用网络公开他人隐私和个人信息的侵权责任予以规定。司法实践中，人民法院通过审理一系列新类型典型 ，不断探索信息化时代个人信息及隐私保护规则。如庞某诉东方航空公司、趣拿信息技术公司隐私权纠纷案，孙某某诉百度公司人格权纠纷案，等等。民法典颁布后，最高人民法院对《民事案件案由规定》进行了修正，新增了个人信息保护纠纷案由。民法典施行以来，截止到6月30日，各级人民法院正式以个人信息保护纠纷案由立案的一审案件192件，审结103件。“人脸识别第一案”也于今年4月9日二审宣判，依法保护自然人人脸信息等生物识别信息。随着民法典贯彻实施的不断深入、《个人信息保护法》即将颁布实施，人民法院将进一步通过司法裁判筑起保卫人民群众个人信息权益的坚强司法屏障。
    从刑事审判工作来看，近年来，侵犯公民个人信息犯罪处于高发态势，而且与电信网络诈骗、敲诈勒索、绑架等犯罪呈合流态势，社会危害严重。为依法严惩此类犯罪，最高人民法院会同有关部门，于2017年5月9日发布了《关于办理侵犯公民个人信息刑事案件适用法律若干问题的解释》(法释〔2017〕10号)，自2017年6月1日起施行。该司法解释根据刑法有关规定，对侵犯公民个人信息犯罪的定罪量刑标准和有关法律适用问题作了全面、系统的规定。该司法解释施行以来，各级人民法院立足审判职能，依法惩治侵犯公民个人信息犯罪，案件数量显著增长。2017年6月至2021年6月，全国法院新收侵犯公民个人信息刑事案件10059件，审结9743件，生效判决人数21726人，对3803名被告人判处三年以上有期徒刑，比例达17.50%。
    二、制定出台《规定》的背景
    人脸识别是人工智能的重要应用。近年来，随着信息技术飞速发展，人脸识别逐步渗透到人们生活的方方面面。大到智慧城市建设，小到手机客户端的登录解锁，都能见到人脸识别的应用。在国境边防、公共交通、城市治安、疫情防控等诸多领域，人脸识别技术发挥着巨大作用。
    在为社会生活带来便利的同时，人脸识别技术所带来的个人信息保护问题也日益凸显。一些经营者滥用人脸识别技术侵害自然人合法权益的事件频发，引发社会公众的普遍关注和担忧。比如，有些知名门店使用“无感式”人脸识别技术在未经同意的情况下擅自采集消费者人脸信息，分析消费者的性别、年龄、心情等，进而采取不同营销策略。又如，有些物业服务企业强制将人脸识别作为业主出入小区或者单元门的唯一验证方式，要求业主录入人脸并绑定相关个人信息，未经识别的业主不得进入小区。再如，部分线上平台或者应用软件强制索取用户的人脸信息，还有的卖家在社交平台和网站公开售卖人脸识别视频、买卖人脸信息等。因人脸信息等身份信息泄露导致“被贷款”“被诈骗”和隐私权、名誉权被侵害等问题也多有发生。甚至还有一些犯罪分子利用非法获取的身份证照片等个人信息制作成动态视频，破解人脸识别验证程序，实施窃取财产、虚开增值税普通发票等犯罪行为。上述行为严重损害自然人的人格权益，侵害其人身、财产等合法权益，破坏社会秩序，亟待进行规制。
    人脸信息属于敏感个人信息中的生物识别信息，是生物识别信息中社交属性最强、最易采集的个人信息，具有唯一性和不可更改性，一旦泄露将对个人的人身和财产安全造成极大危害，甚至还可能威胁公共安全。据APP专项治理工作组去年发布的《人脸识别应用公众调研 》显示，在2万多名受访者中，94.07%的受访者用过人脸识别技术，64.39%的受访者认为人脸识别技术有被滥用的趋势，30.86%受访者已经因为人脸信息泄露、滥用等遭受损失或者隐私被侵犯。这段时间，人脸识别成为热门词汇，社会公众对人脸识别技术滥用的担心不断增加，强化人脸信息保护的呼声日益高涨。
    党中央高度重视个人信息保护工作。习近平总书记多次强调，要坚持网络安全为人民、网络安全靠人民，保障个人信息安全，维护公民在网络空间的合法权益，对加强个人信息保护工作提出明确要求。最高人民法院深入学习贯彻习近平法治思想，立足人民群众的现实需求，以问题为导向，充分发挥审判职能作用，主动回应人民关切和期待，严格依照《民法典》《网络安全法》《消费者权益保护法》《电子商务法》《民事诉讼法》等法律，吸收个人信息保护立法有关经验成果，在充分调研基础上制定了本司法解释，对人脸信息提供司法保护。
    三、《规定》的主要内容
    《规定》的起草，以习近平法治思想为指导，严格遵循民法典人格权编及相关法律的规定精神，坚持问题导向、需求导向，针对实践中反映较为突出的问题，从侵权责任、合同规则以及诉讼程序等方面规定了16个条文。现将重点内容介绍如下：
    (一)关于适用范围
    《规定》第1条对适用范围做了明确规定。首先，《规定》适用于平等民事主体之间因使用人脸识别技术处理人脸信息所引起的相关民事纠纷。其次，信息处理者使用人脸识别技术处理人脸信息，或者虽然没有使用人脸识别技术但是处理基于人脸识别技术生成的人脸信息，均属于《规定》的适用范围。再次，涉及的责任承担既包括侵权责任，也包括违约责任，受侵害的权益既包括个人信息权益，也包括肖像权、隐私权、名誉权等人格权以及财产权。
    (二)从人格权和侵权责任角度作出规定
    《规定》第2条至第9条主要从人格权和侵权责任角度明确了滥用人脸识别技术处理人脸信息行为的性质和责任。其中，第2条规定了侵害自然人人格权益行为的认定，针对今年“3.15晚会”所曝光的线下门店在经营场所滥用人脸识别技术进行人脸辨识、人脸分析等行为，以及社会反映强烈的几类典型行为，该条均予以列举，明确将之界定为侵害自然人人格权益的行为。针对部分商家采用一次概括授权、与其他授权捆绑、“不同意就不提供服务”等不合理手段处理自然人人脸信息的，第2条和第4条明确，处理自然人的人脸信息，必须征得自然人或者其监护人的单独同意;对于违反单独同意，或者强迫、变相强迫自然人同意处理其人脸信息的，构成侵害自然人人格权益的行为。第5条对民法典第1036条进行细化，明确了处理人脸信息的免责事由;第6条至第9条分别规定了举证责任、多个信息处理者侵权责任的承担、财产损失的范围界定以及人格权侵害禁令的适用等。
    (三)从合同角度对重点问题予以回应
    《规定》第10条至第12条，主要从物业服务、格式条款效力、违约责任承担等角度对人民群众普遍关心的问题予以回应。针对物业服务企业或者其他建筑物管理人以人脸识别作为业主或者物业使用人出入物业服务区域的唯一验证方式的，第10条明确，不同意的业主或者物业使用人请求其提供其他合理验证方式的，人民法院依法予以支持。针对信息处理者通过采用格式条款与自然人订立合同，要求自然人授予其无期限限制、不可撤销、可任意转授权等处理人脸信息的权利的，第11条规定，自然人依据民法典第497条请求确认格式条款无效的，人民法院依法予以支持。第12条对自然人请求信息处理者承担违约责任并删除其人脸信息的情形作了规定。
    此外，《规定》第13条、第14条，对相关诉讼程序进行细化规定。第15条至第16条，对涉及个人信息的死者人格利益保护、本司法解释的施行日期以及溯及力作出明确规定。
    《规定》在制定过程中，得到了全国人大常委会法工委的全程指导，得到中央政法委、中宣部、中央网信办、公安部、最高检、司法部、工信部、市场监管总局等中央有关单位的大力支持，得到法学理论界的支持帮助，也得到新闻媒体朋友和社会各界的关心关注。借此机会，表示衷心的感谢!
    习近平总书记在庆祝中国共产党成立100周年大会上强调，必须“坚持全心全意为人民服务的根本宗旨，站稳人民立场”，“着力解决发展不平衡不充分问题和人民群众急难愁盼问题，推动人的全面发展、全体人民共同富裕取得更为明显的实质性进展。”个人信息，特别是敏感个人信息，关系到每个人的人格尊严，强化个人信息司法保护，符合人民群众所急所盼，也是人民法院的工作重点。下一步，最高人民法院将继续深入贯彻习近平法治思想，始终坚持以人民为中心，持之以恒抓好个人信息司法保护各项工作，促进信息数据依法合理有效利用，推动数字经济健康发展。
    《最高人民法院关于审理使用人脸识别技术处理个人信息相关民事案件适用法律若干问题的规定》已于2021年6月8日由最高人民法院审判委员会第1841次会议通过，现予公布，自2021年8月1日起施行。
    最高人民法院
    2021年7月27日
    附全文：
    法释〔2021〕15号
    最高人民法院
    关于审理使用人脸识别技术处理个人信息
    相关民事案件适用法律若干问题的规定
    (2021年6月8日最高人民法院审判委员会第1841次会议通过，
    自2021年8月1日起施行)
    为正确审理使用人脸识别技术处理个人信息相关民事案件，保护当事人合法权益，促进数字经济健康发展，根据《中华人民共和国民法典》《中华人民共和国网络安全法》《中华人民共和国消费者权益保护法》《中华人民共和国电子商务法》《中华人民共和国民事诉讼法》等法律的规定，结合审判实践，制定本规定。
    第一条 因信息处理者违反法律、行政法规的规定或者双方的约定使用人脸识别技术处理人脸信息、处理基于人脸识别技术生成的人脸信息所引起的民事案件，适用本规定。
    人脸信息的处理包括人脸信息的收集、存储、使用、加工、传输、提供、公开等。
    本规定所称人脸信息属于民法典第一千零三十四条规定的“生物识别信息”。
    第二条 信息处理者处理人脸信息有下列情形之一的，人民法院应当认定属于侵害自然人人格权益的行为：
    (一)在宾馆、商场、银行、车站、机场、体育场馆、娱乐场所等经营场所、公共场所违反法律、行政法规的规定使用人脸识别技术进行人脸验证、辨识或者分析;
    (二)未公开处理人脸信息的规则或者未明示处理的目的、方式、范围;
    (三)基于个人同意处理人脸信息的，未征得自然人或者其监护人的单独同意，或者未按照法律、行政法规的规定征得自然人或者其监护人的书面同意;
    (四)违反信息处理者明示或者双方约定的处理人脸信息的目的、方式、范围等;
    (五)未采取应有的技术措施或者其他必要措施确保其收集、存储的人脸信息安全，致使人脸信息泄露、篡改、丢失;
    (六)违反法律、行政法规的规定或者双方的约定，向他人提供人脸信息;
    (七)违背公序良俗处理人脸信息;
    (八)违反合法、正当、必要原则处理人脸信息的其他情形。
    第三条 人民法院认定信息处理者承担侵害自然人人格权益的民事责任，应当适用民法典第九百九十八条的规定，并结合案件具体情况综合考量受害人是否为未成年人、告知同意情况以及信息处理的必要程度等因素。
    第四条 有下列情形之一，信息处理者以已征得自然人或者其监护人同意为由抗辩的，人民法院不予支持：
    (一)信息处理者要求自然人同意处理其人脸信息才提供产品或者服务的，但是处理人脸信息属于提供产品或者服务所必需的除外;
    (二)信息处理者以与其他授权捆绑等方式要求自然人同意处理其人脸信息的;
    (三)强迫或者变相强迫自然人同意处理其人脸信息的其他情形。
    第五条 有下列情形之一，信息处理者主张其不承担民事责任的，人民法院依法予以支持：
    (一)为应对突发公共卫生事件，或者紧急情况下为保护自然人的生命健康和财产安全所必需而处理人脸信息的;
    (二)为维护公共安全，依据国家有关规定在公共场所使用人脸识别技术的;
    (三)为公共利益实施新闻报道、舆论监督等行为在合理的范围内处理人脸信息的;
    (四)在自然人或者其监护人同意的范围内合理处理人脸信息的;
    (五)符合法律、行政法规规定的其他情形。
    第六条 当事人请求信息处理者承担民事责任的，人民法院应当依据民事诉讼法第六十四条及《最高人民法院关于适用〈中华人民共和国民事诉讼法〉的解释》第九十条、第九十一条，《最高人民法院关于民事诉讼证据的若干规定》的相关规定确定双方当事人的举证责任。
    信息处理者主张其行为符合民法典第一千零三十五条第一款规定情形的，应当就此所依据的事实承担举证责任。
    信息处理者主张其不承担民事责任的，应当就其行为符合本规定第五条规定的情形承担举证责任。
    第七条 多个信息处理者处理人脸信息侵害自然人人格权益，该自然人主张多个信息处理者按照过错程度和造成损害结果的大小承担侵权责任的，人民法院依法予以支持;符合民法典第一千一百六十八条、第一千一百六十九条第一款、第一千一百七十条、第一千一百七十一条等规定的相应情形，该自然人主张多个信息处理者承担连带责任的，人民法院依法予以支持。
    信息处理者利用网络服务处理人脸信息侵害自然人人格权益的，适用民法典第一千一百九十五条、第一千一百九十六条、第一千一百九十七条等规定。
    第八条 信息处理者处理人脸信息侵害自然人人格权益造成财产损失，该自然人依据民法典第一千一百八十二条主张财产损害赔偿的，人民法院依法予以支持。
    自然人为制止侵权行为所支付的合理开支，可以认定为民法典第一千一百八十二条规定的财产损失。合理开支包括该自然人或者委托代理人对侵权行为进行调查、取证的合理费用。人民法院根据当事人的请求和具体案情，可以将合理的律师费用计算在赔偿范围内。
    第九条 自然人有证据证明信息处理者使用人脸识别技术正在实施或者即将实施侵害其隐私权或者其他人格权益的行为，不及时制止将使其合法权益受到难以弥补的损害，向人民法院申请采取责令信息处理者停止有关行为的措施的，人民法院可以根据案件具体情况依法作出人格权侵害禁令。
    第十条 物业服务企业或者其他建筑物管理人以人脸识别作为业主或者物业使用人出入物业服务区域的唯一验证方式，不同意的业主或者物业使用人请求其提供其他合理验证方式的，人民法院依法予以支持。
    物业服务企业或者其他建筑物管理人存在本规定第二条规定的情形，当事人请求物业服务企业或者其他建筑物管理人承担侵权责任的，人民法院依法予以支持。
    第十一条 信息处理者采用格式条款与自然人订立合同，要求自然人授予其无期限限制、不可撤销、可任意转授权等处理人脸信息的权利，该自然人依据民法典第四百九十七条请求确认格式条款无效的，人民法院依法予以支持。
    第十二条 信息处理者违反约定处理自然人的人脸信息，该自然人请求其承担违约责任的，人民法院依法予以支持。该自然人请求信息处理者承担违约责任时，请求删除人脸信息的，人民法院依法予以支持;信息处理者以双方未对人脸信息的删除作出约定为由抗辩的，人民法院不予支持。
    第十三条 基于同一信息处理者处理人脸信息侵害自然人人格权益发生的纠纷，多个受害人分别向同一人民法院起诉的，经当事人同意，人民法院可以合并审理。
    第十四条 信息处理者处理人脸信息的行为符合民事诉讼法第五十五条、消费者权益保护法第四十七条或者其他法律关于民事公益诉讼的相关规定，法律规定的机关和有关组织提起民事公益诉讼的，人民法院应予受理。
    第十五条 自然人死亡后，信息处理者违反法律、行政法规的规定或者双方的约定处理人脸信息，死者的近亲属依据民法典第九百九十四条请求信息处理者承担民事责任的，适用本规定。
    第十六条 本规定自2021年8月1日起施行。
    信息处理者使用人脸识别技术处理人脸信息、处理基于人脸识别技术生成的人脸信息的行为发生在本规定施行前的，不适用本规定。