人脸信息是具有不可更改性和唯一性的生物识别信息，随着科技的发展，人们在充分享受人脸识别技术便利的同时，却也面临着个人信息安全挑战。在商业行为中，市场主体收集个人信息的权限如何？又应该经过怎样的授权？在行政执法中，行政机关又应当如何发挥积极作用监管人脸识别技术运用、打击非法收集使用人脸信息行为。江苏省常熟市人民法院审结一起某房地产公司不服某市监局行政处罚决定提起的行政诉讼案件。

基本案情

《行政处罚决定书》:对某房地产公司未经消费者同意违法收集使用消费者个人信息的行为，责令当事人改正，并决定罚款50000元，上缴国库；对该公司利用合同格式条款方式作出对消费者不公平、不合理的规定的行为，责令当事人改正，并决定罚款48000元，上缴国库。

某房地产公司不服，提起行政诉讼，要求撤销某市监局作出的《行政处罚决定书》。

法院判决

常熟市人民法院审理认为：人脸信息属于生物识别信息，为个人信息，受法律保护。某房地产公司收集前来其售楼处的客户人脸信息，并对购房者进行信息比对认证，但未能提交证据证明其收集使用客户人脸信息得到了所有客户的同意，违反了《中华人民共和国消费者权益保护法》第二十九条规定，侵害了消费者等客户个人信息依法得到保护的权利。此外，该公司在销售商品房时，通过格式条款，剥夺了买受人的合同解除权，排除了原告对其发布的广告、宣传资料、说明、允诺等应负的内容真实性的责任，不合理、不正当地减轻了其自身的义务和责任，侵害了买受人的权益。因此，某市监局行政处罚决定符合法律规定，并无不当，行政处罚程序亦符合法律规定，故判决驳回原告某房地产公司的诉讼请求。

该案判决后，原被告均未提起上诉。目前，判决已发生法律效力。

法官心语

《个人信息保护法》《民法典》均规定了自然人的个人信息受法律保护，同时亦均规定了处理个人信息应遵循的规则或者原则。《消费者权益保护法》对经营者收集、使用消费者个人信息的行为应当遵循的原则进行了特别规定，并赋予了行政监管部门对经营者侵犯消费者个人信息的行为依法查处的职责。

按照现有规定，经营者收集、使用消费者个人信息，应当遵循合法、正当、必要的原则，明示收集、使用信息的目的、方式和范围，并经消费者同意。人脸信息属于生物识别信息，为个人信息。当前，很多经营者通过捕捉、抓拍等方式收集客户或者潜在客户的人脸信息，并用于商业活动等目的。但在收集、使用人脸信息时，部分经营者并没有依法进行，不征得对方同意，有的经营者甚至将收集的信息用于非法目的，严重侵害他人人身权益。行政监管部门应当依法对此类侵犯个人信息的行为进行严格查处。

本案中，某房地产公司在收集、使用前来其售楼处的客户人脸信息时，未征得所有客户的明确同意，违反了相关的法律法规。行政监管部门结合某房地产公司积极改正违法行为等情节，依法对其作出处罚决定，符合法律规定。因此，人民法院判决驳回某房地产公司要求撤销行政处罚决定的诉讼请求。

专家点评

法学博士，西南政法大学行政法学院（纪检监察学院）副教授，硕士生导师，中国社科院法学研究所博士后研究人员

杨靖文

在数字时代，个人信息的收集、利用日趋频繁，个人信息保护面临着风险与挑战。在信息处理中，信息处理者较之信息主体处于不对等支配地位，存在过度采集、泄露、非法流通等滥用隐患，信息主体的个人隐私、尊严、财产等权益存在潜在风险。对此，个人信息保护法体系采取是私法与公法协同规制的路径，一是立法赋予个人知情权、同意权、更正权、删除权等个人信息支配权，并以侵权责任为事后救济的法律保障机制。二是考虑到缺乏技术资源与组织能力的信息主体难以有效对抗信息处理者，无法应对信息处理者大规模、持续性处理个人信息带来的巨大风险，需要国家在个人信息保护中发挥重要作用来弥补和纠偏个人信息自主保护的不足，立法通过对信息处理者设定行政监管以及配置公法上的义务等规制策略来保障信息主体的基本权利。

本案的核心焦点是市场主体处理个人信息应遵循“知情同意”规则。知情同意是个人信息保护的首要规则，该规则有两个核心要素，一是告知，即信息处理者真实、准确、完整地向信息主体告知处理目的、方式等法定事项，二是同意，即信息主体充分知情的前提下自愿、明确作出意思表示。立法对敏感个人信息采取了更为严格的保护规则，在告知规则上，除了一般事项外还应告知信息处理必要性以及对个人权益的影响。在同意规则上，要求应取得个人的单独同意。本案中人脸识别属于敏感个人信息中的生物识别信息，“同意”应采取严格的法律解释，是自愿、明确、单独作出的同意，其他推定同意等方式不符合《个人信息保护法》的立法目的，法院对于“同意”的法律解释具备合法性与合理性。

本案揭示的另一重要问题是数字时代个人信息保护与个人信息的商业流通与利用要进行价值平衡。对此，立法确立了合法、正当、必要的基本原则，正当、必要原则要求只有在具有特定的目的和充分的必要性，并采取严格保护措施的情形下，方可使用人脸识别技术处理人脸信息。实现相同目的或者达到同等业务要求，存在其他非生物特征识别技术方案的，应当优先选择非生物特征识别技术方案。本案中，收集人脸识别信息用于“签约来访查询以进行分销带客识别等”，使用人脸信息来进行客户识别具有高效、便捷等优势，但存在信息滥用的巨大风险，且并非具有实现目的的不可替代性。在案件调查期间，某市监局对此责令改正，某房地产公司拆除了人脸抓拍摄像系统，折射出行政执法的合理性。总之，本案中行政机关依法监督个人信息处理的商业行为，法院从加强个人信息保护的立场监督、支持行政机关依法履行监管职责，在个人信息保护的执法与司法实践中遵循严格主义立场，实现了安全与效率、个人信息保护与产业发展的价值平衡。

供稿｜行政庭

原标题：《虞小槌说法｜当你的人脸信息被“无感”收集......》

阅读原文