【全文】
2023年3月15日公安部公布了打击侵犯公民个人信息犯罪8起典型案例。其中包括周某等人非法获取公民人脸信息解封网络账号案。根据网安部门侦查查明，犯罪嫌疑人周某等人勾结境外诈骗团伙，非法获取公民人脸信息，为境外诈骗团伙提供账号解封服务。公安机关先后抓获犯罪嫌疑人3名。这是公安部统一部署，全国公安机关网安部门聚焦人民群众反映强烈的各类侵犯公民个人信息违法犯罪活动，依托“净网2022”专项行动，坚持“追源头、打内鬼、端平台”，持续开展严厉打击侵犯公民个人信息犯罪工作，取得明显成效，有力维护了网络空间安全和社会公共安全。
早在2021年11月1日《个人信息保护法》实施之前，最高人民法院于2021年7月27日发布了《关于审理使用人脸识别技术处理个人信息相关民事案件适用法律若干问题的规定》（法释〔2021〕15号，以下简称《审理人脸识别案件规定》）。
一、人脸识别定义
人脸识别指通过人脸信息的自动化处理进行身份确认或者身份查找的生物识别技术或系统。《审理人脸识别案件规定》就人脸信息的范围，在第一条第三款表述为“属于民法典第一千零三十四条规定的‘生物识别信息’”。根据国家标准《信息安全技术 远程人脸识别系统技术要求（GB/T 38671-2020）》，人脸识别技术中处理的“人脸信息”为能够识别个体身份的面部特征信息。
人脸识别过程首先建立人脸的面像档案；其次获取当前的人体面像，即用摄像机捕捉的当前出入人员的面像，或取照片输入，并将当前的面像文件生成面纹编码储存起来；最后用当前的面纹编码与档案库存进行比对，进行识别。[1]
与现行法律政策的理念相一致，《审理人脸识别案件规定》对人脸信息的保护范围包括对人脸信息的收集、存储、使用、加工、传输、提供、公开等行为。
二、人脸识别相关法律规定
以2021年1月1日生效的《民法典》为基础的相关法律，严格规范个人信息在收集、存储、使用、共享、转让与公开披露等信息处理环节中的相关行为，旨在遏制个人信息非法收集、滥用、泄露等乱象，最大程度的保护个人的合法权益和社会公众利益。
《民法典》人格权编的第六章“隐私权和个人信息保护”，通过具体条款确立了隐私权和个人信息保护的基本规则。关于个人信息的保护，除了原则性条款，对于信息的收集、处理等都提出了具体要求。
《民法典》第一千零三十四条规定，个人信息是以电子或者其他方式记录的能够单独或者与其他信息结合识别特定自然人的各种信息，包括自然人的姓名、出生日期、身份证件号码、生物识别信息、住址、电话号码、电子邮箱、健康信息、行踪信息等。这体现了我国对于受法律保护的个人信息的定义以“可识别性”作为核心特征。
此外，为配合《民法典》的实施，最高人民法院于2021年1月1日修订了《民事案件案由规定》，新增了个人信息保护纠纷案由。变更二级案由“6.隐私权纠纷”为“8.隐私权、个人信息保护纠纷”；第三级案由“8.隐私权、个人信息保护纠纷”项下：增加“（1）隐私权纠纷”“（2）个人信息保护纠纷”。
《个人信息保护法》第二十六条在公共场所安装图像采集、个人身份识别设备，应当为维护公共安全所必需，遵守国家有关规定，并设置显著的提示标识。所收集的个人图像、身份识别信息只能用于维护公共安全的目的，不得用于其他目的；取得个人单独同意的除外。
2020年3月6日国家标准化管理委员会公布了《信息安全技术个人信息安全规范（GB/T 35273-2020）》，规范了个人信息控制者在收集、储存、使用、共享、转让、公开披露等信息处理环节中的相关行为。
2019年1月1日实施的《中华人民共和国电子商务法》第二十三条明确电子商务经营者收集、使用其用户的个人信息，应当遵守法律、行政法规有关个人信息保护的规定。
2017年6月1日实施的《中华人民共和国网络安全法》规定，网络运营者不得收集与其提供的服务无关的个人信息，不得违反法律、行政法规的规定和双方的约定收集、使用个人信息，并应当依照法律、行政法规的规定和与用户的约定，处理其保存的个人信息。任何个人和组织不得窃取或者以其他非法方式获取个人信息，不得非法出售或者非法向他人提供个人信息。
2014年3月15日实施的《中华人民共和国消费者权益保护法》第十四条规定，消费者在购买、使用商品和接受服务时享有个人信息依法得到保护的权利；第二十九条规定经营者收集、使用消费者个人信息，应当明示收集、使用信息的目的、方式和范围，并经消费者同意，并且应当公开其收集、使用。此外，明确了经营者及其工作人员对收集的消费者个人信息必须严格保密，不得泄露、出售或者非法向他人提供。为防止消费者个人信息泄露、丢失，经营者应当采取技术措施和其他必要措施，确保信息安全。发生或者可能发生信息泄露、丢失的情况时，应当立即采取补救措施。
三、人脸识别民事救济路径及豁免情形
《审理人脸识别案件规定》明确了个人为实现人脸信息的保护，可以通过侵权责任、违约责任和消费者公益诉讼三种途径。当违约责任和侵权责任两种请求权基础存在竞合时，当事人可以选择更有利维护自身合法权益的请求权基础。例如在侵权案件中，被侵权人可获得相较于违约更高的赔偿金额；或基于违约责任，当事人可通过约定违约金以解决主张个人信息侵权之诉时赔偿额难以确认的问题。[2]
《审理人脸识别案件规定》第十四条则从民事公益诉讼的角度规定了信息处理者处理人脸信息的行为符合《民事诉讼法》《消费者权益保护法》及其他法律关于民事公益诉讼的相关规定时，法律规定的机关和有关组织可以提起民事公益诉讼。
无论自然人以信息处理者侵犯人格权或隐私权为由，还是以违约为由要求其承担责任时，皆可要求停止侵害。自然人对正在实施或者即将实施侵害其隐私权或者其他人格权益的行为，不及时制止将使其合法权益受到难以弥补的损害，人民法院可以根据当事人申请及案件具体情况做出人格权侵害禁令，以责令信息处理者停止有关侵权行为；自然人请求信息处理者承担违约责任时，请求删除人脸信息的，人民法院依法予以支持。
《审理人脸识别案件规定》明确规定了使用人脸识别技术的责任豁免情形，包括：为应对突发公共卫生事件，或者紧急情况下为保护自然人的生命健康和财产安全所必需；为维护公共安全；为公共利益实施新闻报道、舆论监督等；自然人或者其监护人表示同意的。
四、人脸识别相关刑事规范
随着人脸识别技术在社会各领域被广泛地运用，不仅引起的民事纠纷收到广泛关注，因人脸信息等身份信息泄露导致的刑事犯罪也日益增加。犯罪分子利用非法获取的人脸数据，制作动态视频以骗过人脸识别系统，实施非法借贷、诈骗、敲诈勒索、绑架等犯罪活动，严重侵害被害人人身及财产权益。[3]
《刑法》第二百五十三条规定，“违反国家有关规定，向他人出售或者提供公民个人信息，情节严重的，处三年以下有期徒刑或者拘役，并处或者单处罚金；情节特别严重的，处三年以上七年以下有期徒刑，并处罚金。违反国家有关规定，将在履行职责或者提供服务过程中获得的公民个人信息，出售或者提供给他人的，依照前款的规定从重处罚。”
最高人民法院、最高人民检察院发布的《关于办理侵犯公民个人信息刑事案件适用法律若干问题的解释》（法释〔2017〕10号），对侵犯公民个人信息犯罪的定罪量刑标准做出了进一步解释，包括具体列举了“非法获取、出售或者提供公民个人信息”的严重情节。
综上，《审理人脸识别案件规定》与《民法典》《个人信息保护法》《网络安全法》《消费者权益保护法》《信息安全技术个人信息安全规范》等法律法规和国家标准在内容上相衔接，为人脸识别技术运用中的纠纷处理提供了明确的法律适用规范。
