魏永征的博客

2025年十大传媒法事例发布会上评论

2025年6月1日起施行的国家网信办、公安部颁布的部门规章《人脸识别技术应用安全管理办法》，是保护个人信息中的敏感信息即生物识别信息相关权益的重要规定。

进入数据时代以来，个人信息成为需要加以特别保护的新型个人权益。2021年《民法典》把个人信息保护与隐私权并列为“人格权”内的一章，将适用民法保护属于隐私的“私密信息”与其它非私密的个人信息区分开来，规定后者由其他法律规定。2022年《个人信息保护法》则专节就“敏感个人信息”作出规定，其中列于首位的就是“生物识别信息”。2021年最高法院根据《民法典》制定的司法解释《关于审理使用人脸识别技术处理个人信息相关民事案件的规定》明确了人脸信息属于“生物识别信息”，只是调整民事主体之间关系的裁判规定。《个人信息保护法》并不是基本法律《民法典》的下位法，不在私法部门；而属于兼有公法加私法性质的经济法部门。所以这部以《个人信息保护法》为依据而制定的部门规章具有落实行政管理部门和公共机构、企事业单位在应用人脸识别技术时承担保护“人脸信息”法定职责或义务的性质。

这部规章重要亮点，就是根据《个人信息保护法》“不得过度”处理的原则，对应用人脸识别技术作出严格限制：“实现相同目的或者达到同等业务要求，存在其他非人脸识别技术方式的，不得将人脸识别技术作为唯一验证方式”。这就是说，如果某项业务以往一贯使用出示身份证件、有效票据等方法辨认当事人身份，行而有效，并没有发生有害后果，那就不需要使用人脸识别技术。

人脸识别技术在产生之初曾经一哄而起，一些地方、单位纷纷采用。2020年“人脸识别第一案”，动物园要求“刷脸”才能入内，当事人维护了自己的“人脸”权益。某地风传进地铁要使用人脸识别技术，有学者写文批评，从此不再提起。现在这条规定把采取人脸识别技术限制在最低限度、最小范围，既维护了个人人格尊严，也避免了由于敏感个人信息泄漏和无序传播带来的损害后果。

两家主管部门联合依法制定了部门规章，理应承担贯彻、实施、监督、检查的职责。例如住宿酒店、宾馆，以往只凭居民身份证，近几年一度风行“刷脸”，现在公安部门下达通知，很快予以制止，撤下“刷脸”工具，只需凭证入住。目前违法“刷脸”现象仍有存在。主事者往往把“实名制”等同于“刷脸”。例如有的地方就把凭处方实名领取“麻醉精神药品”引申为“刷脸”领取，这是违章的，应该及时予以纠正。居民进入住宅小区强制“刷脸”不合法，那么进公司上班、到学校讲课、进景区游览，强制“刷脸”合法吗？

常人以为，人具有社会性，总得在社会上露脸，“刷”个“脸”什么要紧？殊不知这个“脸”一旦数据化，就成为“敏感个人信息”，而且不可能“匿名化处理”，不保护好，就有可能为非法利用个人信息的犯罪活动提供方便。近年来，有关部门屡屡开展查禁、打击“人肉开盒”专项行动，揭露的情况触目惊心。建立应用人脸识别技术的严格规范，正是要从源头上消除此类犯罪活动。我们要依法保护好自己的“脸”，管理部门也应对“刷脸”应用予以排查，发现非法行为，立即取缔；并且严格控制“刷脸”工具的销售和应用。

最后提醒：这部规章的上位法《个人信息保护法》明文规定对认定损害个人信息权益的行为实行推定过错责任原则。所以人脸识别应用技术实施者和相关管理部门一定要审视自己相关行为的合法合理，避免一旦发生争议和纠纷时举证不能而承担法律责任。