天津人臉識別第一案:你不準(zhǔn)要我的臉
顧城拒絕“刷臉”回家。
每次到小區(qū)門口門閘前，他都拒絕對攝像頭亮出臉，而是直接叫保安開門，有時遇到別人刷臉開閘，他就尾隨在后一起通過。
顧城租住在天津誠基經(jīng)貿(mào)中心（下稱“誠基中心”）。2021年3月他搬入時，被告知小區(qū)只能刷臉進(jìn)入，沒有其他進(jìn)入方式。
想要入住，顧城必須向物業(yè)公司提供自己的人臉信息。
人臉信息是生物識別信息的一種，屬于敏感個人信息。每個人只有一張臉，如果人臉信息被隨意采集和濫用，隱患極大。近年來，盡管保護(hù)人臉信息的法律法規(guī)層出不窮，但公共場所的人臉采集設(shè)施越來越多。
2021年8月1日，最高人民法院關(guān)于人臉識別的司法解釋正式實施，要求物業(yè)公司不得將人臉識別作為唯一的通行驗證方式。
據(jù)此，顧城起訴物業(yè)公司，要求物業(yè)公司為他提供其他通行
2022年5月18日，天津市第一中級人民法院二審法院判決，支持了他的訴求。
“憑什么強(qiáng)制我刷臉進(jìn)門？”
2021年3月，26歲的顧城在網(wǎng)上簽約租住了誠基中心的一套公寓。在拎包入住當(dāng)天，他從房屋中介口中得知，小區(qū)只提供人臉識別的方式出入。
“因為房子我已經(jīng)簽了，如果不住的話，還得付違約金。” 顧城與多數(shù)怕麻煩的租戶一樣，雖然心生懷疑，但還是硬著頭皮讓物業(yè)拍照錄入人臉，登記姓名、身份證號等信息。
安頓下來后，顧城發(fā)現(xiàn)，人臉識別機(jī)旁邊就有刷門禁卡的位置，但物業(yè)不給辦理門禁卡。他曾向保安詢問，對方表示人臉識別是“為了業(yè)主的安全”，物業(yè)人員則答復(fù)他，安裝人臉識別門禁，經(jīng)過了業(yè)主委員會的同意，還有街道和社區(qū)這些官方組織的參與。
誠基中心的“刷臉”系統(tǒng)的確是為加強(qiáng)防護(hù)啟用的。這是位于天津市和平區(qū)商務(wù)核心區(qū)的商住兩用小區(qū)，由2 棟 33 層和 1 棟 50 層的超高樓宇構(gòu)成，擁有居民住房 5536 套，商戶 400 家，容積率達(dá) 17.5。
在新冠疫情暴發(fā)之前，誠基中心就安裝了人臉識別系統(tǒng)的裝置，原計劃在2020年6月調(diào)試啟用，但由于新冠疫情的暴發(fā)，在2020年2月前后，這套系統(tǒng)就被提前啟用。
天津市在2020年1月24日啟動《天津市應(yīng)對新型冠狀病毒感染的肺炎應(yīng)急預(yù)案》一級響應(yīng)。
“我們以高度的敏感性對形勢進(jìn)行了預(yù)判，經(jīng)過多個部門的研究商討，決定緊急啟用人臉識別系統(tǒng)。”社區(qū)黨委書記陳思延在2020年2月公開表示，要保障疫情得到有效防控，必須進(jìn)行人防+技防相結(jié)合的模式，基本原則就是“堵住口、卡住門、看住人”。啟用人臉識別系統(tǒng)，是誠基中心“技防”的重要一步。
陳思延還介紹，誠基中心的人臉信息數(shù)據(jù)通過四種方式采集：一是網(wǎng)格員上門入戶采集；二是居民自主到物業(yè)公司客服中心采集；三是居民自主采集，然后微信發(fā)給網(wǎng)格員；四是居民把照片以郵件形式發(fā)到社區(qū)郵箱進(jìn)行采集。
但顧城意識到，如果只有“刷臉”一種選擇，可能侵犯他自己的權(quán)益，“自從住進(jìn)誠基中心以后，我就一直疑惑：憑什么強(qiáng)制我用人臉識別進(jìn)門？”
他表示，誠基中心的物業(yè)并不能給他足夠的安全感，“采集我的人臉信息之后，怎么傳輸，怎么使用，存儲在哪里，我都一無所知，我不想把人臉信息交給這種沒被證明可信任的機(jī)構(gòu)來管理”。
顧城的擔(dān)憂不無道理。北京煒衡（成都）律師事務(wù)所律師魏冬冬告訴《中國新聞周刊》，一些大的互聯(lián)網(wǎng)公司或是強(qiáng)監(jiān)管領(lǐng)域的銀行等機(jī)構(gòu)，合規(guī)體系相對完善，但一些小的企業(yè)，尤其是小物業(yè)公司，則是漏洞百出，明文存儲敏感個人信息是常態(tài)，也不把用戶人臉信息和身份信息分開存儲。
與用戶的數(shù)據(jù)安全相比，小公司會更注重成本和利潤。魏冬冬說，許多小物業(yè)公司購買的數(shù)據(jù)處理設(shè)備比較落后，并沒有完善的安全防護(hù)措施。
她甚至了解到，有的物業(yè)公司的人臉識別設(shè)施和員工考勤指紋打卡的設(shè)備價格都極為低廉，而設(shè)備供應(yīng)商愿意低價供貨的原因，就是為了收集用戶的人臉等敏感個人信息。
“用戶的信息可以拿去賣錢，給供應(yīng)商增加收益，所以很可能你我的人臉早就不知道被轉(zhuǎn)賣了多少手了。”魏冬冬說。
作為敏感個人信息，人臉信息具有唯一性、易獲得性和安全性三個特性。魏冬冬說，其中，“唯一性”在于不可變更，“密碼丟了可以更改，但人只有一張臉，只有這一把鑰匙，如果被盜，是無法更改的”，而“易獲得性”在于，只要遠(yuǎn)遠(yuǎn)安一個攝像頭，就可以獲取人臉信息，這導(dǎo)致人臉識別技術(shù)便于用來跟蹤人的行蹤軌跡，這就引申至“安全性”。
“由于人臉信息和人是綁定的，需要真人到訪才能提供，較難仿冒，人臉常被用于關(guān)鍵場所的出入身份驗證和支付驗證等重要場景，但近年也出現(xiàn)了利用人臉圖片、3D模型和深度合成技術(shù)制作的視頻騙過人臉驗證的事件。”魏冬冬說。
如何處理人臉信息才算恰當(dāng)？魏冬冬說，無論是物業(yè)還是寫字樓要收集人臉信息，首先應(yīng)獲取個人的單獨同意，讓其在載明人臉信息處理規(guī)則的清單上簽字，獲得同意后才可采集人臉信息，與此同時，還應(yīng)給住戶提供替代的通行方式。