但是，郭兵認為人臉信息屬於高度敏感個人隱私，不同意接受人臉識別，要求園方退卡。在協商未果的情況下，郭兵於同年10月28日向杭州市富陽區人民法院（下稱“富陽法院”）提起訴訟。
2020年11月20日，富陽法院作出一審判決，判令野生動物世界賠償郭兵合同利益損失及交通費共計1038元；刪除郭兵辦理指紋年卡時提交的包括照片在內的面部特征信息；駁回郭兵要求確認店堂告示、短信通知中相關內容無效等其他訴訟請求。
郭兵與野生動物世界均表示不服，分別向杭州市中級人民法院（下稱“杭州中院”）提起上訴。
在杭州中院終審判決，杭州野生動物世界有限公司（後稱“野生動物世界”）應當刪除郭兵的“面部特征信息”及“指紋識別信息”。
終審判決後，人民網發表評論稱，“人臉識別第一案”終審判決意義非凡，“判決告訴我們，可以勇敢地向人臉識別說‘不’”。
但在《財經》E法看來，該案雖然強調生物識別信息應當謹慎處理和嚴格保護，但它可能僅代表瞭司法機關的態度。
對於多數人而言，恐怕難以從法院的“表態”中獲益，因為該案並未觸及人臉識別技術中更為核心的問題，即：這項技術使用的邊界在哪裡？
非人臉識別不可嗎？
在法院看來，該案為服務合同糾紛，其判決是以存在“合同違約”為前提，來支持郭兵的部分訴訟請求。例如：野生動物世界欲將收集照片激活為人臉識別信息，超出事前約定收集目的，因而判令野生動物世界刪除郭兵教授辦卡時包括照片在內的“人臉信息”。又因野生動物世界停止使用指紋識閘機，致使以“指紋識別”入園的履行方式無法實現，從而要求刪除指紋。
無論在該案的一審還是二審，對於“進動物園必須要人臉識別”這件事的“必要性”探討並不充分。例如，在富陽法院在一審判決中稱：
“野生動物世界基於年卡用戶可在有效期內無限次入園暢遊的實際情況，使用指紋識別、人臉識別等生物識別技術，以達到甄別年卡用戶身份、提高年卡用戶入園效率的目的，該行為本身符合前述法律規定的“合法、正當、必要”三原則的要求。”
該裁判說理是否暗含著：為商業利益獲取的高效，使用指紋、人臉識別等生物技術來識別特定用戶就具有合法性基礎呢？倘若依該判決進行場景的類推，一傢VIP會員制的健身房、一傢年卡制的大型超市豈不是都能以“為瞭保證進入效率”來推行指紋、人臉識別的應用？
接下來的問題是，這些一般商業場景非使用“指紋、人臉識別”不可嗎？
過去傳統的人工核驗身份證件的方式，對於商傢和消費者而言可能喪失部分效率，但對於保障個人信息安全而言是更加有效的。在現階段，因屢發個人信息泄露導致的公共危機事件，消費者有合理的理由在一般商業場景中拒絕“被人臉識別”。
依據法律要求，公民個人信息的采集和處理依據“合法、正當、必要”等原則。但現實中，往往商傢通過單方面在營業廳張貼告示告知，或者在冗長的格式合同中通過“標黑、加粗、下劃線”來約定，這看似獲得用戶同意，滿足瞭“合法原則”，但並不意味著是“正當”且“必要”的。
如果說“核驗特定用戶身份”還可以牽強解釋為“目的明確合理”，因此具有“正當原則”。但無論如何難以認定“進動物園必須要人臉識別”這件事是合乎“必要原則”的。
對指紋、人臉等生物識別技術的應用，應當嚴格地來解釋“必要原則”。例如：支付領域為保證用戶財產安全；教育領域在大型考試中為杜絕替考；司法安防領域用於打擊犯罪等“強身份認證”場景中，生物識別技術運用才有討論“必要”的餘地。
換言之，進動物園不使用人臉識別會產生什麼後果？無非是消費者入園時間延長、動物園需要增加人力進行身份核驗。但不排除有人願意犧牲一點“便利”來確保個人信息的安全，尤其在個人信息泄露事件頻繁的現實背景下。
現實中，多數人對於生物識別技術的擔憂自於它的安全性。指紋、人臉是具有唯一識別性的，在這些信息經過觸摸板、攝像頭的掃描成為一串數據後，個人對於這些數據的使用就已經“失控”。尤其是“人臉識別”，它不像指紋需要個人配合才能進行掃描，而隻要是攝像頭能捕捉到的地方，即可在不知不覺間完成面部特征信息采集。
消費者能信賴這些商傢會周延保護他們的個人信息嗎？這恐怕很難。商傢使用指紋、人臉識別技術替代傳統人工核驗方式，為的是節省人力成本。但存儲、處理個人信息，保障數據安全同樣需要增加支出。商傢會為瞭保護這些數據來增加支出嗎？這恐怕並不現實。
應保障個人的“信息自決權”
個人信息具有商業價值，在消費者的憂慮中，不乏擔心商傢會販賣他們的個人信息來獲利。在今年央視315晚會上，蘇州萬店掌網絡科技有限公司、上海悠絡客電子科技股份有限公司因涉嫌違規收集人臉信息遭點名，多傢企業采買上述兩傢公司產品放置公共區域，違法采集海量消費者人臉信息進行商業使用，但整個采集過程消費者完全被“蒙在鼓裡”。
目前，盡管行政、司法部門對於違法、違規收集公民個人信息、販賣公民個人信息等行為在不斷加大打擊力度。但遺憾的是，個人信息一經泄露，就在也難以恢復至“原初狀態”。如今佩著口罩都人臉識別，恐怕個人信息被泄露後，個人即便整容也再難逃被識別和定位。
事後監管難以周延保護公民個人信息安全。因此，更應當嚴格限制人臉識別的應用場景，如果不能這樣做。那麼至少應該提供給個人拒絕“被人臉識別”的選擇，以及賦予個人信息的“刪除權”，來保障個人的“信息自決權”。
關於“刪除權”，根據中國現行的《網絡安全法》第四十三條和《民法典》第一千零三十七條，個人享有個人信息刪除的權利，需建立在個人信息處理者違反法律規定或者違反雙方約定收集、處理個人信息的前提上。
但現實中，因為生物識別技術具有隱蔽性，尤其是“人臉識別”，個人往往被采集瞭信息而不自知，更難以舉證存在違法或違約收集、處理個人信息的情形。即使確定侵權或者違約存在，需要刪除被個人信息時，也難以確認是否被真的刪除。
例如，在“人臉識別第一案”終審判決作出後，郭兵聲稱將申請再審，正是因為他強烈質疑野生動物世界隻需向法院出具情況說明，就可表示已刪除個人信息，而是否真正刪除，完全由野生動物世界一方說瞭算。因此，他要求在第三方技術機構見證刪除信息的真實性。
歐盟GDPR（General Data Protection Regulation，簡稱“GDPR”）的刪除權（被遺忘權）則不完全以個人信息處理者存在違法或違約收集、處理個人信息為前提，當個人撤回同意時，個人信息處理者也有義務刪除個人數據。在中國修訂中的《個人信息保護法》（草案）中，可看到對標GDPR刪除權的條款，但該法是否能在今後順利落地，還有待觀察。
當媒體及公眾為“人臉識別第一案”的結果歡呼時，但至少郭兵仍未滿意。他對媒體宣稱，要求法院認定野生動物世界將指紋及人臉識別作為唯一入園方式的規則無效，才是他最核心的訴訟請求。
從這個意義上來看，“人臉識別第一案”的一審、二審判決並未解決根本問題，即：審查進入動物園必須采用指紋、人臉識別的“必要性”。目前來看，整個判決邏輯建立在“合同違約”之上，而非將“個人信息保護框架”中的“知情同意”“信息自決權”等理念滲入司法推理之中。
遺憾的是，現行的法律難以抑制生物識別技術的擴張應用，更難以周延保護公民個人信息及隱私的安全。我們在等待《個人信息保護法》或者新的司法案例來臨之前，亟待需要限制“人臉識別”的應用場景，倘若不能做到這點，那麼至少應該保障公民拒絕“被人臉識別”的權利。
留言列表
