中國大陸最高人民法院公布《關於審理使用人臉識別技術處理個人資訊相關民事案件適用法律若干問題的規定》

【資料來源：中國大陸最高人民法院】

中國大陸最高人民法院2021.7.28公布了《最高人民法院關於審理使用人臉識別技術處理個人資訊相關民事案件適用法律若干問題的規定》（以下簡稱《規定》）。最高人民法院說明，這部司法解釋是為了強化個人資訊司法保護，由最高人民法院指導各級人民法院如何審理相關案件、統一裁判標準而設。

人民法院個人資訊保護基本情況、《規定》的制定背景及其主要內容如下：

一、人民法院個人資訊保護基本情況

中國大陸自《侵權責任法》將隱私權確認為一項獨立的民事權利以來，全國各級人民法院審理了許多隱私權等人格權糾紛案件。2010.7.1侵權責任法實施以來至2020.12.31，人格權糾紛案件共1,144,628件，其中2016年1月至2020年12月，隱私權糾紛案件就有1,678件。

2014年最高人民法院頒佈了《關於審理利用資訊網路侵害人身權益民事糾紛案件適用法律若干問題的規定》，對網路使用者或者網路服務提供者利用網路公開他人隱私和個人資訊的侵權責任予以規定。實務上，人民法院透過審理一系列新類型典型案例，探索資訊化時代個人資訊及隱私的保護規則，例如：龐某訴東方航空公司、趣拿資訊技術公司隱私權糾紛案，孫某某訴百度公司人格權糾紛案等等。

從民事審判來看，2020.5.28新的民法典頒佈後，最高人民法院對《民事案件案由規定》進行了修正，新增了個人資訊保護糾紛案由。2021.1.1新的民法典施行以來，到2021.6.30為止，各級人民法院正式以個人資訊保護糾紛案由立案的一審案件192件，審結103件。「人臉識別第一案」也於2021.4.9二審宣判，依法保護自然人人臉資訊等生物識別資訊。隨著貫徹民法典，《個人資訊保護法》也即將頒佈實施，人民法院將進一步透過司法裁判加強保護個人資訊權益。

再從刑事審判來看，近年來侵犯個人資訊犯罪越來越多，而且多與電信網路詐騙、敲詐勒索、綁架等犯罪結合。為嚴懲此類犯罪，最高人民法院於2017.5.9公布了《關於辦理侵犯公民個人資訊刑事案件適用法律若干問題的解釋》（法釋〔2017〕10號），自2017.6.1起施行。該司法解釋根據刑法有關規定，對侵犯公民個人資訊犯罪的定罪量刑標準和有關法律適用問題作了全面的規定，該司法解釋施行以來，各級人民法院審理侵犯個人資訊犯罪的案件數量顯著增加。2017年6月至2021年6月，全國法院新收侵犯個人資訊刑事案件10,059件，審結9,743件，生效判決人數21,726人，對3,803名被告人判處三年以上有期徒刑，比例達17.50%。

二、制定《規定》的背景

人臉識別是人工智慧的重要應用，但在帶來便利同時，人臉識別技術也引發更多個人資訊保護問題。例如：有些知名店家使用「無感式」人臉識別技術，在未經同意的情況下擅自採集消費者人臉資訊，分析消費者的性別、年齡、心情等，進而採取不同行銷策略。又如，有些物業服務企業強制將人臉識別作為業主出入社區的唯一驗證方式，要求業主錄入人臉並綁定相關個人資訊，未經識別的業主不得進入社區。再如，部分線上平臺或應用軟體強制索取使用者的人臉資訊，還有賣家在社交平臺和網站公開販售人臉識別影片、買賣人臉資訊等。

因人臉資訊等身份資訊洩露導致「被貸款」「被詐騙」和隱私權、名譽權被侵害等問題也多有發生，甚至還有一些犯罪分子利用非法獲取的身份證照片等個人資訊製作成動態影片，破解人臉識別驗證程式，實施竊取財產、虛開增值稅普通發票等犯罪行為。上述行為嚴重損害自然人的人格權益，侵害其人身、財產等合法權益，破壞社會秩序。

人臉資訊屬於敏感個人資訊中的生物識別資訊，是生物識別資訊中社交屬性最強、最易採集的個人資訊，具有唯一性和不可更改性，一旦洩露將對個人的人身和財產安全造成極大危害，甚至還可能威脅公共安全。據APP專項治理工作組去年發佈的《人臉識別應用公眾調研報告》顯示，在2萬多名受訪者中，94.07%的受訪者用過人臉識別技術，64.39%的受訪者認為人臉識別技術有被濫用的趨勢，30.86%受訪者已經因為人臉資訊洩露、濫用等遭受損失或隱私被侵犯。

為了保障個人資訊安全，維護在網路空間的合法權益，最高人民法院依照《民法典》《網路安全法》《消費者權益保護法》《電子商務法》《民事訴訟法》等法律，參考個人資訊保護立法相關的經驗成果，制定《規定》。

三、《規定》的主要內容

《規定》遵循民法典人格權編及相關法律的規定精神，從侵權責任、合約規則以及訴訟程序等方面規定了16個條文。

（一）關於適用範圍

《規定》第1條規定適用範圍。《規定》適用於平等民事主體之間因使用人臉識別技術處理人臉資訊所引起的相關民事糾紛。資訊處理者使用人臉識別技術處理人臉資訊，或者雖然沒有使用人臉識別技術但是處理基於人臉識別技術生成的人臉資訊，均屬於《規定》的適用範圍。涉及的責任承擔既包括侵權責任，也包括違約責任，受侵害的權益既包括個人資訊權益，也包括肖像權、隱私權、名譽權等人格權以及財產權。

（二）從人格權和侵權責任角度

《規定》第2條至第9條從人格權和侵權責任角度規定濫用人臉識別技術處理人臉資訊行為的性質和責任。第2條列舉規定侵害自然人人格權益行為，部分商家用一次概括授權、與其他授權捆綁、「不同意就不提供服務」等不合理手段處理自然人人臉資訊，第2條和第4條明確規定，必須徵得自然人或其監護人的單獨同意；對於違反單獨同意，或者強迫、變相強迫自然人同意處理其人臉資訊者，構成侵害自然人人格權益的行為。第5條則規定人臉資訊的免責事由；第6條至第9條分別規定了舉證責任、多個資訊處理者侵權責任的承擔、財產損失的範圍界定以及人格權侵害禁令的適用等。

（三）從合約角度

《規定》第10條至第12條，主要從物業服務、定型化條款效力、違約責任承擔等角度回應人民關切的重點問題。對於物業服務企業或其他建築物管理人採取以人臉識別作為業主或物業使用人出入物業服務區域的唯一驗證方式，第10條明確規定，不同意的業主或物業使用人若請求其提供其他合理驗證方式，人民法院依法予以支持。對於資訊處理者透過採用定型化條款與自然人訂立合約，要求自然人授予其無期限限制、不可撤銷、可任意轉授權等處理人臉資訊權利者，第11條規定，自然人依據民法典第497條請求確認定型化條款無效，人民法院依法予以支持。第12條則對自然人請求資訊處理者承擔違約責任並刪除其人臉資訊的情形作了規定。

《規定》第13條、第14條規定相關訴訟程序。第15條、第16條規定涉及個人資訊的死者人格利益保護、本司法解釋的施行日期及溯及力。

《最高人民法院關於審理使用人臉識別技術處理個人資訊相關民事案件適用法律若干問題的規定》已於2021.6.8由最高人民法院審判委員會第1841次會議通過，現予公佈，自2021.8.1起施行。

法釋〔2021〕15號

《最高人民法院關於審理使用人臉識別技術處理個人資訊相關民事案件適用法律若干問題的規定》

為正確審理使用人臉識別技術處理個人資訊相關民事案件，保護當事人合法權益，促進數位經濟健康發展，根據《中華人民共和國民法典》《中華人民共和國網路安全法》《中華人民共和國消費者權益保護法》《中華人民共和國電子商務法》《中華人民共和國民事訴訟法》等法律的規定，結合審判實踐，制定本規定。

第一條

因資訊處理者違反法律、行政法規的規定或者雙方的約定使用人臉識別技術處理人臉資訊、處理基於人臉識別技術生成的人臉資訊所引起的民事案件，適用本規定。

人臉資訊的處理包括人臉資訊的收集、存儲、使用、加工、傳輸、提供、公開等。

本規定所稱人臉資訊屬於民法典第1034條規定的「生物識別資訊」。

第二條

資訊處理者處理人臉資訊有下列情形之一的，人民法院應當認定屬於侵害自然人人格權益的行為：

（一）在賓館、商場、銀行、車站、機場、體育場館、娛樂場所等經營場所、公共場所違反法律、行政法規的規定使用人臉識別技術進行人臉驗證、辨識或者分析；

（二）未公開處理人臉資訊的規則或者未明示處理的目的、方式、範圍；

（三）基於個人同意處理人臉資訊的，未征得自然人或者其監護人的單獨同意，或者未按照法律、行政法規的規定征得自然人或者其監護人的書面同意；

（四）違反資訊處理者明示或者雙方約定的處理人臉資訊的目的、方式、範圍等；

（五）未採取應有的技術措施或者其他必要措施確保其收集、存儲的人臉資訊安全，致使人臉資訊洩露、篡改、丟失；

（六）違反法律、行政法規的規定或者雙方的約定，向他人提供人臉資訊；

（七）違背公序良俗處理人臉資訊；

（八）違反合法、正當、必要原則處理人臉資訊的其他情形。

第三條

人民法院認定資訊處理者承擔侵害自然人人格權益的民事責任，應當適用民法典第998條的規定，並結合案件具體情況綜合考量受害人是否為未成年人、告知同意情況以及資訊處理的必要程度等因素。

第四條

有下列情形之一，資訊處理者以已徵得自然人或者其監護人同意為由抗辯的，人民法院不予支持：

（一）資訊處理者要求自然人同意處理其人臉資訊才提供產品或者服務的，但是處理人臉資訊屬於提供產品或者服務所必需的除外；

（二）資訊處理者以與其他授權捆綁等方式要求自然人同意處理其人臉資訊的；

（三）強迫或者變相強迫自然人同意處理其人臉資訊的其他情形。

第五條

有下列情形之一，資訊處理者主張其不承擔民事責任的，人民法院依法予以支持：

（一）為應對突發公共衛生事件，或者緊急情況下為保護自然人的生命健康和財產安全所必需而處理人臉資訊的；

（二）為維護公共安全，依據國家有關規定在公共場所使用人臉識別技術的；

（三）為公共利益實施新聞報導、輿論監督等行為在合理的範圍內處理人臉資訊的；

（四）在自然人或者其監護人同意的範圍內合理處理人臉資訊的；

（五）符合法律、行政法規規定的其他情形。

第六條

當事人請求資訊處理者承擔民事責任的，人民法院應當依據民事訴訟法第64條及《最高人民法院關於適用〈中華人民共和國民事訴訟法〉的解釋》第90條、第91條，《最高人民法院關於民事訴訟證據的若干規定》的相關規定確定雙方當事人的舉證責任。

資訊處理者主張其行為符合民法典第1035條第1款規定情形的，應當就此所依據的事實承擔舉證責任。

資訊處理者主張其不承擔民事責任的，應當就其行為符合本規定第5條規定的情形承擔舉證責任。

第七條

多個資訊處理者處理人臉資訊侵害自然人人格權益，該自然人主張多個資訊處理者按照過錯程度和造成損害結果的大小承擔侵權責任的，人民法院依法予以支持；符合民法典第1168條、第1169條第1款、第1170條、第1171條等規定的相應情形，該自然人主張多個資訊處理者承擔連帶責任的，人民法院依法予以支持。

資訊處理者利用網路服務處理人臉資訊侵害自然人人格權益的，適用民法典第1195條、第1196條、第1197條等規定。

第八條

資訊處理者處理人臉資訊侵害自然人人格權益造成財產損失，該自然人依據民法典第1182條主張財產損害賠償的，人民法院依法予以支持。

自然人為制止侵權行為所支付的合理開支，可以認定為民法典第1182條規定的財產損失。合理開支包括該自然人或者委託代理人對侵權行為進行調查、取證的合理費用。人民法院根據當事人的請求和具體案情，可以將合理的律師費用計算在賠償範圍內。

第九條

自然人有證據證明信息處理者使用人臉識別技術正在實施或者即將實施侵害其隱私權或者其他人格權益的行為，不及時制止將使其合法權益受到難以彌補的損害，向人民法院申請採取責令資訊處理者停止有關行為的措施的，人民法院可以根據案件具體情況依法作出人格權侵害禁令。

第十條

物業服務企業或者其他建築物管理人以人臉識別作為業主或者物業使用人出入物業服務區域的唯一驗證方式，不同意的業主或者物業使用人請求其提供其他合理驗證方式的，人民法院依法予以支援。

物業服務企業或者其他建築物管理人存在本規定第2條規定的情形，當事人請求物業服務企業或者其他建築物管理人承擔侵權責任的，人民法院依法予以支持。

第十一條

資訊處理者採用格式條款與自然人訂立合約，要求自然人授予其無期限限制、不可撤銷、可任意轉授權等處理人臉資訊的權利，該自然人依據民法典第497條請求確認格式條款無效的，人民法院依法予以支持。

第十二條

資訊處理者違反約定處理自然人的人臉資訊，該自然人請求其承擔違約責任的，人民法院依法予以支持。該自然人請求資訊處理者承擔違約責任時，請求刪除人臉資訊的，人民法院依法予以支持；資訊處理者以雙方未對人臉資訊的刪除作出約定為由抗辯的，人民法院不予支持。

第十三條

基於同一資訊處理者處理人臉資訊侵害自然人人格權益發生的糾紛，多個受害人分別向同一人民法院起訴的，經當事人同意，人民法院可以合併審理。

第十四條

資訊處理者處理人臉資訊的行為符合民事訴訟法第55條、消費者權益保護法第47條或者其他法律關於民事公益訴訟的相關規定，法律規定的機關和有關組織提起民事公益訴訟的，人民法院應予受理。

第十五條

自然人死亡後，資訊處理者違反法律、行政法規的規定或者雙方的約定處理人臉資訊，死者的近親屬依據民法典第994條請求資訊處理者承擔民事責任的，適用本規定。

第十六條

本規定自2021年8月1日起施行。

資訊處理者使用人臉識別技術處理人臉資訊、處理基於人臉識別技術生成的人臉資訊的行為發生在本規定施行前的，不適用本規定。