人臉識別技術(shù)目前所呈現(xiàn)出的雙刃劍效應尤為明顯。該技術(shù)在提高社會效率、增加便利性的同時，在隱私、安全、公平等方面目前亦引發(fā)了諸多爭議。

2021年7月28日，《最高人民法院關(guān)于審理使用人臉識別技術(shù)處理個人信息相關(guān)民事案件適用法律若干問題的規(guī)定》（以下簡稱司法解釋）正式發(fā)布，對人臉識別案件的處理方式進行了明確，司法解釋也將對企業(yè)什么情況下可以使用人臉識別技術(shù)、如何使用，起到了進一步的引導作用。2021年8月20日，《個人信息保護法》公布，進一步確立了敏感個人信息的處理規(guī)則，該法于2021年11月1日正式實施。

一、處理人臉信息需有必要性

在被稱為人臉識別第一案的郭兵與杭州野生動物世界有限公司服務合同糾紛一案中，法院認為：當事人在辦卡時簽訂的是采用指紋識別方式入園的服務合同，野生動物世界收集郭兵及其妻子的人臉識別信息，超出了必要原則的要求，不具有正當性。盡管野生動物世界在涉案指紋識別的年卡辦理流程中規(guī)定流程包含至年卡中心拍照，但其并未告知郭兵與其妻子拍照即已完成對人臉信息的收集及其收集目的，郭兵與其妻子同意拍照的行為，不應視為對野生動物世界通過拍照方式收集兩人人臉識別信息的同意。最終，法院判令野生動物世界賠償郭兵合同利益損失及交通費共計1038元；刪除其辦理指紋年卡時提交的包括照片在內(nèi)的面部特征信息。

司法解釋第二條第（八）款

違反合法、正當、必要原則處理人臉信息的情形應當認定屬于侵害自然人人格權(quán)益的行為。

《個人信息保護法》第五條

處理個人信息應當遵循合法、正當、必要和誠信原則

因此，企業(yè)如需要進行人臉信息的收集工作，需對于自身的收集及使用場景作出相應的必要性分析。當然由于必要性這一概念本身具有一定的抽象性及模糊性，具體的裁判尺度仍需靜待司法機關(guān)在后續(xù)相關(guān)案件中給出進一步的答案。

二、使用人臉信息需事先同意

《個人信息保護法》第十三條明確規(guī)定：除為履行法定職責或法定義務所必需等特定情形外，需取得個人同意，個人信息處理者方可處理個人信息。

司法解釋第二條第（一）款

基于處理人臉識別的場景與技術(shù)，將人臉信息處理方式區(qū)分為了：人臉驗證、人臉辨識，以及人臉分析，并強調(diào)在經(jīng)營場所、公共場所違法違規(guī)處理人臉信息涉及上述任意方式的均應當認定屬于侵害自然人人格權(quán)益的行為。 三、處理人臉信息必須向當事人公示、告知人臉信息的處理規(guī)則

司法解釋第二條第（二）款的規(guī)定，只要涉及人臉信息的收集不但需經(jīng)過當事人授權(quán)同意，還需進一步采取明示的手段將人臉信息的處理規(guī)則（包括收集、使用人臉信息的目的、方式和范圍）向當事人公示或者告知。

四、應對合法收集得來的人臉信息采取必要的管理和技術(shù)保護措施確保其安全

司法解釋第二條第（五）款：

未采取應有的技術(shù)措施或者其他必要措施確保其收集、存儲的人臉信息安全，致使人臉信息泄露、篡改、丟失的應當認定屬于侵害自然人人格權(quán)益的行為。

具體而言如何做到安全合規(guī)存儲這類生物識別信息可以參考《網(wǎng)絡安全法》、《信息安全技術(shù)個人信息安全規(guī)范》中的相關(guān)規(guī)定，即存儲個人敏感信息時應作到：

1、應采用加密等安全措施，密碼技術(shù)需要遵循密碼管理的相關(guān)國家標準；

2、個人生物識別信息與個人身份信息分開存儲。避免人臉信息和個人身份信息組合、匯集而形成信息組合體，降低信息泄露導致的個人風險；

3、原則上，企業(yè)不應當存儲原始個人生物識別信息（如樣本、圖形等）。

人臉識別這一新型技術(shù)從剛出現(xiàn)到逐步推廣至商業(yè)應用，其爭議就一直不斷。新技術(shù)的應用總會面臨很多挑戰(zhàn)，我們不必過度謹慎人臉信息的應用，而是建立科學的管控規(guī)則，擴大其人臉識別技術(shù)優(yōu)勢的同時抑制其使用風險，引導新型技術(shù)發(fā)揮其更大的作用。