刷脸支付、刷脸打卡、刷脸门禁，近年来“人脸识别”作为一项新的信息技术因其识别的精准性、便捷性在各类领域得到广泛应用，铁路运输企业等公共交通领域也广泛将其应用于旅客身份识别。在公共交通领域处理人脸等敏感个人信息是否需要取得乘客单独同意？运输部门有哪些告知义务？

2021年11月25日，汪某某通过12306购票系统购买了一张从贵阳东站至贵阳北站的C6368次高铁二等座客票。同日，汪某某于贵阳东站进站乘车时，有人工验票通道和自助验票通道，车站广播提示乘客需要手持身份证、摘掉口罩刷脸进站。

成都铁路运输中级法院法官 赖佳鹃：汪某某购票后通过自助闸机刷脸验票后进站乘车。汪某某认为铁路部门在采集其人脸信息时，未依法作出明确告知，也未取得其授权或同意，侵害了她的合法权益，遂向法院提起诉讼。

2023年4月27日，成都铁路运输中级法院依法在线开庭审理了汪某某与中国铁路成都局集团有限公司个人信息保护纠纷案，这也是全国首例公共交通领域使用人脸识别技术引发的个人信息侵权案件。

在庭审中，成都铁路局出具了中国铁道科学研究院对核验闸机人脸比对流程的说明，载明“核验过程中，通过比对二代身份证识读设备读取的证件照片和刷证时采集的乘客现场照片，确认是否为本人过闸，整个比对流程均离线完成，不保存任何照片”。

被告委托代理人：本案中的自助实名制核验闸机只是利用人脸识别技术比对人证是否一致，而我们的闸机仅仅使用的是比对的结果，有别于公众所熟悉的动物园刷脸入园，小区刷脸进门，闸机不具备储存功能。

成都铁路运输中级法院法官 赖佳鹃：通过相关证据证实，在乘客通过铁路自助闸机进站过程中，虽然采集了乘客的人脸信息，但并未存储传输及其他处理行为，并未对个人信息安全构成重大威胁。

清华大学法学院教授 程啸：个人信息保护法对于敏感的个人信息是给予了非常严格的保护的，它要求必须有特定的目的和充分的必要性，包括处理敏感个人信息，要取得个人单独同意。另外在个人信息处理者对于敏感的个人信息的处理也负有更高度的这种注意的义务。因为敏感的个人信息，如果被泄露或者说非法使用的话，很容易对于人格的尊严造成损害，对人身财产安全造成危害，所以法律上给予非常严格的保护。

综合考量成都铁路局为乘客提供人工通道选择权、多方广告告示、未过度使用人脸信息以及告知义务缺陷对汪某某的影响和损害小等因素，告知缺陷亦不足以单独构成侵权。法院对汪某某请求判令成都铁路局停止违法采集人脸信息、赔礼道歉、赔偿损失800元等诉讼请求不予支持。宣判后，当事人未上诉。

案件宣判后，成都铁路运输中级法院向中国国家铁路集团有限公司发送司法建议，建议在互联网以及车站进站口以多种方式对个人信息处理进行明确告知。中国国家铁路集团有限公司于2023年8月就司法建议的整改情况正式复函，立即推动全国铁路运输企业及时采取更新网站、优化设备等措施，履行人脸信息采集告知义务。

清华大学法学院教授 程啸：我们国家的个人信息保护法，它实际上是以保护个人信息权益和促进个人信息的合理利用为目的目标的。这个案件有一个重要的意义，它明确了取得同意和履行告知义务，这是两个规则。这个案件中铁路部门虽然说进行人脸识别可以不需要取得旅客的同意，但还是应当履行告知义务。

人脸识别涉及多种个人信息

河南大学法学院副教授李延舜认为，人脸识别技术应用中的核心问题是隐私权和个人信息存在被泄露的风险。首先，人脸识别信息具有唯一性，一旦泄露或者与其他个人信息相结合，将给个人人身和财产权益带来不可预测的风险。同时，个人面临此类侵权时难以进行有效防范和救济。其次，人脸识别技术以大数据分析为根基，一旦滥用将会侵蚀公民的私密空间，加剧社会的碎裂化风险。最后，人脸识别技术与公共视频监控相融合，会压缩民众权利空间。

上海交通大学人工智能治理与法律研究中心副主任彭诚信在《人脸识别：看得见的隐私》一书中提到，“在我们默认人脸识别技术有利于社会治理时，个人再想拒绝人脸识别却变得极为困难，尤其是在人员进出场景模式下，个人拒绝或抵制人脸识别甚至会被视为‘异类’”。由此可见，未来在人脸识别技术应用的多类场景中，可能存在一个令人担忧的问题。中国政法大学数据法治研究院教授张凌寒提出，当人脸逐渐成为广泛的身份识别符号被多个场景共同使用时，人们的行踪可以轻易地被整合以用来给个人“画像”。比如，进入小区的时间、购物支付的地点等信息，都可以通过人脸识别被无遗漏地集合并精准“画像”。当人脸标识链接了越来越多的场景时，不仅识别身份成为一种非自愿的行为，连被“画像”都成为一种不能拒绝的行为。

个人信息保护有法可依

近年来，我国从立法、执法层面对人脸识别规制作出了很多努力，公众也逐渐提高了对人脸识别技术的认知和风险防范意识。在典型法律法规方面有《个人信息保护法》《最高人民法院关于审理使用人脸识别技术处理个人信息相关民事案件适用法律若干问题的规定》。在司法方面，引起广泛关注的“人脸识别第一案”判决，确认了信息主体的个人信息删除权，肯定了对生物识别信息保护的重要性。在国家标准方面，全国信息安全标准化技术委员会制定的《信息安全技术生物特征识别信息保护基本要求》《信息安全技术人脸识别数据安全要求》等，为人脸识别技术应用中的个人数据安全及信息保护提供了国家标准。

我国《个人信息保护法》《最高人民法院关于审理使用人脸识别技术处理个人信息相关民事案件适用法律若干问题的规定》将人脸识别信息作为敏感个人信息给予特殊保护，明确规定了公民个人对其人脸识别信息所能主张的民事权益。这为公民的个人信息安全建立了防火墙，让个人信息保护有法可依。北京科技创新中心研究基地副主任赵精武表示，近年来，我国各监管机构和司法机关持续推进人脸识别信息保护相关的执法司法活动。尤其在2021年“3·15”晚会曝光一些知名品牌擅自在店内安装人脸识别摄像头，非法采集消费者人脸识别信息之后，各地市场监督管理局加强了对此类行为的监管整治力度。

（综合来源：央视新闻、中国社会科学报、澎湃新闻）

见习编辑 薛锦瑜 审读 伊诺 二审 李怡天 三审 张露锋