既要面子 更要里子——物业服务企业使用人脸识别技术的合规路径探析

据APP专项治理工作组去年发布的《人脸识别应用公众调研报告》显示，在2万多名受访者中，30.86%的受访者已经因为人脸信息泄露、滥用等遭受损失或者隐私被侵犯。因此，笔者根据《个人信息保护法》、最高人民法院《关于审理使用人脸识别技术处理个人信息相关民事案件适用法律若干问题的规定》等规定的“面子”问题，结合使用人脸识别技术最为广泛的物业服务行业，探讨物业服务企业使用人脸识别技术合规路径的“里子”问题。
一、物业服务企业所涉人脸识别技术的法律“层面”
物业服务企业所涉人脸识别技术的法律规制是逐步成熟和完善的。人脸识别技术是指通过对人脸信息的自动化处理，实现验证个人身份、辨识特定自然人或者预测分析个人特征等目的的一项生物识别技术。根据民法典第1034条，2020年国家标准《信息安全技术 个人信息安全规范》（GB/T35273-2020）第3.1、3.2条，以及2021年11月1日施行的《中华人民共和国个人信息保护法》第28条等规定，人脸信息属于敏感个人信息中的生物识别信息。《最高人民法院关于审理使用人脸识别技术处理个人信息相关民事案件适用法律若干问题的规定》（法释〔2021〕15号）（以下简称《规定》）第一条第三款规定，人脸信息属于民法典第一千零三十四条规定的“生物识别信息”。上述立法确立了使用人脸识别技术处理个人信息的加重保护原则，即收集环节要单独告知、明示同意；原则上禁止存储；禁止共享、转让、公开披露等等。
人脸识别技术所带来的个人信息保护问题也日益凸显，由此法律规制以限制人脸识别技术的滥用，特别是在物业服务行业是刷脸入户、刷脸入住、刷脸入园等多场景应用者，因此，虽然《规定》仅有短短的十六条，却在第十条两个条款对物业服务企业使用人脸识别技术处理个人信息做出了特别规定，即小区物业不得将人脸识别作为出入小区的唯一验证方式，以及物业服务企业违规处理人脸信息，侵害自然人人格权益须承担侵权责任。
地方立法机关也高度关注并呼应物业服务企业处理人脸信息的行业性问题。如《四川省物业管理条例（修订草案）》第四十七条第六款规定，物业服务人不得强制业主通过指纹、人脸识别等生物信息方式使用共用设施设备。2021年7月30日通过的《杭州市物业管理条例》规定，物业服务人不得强制业主、非业主使用人通过提供人脸、指纹等生物信息的方式进入物业管理区域或使用共有部分，不得泄露在物业服务中获取的业主、非业主使用人的个人信息，不得强制业主、非业主使用人购买其提供或指定的商品、服务，不得侵害业主、非业主使用人的人身、财产权利。
二、物业服务企业所涉人脸识别技术的争议“场面”
根据公开信息检索，物业服务企业所涉人脸识别案例较少，未能覆盖全部类型，但以下相关案例亦可借鉴：
1. 行政处罚案例
如在宜宾市公安局翠屏区分局对宜宾华泓置业有限公司的行政处罚一案中，行政相对人华泓置业利用APP手机软件采集了小区住户的人脸、手机等涉及公民个人的隐私信息，但没落实收集、使用公民个人信息相关规定和安全保护措施。根据《中华人民共和国网络安全法》第四十一条、第六十四条第一款之规定处以责令改正，并处警告的行政处罚。
但检索中，当事人为房产开发销售商在房屋销售现场使用人脸识别技术等而被行政处罚的案件较多，处罚依据是《消费者权益保护法》、《侵害消费者权益行为处罚办法》等相关规定。实践中，房屋销售案场通常委托给物业服务企业进行管理和服务，因此，若物业服务企业受开发商的委托而使用人脸识别技术，也可能被处以行政处罚。
2. 民事诉讼案例
早在2020年9月，清华大学法学院教授劳东燕拒绝小区采用人脸识别作为门禁手段，此事经媒体报道后引发热议。后经各方协商后，业主可在门禁卡、刷手机、人脸识别三种方式中自愿选择。在“人脸识别第一案” 【杭州市富阳区人民法院（2019）浙0111民初6971号民事判决书】中，法院认为，合同当事人在办卡时签订的是采用指纹识别方式入园的服务合同，野生动物世界收集郭兵及其妻子的人脸识别信息，超出了必要原则的要求，不具有正当性。野生动物世界也未告知郭某与其妻子拍照即已完成对人脸信息的收集及其收集目的。据最高人民法院司法案例研究院2021年8月25日登载的一则案例，苏州市吴中区某大厦业主张某要求物业公司为其通行提供除刷脸之外的其他非生物信息验证方式的诉讼中，法官对物业公司释法明理，最终物业公司专门在人脸识别系统上增设了刷卡功能，双方言和撤诉。
三、物业服务企业所涉人脸识别技术的合规“界面”
1. 物业服务企业使用人脸识别技术收集个人信息只能用于维护公共安全目的
物业管理区域包括大量的公共场所以及管理区域内的内公共场所，如民用的商业、写字楼、酒店等等，公建类的政府机关、机场、医院、街区、军事单位等等，管理区域的大门、道路、广场、公共绿地、单元门及大堂、电梯轿厢、楼道、停车场（库）等也是公共场所。因此，在物业管理活动中，使用人脸识别技术收集个人信息主要是保护业主或者物业使用人的人身和财产安全，协助预防、调查违法、犯罪行为等公共安全目的，不得泄露、买卖或非法公开业主和物业使用人的个人信息，否则将承担相应的法律责任。
2. 物业服务企业使用人脸识别技术收集个人信息应确保个人信息的安全性
个人信息的处理包括个人信息的收集、存储、使用、加工、传输、提供、公开、删除等，环节多、风险高。实践中，建议物业服务企业联系公安部门或者住建部门，由政府部门建设和运行人脸识别系统平台，所有数据都直接与公安系统对接。并且在企业内部考虑设立信息安全管理岗位。应特别指出的是，如果物业服务企业与相关门禁供应商达成合作，由业主等用户下载APP软件，门禁商通过APP软件里面的广告赚钱，并与物业服务企业分成，最终很可能导致数据安全的法律责任。
3. 物业服务企业使用人脸识别技术收集个人信息应对保障业主及物业使用人的知情权和选择权
在物业管理区域内安装有人脸识别设施的地方，物业服务企业应当设置清晰醒目的提示标识。提示标识包括提示标牌、图形标志、提示用语等形式，图形标志应当使用国标。一些涉外国际化社区和机场、车站等类型物业服务区域内，标识中提示用语至少包括中文和英文。在住宅及商办、产业园区等物业服务业态中，对于明确拒绝使用人脸识别系统的业主/物业使用人，应明确告知和提供其它进出小区时的身份核验方式（包括但不限于二维码、门禁卡、出入证、手动登记等）。
人脸识别技术是个人信息保护领域的重中之重，物业服务涉及千家万户，物业服务企业依法使用人脸识别技术处理个人信息，才能在智慧物业建设中别开生面。