“人脸识别第一案”：回眸远望个人信息保护

11月20日，杭州市富阳区人民法院就郭某与被告杭州野生动物世界有限公司（以下简称“野生动物世界”）服务合同纠纷案作出宣判，判决野生动物世界赔偿郭某合同利益损失及交通费共计1038元，删除郭某办理指纹年卡时提交的包括照片在内的面部特征信息。判决同时驳回了郭某提出的确认野生动物世界店堂告示、短信通知中相关内容无效等其他诉讼请求。尽管原被告双方都表示，将在法定期间内向上级人民法院提起上诉，但该判决也是迄今就“人脸识别”作出司法回应并试图厘清“刷脸”法律边界的最新努力。
诚如本案案由所显示的，富阳法院系以服务合同的法律路径来审理郭某与野生动物世界之间的纠纷。以服务合同法律关系来对双方的争议进行解析和论证，法院将野生动物世界采集获取郭某人脸信息视为“对于入园方式的约定”。依循此种思路，该判决认为，“野生动物世界在合同履行期间将原指纹识别入园方式变更为人脸识别方式，属于单方变更合同的违约行为”，并进而作出了前述判决。对于该判决及判决所依循的论证路径，从诉讼程序角度而言，并非发生法律效力的判决，因此，我们对其判决的优劣暂且不予置评。因该案对个人信息保护具有特别意义，故此，就该判决所透射出的对个人信息保护的有关叙述、阐释与论证等问题进行探讨，以呈现个人信息保护的困境与缺欠，进而寻求对个人信息进行特别保护，是本文的追求所在。
已有的材料和信息显示，在该判决之中，就个人信息而言，实际上预设了几个潜在的前提。其一，“人脸”作为个人信息的一部分，与指纹等信息并无区别；其二，现有的法律法规对诸如野生动物世界一类的民事主体收集“人脸”等个人信息并无禁止性规定；其三，作为服务合同中的服务提供商，野生动物世界通过刷脸收集“人脸”信息是否符合合法、正当且必要的原则。正是基于这些前提，因此，判决认为本案的争议焦点为“经营者处理消费者个人信息，尤其是指纹和人脸等个人生物识别信息行为的评价和规范问题”。在相关论证说理中，该判决叙称：我国法律对于个人信息在消费领域的收集、使用虽未予禁止，但强调对个人信息处理过程中的监督和管理，即个人信息的收集要遵循‘合法、正当、必要’的原则和征得当事人同意；个人信息的利用要遵循确保安全原则，不得泄露、出售或者非法向他人提供；个人信息被侵害时，经营者需承担相应的侵权责任。这种论证的理论，实际上是上述前提的展开。以此为基础，以服务合同作为基本路径来审查各方履约情况，进而确立各方的行为是否符合约定，就似乎是一个非常明快的路径了。
以实质上的确存在的合同法律关系来审视纠纷本身，实际上也是回避了对个人信息保护的许多应当和值得深究的法律难题。因此，就刷脸案本身对信息保护的意义来推究的话，现在的判决应该说只走完了一半的路程。法院选择以这种路径来审视该案，其实也是与个人信息保护在现行法律上的诸多困境不无关联。在我们看来，这些困境至少体现在以下方面：
一、个人信息的范围并无明确法律规定
尽管，在我国现行的多个法律法规中，都明确了对个人信息的保护，但都没有明确个人信息的范围和边界。《民法总则》第111条、《消费者权益保护法》第29条、《电子商务法》第23条、《网络安全法》第41条等都明确规定对个人信息的保护。但是，法律法规所保护的个人信息，究竟是个人的全部信息还是部分信息，个人信息保护的边界和范围，对不同个人信息保护的程度是否完全一致等等，现行法律法规并无明确的界定。
二、人脸作为非常重要的个人识别特征，是否仅仅作为个人信息加以保护
从最一般的意义上而言，个人信息无疑应该涵盖自然人的生物体征。在这些生物体征信息中，个人的身体构成、外观形象、生物数据等，无疑都属于个人信息的范畴。但是，对于人脸及其识别，是否仅仅归为个人信息保护范畴，尤其是在个人信息保护的有关法律规范尚待明确的语境之下，的确是值得推究的。人脸作为人身最主要的识别体征，是否有必要依循《民法总则》第109条关于人格尊严或者第110条关于肖像权的相关规定予以特别保护，在人脸及识别技术的发展过程中，似乎是应该予以回应的问题。
三、“非法收集、非法使用”的认定面临诸多难题
显然，“非法收集、非法使用”对应的是“合法收集、合法使用”。无论是“非法”还是“合法”，首先是“法”。比如，在郭某诉野生动物世界案中，如果以不同的“法”来解析和论证案件，显然是有所不同的。以合同法来解析，则意味着对个人信息保护采行平等保护的规则；如果以消费者权益保护法的规则来推敲，则似乎可以对消费者实行倾斜保护。正因为如此，除非存在特别明显的“非法目的和非法行为”，比如强制进行人脸信息采集、进行不当信息公开、以出售所采集的信息谋取利益等等，在许多正常情况下的确难于甄别“法与非法”。并且，现行法律也并没有规定明确，在哪些情形、哪些场合、基于哪些需要可以收集和甄别人脸信息。
四、对“非法收集、非法使用”个人信息的行为，缺少明确的法律救济规则
在某些情形之下，即使“非法收集、非法使用”个人信息及人脸识别的举措非常鲜明，但现行法律规范也既没有明确对非法收集和使用主体进行惩处的规则，也没有明确受害者基于何种诉求可以取得合理、合法赔偿或补偿的规则。尤其值得指出的是，在损害尚未发生或者没有损害之时，是否亦可以主张相应赔偿和补偿，这种赔偿和补偿的标准又应当如何确立等等，都是不得不面对的问题。
五、“合法、正当且必要”作为抗辩的重要原则，实务当中的证成非常不易
合法意味着有相应的法律规范作为前提和依据；正当即意味着目的的正当性，也意味着行为的正当性，还意味着方式和手段的正当性；必要则主要是以利益衡量和比例原则作为论证和阐释基石的。在此类抗辩中，当存在规范不足、缺失或者模糊不清时，获得同意、获得授权或者特定情形之下为了公共利益需要，无疑是较为充分的。但是，当存在未经同意、遭致明确拒绝、授权不明之时，援用该原则进行抗辩或论证，就十分艰难。在郭某案中，法院的判决尽管以《合同法》的相关规则，确认了野生动物世界收集游客包括人脸识别在内的个人信息的合法性、正当性，但也以“刷脸入园”并非合同约定的必要方式证成了被告行为的违约性。
诚然，对个人信息保护的问题和困境远不止上述这些，有许多的内容和方式，都只能留待法律发展予以解决。反观郭某一案，如果对个人信息保护实行倾斜保护或者特别保护，则论证的路径和结果无疑会有所不同。问题在于，在现行的法律体系内，是否有相应的依据可以实现这种对个人信息的倾斜保护或者说特别保护。个人浅见，这种对“刷脸”的特别保护或者倾斜保护并非不可能。对个人信息的特别保护，是指对个人信息实施比一般的违约、侵权行为更为严苛的保护标准，从而对收集、使用个人信息的主体提出更为严苛的标准和要求，并且设置更高的法定义务。对个人信息的倾斜保护则主要指在法律发展的特定阶段，更为强化对个人信息的保护，从而在特定的行为中赋予需要收集和使用个人信息的主体更多的法定义务和要求。在郭某诉野生动物世界案中，如果将人脸与一般的个人信息相区分，将郭某与野生动物世界之间的法律关系设定为消费法律关系，则似乎可以依据《消费者权益保护法》和《民法总则》的有关规定，实现对个人信息的倾斜保护。通过前者，可以确立野生动物世界作为经营者的更多义务；经由后者，将人脸及识别拓展为“人格尊严”的应有之义。如此，将未经同意的“刷脸”不仅仅作为“入园方式”的变更，而是存在不当采集肖像且令其存在人格受损的心理波动作为论证路径，似亦可以为人脸识别及其应用中可能存在的危害建立更为可靠的风控规则。