转载：本文嚟自微信公众号“律星说”（ID:LegalStar），作者：逸凤 方荣杰，转载经授权发布。
为咗更多、更快、更容易地赚钱，好多企业已经在无视或者不知道合规要求嘅情况下，越过法律法规嘅红线，近乎疯狂地侵犯住个人信息权益。
当你走进宝马4S店、科勒卫浴以及好多没有被315曝光嘅门店时，好有可能正有大量摄像头在抓取你嘅人脸信息，并将你嘅照片、到店时间、到店次数、交流信息存在商家嘅电脑系统度，共享畀第啲所有门店，从而等各个门店更好地赚到你嘅钱。
甚至当你带住一身疲惫回到住宅小区时，你嘅人脸信息或者都正喺度被物业嘅摄像头默默地抓取同收集。
有人会说，这是为咗更好地为你提供“服务”、保障你嘅“安全”。但问题在于，呢啲“服务”同“保障”好似在你等红绿灯时跑上嚟强行畀你擦车并要钱嘅人一样，佢哋并唔在意、都不想获得你嘅同意，只在乎系咪能掏出你口袋入面嘅钱。在违法违规收集人脸信息嘅商家面前，你并唔是一个“服务嘅对象”，而是一头“待宰嘅羔羊”。
有啲商家都许不关心都不想知道，佢哋系咪已经跨越|法律法规嘅红线，走在|违法违规嘅道路上。但我哋仍然相信有大量商家同企业想在合法合规嘅范围内利用人脸识别技术提供更好嘅服务。
同时，我哋都相信有大量嘅个人希望知道自己嘅个人信息权益受到|乜嘢样嘅保护，企业同商家应当符合点样嘅合规要求。
因此，我哋将喺下文介绍侵害人脸信息等个人信息权益可能面临嘅法律后果，以及企业在收集人脸信息嘅阶段应做到嘅告知同同意方面嘅合规要求。
一、侵害人脸信息等个人信息权益可能面临嘅法律后果
人脸信息是个人敏感信息，一旦泄露、非法提供或滥用可能危害人身同财产安全，极易导致个人名誉、身心健康受到损害或歧视性待遇。如果企业擅自收集同处理人脸信息，有可能会承担民事、行政乃至刑事方面嘅法律责任。
（一）刑事责任
在刑事处罚层面，如果企业违反国家有关规定，窃取或以第啲方法非法获取公民个人信息，将可能构成《刑法》第二百五十三条之一规定嘅“侵犯公民个人信息罪”。
触犯“侵犯公民个人信息罪”，情节严重嘅，处三年以下有期徒刑或者拘役，并处或者单处罚金；情节特别严重嘅，处三年以上七年以下有期徒刑，并处罚金。
以下情形可能会被认定为“情节严重”：
1、非法获取、出售或者提供公民个人信息5000条以上嘅；
2、违法所得5000元以上嘅；
3、将喺提供服务过程中获得嘅公民个人信息出售或者提供畀佢人，数量或者数额达到前两项规定标准一半以上嘅。
以下情形可能会被认定为“情节特别严重”：
1、造成重大经济损失或者恶劣社会影响嘅；
2、数量或者数额达到“情节严重”相应标准十倍以上嘅。
单位犯“侵犯公民个人信息罪”嘅，对直接负责嘅主管人员同第啲直接责任人员参照上述标准定罪处罚，并对单位判处罚金。
（以上内容参见《刑法》第二百五十三条之一，《关于办理侵犯公民个人信息刑事案件适用法律若干问题嘅解释》第五条）
根据今年315晚会嘅内容，苏州万店掌等未经个人同意就收集人脸信息嘅平台，
已经拥有|上亿人脸数据，并且呢类平台经315晚会曝光后已造成|恶劣嘅社会影响，就有一定嘅可能性会面临刑事处罚。
（二）行政责任
在行政处罚层面，如果企业未经同意就处理个人信息，侵害消费者嘅个人信息权益，但系能会面临相关部门畀予嘅警告、责令改正、罚款、没收违法所得、责令停业整顿、吊销营业执照等行政处罚；构成违反治安管理行为嘅，依法畀予治安管理处罚。（以上内容参见《全国人大常务委员会关于加强网络信息保护嘅决定》第十一条，《消费者权益保护法》第五十六条）
行政处罚虽然睇起嚟没有刑事处罚那么严厉，但系对于利用人脸识别技术嘅企业，尤其系有上市计划嘅企业而言，一旦遭受|行政处罚，但系能会畀未嚟嘅上市造成巨大障碍。因此相关企业同投资人必须畀予足够重视。
（三）民事责任
在民事责任层面，如果企业未获同意就处理个人信息，侵害个人权益嘅，其将可能需要承担赔偿损失、停止侵害、恢复名誉、消除影响、赔礼道歉等民事责任。（以上内容参见《消费者权益保护法》第五十条）
对于企业而言，民事责任虽然在经济上造成嘅损失可能微不足道，但是企业败诉之后好可能会遭受巨大嘅品牌同声誉损失，导致企业间接损失经济利益。例如“微信读书案”“杭州动物园案”等案件，一经曝光，侵害用户权益嘅企业都受到|公众嘅广泛批评谴责，品牌同声誉严重受损。喺一啲情况下，民事判决甚至可能会引发相关部门介入，导致违法违规企业受到行政处罚乃至刑事处罚。
二、企业在获取人脸信息时应符合嘅合规要求
虽然好多提供人脸识别技术服务嘅企业声称自己仅提供技术服务，在使用技术嘅商家侵害个人信息权益时不应当承担责任，就如同生产菜刀嘅厂商唔可以因为买刀者持刀伤人而承担责任一样。
但是如果卖刀者明知或应知买刀者是要去伤人仲将刀卖畀佢，则同样会受到法律嘅制裁。同理，对于提供技术服务但是明知、应知或诱导商家以侵害个人信息权益嘅方式利用人脸识别技术嘅企业而言，佢哋同样都难逃法律嘅制裁。
因此，不论是不合规使用人脸识别技术嘅商家，仲是提供人脸识别技术服务嘅企业，都应重视并遵守获取人脸信息等个人信息时嘅以下合规要求。
（一）获取人脸信息前应将相关规则同信息有效告知个人以获取其同意
根据《个人信息告知同意指南（征求意见稿）》嘅相关内容，企业应当将相关规则同信息有效告知个人，在此基础上获取个人对于收集处理其个人信息嘅同意。虽然《个人信息告知同意指南（征求意见稿）》尚未生效，但其内容反映|最新嘅监管趋势，并且其主要内容好可能在未嚟成为生效规则。因此，具有前瞻性嘅企业应当重视相关规则，并提前进行合规同业务布局。
《个人信息告知同意指南（征求意见稿）》对于告知嘅原则、时机、内容、方式、展示形式、频率等做|详细嘅规定。鉴于本文嘅篇幅，我哋不在本文中展开介绍具体嘅规则，感兴趣嘅读者可以阅读律星说关于个人信息保护合规嘅系列后续文章。
总体而言，企业应当将同个人信息收集同处理相关嘅规则同信息清晰、完整、准确、具体地告知个人，在此基础上获得个人对企业处理其个人信息嘅同意。
（二）企业获取同处理人脸信息前应获得个人嘅明示同意
处理个人信息嘅，应当遵循合法、正当、必要原则，并征得该自然人或者其监护人同意。
企业在收集人脸信息等个人敏感信息前，应单独向个人告知收集、使用人脸信息嘅目的、方式同范围以及存储时间等规则，征得个人嘅明示同意，并确保个人嘅明示同意是其在完全知情嘅基础上自主畀出嘅、具体嘅、清晰明确嘅意愿表示。
企业在收集年满14周岁未成年人嘅人脸信息前，应征得未成年人或其监护人嘅明示同意；对于不满14周岁嘅未成年人，应征得其监护人嘅明示同意。
“明示同意”是指个人通过书面、口头等方式积极主动地作出声明或者肯定性嘅动作，对处理其个人信息嘅特定活动作出明确授权嘅行为。肯定性动作包括主动勾选、主动点击“同意”“注册”“发送”“拨打”、主动填写或提供等。
（以上内容参见《民法典》第一千零三十五条，《个人信息安全规范》第3.6条、第5.4条）
所以，今年315晚会曝光嘅嗰啲未获得个人明示同意就直接收集人脸信息嘅企业，已经违反|法律法规嘅合规要求。关于获取个人同意时应履行嘅第啲合规要求，我哋会在第啲文章中详细介绍，对具体要求感兴趣嘅读者可以阅读律星说嘅个人信息保护合规系列文章。
三、315晚会打响嘅只是第一枪
违法违规收集个人信息尤其系人脸信息嘅行为，不剩只会侵害个人嘅人身同财产权益，在其收集嘅人脸信息泄露时仲有可能畀社会造成大范围嘅损害，并且有一定可能畀国家安全造成损害。对于个人信息嘅保护不仅关乎个人，都关乎住社会同国家嘅安全。
今年315晚会曝光嘅呢啲抓取人脸信息嘅商家同诱导商家实施此类行为嘅服务平台，佢哋嘅行为已经毫无疑问地违反|法律法规嘅规定。但是佢哋只是正喺度疯狂侵害个人信息权益嘅大军中不幸被曝光嘅一小部分。我哋相信在利益嘅诱导下，仲会有大量违法违规侵害个人信息嘅行为发生。
如同我哋在《推荐性国家标准有约束力吗？》一文中讲嘅，未嚟将会有一场围绕个人信息安全嘅整治活动，佢将关系到好多以利用个人信息为业务核心嘅科技企业同互联网企业嘅生死。今年嘅315晚会，已经打响|整治活动嘅第一枪。
枪响之后，能否心存尊重、合法合规地利用个人信息权益，将是呢啲企业度过生死劫嘅关键。
免责声明：本文不应被视为云亭所向读者提供嘅任何形式嘅法律建议，读者都不因阅读本文而同云亭建立法律服务委托关系。任何主体在参考本文内容采取行动之前，应充分考虑相关法律同事实并咨询专业法律人员。
———-
作者简介：
逸凤，北京云亭律师事务所高级顾问，先后担任国内顶级红圈所律师、大型产业互联网投资集团法务总监、大型制造型区块链集团法务总监、芯片设计公司法务总监。喺公司业务、投融资并购业务、合规业务、出海投资业务方面具有丰富嘅经验。
转载专栏、公众号、百家号、知乎专栏、：律星说
方荣杰，北京云亭律师事务所合伙人助理，专注于数据合规业务、公司业务。
tracle.cn 足跡 粵字翻譯
2021-03-16 15:35:18
请登录之后再进行评论