姜鹏圣昕

北方工业大学文法学院 北京 100144

一、问题的提出

随着人脸识别技术的成熟,一些物业公司开始选择以人脸识别装置代替居民小区的传统门禁。然而这一过程却伴随着诸多乱象:一方面,部分物业公司存在强行推行人脸识别门禁的行为,若居民不同意刷脸则无法进出小区;另一方面,物业公司对收集到的人脸信息怎样储存与使用大多无法给出明确说明。面对处理人脸信息过程中可能存在的安全风险,不同学者从宏观层面给出了相似的建议,如加强行业自律[1]、坚持合理使用原则[2]、以知情同意原则为框架[3]等。但在微观层面上,小区物业是否有权处理人脸信息这一具体问题仍有很大争议。在此背景下,有必要对小区物业处理人脸信息的合法性予以探讨。

二、解决思路

人脸信息在性质上属于特殊的个人信息。我国涉及个人信息保护的法律主要有《民法典》人格权编以及正在制定中的《个人信息保护法》。《民法典》第一千零三十五条规定“处理个人信息的,应当遵循合法、正当、必要原则”,《个人信息保护法(草案)》第二十七条规定“在公共场所安装图像采集、个人身份识别设备,应当为维护公共安全所必需”。同时,人脸信息还属于敏感个人信息中的个人生物特征,《草案》第二十九条对其进行了特别保护:“个人信息处理者具有特定的目的和充分的必要性,方可处理敏感个人信息”。可见,判断物业是否有权处理人脸信息的关键在于分析其行为是否遵循了合法、正当、必要原则,是否为维护公共安全所必需,是否具有特定的目的和充分的必要性。然而,以上三个要求仍较为笼统,难以作出直接判断。而行政法领域的比例原则有较强可适用性,具体使用步骤也较为清晰,可以尝试将比例原则用于该情景,对物业处理人脸信息行为的合法性作出判断。

三、以比例原则进行验证

1、比例原则应用于该场景的合理性。作为公法领域的基本原则,比例原则应用于私法的可行性越来越受到学者们的重视。有的学者认为比例原则可以在民法中以个别规则条款的形式存在[4];也有的学者进一步认为比例原则可上升为民法的一项基本原则[5];还有的学者断言“比例原则是任何理性行为的指导框架,具有普适性”[6]。

本文认为,对物业处理人脸信息合法性的探讨,属于该理论的应用情境之一。作为起源于公法领域的法律原则,比例原则在涉及如下情景时可以运用到私法领域:一是当国家公权力对民事主体意思自治形成不当干预时,二是强势私主体对民事主体意思自治形成不当干预时。而物业公司处理居民人脸信息的行为恰好属于第二类情景:物业公司一方利用优势地位迫使小区居民提供个人信息,居民一方却无法对物业公司如何使用这些信息进行有效监督,双方的平等主体地位仅徒有其表,物业公司作为强势私主体不当干预了小区居民的意思自治。因此,将比例原则用于该场景是合适的。

2、具体验证:

(1)适当性原则检验。适当性原则指公权力的行使必须是为了达成法定的目的。在本文所论述的情景中,小区物业设置人脸识别门禁所欲达到的目的是维护小区安宁,预防违法犯罪。通过设置人脸识别门禁,小区物业可防止除小区居民以外的无关人员随意进出小区,从而维护居民小区公共安全。因此,设置人脸识别门禁与维护小区安宁的目的是一致的,其可以通过适当性原则的检验。

(2)必要性原则检验。必要性原则指公权力的行使必须选择给公民带来最小侵害的措施。若是有其他可供替代的、对公民损害更小的措施存在,就不能通过必要性原则的检验。设置人脸识别门禁并非物业公司的唯一选择,甚至称不上是完全必要的选择。传统的电子门禁或出入登记制度同样能达到维护小区安宁的目的,且上述方法无需收集小区居民的敏感信息,对公民权利的损害远小于脸识别门禁。因此,物业公司设置人脸识别门禁的行为无法通过必要性原则审查。

(3)相称性原则检验。应当说明,前述的必要性原则检验得出的结论并不是无懈可击的,如居民的电子钥匙存在被盗配的可能,而人脸门禁却几乎不存在“盗刷”的可能性。因此为稳妥起见,应进一步运用相称性原则继续进行检验。

相称性原则指公权力机关采取的措施强度要与其意欲达成的效果比例相称。从效果实现的可能性来看,设置人脸识别门禁是否会立竿见影地改善小区治安环境有待商榷。人脸识别仅仅是解决了小区门禁的识别问题,却无法解决“禁”的问题,不法分子仍可能通过跟随进入、翻院墙等方式进小区。相比之下,该手段对小区居民权利的侵犯远超其可能的收益:人脸信息是敏感个人信息,且不像密码那样可以随便更改,一旦被盗用,除整容外几乎没有有效的修改方式。而在当前政府尚未过多介入商用人脸识别的大环境下,物业公司对收集到的居民人脸信息几乎可以说是任意处置,这其中存在着巨大的安全隐患。因此,设置人脸识别门禁牺牲了位阶较高的权利,但其达到的利益却并不大,不能通过相称性原则的检验。

四、结论与建议

从以上分析可知:物业公司处理居民人脸信息的行为不符合比例原则,不符合“遵循合法、正当、必要原则为维护公共安全所必需、具有特定的目的和充分的必要性”的要求,其无权处理居民人脸信息。

对于违规处理人脸信息的物业公司,小区居民可依据《民法典》人格权编中的相关规定提起侵权之诉,但民事诉讼所耗时间过长,无法解决“不刷脸不让进小区”的燃眉之急。相比之下,用行政手段进行规制在时效性上会起到更好效果:根据《草案》的规定,履行个人信息保护职责的部门可责令违反规定处理个人信息的单位或个人改正,没收违法所得,给予警告等。但在地方层面上,“履行个人信息保护职责的部门”具体所指仍不明确,《草案》中对此仅规定“县级以上地方人民政府有关部门的个人信息保护和监督管理职责,按照国家有关规定确定”。因此,在《个人信息保护法》正式出台之后,有必要明确履行个人信息保护职责的部门,加强法律规制的可操作性。