小區(qū)物業(yè)是否有權收集居民人臉信息
——以比例原則為視角

姜鵬圣昕

北方工業(yè)大學文法學院 北京 100144

一、問題的提出

隨著人臉識別技術的成熟,一些物業(yè)公司開始選擇以人臉識別裝置代替居民小區(qū)的傳統門禁。然而這一過程卻伴隨著諸多亂象:一方面,部分物業(yè)公司存在強行推行人臉識別門禁的行為,若居民不同意刷臉則無法進出小區(qū);另一方面,物業(yè)公司對收集到的人臉信息怎樣儲存與使用大多無法給出明確說明。面對處理人臉信息過程中可能存在的安全風險,不同學者從宏觀層面給出了相似的建議,如加強行業(yè)自律[1]、堅持合理使用原則[2]、以知情同意原則為框架[3]等。但在微觀層面上,小區(qū)物業(yè)是否有權處理人臉信息這一具體問題仍有很大爭議。在此背景下,有必要對小區(qū)物業(yè)處理人臉信息的合法性予以探討。

二、解決思路

人臉信息在性質上屬于特殊的個人信息。我國涉及個人信息保護的法律主要有《民法典》人格權編以及正在制定中的《個人信息保護法》。《民法典》第一千零三十五條規(guī)定“處理個人信息的,應當遵循合法、正當、必要原則”,《個人信息保護法(草案)》第二十七條規(guī)定“在公共場所安裝圖像采集、個人身份識別設備,應當為維護公共安全所必需”。同時,人臉信息還屬于敏感個人信息中的個人生物特征,《草案》第二十九條對其進行了特別保護:“個人信息處理者具有特定的目的和充分的必要性,方可處理敏感個人信息”。可見,判斷物業(yè)是否有權處理人臉信息的關鍵在于分析其行為是否遵循了合法、正當、必要原則,是否為維護公共安全所必需,是否具有特定的目的和充分的必要性。然而,以上三個要求仍較為籠統,難以作出直接判斷。而行政法領域的比例原則有較強可適用性,具體使用步驟也較為清晰,可以嘗試將比例原則用于該情景,對物業(yè)處理人臉信息行為的合法性作出判斷。

三、以比例原則進行驗證

1、比例原則應用于該場景的合理性。作為公法領域的基本原則,比例原則應用于私法的可行性越來越受到學者們的重視。有的學者認為比例原則可以在民法中以個別規(guī)則條款的形式存在[4];也有的學者進一步認為比例原則可上升為民法的一項基本原則[5];還有的學者斷言“比例原則是任何理性行為的指導框架,具有普適性”[6]。

本文認為,對物業(yè)處理人臉信息合法性的探討,屬于該理論的應用情境之一。作為起源于公法領域的法律原則,比例原則在涉及如下情景時可以運用到私法領域:一是當國家公權力對民事主體意思自治形成不當干預時,二是強勢私主體對民事主體意思自治形成不當干預時。而物業(yè)公司處理居民人臉信息的行為恰好屬于第二類情景:物業(yè)公司一方利用優(yōu)勢地位迫使小區(qū)居民提供個人信息,居民一方卻無法對物業(yè)公司如何使用這些信息進行有效監(jiān)督,雙方的平等主體地位僅徒有其表,物業(yè)公司作為強勢私主體不當干預了小區(qū)居民的意思自治。因此,將比例原則用于該場景是合適的。

2、具體驗證:

(1)適當性原則檢驗。適當性原則指公權力的行使必須是為了達成法定的目的。在本文所論述的情景中,小區(qū)物業(yè)設置人臉識別門禁所欲達到的目的是維護小區(qū)安寧,預防違法犯罪。通過設置人臉識別門禁,小區(qū)物業(yè)可防止除小區(qū)居民以外的無關人員隨意進出小區(qū),從而維護居民小區(qū)公共安全。因此,設置人臉識別門禁與維護小區(qū)安寧的目的是一致的,其可以通過適當性原則的檢驗。

(2)必要性原則檢驗。必要性原則指公權力的行使必須選擇給公民帶來最小侵害的措施。若是有其他可供替代的、對公民損害更小的措施存在,就不能通過必要性原則的檢驗。設置人臉識別門禁并非物業(yè)公司的唯一選擇,甚至稱不上是完全必要的選擇。傳統的電子門禁或出入登記制度同樣能達到維護小區(qū)安寧的目的,且上述方法無需收集小區(qū)居民的敏感信息,對公民權利的損害遠小于臉識別門禁。因此,物業(yè)公司設置人臉識別門禁的行為無法通過必要性原則審查。

(3)相稱性原則檢驗。應當說明,前述的必要性原則檢驗得出的結論并不是無懈可擊的,如居民的電子鑰匙存在被盜配的可能,而人臉門禁卻幾乎不存在“盜刷”的可能性。因此為穩(wěn)妥起見,應進一步運用相稱性原則繼續(xù)進行檢驗。

相稱性原則指公權力機關采取的措施強度要與其意欲達成的效果比例相稱。從效果實現的可能性來看,設置人臉識別門禁是否會立竿見影地改善小區(qū)治安環(huán)境有待商榷。人臉識別僅僅是解決了小區(qū)門禁的識別問題,卻無法解決“禁”的問題,不法分子仍可能通過跟隨進入、翻院墻等方式進小區(qū)。相比之下,該手段對小區(qū)居民權利的侵犯遠超其可能的收益:人臉信息是敏感個人信息,且不像密碼那樣可以隨便更改,一旦被盜用,除整容外幾乎沒有有效的修改方式。而在當前政府尚未過多介入商用人臉識別的大環(huán)境下,物業(yè)公司對收集到的居民人臉信息幾乎可以說是任意處置,這其中存在著巨大的安全隱患。因此,設置人臉識別門禁犧牲了位階較高的權利,但其達到的利益卻并不大,不能通過相稱性原則的檢驗。

四、結論與建議

從以上分析可知:物業(yè)公司處理居民人臉信息的行為不符合比例原則,不符合“遵循合法、正當、必要原則為維護公共安全所必需、具有特定的目的和充分的必要性”的要求,其無權處理居民人臉信息。

對于違規(guī)處理人臉信息的物業(yè)公司,小區(qū)居民可依據《民法典》人格權編中的相關規(guī)定提起侵權之訴,但民事訴訟所耗時間過長,無法解決“不刷臉不讓進小區(qū)”的燃眉之急。相比之下,用行政手段進行規(guī)制在時效性上會起到更好效果:根據《草案》的規(guī)定,履行個人信息保護職責的部門可責令違反規(guī)定處理個人信息的單位或個人改正,沒收違法所得,給予警告等。但在地方層面上,“履行個人信息保護職責的部門”具體所指仍不明確,《草案》中對此僅規(guī)定“縣級以上地方人民政府有關部門的個人信息保護和監(jiān)督管理職責,按照國家有關規(guī)定確定”。因此,在《個人信息保護法》正式出臺之后,有必要明確履行個人信息保護職責的部門,加強法律規(guī)制的可操作性。