景區有權采集游客的人臉信息嗎

涂思敏

檢察官發現無論是現場購票的還是通過自助購票機上，人臉采集都被設為購票的必經程序，不進行人臉采集就無法購票

3月，志愿者再次來到尋夢古鎮景區買票入園，他們發現入園購票可以自由選擇多種方式：刷臉入園、憑借身份證入園、網絡購票的還可以憑二維碼。志愿者很快入園并愉快走完全程。不過半年前，該景區入園環節卻沒這么多的“選擇權”。

2021年國慶假期，市民陳先生在尋夢古鎮景區買票時被要求需刷臉錄入信息，陳先生認為是否刷臉，消費者應有自由選擇權。他有權拒絕刷臉，但景區工作人員堅持：“不刷臉就進不了景區。”

陳先生認為，景區的這種行為侵害了自己的權益，便通過“益心為公檢察云平臺”進行了舉報，這個渠道是檢察院面向全社會征集公益訴訟案件線索的平臺，他希望借助檢察院公益訴訟的力量來督促整改景區強制錄臉的違法行為，維護自己的合法權益。

景區強制要求游客錄入人臉信息

浙江省湖州市檢察院在收到該線索后，決定先進行“暗訪”，檢察官和志愿者以普通游客的身份，帶著攝像機和錄音設備走完了從買票到游園的全流程。

尋夢古鎮景區有現場購票和網上購票兩種方式。檢察官發現無論是現場購票的還是通過自助購票機上，人臉采集都被設為購票的必經程序，不進行人臉采集就無法購票。檢察官還了解到，尋夢古鎮景區由尋夢古鎮旅游發展有限公司（以下簡稱尋夢公司）管理，尋夢公司委托了廣東深圳的一家技術公司對人臉識別技術進行全方位管理。

2021 年10 月，尋夢古鎮景區售票窗口的電腦上仍可以查看到近一個月內進入景區游客的人臉信息。（來源：受訪者供圖）

人臉信息是重要的個人生物識別信息，包括基因、指紋、聲紋、掌紋、耳郭、虹膜、面目特征等，因具有唯一性、不可更改性，確保了其認證的安全可靠，但生物識別信息也因此與個人財產、人格權益聯系緊密。個人信息保護法第28條規定，包括人臉識別信息的生物識別信息屬于敏感個人信息，一旦泄露或者非法使用，容易導致自然人的人格尊嚴受到侵害或者人身、財產安全受到危害，損害社會公共利益。那么，尋夢古鎮景區的人臉識別措施是否合法呢？

法律如何規范采集人臉信息行為

景區采集人臉信息可能涉及三方面的問題：一是哪些主體有權力進行人臉信息的采集;二是被采集人臉信息者的權益應該如何保障;三是采集完畢后的人臉識別信息應該如何處理與保存。

2021年11月1日實施的個人信息保護法對這三方面問題作了明確規定。

個人信息保護法第13條規定，只有在訂立履行勞動合同的必需、法定職責的必需、應對突發的公共衛生事件、緊急情況下為保護自然人的生命健康和財產安全的必需、為公共利益實施新聞報道和輿論監督的情況下，才能在合理范圍內處理個人信息。除此外，均需取得個人的同意。

湖州市檢察院第五檢察部副主任姚金玨告訴記者，尋夢古鎮這類景區并沒有對游客的人臉信息進行強制收集的權力，其將刷臉納入買票必需流程的行為涉嫌違法。

姚金玨說，個人信息保護法嚴格保護個人敏感信息的規定，強制采集人臉信息并非維護公共安全所必需，如需采集應對被采集者依法履行告知義務。履行合法合規的人臉信息收集告知義務應包括對刷臉后所獲取的公民個人信息的處理目的、方式、范圍、保存期限、后續應如何處理刷臉者信息等方面予以告知。然而，尋夢古鎮的景區購票中心、景區主入口等區域均沒有針對游客刷臉入園必要性的相關告知，涉嫌違法。

姚金玨說，刷臉涉及人臉信息采集的三個環節：收集、使用、儲存。而“儲存”環節最容易被忽視，成為信息監管的真空地帶。根據個人信息保護法的規定，個人信息處理者應當對其信息處理活動負責，并采取必要措施保障所處理的個人信息的安全。除法律另有規定外，個人信息的保存期限應當實現處理目的所必要的最短時間。個人信息處理者應當定期對其處理個人信息遵守法律的情況進行合規審計。所以，景區對收集的人臉信息理應在游客門票過期后自動刪除。

檢察機關發現，技術公司與尋夢公司簽訂的服務合同中，竟沒有一條是關于采集到的人臉信息后續應該如何管理和儲存的。對個人敏感信息的管理和儲存的相關法律規定，技術公司工作人員卻表示“不太清楚，只要服務對象的景區沒提出要處理信息，他們就不會刪除”。

事實上，2020年7月至2021年的16個月里，該景區收集的120余萬條游客的人臉信息都被儲存在技術公司的云盤服務器里，未被刪除。而景區售票窗口的電腦上仍可以查看到近一個月內進入景區游客的人臉信息。這些行為是對游客知情權、選擇權的侵害。

啟動民事公益訴訟規范人臉識別

那么，下一步該如何對尋夢公司進行督促整改，保障游客的合法權益呢？這不僅需要對尋夢公司的違法行為進行糾正，更需要從長遠方向上對尋夢公司開展“企業合規”的建設。

2021年11月3日至9日，浙江省檢察院、湖州市檢察院及相關區檢察院三級院開展調查取證工作。11月12日，檢察機關同當地旅游度假區管委會、尋夢公司等景區運營主體，同時邀請浙江省消保委相關工作人員和法律專家，就涉案人臉信息被侵害問題召開磋商會。11月18日，檢察機關根據磋商情況，向尋夢公司制發民事公益訴訟檢察建議，督促其積極整改，確保合規運營。

姚金玨說：“在人臉識別案件里，制發民事公益訴訟檢察建議書還屬首例。而這也是檢察院公益訴訟的一種探索，通過先行制發建議書的形式給企業一段時間去履行其主體責任，如果期限已到還未履行，便可以直接進行民事公益訴訟。這種自發性的建議其實對于督促企業履職有更重大的意義。”

2021年11月24日，尋夢公司根據檢察建議書中提出的問題進行了整改。第一，他們在售票窗口、景區主出入口、人臉識別道閘前等醒目位置采用了張貼告示、播放滾動音頻等形式向游客告知采集人臉信息的相關內容。第二，景區管理處修改了游客入園規則，根據游客意愿實現了多元化入園的方式。現在，游客可通過自行選擇刷臉入園、綁定身份證后憑借身份證入園、網絡購票憑身份證或二維碼等多種方式入園游玩。同時，在當地人大代表和人民監督員的見證下，尋夢公司前期采集、儲存游客的120萬余條人臉信息已刪除，并根據游客入園的合理設置了人臉數據刪除的期限。另外，尋夢古鎮也在積極尋找企業合規的專家團隊，并向檢察院尋求企業合規體系建設上的法律幫助。

全程指導該案辦理的最高人民檢察院第八檢察廳主辦檢察官邱景輝特別指出，在涉及互聯網、人工智能等新技術應用的檢察監督中應當鼓勵科技向善。防止“一刀切”，把人臉技術“妖魔化”。2021年8月1日起施行的《最高人民法院關于審理使用人臉識別技術處理個人信息相關民事案件適用法律若干問題的規定》第14條，將信息處理者處理人臉信息的違法行為納入民事公益訴訟案件范圍。2021年11月1日起施行的信息保護法第70條，授權檢察機關對個人信息處理者違法處理個人信息，侵害眾多個人的權益的行為提起公益訴訟。這都體現了對人臉識別信息從嚴保護的立法、司法導向。另外，國家鼓勵智慧旅游景區建設，需要為人臉識別技術留有合理應用空間。浙江檢察機關很好地統籌發展和安全，不追求提起首例人臉識別民事公益訴訟的宣傳效應，而致力于通過檢察建議促進企業合規，且協同網信部門推動完善行業規則，體現了檢察公益訴訟以“我管”促“都管”的能動履職，實現了雙贏多贏共贏，值得復制推廣。84003780-4469-4046-ABA3-481582E11380