|
“任何公共场所不得强制将‘人脸识别’作为唯一的门禁出入方式，这不仅侵害了不特定人的个人信息权益，同样损害了个人信息保护领域的社会公共利益。”近日，上海市虹口区人民检察院以检察建议促行政监管，监督公寓整改，保护公民“人脸”信息安全。 随着《个人信息保护法》《上海市数据条例》等法律法规颁布实施，保护公民个人信息的法律网正在逐渐织密，具体操作落地过程中还存在哪些堵点？又该如何破解？记者展开调查。 “为什么我一定要‘刷脸’才能进公寓？”“我还需要提供半身正面照等信息，这些人脸信息会不会被泄露出去……”2022年底，上海市虹口区一家品牌连锁长租公寓住户杨女士不同意录入人脸信息，她希望公寓给予门禁卡或其他方式，却遭到拒绝。 公寓工作人员解释：“安装人脸识别门禁系统是为了加强安全管理，更好落实治安防治要求。我们也是为了避免外来人员随意进出公寓，可以最大限度地保障住户的人身和财产安全。” 《上海市数据条例》明确规定，在本市商场、超市、公园、景区、公共文化体育场馆、宾馆等公共场所，以及居住小区、商务楼宇等区域，不得以图像采集、个人身份识别技术作为出入该场所或者区域的唯一验证方式。 “人脸信息具有唯一性和不可更改性，任何公共场所不得强制将‘人脸识别’作为唯一的门禁出入方式，否则不仅侵害了不特定人的个人信息权益，同样损害了个人信息保护领域的社会公共利益。”虹口区检察院公益检察室主任刘庆告诉记者。 得知线索后，虹口区检察院公益检察官调查得知，杨女士已入住该公寓一段时间，后公寓管理方安装新的门禁系统并通知其录入人脸信息。随后，检察官多次来到杨女士所在公寓开展调查核实，发现确实存在将人脸识别技术作为出入公寓的唯一验证方式的情况。 “调查中，我们发现这是一家品牌连锁公寓，其下属另一处公寓，同样存在类似的情况。”刘庆说。 那么，长租公寓在采集入住租客人脸信息时，是否以显著方式告知租客相关事项？对录入的个人信息又是否采取了必要的安全保障措施？ 检察官在调查中发现，该公寓管理方并没有以显著方式准确、完整告知租客处理敏感个人信息应当告知的法定事项，也并未采取保障信息安全相关的必要措施。 “管理门禁和保存数十万条人脸信息的电脑及主机都没有进行加密处理，门禁系统的账号密码直接保存在电脑中，直接点击就能登录……”“系统管理区域就位于大堂出入口旁，公寓出入人员较多，信息泄露的风险性较高。”检察官同时发现，门禁系统中还长期存储有退租人员、外卖配送员、访客等人员的人脸信息。 杨女士遇到的情况并非个案。此前，上海奉贤一小区业主范先生就因为拒绝“刷脸”，进出自家小区成了件难事。多次协商无果后，范先生将物业公司告上法庭，要求提供除人脸识别外的其他进出方式。最终，经法院主持调解，双方达成协议，物业公司向范先生提供其他门禁系统，保障他自由进出小区。 “但与小区不同，长租公寓是近年来出现的新业态，租户并非业主，负责运营管理的也并非物业公司。”刘庆坦言，因此，行政监管部门对此新业态中涉及的人脸识别信息保护问题，在法律法规和监管上的认识理解不尽相同。 “根据《数据安全法》《上海市数据条例》规定，本市实行数据工作与业务工作协同管理，主管部门承担本行业、本领域数据安全监管职责。”公益诉讼检察官通过研判发现，根据公开信息，上述品牌长租公寓使用性质均为租赁住宅。“既然是租赁住宅，那么住房租赁行业主管部门应当承担住房租赁行业数据安全监管职责。” 经过多次走访和磋商，虹口区检察院于今年2月向住房租赁主管部门制发检察建议，建议该部门依法对两处公寓将人脸识别门禁作为唯一验证出入方式的行为督促整改，增加其他可选验证方式，并督促住房租赁企业履行处理个人敏感信息的法定告知义务和建立健全数据安全管理制度。 收到检察建议后，行政机关立即督促落实整改。 日前，虹口公益检察官联合该院“技术调查官”、“益心为公”志愿者以及属地居委工作人员现场回访。 回访中，检察官发现，上述公寓已采取了一系列整改措施：增设24小时保安人工服务、IC门禁卡等非生物识别验证出入方式；在微信管理群中发布《入住告知书》、在大堂放置《入住贴士》、在人脸识别门禁处张贴提示标识等，告知新老客户处理敏感个人信息相关的法定事项；制定《客户信息保密管理办法》、与工作人员签订保密承诺书、对工作人员进行保密培训、电脑设置开机密码等，完善数据安全内部管理制度和操作规程。 “但是回访中，我们发现在人脸识别门禁系统中仍存储有大量人脸信息，如退租人员、外卖人员、访客等，且电脑内安装有远程协助软件并接入互联网。”刘庆告诉记者，经监督相关行政部门进一步督促落实整改，目前，公寓已将门禁系统电脑改为内网运行，删除远程协助软件，并建立人脸信息定期删除制度。 “任何变相、强迫收集人脸信息，泄露公民个人信息的行为，都是违法的。”检察官强调。 近年来，人脸识别技术不断取得突破，由此带来的个人信息安全问题也日益凸显。“有些门店在未经同意的情况下采集消费者人脸信息并进行分析，进而采取不同营销策略；有些物业服务企业强制将人脸识别作为业主出入小区的唯一验证方式；有些线上平台、应用软件强制索取用户的人脸信息……” “检察机关通过公益诉讼对人脸识别设备不规范使用问题进行法律监督，是保护公民个人信息安全、维护公共利益的重要方式。”上海社科院法学研究所教授彭辉表示支持。 “《个人信息保护法》《数据安全法》等法律的颁布与实施，对个人信息安全保护发展发挥了重要作用。”在第十三届全国政协委员、上海市信息安全协会名誉会长、第五空间信息科技研究院院长谈剑锋看来，法律的实施也让全社会对个人信息安全保护的意识越来越强，“长租公寓的这一案例就是很好的体现。” 记者了解到，身为全国政协委员期间，谈剑锋曾连续五年递交提案关注人脸识别数据安全。 “在海量的数据中，有些关键数据，如个人生物特征数据（人脸、指纹、DNA等），具有唯一性和不可再生性特征，一旦被窃取，无法追回并变更，对个人隐私保护将带来极大的、不可逆的风险。”谈剑锋说。 《最高人民法院关于审理使用人脸识别技术处理个人信息相关民事案件适用法律若干问题的规定》中明确规定，物业服务企业或者其他建筑物管理人以人脸识别作为业主或者物业使用人出入物业服务区域的唯一验证方式，不同意的业主或者物业使用人请求其提供其他合理验证方式的，人民法院依法予以支持。 谈剑锋说，尽管法律颁布后有向好的变化，但仍存在一些实际操作层面上的问题。“强制性‘刷脸’情况仍然存在。”为此，谈剑锋建议，相关部门需进一步加强数据治理和数据监管，比如人脸识别等关键数据如何采集、存储，如何使用、销毁等，都应该进一步予以细化明确，切断风险源头。 在虹口检察院办理的上述案件中，尽管该品牌公寓在监督下已经整改，但个案之外，如何更好加强数据监管，规范人脸识别技术的应用？ “在公共场所安装人脸识别系统，应从事前备案上加强管理。”参与案件办理的虹口检察院公益检察室检察官助理申腾认为，要从源头上加强防范。 彭辉注意到，日前，国家网信办公布《人脸识别技术应用安全管理规定（试行）（征求意见稿）》。 “尽管《个人信息保护法》已对人脸识别技术应用作出规范，但就实际操作层面而言，仍不够具体。而此次《征求意见稿》中，从人脸识别技术应用的法定条件、具体场景、安全保护等三大方面，对利用人脸识别技术处理人脸信息以及提供人脸识别技术产品或者服务作出了全方位的、具体的规范。”彭辉说。 比如，《征求意见稿》明确，物业服务企业等建筑物管理人不得将使用人脸识别技术验证个人身份作为出入物业管理区域的唯一方式，个人不同意通过人脸信息进行身份验证的，物业服务企业等建筑物管理人应当提供其他合理、便捷的身份验证方式。 “值得注意的是，这里不仅仅是物业服务企业，还包括建筑物管理人，长租公寓的运营方就属此范畴。”彭辉说。 《征求意见稿》还明确，在公共场所使用人脸识别技术，或者存储超过1万人人脸信息的人脸识别技术使用者，应当在30个工作日内向所属地市级以上网信部门备案。 “发展数字经济也好，大数据的应用也好，都应该坚持‘以人为本’。”彭辉建议，数字技术应更好地在服务改善民生上下功夫，要强化对不可再生的人脸等关键数据在采集、存储和使用上的严格分类分级监管和规范，时刻警惕数据泄露可能造成的社会风险。“对于企业和网络平台而言，则要加强自律、谨守法律红线。”彭辉说。  
|
