能否心存尊重、合法合规地利用个人信息权益,将是人脸识别企业度过生死劫的关键。
编者按:本文来自微信公众号“律星说”(ID:LegalStar),作者:逸凤 方荣杰,36氪经授权发布。
为了更多、更快、更容易地赚钱,很多企业已经在无视或者不知道合规要求的情况下,越过法律法规的红线,近乎疯狂地侵犯着个人信息权益。
当你走进宝马4S店、科勒卫浴以及很多没有被315曝光的门店时,很有可能正有大量摄像头在抓取你的人脸信息,并将你的照片、到店时间、到店次数、交流信息存在商家的电脑系统中,共享给其他所有门店,从而让各个门店更好地赚到你的钱。
甚至当你带着一身疲惫回到住宅小区时,你的人脸信息或许也正在被物业的摄像头默默地抓取和收集。
有人会说,这是为了更好地为你提供“服务”、保障你的“安全”。但问题在于,这些“服务”和“保障”就像在你等红绿灯时跑上来强行给你擦车并要钱的人一样,他们并不在意、也不想获得你的同意,只在乎是否能掏出你口袋里的钱。在违法违规收集人脸信息的商家面前,你并不是一个“服务的对象”,而是一头“待宰的羔羊”。
有些商家也许不关心也不想知道,他们是否已经跨越了法律法规的红线,走在了违法违规的道路上。但我们仍然相信有大量商家和企业想在合法合规的范围内利用人脸识别技术提供更好的服务。
同时,我们也相信有大量的个人希望知道自己的个人信息权益受到了什么样的保护,企业和商家应当符合怎样的合规要求。
因此,我们将在下文介绍侵害人脸信息等个人信息权益可能面临的法律后果,以及企业在收集人脸信息的阶段应做到的告知与同意方面的合规要求。

一、侵害人脸信息等个人信息权益可能面临的法律后果

人脸信息是个人敏感信息,一旦泄露、非法提供或滥用可能危害人身和财产安全,极易导致个人名誉、身心健康受到损害或歧视性待遇。如果企业擅自收集和处理人脸信息,有可能会承担民事、行政乃至刑事方面的法律责任。

(一)刑事责任

在刑事处罚层面,如果企业违反国家有关规定,窃取或以其他方法非法获取公民个人信息,将可能构成《刑法》第二百五十三条之一规定的“侵犯公民个人信息罪”。
触犯“侵犯公民个人信息罪”,情节严重的,处三年以下有期徒刑或者拘役,并处或者单处罚金;情节特别严重的,处三年以上七年以下有期徒刑,并处罚金。
以下情形可能会被认定为“情节严重”:
1、非法获取、出售或者提供公民个人信息5000条以上的;
2、违法所得5000元以上的;
3、将在提供服务过程中获得的公民个人信息出售或者提供给他人,数量或者数额达到前两项规定标准一半以上的。
以下情形可能会被认定为“情节特别严重”:
1、造成重大经济损失或者恶劣社会影响的;
2、数量或者数额达到“情节严重”相应标准十倍以上的。
单位犯“侵犯公民个人信息罪”的,对直接负责的主管人员和其他直接责任人员参照上述标准定罪处罚,并对单位判处罚金。
(以上内容参见《刑法》第二百五十三条之一,《关于办理侵犯公民个人信息刑事案件适用法律若干问题的解释》第五条)
根据今年315晚会的内容,苏州万店掌等未经个人同意就收集人脸信息的平台,
已经拥有了上亿人脸数据,并且这类平台经315晚会曝光后已造成了恶劣的社会影响,就有一定的可能性会面临刑事处罚。

(二)行政责任

在行政处罚层面,如果企业未经同意就处理个人信息,侵害消费者的个人信息权益,可能会面临相关部门给予的警告、责令改正、罚款、没收违法所得、责令停业整顿、吊销营业执照等行政处罚;构成违反治安管理行为的,依法给予治安管理处罚。(以上内容参见《全国人大常务委员会关于加强网络信息保护的决定》第十一条,《消费者权益保护法》第五十六条)
行政处罚虽然看起来没有刑事处罚那么严厉,但是对于利用人脸识别技术的企业,尤其是有上市计划的企业而言,一旦遭受了行政处罚,可能会给未来的上市造成巨大障碍。因此相关企业和投资人必须给予足够重视。

(三)民事责任

在民事责任层面,如果企业未获同意就处理个人信息,侵害个人权益的,其将可能需要承担赔偿损失、停止侵害、恢复名誉、消除影响、赔礼道歉等民事责任。(以上内容参见《消费者权益保护法》第五十条)