华中师范大学法律服务中心关于我校学生社区门禁应用人脸识别技术的法律分析报告

一、人脸信息的法律属性

  人脸识别技术是一种依据人的面部特征自动进行身份识别的一种生物识别的技术，又称面像识别、人像识别、面部识别等。人脸识别技术是利用摄像机或摄像头采集含有人脸的图像或者视频流，并自动在图像中检测和跟踪人脸，进而对检测的人脸图像进行一系列的相关应用操作，包括人脸采集、人脸检测、人脸图像预处理、人脸特征提取以及匹配与识别等步骤。

  人脸具有独特性、直接识别性、方便性、不可更改性、变化性、易采集性、不可匿名性、多维性等特征。作为人脸识别技术的直接产物，人脸识别信息并不是普通的信息，而属于个人信息。《中华人民共和国网络安全法》第76条规定：“个人信息是指以电子或者其他方式记录的能够单独或者与其他信息结合识别自然人个人身份的各种信息，包括但不限于自然人的姓名、出生日期、身份证件号码、个人生物识别信息、住址、电话号码等。”人脸识别技术中的人脸信息能够与其他信息结合而具有极高的可识别性，可以归入个人信息中的个人生物识别信息，且因其可以准确识别个人并与个人基本信息相结合，属于个人敏感信息。揭开技术的神秘“面纱”，我校在学生社区安装人脸识别门禁系统，其实质是实施了收集并存储广大学生个人敏感信息的行为。

二、社区门禁人脸识别存在的法律风险

  第一，从人脸信息的收集程序看，目前我校学生宿舍门禁继续使用人脸识别技术正当性阙如。本学期伊始，学校为应对学生返校高峰，维护疫情防控秩序，确保校内生活、学习平稳运行，全面更新了社区门禁系统，由人脸识别系统代替刷卡式门禁，其间虽未征求学生同意，但这是为应对重大公共卫生事件，保护广大学生生命健康和财产安全所考虑，符合《中华人民共和国个人信息保护法（草案）》第13条第5项之规定，具有正当性。然而，随着武汉市疫情防控的有效治理，华师校园也逐渐由封闭式管理向开放、半开放状态转变。2020年11月2日，我校防疫指挥部在保卫处官网发布《关于学校门禁管理方式的通知》，《通知》规定了学校教职工、学生可通过刷卡自由通行校园门禁，这也意味着校园逐步走向“解封”。那么，随着疫情防控的常态化，原先推定为学生因疫情防控的紧急需要而默示同意的意思表示和信息授权范围已经不能再适用当下阶段，学生对收集人脸信息的默示授权并不能当然的延伸到现在以及之后时期，否则将超出原有“同意”的授权范围。此外，保卫处《通知》还显示，自愿录入人脸信息的学生仍可通过人脸识别的方式通行门禁，但截至目前，我们仍未收到疫情防控部门或保卫处征求学生是否同意的表示，亦未签署任何有关个人信息授权使用的文件。由此看来，在实际情况发生重大变更以及未采取任何补正措施的情况下，学校仍使用人脸识别系统门禁且该方式为学生进入宿舍的唯一途径时，该行为已经涉嫌侵犯学生同意权，违背了《信息安全技术个人信息安全规范》《中华人民共和国个人信息保护法（草案）》第13条第1项相关规定，其合法性、正当性亦不复存在。

  第二，从人脸信息的存储环节上看，学校未尽到合理告知义务，涉嫌侵犯学生知情权。根据《民法典》第111条的规定，自然人的个人信息受法律保护。人脸信息作为个人信息的一种，在相关主体收集了其信息之后，对于如何存储、如何使用等问题都应该及时、详细地告知，否则将是对学生知情权的侵害。据初步了解，目前我校师生的人脸识别信息数据由第三方技术公司进行存储管理，但作为人脸信息的直接提供者和享有者，学生对第三方技术公司的相关资质、具体名称、地址、法定代表人等公司基本信息一无所知，对技术公司如何有效管理信息数据、是否采取严格保密措施等亦毫不知情，在这样的情况下，学校跃过学生单方面将人脸信息数据委托技术公司存储、管理、运营，涉嫌侵犯学生的知情权。

  第三，目前宿舍所安装的人脸识别存在技术漏洞，增加了校园风险。由于人脸识别技术自身固有缺陷，人脸识别不准确的技术漏洞将会造成一定的校园安全风险。人脸识别不准确是指他人可以直接以其他人的身份通过人脸识别闸口而进入学校或宿舍楼。据一些同学的反映，其在其戴口罩的情况下，可以以其他同学的身份进入宿舍楼，这无疑给学生健康、财产安全带来风险，不利于平安校园的建设。

  第四，人脸信息泄露可引发违法犯罪活动，带来严重后果。信息存储比信息收集更为重要，因为大量的人脸信息在存储环节会汇聚成“信息洪流”，一旦技术安全的“大坝”出现溃堤，轻则导致个人信息大量泄露，重则引发一系列违法犯罪活动，造成无法估量的后果，这也是大数据时代犯罪所具备的鲜明特征。目前，现实中已经有大量利用人脸信息实施侵权或犯罪活动的真实案例。如淘宝上某些商家以非法牟利为目的，大肆售卖人脸照片，侵犯了权利人的隐私权、肖像权，严重可构成侵犯公民个人信息罪；一些不法分子获取人脸信息后进而实施盗窃、诈骗等犯罪活动，如福建省厦门市银行APP人脸识别系统被“00后”通过抓包技术攻破；犯罪分子还会通过深度仿造技（Deepfake）将人脸“换脸”从而完成犯罪活动。如利用人脸信息“移花接木”，使之出现在淫秽视频中，而后以此为要挟行实施敲诈勒索、冒充蚂蚁金服刷脸支付服务商，致使他人受骗造成财产损失等。如此种种，不胜枚举，不可不察。

三、法律建议与完善对策

  根据目前疫情防控最新态势，鉴于人脸识别在现实生活中存在巨大安全隐患，本着为学校发展建言献策的目的，我们提出以下几点建议，供学校相关领导考虑，并真诚地希望能有所裨益：

首先，我们建议，在条件允许的情况下，人脸识别门禁系统应尽快取消。虽然疫情防控特殊时期人脸识别技术的应用有其必要性，但随着疫情防控趋于缓和，加之这种非常态化措施存在的巨大安全隐患，应早日争取取消人脸识别门禁，并销毁相关人脸数据。目前体温测量与“刷卡”门禁形式完全可与人脸识别实现效果上的等同，无须耗费更大成本，承担巨大风险而继续采用人脸识别技术。

  其次，如若学校在综合考虑各方面因素后仍认为现阶段取消人脸识别门禁的时机并不成熟，那么建议学校履行相应告知义务，保障学生知情权，避免不必要的法律纠纷。学校可以选择在保卫处官网进行相关信息公示，向广大学生公示第三方技术公司的名称、地址、资质、法定代表人、联系电话等基础信息以及为确保信息安全而采取的人员管理、脱敏处理、安保等级、技术措施等情况。

  最后，学校也应严格要求技术公司采取安保措施，确保数据信息存储安全，避免因数据泄露陷入各项纠纷。