首页科技快讯违法进行人脸识别有什么法律后果？315晚会已打响第一枪

违法进行人脸识别有什么法律后果？315晚会已打响第一枪

来源：晰数塔互联网快讯时间：2021年03月16日 15:15

编者按：本文来自微信公众号“律星说”（ID:LegalStar），作者：逸凤方荣杰，36氪经授权发布。

为了更多、更快、更容易地赚钱，很多企业已经在无视或者不知道合规要求的情况下，越过法律法规的红线，近乎疯狂地侵犯着个人信息权益。

当你走进宝马4S店、科勒卫浴以及很多没有被315曝光的门店时，很有可能正有大量摄像头在抓取你的人脸信息，并将你的照片、到店时间、到店次数、交流信息存在商家的电脑系统中，共享给其他所有门店，从而让各个门店更好地赚到你的钱。

甚至当你带着一身疲惫回到住宅小区时，你的人脸信息或许也正在被物业的摄像头默默地抓取和收集。

有人会说，这是为了更好地为你提供“服务”、保障你的“安全”。但问题在于，这些“服务”和“保障”就像在你等红绿灯时跑上来强行给你擦车并要钱的人一样，他们并不在意、也不想获得你的同意，只在乎是否能掏出你口袋里的钱。在违法违规收集人脸信息的商家面前，你并不是一个“服务的对象”，而是一头“待宰的羔羊”。

有些商家也许不关心也不想知道，他们是否已经跨越了法律法规的红线，走在了违法违规的道路上。但我们仍然相信有大量商家和企业想在合法合规的范围内利用人脸识别技术提供更好的服务。

同时，我们也相信有大量的个人希望知道自己的个人信息权益受到了什么样的保护，企业和商家应当符合怎样的合规要求。

因此，我们将在下文介绍侵害人脸信息等个人信息权益可能面临的法律后果，以及企业在收集人脸信息的阶段应做到的告知与同意方面的合规要求。

一、侵害人脸信息等个人信息权益可能面临的法律后果

人脸信息是个人敏感信息，一旦泄露、非法提供或滥用可能危害人身和财产安全，极易导致个人名誉、身心健康受到损害或歧视性待遇。如果企业擅自收集和处理人脸信息，有可能会承担民事、行政乃至刑事方面的法律责任。

（一）刑事责任

在刑事处罚层面，如果企业违反国家有关规定，窃取或以其他方法非法获取公民个人信息，将可能构成《刑法》第二百五十三条之一规定的“侵犯公民个人信息罪”。

触犯“侵犯公民个人信息罪”，情节严重的，处三年以下有期徒刑或者拘役，并处或者单处罚金；情节特别严重的，处三年以上七年以下有期徒刑，并处罚金。

以下情形可能会被认定为“情节严重”：

1、非法获取、出售或者提供公民个人信息5000条以上的；

2、违法所得5000元以上的；

3、将在提供服务过程中获得的公民个人信息出售或者提供给他人，数量或者数额达到前两项规定标准一半以上的。

以下情形可能会被认定为“情节特别严重”：

1、造成重大经济损失或者恶劣社会影响的；

2、数量或者数额达到“情节严重”相应标准十倍以上的。

单位犯“侵犯公民个人信息罪”的，对直接负责的主管人员和其他直接责任人员参照上述标准定罪处罚，并对单位判处罚金。

（以上内容参见《刑法》第二百五十三条之一，《关于办理侵犯公民个人信息刑事案件适用法律若干问题的解释》第五条）

根据今年315晚会的内容，苏州万店掌等未经个人同意就收集人脸信息的平台，

已经拥有了上亿人脸数据，并且这类平台经315晚会曝光后已造成了恶劣的社会影响，就有一定的可能性会面临刑事处罚。

（二）行政责任

在行政处罚层面，如果企业未经同意就处理个人信息，侵害消费者的个人信息权益，可能会面临相关部门给予的警告、责令改正、罚款、没收违法所得、责令停业整顿、吊销营业执照等行政处罚；构成违反治安管理行为的，依法给予治安管理处罚。（以上内容参见《全国人大常务委员会关于加强网络信息保护的决定》第十一条，《消费者权益保护法》第五十六条）

行政处罚虽然看起来没有刑事处罚那么严厉，但是对于利用人脸识别技术的企业，尤其是有上市计划的企业而言，一旦遭受了行政处罚，可能会给未来的上市造成巨大障碍。因此相关企业和投资人必须给予足够重视。

（三）民事责任

在民事责任层面，如果企业未获同意就处理个人信息，侵害个人权益的，其将可能需要承担赔偿损失、停止侵害、恢复名誉、消除影响、赔礼道歉等民事责任。（以上内容参见《消费者权益保护法》第五十条）

对于企业而言，民事责任虽然在经济上造成的损失可能微不足道，但是企业败诉之后很可能会遭受巨大的品牌和声誉损失，导致企业间接损失经济利益。例如“微信读书案”“杭州动物园案”等案件，一经曝光，侵害用户权益的企业都受到了公众的广泛批评谴责，品牌和声誉严重受损。在一些情况下，民事判决甚至可能会引发相关部门介入，导致违法违规企业受到行政处罚乃至刑事处罚。

二、企业在获取人脸信息时应符合的合规要求

虽然很多提供人脸识别技术服务的企业声称自己仅提供技术服务，在使用技术的商家侵害个人信息权益时不应当承担责任，就如同生产菜刀的厂商不能因为买刀者持刀伤人而承担责任一样。

但是如果卖刀者明知或应知买刀者是要去伤人还把刀卖给他，则同样会受到法律的制裁。同理，对于提供技术服务但是明知、应知或诱导商家以侵害个人信息权益的方式利用人脸识别技术的企业而言，它们同样也难逃法律的制裁。

因此，不论是不合规使用人脸识别技术的商家，还是提供人脸识别技术服务的企业，都应重视并遵守获取人脸信息等个人信息时的以下合规要求。

（一）获取人脸信息前应将相关规则和信息有效告知个人以获取其同意

根据《个人信息告知同意指南（征求意见稿）》的相关内容，企业应当将相关规则和信息有效告知个人，在此基础上获取个人对于收集处理其个人信息的同意。虽然《个人信息告知同意指南（征求意见稿）》尚未生效，但其内容反映了最新的监管趋势，并且其主要内容很可能在未来成为生效规则。因此，具有前瞻性的企业应当重视相关规则，并提前进行合规和业务布局。

《个人信息告知同意指南（征求意见稿）》对于告知的原则、时机、内容、方式、展示形式、频率等做了详细的规定。鉴于本文的篇幅，我们不在本文中展开介绍具体的规则，感兴趣的读者可以阅读律星说关于个人信息保护合规的系列后续文章。

总体而言，企业应当将与个人信息收集和处理相关的规则和信息清晰、完整、准确、具体地告知个人，在此基础上获得个人对企业处理其个人信息的同意。