“人臉識別系統早就拆除了，你們放心吧。”近日，江蘇省蘇州市相城區人民檢察院（以下簡稱“相城檢察院”）檢察官對轄區內的多家售樓處進行明察暗訪，發現被查單位已經拆除了相關人臉識別系統和設備。
相城檢察院第四檢察部主任何俊強說，這次明察暗訪是對2020年辦理的一起個人信息保護領域行政公益訴訟案的跟蹤監督，確保檢察建議落到實處。
檢察建議制止售樓處侵犯消費者合法權益行為
2020年9月，蘇州小伙小陳準備購買婚房，他和朋友走進相城區某樓盤售樓處，在了解了價格、戶型、地理位置等信息后，小陳覺得房子性價比較高，便與銷售詳談，詢問優惠信息。銷售告訴小陳，樓盤沒有其他優惠，除非是中介帶過來的會有“返點”。
“我下次找個中介過來，不就可以了？”小陳笑著說。
“那不可以的，您剛才進來的時候已經被我們的人臉識別系統記錄了，下次再來我們就知道您不是中介帶來的客戶了。”銷售指著門口的攝像頭說。
一下子“損失”了好幾萬元的優惠，小陳心有不甘，但想到可以住上心儀的房子，還是咬咬牙當天就交付了定金。
隨后，小陳向相關部門反映了售樓處侵害個人隱私的行為。相城檢察院在日常走訪期間，也發現有公民個人信息遭到侵害的情形，決定在轄區內開展個人信息保護專項行動。
“個人生物識別信息的收集、使用必須在合理的界限內。”2020年11月，相城檢察院第四檢察部檢察官對轄區內售樓處安裝人臉識別系統情況展開調查。檢察機關認為，售樓處基于節省成本的營銷手段不能通過違法的方式實現。
2020年12月4日，相城檢察院對房產銷售機構違法收集人臉信息案立案調查。檢察官對轄區內的20余家售樓處展開了調查，發現多家售樓處使用的人臉識別屬于“無感抓拍”，消費者的面部信息在不經意間就會被抓取、收集，而售樓處的門口或者樓內均沒有相關人臉識別的提示。
相城檢察院認為，人臉信息作為個人生物識別信息非常重要且極為敏感，售樓處在未向消費者告知、未經消費者同意的情況下，基于商業目的，擅自收集、使用消費者人臉信息，侵犯了公民個人信息受保護的權利，也侵犯了消費者的知情權、肖像權、隱私權。
在無妥善管理機制和防范措施下，售樓處收集的個人信息還存在泄露風險，無法確保信息安全。
4天后，相城檢察院啟動行政公益訴訟訴前程序，向該區房產銷售主管部門發出檢察建議，要求其履行職責，及時制止售樓處侵犯消費者合法權益的行為，維護社會公共利益。
相城區房產銷售主管部門在收到檢察建議書后不久，就組織全區40個在售樓盤召開公民個人信息保護專題會議，要求房地產企業對各自在售樓場所人臉識別系統安裝情況開展自查摸排并立即整改相關違法行為。
12月24日，相城區房產銷售主管部門對檢察建議作出回復。目前，相關房地產企業已拆除相關系統和設備，擅自收集的人臉信息也已被全部刪除。
為人臉信息安全織起立體防護網
購房者小陳的遭遇并非個案。2020年10月底，一則濟南購房者戴著頭盔去看房的視頻在網上熱傳；浙江某高校特聘副教授郭先生因不愿意使用人臉識別而將杭州野生動物世界告上法庭……
事實上，人臉識別技術在國內的應用早已從公共安全領域擴展到商業領域，滲透到人們的日常生活，如手機解鎖、支付轉賬、交通安檢甚至考勤打卡等，應用場景隨處可見。
今年央視“3·15晚會”曝光多個商家偷偷獲取人臉信息的問題。人臉識別技術給社會經濟發展和個人生活帶來便利的同時，也讓信息安全問題面臨挑戰，已經引發公眾擔憂。
近年來，為了應對這一新問題，我國正逐步建立和完善相關法律法規。2017年6月1日施行的網絡安全法將個人生物識別信息納入個人信息的范疇，確立了“誰收集，誰負責”的原則。
今年1月1日起實施的民法典明確了公民個人信息處理原則和條件，處理個人信息的，應當遵循合法、正當、必要原則，并征得該自然人或其監護人的同意。
正在公開征求意見的個人信息保護法（草案）再次明確了“告知-同意”為核心的個人信息處理規則。國家市場監管總局發布的《個人信息安全規范》也明確規定收集人臉信息時應獲得個人信息主體的授權同意。
國家網信辦發布的《常見類型移動互聯網應用程序（App）必要個人信息范圍（征求意見稿）》顯示，各類型App需要的必要個人信息中均不涉及人臉、指紋等生物識別信息。
隨著法律法規的逐步完善，在執法、監管層面如何有效落實也值得深思。
江蘇省人民檢察院第七檢察部主任周合星認為，相較于一般的公民個人信息，對個人生物識別信息應予以更嚴格的保護，防止人臉信息的濫用。要加強對人臉識別系統、設備的生產、銷售監管，尤其注重線上銷售行為的管控，嚴厲打擊非法獲取、售賣人臉信息的行為，斬斷人臉信息非法交易產業鏈。要充分發揮檢察公益訴訟制度的作用，保護社會公共利益，織密信息安全保護網。
周合星認為，新技術帶來的問題還需要技術來解決，未來應通過數據脫敏、隱私計算、分散儲存等技術手段加強生物特征信息保護，提升風險技防能力。
江蘇省人民檢察院第一檢察部副主任柳慧敏認為，個人信息保護之所以面臨嚴峻挑戰，與侵犯公民個人信息犯罪是典型的法定犯，前置法律法規不健全，監管措施缺位乏力，個人保護意識不足等多種原因有關。如何在風險可控的前提下妥善運用人臉識別技術，在有效性和安全性之間尋求平衡，需要在立法、執法、監管等層面建立多維度的立體防護體系。
柳慧敏說，現實中，一些企業在收集、使用人臉識別信息時不守規矩，職能部門要督促企業履行網絡安全保護義務，主動進行信息安全等級保護認證；要加強對收集和使用公民個人信息企業的監督力度，提供保護指引。企業如果違反相關法律法規，應予相應的行政處罰；構成犯罪的，依法予以刑事處罰。
相城檢察院副檢察長史軼晴表示，人臉信息的采集和使用應遵循“最小必要”原則，可以通過場景分類、信息分級等手段，為人臉信息的安全加碼。（記者 李超）
