案例研究:冯春华与中国联通一般人格权纠纷案

案件名称:冯春华与中国联合网络通信有限公司昆山市分公司、中国联合网络通信有限公司一般人格权纠纷案

案号:(2020)苏0583民初11684号

审理法院:江苏省昆山市人民法院

裁判结果:一、被告中国联合网络通信有限公司昆山市分公司于本判决生效之日起一个月内就输错号码行为消除影响,并向原告冯春华书面赔礼道歉,上述义务若被告中国联合网络通信有限公司昆山市分公司不履行的,则由被告中国联合网络通信有限公司继续履行。

二、被告中国联合网络通信有限公司昆山市分公司支付原告冯春华损失1000元,于本判决生效之日起十日内履行。被告中国联合网络通信有限公司对被告中国联合网络通信有限公司昆山市分公司不能清偿部分承担补充清偿责任。

小米的68份隐私政策统计

小米安全中心搞了个好玩的隐私政策“捉虫”活动,一股脑将自己的68份隐私政策摊开,邀请用户就文字错误、语法错误、语义不通、格式错误挑错,并且一处错误算一个隐私漏洞,奖励50元(5个贡献币)。这个思路来自于网络安全众测,也有点吕不韦“一字千金”的意思,可见小米对自己的隐私政策非常自信。

一、68份隐私政策

隐私政策是向用户说明个人信息如何使用的法律文件。我知道大企业的产品复杂,需要多份隐私政策以适用不同产品、不同场景,但68份隐私政策还是让我感觉有些意外。但是,这也提供了一个难得的视角,对某一公司的隐私政策进行全面研究,而不用我辛苦去一份份找来看。

在小米公开的68份隐私政策中,Xiaomi Privacy Policy是唯一的一份英文版隐私政策。另外,《小米贷款隐私政策》列了两次,分别为序号25和序号13。《哎呀宝贝儿童信息保护规则》是列出的唯一一份儿童个人信息保护规则,这主要是履行《儿童个人信息网络保护规定》所规定的义务。

继续阅读

日本经济产业省《利用人工智能和数据的合同指引》:数据生成类合同示范草案

2018年6月,日本经济产业省发布 Contract Guidelines on Utilization of AI and Data,旨在为企业签订数据利用合同或利用人工智能技术开发利用软件合同提供参考。指引规定了:主要问题、争议点、若干合同条款范本、合同编制中应考虑的因素以及有关此类合同的其他内容。

指引由两部分组成:数据部分和AI部分。指引的这两部分旨在为合同各方提供参考,以确定合同条款和其他必要的要点。

2019年4月,日本经济产业省发布了相关指引的英文版。2019年12月,日本经济产业省发布了指引的1.1版本,但1.1版仅有日文版,未提供英文翻译。本文仅根据2019年4月英文版本中的部分内容进行翻译。

如果有空会翻译下其他的合同模板。

继续阅读

不学无术又一年

年底了,送别2020年最后一缕阳光,也总算是交待完未结的事项,总算是能按惯例 (201920182017201620152014201320122011201020092008) 要回忆一下过去一年的读书。回首一下过去一年的读书。

2020年读了22本书,而且绝大多数都是在疫情初期困顿在家时所读,真的是一年不如一年,想读的书目日渐增长,能读完书却增长缓慢,就好像是玩“俄罗斯方块”,方块垒地越来越高,消除速度却越来越慢。

读的主要是历史书和小说。

《胡骑啸长安 : 盛唐诗人的安史离乱》就很有意思,讲了很多我耳熟能详大诗人在安史之乱这段动荡岁月前后的经历与心路历程,再结合他们的作品,是大人物们在大时代下的生活切片。

《战国歧途》也是本有意思的小书,零散讲了一些战国的切片,可以看出作者不怎么喜欢秦国。

《唐长安城考古笔记》也读起来非常愉快,大概是因为我本身是西安人,看着身边熟悉的地理位置在唐代扮演了怎样的角色,这大概是我最喜欢的一类书了。

《中国的内战 : 1945-1949年的政治斗争》从国民党的失败与共产党的胜利两个角度搭建全书的架构,此前对这段历史关注比较少,总是把胜利当成理所当然,后面有了兴趣做更多的研读。

马伯庸的《两京十五日》也是一贯的紧张刺激,只是结尾有些跟不上,但这种把小人物穿插在大人物命运里的讲故事方式我一向都很喜欢。

《传奇中的大唐》是我2020年最喜欢的一本书,依旧是唐史,但这本书的切口是唐传奇,从文学作品为线索介绍唐朝的生活,非常有趣。

后Schrems II时代,SCC模式下数据跨境的“蜀道”

噫吁嚱,危乎高哉!蜀道之难,难于上青天!

——李白(唐),《蜀道难》

各国法律中对数据的本地化与跨境的规定是最能影响企业跨国经营策略的内容之一。无论是外企根据中国《网络安全法》《个人信息保护法(草案)》中的本地化与跨境制度进行合规,或是中国企业使用欧盟《通用数据保护条例》(“GDPR”)中“数据跨境工具箱”,都会对企业的IT架构与经营模式造成深远的影响。

一、后Schrems II时代的标准合同条款

在GDPR的诸多跨境合规方案中,中国企业普遍采用签署标准合同条款(“SCC”)的方式确保从欧洲向中国跨境传输合法合规。但是,SCC的效力在2020年7月欧盟法院“Schrems II”案判决后受到了挑战,一时间让包括中国在内的大多数国家从欧洲向本国传输数据面临巨大的不确定性。

“Schrems II”案更为直接的后果是导致美国与欧盟之间的“隐私盾”协议失效,严重影响美国企业从欧洲获取数据。以至于美国司法部、商务部以及国家情报总监办公室在2020年9月共同发布白皮书,试图说明美国现行法律中有关情报机构获取数据的隐私保障措施。

SCC因为标准条款的简单易用、成本低廉,所以为中国企业所青睐。甚至有企业为实现公司内部的数据跨境传输,会让中国总部与欧洲子(分)公司签署多份SCC,虽然增加了合同管理的难度,但除此之外很难找到更好的解决方案。

二、SCC的具体场景

SCC因为标准条款的简单易用、成本低廉,所以为中国企业所青睐。甚至有企业为实现公司内部的数据跨境传输,中国总部与欧洲子(分)公司之间签署多份SCC。

中国企业使用SCC,一个场景是用于企业内部数据跨境传输,将欧洲子公司、分公司、合资公司收集的数据传输中国。虽然GDPR为企业内部的数据跨境传输设置了“有约束力的公司规则”(Binding Corporate Rules)机制,但这一机制成本较高,且需要通过欧洲当地数据保护机关认证,目前尚没有中国企业采用此种方式进行跨境数据传输。因此企业内部通常会使用SCC来确保数据跨境传输的合法性。

中国企业使用SCC的另一场景,是在与欧洲企业合作的过程中,因为可能涉及欧洲境内居民个人信息,所以欧洲企业要求与中国企业签署SCC。

相较于第一个场景仅涉及企业内部数据传输,第二个场景下中国企业使用SCC所面临的合规压力更为迫切,我们已经遇到有欧洲企业要求与之签署SCC的中国企业说明中国有关部门获取企业的情况,作为“Schrems II”案后确保SCC效力的合规措施。

三、答复逻辑与素材

GDPR在数据跨境领域的一个基本逻辑是数据接受国的数据保护水平应当与欧盟大致相同,因此如果国家(地区、行业)能够取得充分性认定,则可以与欧盟之间自由地传输数据,如日本、智利、以色列等国。但包括美国、英国、中国、俄罗斯等绝大多数国家难以通过充分性认定,所以才会选择SCC作为替代方案,但新机制又要求企业对数据接收国立法、司法水平进行评估,实在是有些勉为其难。

“Schrems II”案的关键在于政府部门从企业获取欧洲居民数据的能力,这种能力不仅停留在法律条文的纸面,也体现于法律条文的实践,以及是否有相应的程序能够阻却政府违法获取数据。根据欧盟数据保护委员会(“EDPB”)新发布的标准,中国几乎不可能通过充分性认定,也难以被认定可以达到与欧盟基本同等程度的保护程度。

但是根据我们的经验,中国企业在面临欧洲合作方(数据提供方)问询时,仍然可以准备一些可供答复的素材,不至于向欧洲监管部门或合作伙伴交付“白卷”。以下是我们总结的可以在进行答复时的法条及依据:

1.国家情报法

在政府部门获取数据领域,最为欧美所关切的是《国家情报法》第七条:

任何组织和公民都应当依法支持、协助和配合国家情报工作,保守所知悉的国家情报工作秘密。

国家对支持、协助和配合国家情报工作的个人和组织给予保护。

为此,在2019年2月18日外交部记者会上,发言人耿爽就《国家情报法》第七条给出了“标准答案”:

第一,美方有关说法是对中国有关法律的错误和片面解读。中国《国家情报法》不仅规定了组织和公民依法支持、协助和配合国家情报工作的义务,同时也规定了国家情报工作应当依法进行、尊重和保障人权、维护个人和组织合法权益的义务。同时,中国其它法律对于保障公民和组织的合法权益,包括数据安全和隐私权利等,也作了许多规定。这些规定都适用于国家情报工作。美方对此应全面、客观理解,而不应断章取义,片面、错误解读。

第二,以立法形式维护国家安全,要求组织和个人配合国家情报工作是国际通行做法,美国、英国、加拿大、澳大利亚、新西兰等“五眼联盟”国家以及法国、德国等西方国家均有类似规定。

第三,中国政府一贯要求中国企业在外国开展业务时要严格遵守当地法律法规,这一立场不会改变。中国一贯坚持相互尊重主权、平等互利等国际法基本原则,中国宪法和相关法律对此均有体现。基于这一原则,中国一向明确反对别国绕过正常合作渠道,单方面适用其国内法,强迫企业和个人向其提供位于中国境内的数据、信息、情报等做法;同样,中国没有也不会要求企业或个人以违反当地法律的方式、通过安装“后门”等形式为中国政府采集或提供位于外国境内的数据、信息和情报。

第四,美方及其个别盟友在此问题上搞双重标准,混淆视听,实质是为打压中国企业的正当发展权利和利益编织借口,是以政治手段干预经济行为,是虚伪的、不道德、不公平的霸凌行径。

https://www.fmprc.gov.cn/web/wjdt_674879/fyrbt_674889/t1638751.shtml

2.《网络安全法》

《网络安全法》中也存在企业协助政府有关部门的条款:

第二十八条 网络运营者应当为公安机关、国家安全机关依法维护国家安全和侦查犯罪的活动提供技术支持和协助。

但另一方面,《网络安全法》也规定了政府部门获取数据的限制:

第三十条 网信部门和有关部门在履行网络安全保护职责中获取的信息,只能用于维护网络安全的需要,不得用于其他用途。

第四十五条 依法负有网络安全监督管理职责的部门及其工作人员,必须对在履行职责中知悉的个人信息、隐私和商业秘密严格保密,不得泄露、出售或者非法向他人提供。

3.《密码法》

在EDPB发布的指南中,将加密视为一种有效的补充措施。比如数据虽然存储在欧洲境外的第三国,但数据经过可靠地加密,密钥由欧洲境内掌握,那么就可以被视为一种有效的补充措施。但是,这样的加密措施可能会在中国遇到《密码法》的挑战。

根据《密码法》,除非是大众消费类产品所采用的商用密码,否则需要根据商用密码进出口许可程序提交商用秘密的技术说明。如果密码进口需要向中国密码管理部门提交审批,这样的操作可能很难得到欧盟的认可,但我们仍可根据《密码法》第三十一条第二款主张密码的安全性:

密码管理部门和有关部门及其工作人员不得要求商用密码从业单位和商用密码检测、认证机构向其披露源代码等密码相关专有信息,并对其在履行职责中知悉的商业秘密和个人隐私严格保密,不得泄露或者非法向他人提供。

4.其他文件与渠道

在2020年9月,中国外交部发布《全球数据安全倡议》也从侧面说明中国政府并不要求本国企业将数据存储在中国境内,也不会要求企业调取位于他国的数据:

……

——各国应要求企业严格遵守所在国法律,不得要求本国企业将境外产生、获取的数据存储在境内。

——各国应尊重他国主权、司法管辖权和对数据的安全管理权,未经他国法律允许不得直接向企业或个人调取位于他国的数据。

——各国如因打击犯罪等执法需要跨境调取数据,应通过司法协助渠道或其他相关多双边协议解决。国家间缔结跨境调取数据双边协议,不得侵犯第三国司法主权和数据安全。

……

另外一个可供参考的信息是苹果公司发布的透明度报告。根据统计,在2019年7月至12月期间,中国政府、法院等机构共781次向苹果公司要求提供数据,同期英国568次、美国5271次、日本1245次向苹果公司索要数据,中国索取数据的次数并未有明显异常。

四、可以开始的前瞻性思考

尽管目前为止中国企业还不是欧洲数据监管机构的关注重点。欧洲数据监管机构因为执法力量有限,所以更关注本国企业与美国互联网巨头在欧洲的经营。但是随着美国拜登政府就职在即,欧美政治、经济关系趋于缓和,让中国企业可能成为欧洲数据保护机构下一轮监管重点。

2020年12月,荷兰消费者与市场管理局(ACM)发布公告表示,对智能手机支付市场发起反垄断调查,并且已经调研了几家主要大型科技公司,除了苹果、亚马逊、Facebook和谷歌等西方企业外,蚂蚁集团和腾讯也成为被调查对象。这或许会成为欧盟执法机关关注中国企业在欧经营的起点。

随着EDPB开始推动SCC的改革,开始征求意见,并且SCC在中欧数据传输中呈现出“一夫当关”的状态。那么中国企业需要密切留意这位“当关之夫”,即欧盟在SCC适用方面的动态,并且着重关注执法趋势,充分评估可能对自己业务的影响。我们推荐在欧洲经营的企业可以从以下角度着手:

  1. 面对欧盟数据跨境监管的压力,尤其是对数据接收方所在国法律环境的苛责,单一企业很难全面论证数据接收国的法律与执法环境,且同一行业、同一产业链的企业可能都会面临同样的问题,因此企业应当向行业协会、商会、上级主管部门进行呼吁,联合应对来自欧洲的评估要求。
  2. 联邦学习等“可用不可见”隐私计算技术、加密技术的探索与使用,可以将个人数据转化为非个人数据,从而实现有效降低数据跨境的风险。
  3. 此外,面临欧洲数据跨境规则的升级,数据跨境的成本也被抬高,甚至企业可能因为无法通过评估而无法向中国回传数据,故企业可能需要考虑重新调整自己的IT架构,减少数据从欧洲向中国回传的数量,增加欧洲子公司、分公司或合作伙伴处理数据的决定权。

【综述翻译】CIPL就《个人信息保护法(草案)》的意见

信息政策领导中心(CIPL)成立于2001年,是一家设在华盛顿特区、布鲁塞尔和伦敦的全球隐私和安全智库。

CIPL针对中国《个人信息保护法(草案)》发布了反馈意见,可以视为欧美对中国个人信息立法的一个典型代表,这里通过翻译软件DeepL对综述部分进行翻译,全面的修订意见请参见原文。


本概述列出了本报告中最重要的建议。这些建议按具体主题排列。关于按《个人信息保护法》中的条款排列的整套建议,请见下面的评论全文。处理数据的隐私原则与法律依据

  • 在《个人信息保护法》中纳入合法利益处理的依据。
  • 明确指出,如果处理个人信息的目的发生变化,而这种变化又与原来的目的相一致,各组织可以依据原来的处理理由来处理这些个人信息。如果新的目的不符合,则需要有新的法律依据。

儿童个人信息

  • 使各组织能够采用基于风险的方法来确定他们是否在混合受众网站的情况下处理未成年人的个人信息,并且必须获得监护人的同意。

敏感个人信息

  • 采用基于风险的方法处理敏感个人信息,而不是提供预先界定的敏感信息的固定类别。
  • 如果《个人信息保护法》中保留了预先定义的敏感信息类别,则从定义中删除金融账户信息和个人行踪,并澄清如何定义“其他”形式的敏感个人信息以及由谁来定义。
  • 澄清敏感个人信息可以根据《个人信息保护法》中列出的所有法律理由进行处理,而且处理这些信息不限于同意的理由,例如在紧急情况下为保护个人的生命或健康而进行的处理。

个人信息的国际转移

  • 澄清所需的监督范围,以确保来自中国的个人信息的海外接收方符合《个人信息保护法》所列举的保护标准。
  • 解释何种情况下要通过网信部门的安全评估,才能将个人信息转移到海外。
  • 澄清第三十八条中提及的个人信息转移认证是否可以使中国参与APEC跨境隐私规则体系,并努力加入CBPR体系,以符合《个人信息保护法》第十二条的要求。
  • 在《个人信息保护法》所列的可用转移机制中增加行为准则和公司规则。
  • 在《个人信息保护法》的其他转让要求之外,取消获得同意的要求。

任命数据保护官和中国代表

  • 修订向有关机构披露及登记个人信息保护负责人的联络资料的规定,只要求登记是否已委任该个人信息保护负责人,并保持该申述的准确性及更新。
  • 将触发指定个人信息保护负责人规定的门槛与《个人信息安全规范》的门槛一致。
  • 根据其他隐私法律(如GDPR)的规定,在中国任命代表的要求中增加豁免条款。

风险评估

  • 澄清对第五十四条所列的处理活动进行初步的预先筛选,如果筛选结果显示对个人有高风险,则进行全面的风险评估,就足以满足第五十四条关于进行“预先风险评估”的要求。

数据泄露通知

  • 增加并提高触发向有关当局和个人报告违规行为的通知要求的危害阈值。
  • 修订通知违规事件的规定,由“在确定泄露事件后立即”改为尽可能在最短时间内通报,不得有不合理的延误,但不得迟于实体知悉资料违规事件后的指定天数(例如30天或45天)。

向第三方提供数据

  • 澄清第三方服务提供者在《个人信息保护法》下的作用。

匿名化

  • 修订匿名的定义,以反映更现实的合理匿名标准,并辅以程序、法律和行政保障措施。

公开提供的信息

  • 修订《个人信息保护法》,确保公开信息的使用规则与亚太经合组织隐私框架和中国的《个人信息安全规范》保持一致。

惩罚措施

  • 澄清什么是《个人信息保护法》规定的 “严重”非法行为。
  • 澄清什么时候的罚款会是一个固定的货币金额或收入的百分比,以及有关的收入与在中国的收入有关。
  • 澄清第六十二条规定的个人责任只适用于公司高层管理人员或董事为获取经济利益而故意或严重过失的行为。

生效日期

  • 明确规定各组织将在《个人信息保护法》通过之日起两年内完全遵守法律。

【可视化】:App专项治理工作组三次检查结果

2020年11月,App专项治理工作组发布了35款App存在个人信息收集使用问题的通告。此前,2020年9月,App专项治理工作组发布了81款App存在个人信息收集使用问题。2019年12月,工作组也对57款存在收集使用个人信息问题的App进行过检查

通过对检查结果以可视化的方式呈现,可以发现:

  • 自启动方式收集个人信息、明文上传账户密码、个人敏感信息处理、儿童个人信息处理、剪切板读取成为新的关注点。
  • “在申请打开某可收集个人信息的权限时,未同步告知用户其目的”、“未逐一列出嵌入的第三方SDK收集使用个人信息的目的、类型”始终是普遍存在的问题。
  • 检查对象开始关注官方、政务App的合规问题。
  • ……

除了App专项治理工作组,工信部也在推进App检查工作,检查如火如荼:

目前已完成国内用户使用率较高的44万款APP的技术检测工作,责令1336款违规APP进行整改,公开通报377款整改不到位的APP,下架94款拒不整改的APP,有效震慑了违法违规行为。

工信部点名:“一些企业经过多次整改仍存在问题,部分头部企业APP在个人信息保护的整改上存在思想漠视、侥幸心理、技术对抗等问题。”

人脸识别技术的法律风险与合规思路

1,为什么人脸识别技术在个人信息保护领域更为敏感?

人脸识别技术的敏感性,来自于我们几乎无法对我们的面部信息进行修改。而其他类型的个人信息,比如用户名、电子邮箱、手机号、甚至是姓名我们都可以较为容易地进行变更。如果不考虑《碟中谍》这样的电影,人脸识别技术收集的面部识别信息一旦被收集就可能是永久被收集。

伴随着公众隐私保护意识的觉醒,人脸识别技术的运用正在让越来越多的民众警惕。这种警惕一方面来自于被窥视所带来的不快,而且很多场景下民众并不知道自己的面部特征信息会被如何利用;另一方面也来自于在很多场景下民众除了提供面部特征以外别无选择,不得不将自己的“脸面”无条件奉上。

因此我们看到了有法学院教师发起“人脸识别第一案”起诉强制人脸识别的动物园,也看到了宿豫警方在对宿豫一家健身中心进行网络安全检查时对该健身中心违法采集人脸信息给予警告处罚。

2,我国对人脸识别技术的运用有哪些规定?

即将于2021年元旦生效的《民法典》将个人生物识别信息列为个人信息,面部识别特征就是生物识别信息的典型代表。此外,人脸识别技术还涉及肖像权及隐私权,这两项权利都是与个人信息并列的法益。也就是说,企业在运用人脸识别技术时,不仅需要考虑个人信息保护的问题,还需要考虑肖像权与隐私权保护问题。

目前,我国个人信息、隐私权与肖像权的处理主要以以“同意”为基本原则。在《个人信息保护法》通过后,可能会在个人信息层面增加更多的处理合法性依据,即不依赖同意也可以处理个人信息。但人脸识别技术在隐私权、肖像权仍然无法绕开“同意”。因此,获取“同意”在人脸识别技术的运用中扮演着重要的角色。

在《个人信息保护法(草案)》中,拟规定在公共场所安装图像采集、个人身份识别设备,在目的上应当为维护公共安全所必需,并设置显著的提示标识。所收集的个人图像、个人身份特征信息只能用于维护公共安全的目的,不得公开或者向他人提供;取得个人单独同意或者法律、行政法规另有规定的除外。在推荐性标准《个人信息安全规范》(GB/T 35273-2020)中,建议:(1)收集个人生物识别信息前,应单独向个人信息主体告知收集、使用个人生物识别信息的目的、方式和范围,以及存储时间等规则,并征得个人信息主体的明示同意;(2)个人生物识别信息应与个人身份信息分开存储;(3)原则上不应存储原始个人生物识别信息(如肖像照片),仅存储算法处理后的摘要信息。此外,在另一部推荐性国家标准《远程人脸识别系统技术要求》(GB/T 38671-2020)中,对人脸识别技术的安全性标准提出了建议。

3,人脸识别技术主要被运用哪些场景?

人脸识别技术通过面部特征实现对不同个人身份的识别,通常用于个人身份的识别、验证,以替代身份证、门卡、用户名密码等身份验证手段。比较常见且容易产生纠纷的人脸识别技术运用场景有以下几种:

门禁系统,主要用于小区、公园、写字楼物业使用人脸识别系统替代传统的IC卡、门禁卡对住户、访客进行身份验证,确保进入限制区域的人员具有相应的权限。在杭州的“人脸识别第一案”中,便是因为野生动物园使用人脸识别替代身份证导致产生纠纷。清华大学劳东燕教授也因为所居住的小区安装人脸识别门禁系统进行维权。

行为分析,商场可能会为了提升商场的运营效率部署人脸识别系统,对消费者在商场内的购物路径、消费情况进行精准统计,并对会员进行精准画像。如杭州某商场人流密集区域部署摄像头进行人脸抓拍,通过智能摄像头识别会员信息,精准统计客流,并通过云端的人脸识别,完成会员身份的确认。在此基础上基于设备识别到的会员数据及第三方系统数据,从多维度分析商圈、门店与顾客画像,让购物中心全面了解客户,实现AI辅助导购进行销售决策。此外,像广告屏也可能使用人脸识别系统,准确判断不同用户对广告屏中广告的表情反馈。

App人脸识别,主要用于各类App的身份验证,比如刷脸支付、上班打卡等场景。相对于其他场景下人脸识别技术的运用,App人脸识别技术的运用会存在更多相关方。比如某公司如果要求员工使用钉钉人脸识别进行打卡签到,那么会涉及员工、用人单位、钉钉的开发者钉钉(中国)信息技术有限公司,以及人脸相关服务北京蚂蚁佐罗科技有限公司等多方主体。数据如何在这些主体中流转、处理会是一个复杂的问题,深究起来会涉及劳动法、个人信息保护等多层次法律关系。

4,人脸识别技术的法律风险是什么?

人脸识别的法律风险一方面来自于“同意”难以有效获得。人脸识别技术的使用者在公众场所往往并不愿意公众知道相关技术的运用,以减少“不必要”的麻烦,更谈不上有效获取个人信息主体的同意。这直接导致通过此等方法采集的面部识别信息若用于商业用途很难具有合法性基础。

人脸识别技术的另一方面风险是运用过程中容易走极端,不提供替代方案。比如在杭州“人脸识别第一案”中,游客购买了一张杭州野生动物世界的年卡,有效期内通过同时验证年卡及指纹方式入园。但在三个月后,动物园方面将人脸识别检票系统引入,拆除了原来的指纹检票闸门,必须进行人脸识别验证年卡才能继续使用,所以被告上法庭。因此,如果经营者未经充分评估,贸然引入人脸识别技术而又没有提供替代方案,可能导致原有协议无法继续履行,或需要收集原约定范围之外的个人信息或数据才能继续履行协议。如果经营者仅以用户不同意收集面部识别特征为由拒绝继续提供服务,则可能违反双方已有的服务协议。

此外,人脸识别技术的精准度有赖于大量数据对算法进行训练。而训练所需要的素材往往很难通过自我积累,需要从外购买获得。而出售、购买面部识别特征数据具有极高的法律风险,有可能触犯刑法,构成侵犯公民个人信息罪。

5,有什么好的方法可以在公共场所获取“同意”?

公共场所是人脸识别技术最难取得“同意”的场景,具体分为“告知”与“同意”两个环节。

在《信息安全技术 个人信息告知同意指南(征求意见稿)》附录D“公共场合场景下的告知同意”中,建议在汽车站、火车站、地铁站、机场、商场等公共场所收集个人信息时,建议个人信息控制者以显著方式向个人信息主体进行展示告知。比如在商场内张贴告知:“本商场安装有人脸识别系统,以便进行客流分析或进行个性化推荐。我们承诺会保护您的人脸等信息安全,详情可向询问台咨询或扫描二维码。”而“同意”则是通过提供不收集个人信息的选择方案实现,例如,设置不成为会员的购买方式;不通过人脸识别的支付方式等。

此外,在欧盟数据保护委员会发布的《关于通过视频设备处理个人数据的指引3/2019》中,推荐使用双层的告知结构,第一层在使用视频处理个人数据公众场合张贴告示,提供简要说明,并通过二维码等渠道提供指向第二层说明的访问途径;第二层进行详细的说明。具体示例如下:

当然,获取“同意”需要在具体的业务场景下根据实际情况进行设计,在法律合规与商业需求中找到平衡。

6,如何应对使用人脸识别技术升级原有服务导致的法律风险?

经营者引入人脸识别这样的新技术,有必要开展个人信息安全影响评估。使用人脸识别技术对原有服务进行升级,可能导致突破原协议的范围,将新的个人信息、肖像权、隐私权引入原本相对简单的法律关系,让原本不必收集的面部识别特征成为必不可少的数据。如果原先协议对新需要的面部特征信息未有覆盖,则可能构成违约。因此,在服务技术升级的同时,需要考虑如果个人不同意提供新的数据,能否继续使用已有服务,确保协议能够在原框架下继续履行。因此《杭州市物业管理条例(修订草案)》拟要求物业不得强制业主通过指纹、人脸识别等生物信息方式使用共用设施设备,保障业主对共用设施设备的正常使用权。

此外,引入人脸识别技术可能让新的第三方主体加入合同关系。比如当企业决定使用钉钉人脸打卡功能,这意味着钉钉的开发者钉钉(中国)信息技术有限公司,以及人脸相关服务北京蚂蚁佐罗科技有限公司等多方主体会加入法律关系,数据的流转与法律协议将变得复杂。直接的后果是当个人要求行使如查阅、修正、删除、合同解除等权利时,需要各方主体同步响应,这会对企业间个人信息保护能力的协同提出更高的要求。

7,如果需要购买数据训练人脸识别技术,有哪些合规措施可以采取?

数据购买具有极高的法律风险。购买面部识别信息时,有必要对供应商数据的数据来源进行严格审核,对自然人向供应商提供的授权文件进行逐一审核或抽查,确保授权文件真实有效。

此外,购买面部识别信息可以参考其他领域数据购买的合规方案。在北京慧辰资道资讯股份有限公司(“慧辰资讯”)2020年6月首次公开发行股票所提交的法律意见书中,详细介绍了慧辰资讯购买数据的合法性基础与相应的内控措施。慧辰资讯所采集的数据,主要为消费者态度数据。慧辰资讯通过《个人信息授权书》的方式,获取被采集者的同意。慧辰资讯向数据供应商购买数据的,会要求供应商确保在采集过程就授权第三方使用相关数据取得个人信息主体出具的明确授权文件。慧辰资讯还通过供应商管理制度,对数据供应商的资质、合规性、重点数据进行供应商核查,并通过数据处理协议、合规经营承诺函的形式对数据供应商进行管理。

8,除了获取同意,还有哪些措施可以采取?

在推荐性标准《个人信息安全规范》(GB/T 35273-2020)中,建议:原则上不应存储原始个人生物识别信息(如肖像照片),仅存储算法处理后的摘要信息。即根据“最小化”的个人信息保护原则,缩短面部识别特征的生命周期,通过减少数据的收集达到降低人脸识别技术的法律风险的目的。

在法国数据保护机构CNIL发布的题为《机场的面部识别:有哪些挑战和需要遵循的主要原则?》报告中,在技术措施领域要求:(1)只有在相关乘客做出动作后,才会启动面部识别摄像头;(2)通过技术配置,模糊背景中其他乘客的脸;(3)通过面部识别区分控制区和传统控制区的广告牌和地面标记。

这些技术措施和规划要求企业在使用人脸识别技术伊始就考虑个人信息等权益的保护问题,通过默认设计保护个人信息等权益。

9,随着人脸识别技术的发展,我们应该前瞻性地关注哪些问题?

在2020年9月美国斯坦福大学计算机系教授李飞飞联合斯坦福医学院教授阿诺·米尔斯坦等科研人员在《自然》发表了题为《利用环境智能照亮医疗的黑暗空间》的论文中,强调了环境智能技术的潜力。环境智能,即通过机器学习和非接触式传感器能够对人类存在做出敏感反应和反馈的电子空间。而人脸识别技术是环境智能的重要组成部分。

环境智能技术除了运用摄像头,还会综合运用深度传感器、温度传感器、无线传感器、声音传感器等设备。环境智能可以运用于重症监护、临床护理、甚至是老年人独立生活。因为环境智能的本质是全面监控,收集数据的深度与广度都远超人脸识别技术,所以环境智能技术必须更加注重隐私和数据安全性设计。

人脸识别技术、环境智能技术、自动驾驶等技术近年来高速发展,背后是对海量数据的收集与处理。这些数据的处理深刻地影响着每个人与技术的关系。我们在享受技术进步带来便利的同时,需要关注新技术对个人信息、隐私、肖像的保护予以警觉;经营者在享受技术进步带来利润的同时,需要关注如何降低自己处理数据的法律风险。

可视化:App专项治理工作组2020、2019检查对比

2020年9月17日,App专项治理工作组发布了81款App存在个人信息收集使用问题。早在2019年12月20日,工作组就对57款存在收集使用个人信息问题的App进行过检查。不经整理的信息是没有价值的。这里我把两次检查的统计结果进行对比,可以发现近来App合规的一些趋势:

  1. 申请权限而不告知始终是突出问题;
  2. 向SDK提供个人信息的情况大幅好转;
  3. 不提供权限拒绝提供服务成为新的检查重点;
  4. 原先部分检查项现在不再关注。

对比表格如下: