案例内容
【案情简介】
2021年4月13日，佛山市禅城区市场监督管理局执法人员在“打击人脸识别摄像头侵权行为”专项行动中对某售楼处进行执法检查，现场发现该售楼处设有具备人脸识别功能的摄像头，在未经消费者同意的情况下，擅自收集、使用消费者人脸信息，涉嫌侵犯消费者依法得到保护的个人信息权利，执法人员依法对该楼盘开发商展开调查。
【调查与处理】
执法人员依法对某楼盘展开调查，在楼盘现场工作人员的陪同下，查明该楼盘为佛山市XX地产开发有限公司与佛山市XX房地产开发有限公司共同在佛山市禅城区开发的，上述两个房地产开发公司（以下称“当事人”）属于同一个股东控制的关联公司，XX售楼处在其门口以及其内部张贴六张含有“本售楼处安装有人脸识别系统，用于进行分销带客识别”内容的告示，当事人于2020年6月1日开始在XX售楼处范围内使用渠道风控管理系统，该系统由5个摄像头、1个服务器、1个人证对比设备、1个应用软件共计四个部分组成，通过房地产经纪公司介绍而来的消费者，房地产经纪公司中介人员会提前将消费者姓名和手机号码信息通过微信向当事人进行报备，该报备信息会自动传送到上述渠道风控管理系统。上述渠道风控管理系统自动存储摄像头所抓拍到所有进入售楼处内的人员包括但不限于消费者的人脸信息，通过房地产经纪公司介绍而来的消费者签约认购当事人开发的楼盘单元后，当事人通过人证对比设备对消费者人脸信息和身份证信息进行集中采集，上述渠道风控管理系统自动将之前与消费者相关的报备信息、历次到访售楼处所抓拍的消费者人脸信息、人证对比设备所采集的消费者人脸信息和身份证信息进行对比验证，识别出消费者是否属于房地产经纪公司推荐的客户，如上述渠道风控管理系统识别出签约认购的消费者属于房地产经纪公司介绍而来的客户，当事人则会依据合同约定向房地产经纪公司结算销售佣金。
当事人在其售楼处张贴含有“本售楼处安装有人脸识别系统，用于进行分销带客识别”内容的告示，但该告示仅明示收集、使用信息的目的、方式，并未明示收集、使用信息的范围，且该告知并非征求同意的过程，并未实际获得消费者的同意；因此认定当事人是未经消费者同意的情况下，通过使用上述渠道风控管理系统收集、使用消费者人脸信息。
依据《侵害消费者权益行为处罚办法》第十四条“经营者有本办法第五条至第十一条规定的情形之一，其他法律、法规有规定的，依照法律、法规的规定执行；法律、法规未作规定的，由市场监督管理部门依照《消费者权益保护法》第五十六条予以处罚。”和《中华人民共和国消费者权益保护法》第五十六条第一款第（九）项“经营者有下列情形之一，除承担相应的民事责任外，其他有关法律、法规对处罚机关和处罚方式有规定的，依照法律、法规的规定执行；法律、法规未作规定的，由工商行政管理部门或者其他有关行政部门责令改正，可以根据情节单处或者并处警告、没收违法所得、处以违法所得一倍以上十倍以下的罚款，没有违法所得的，处以五十万元以下的罚款；情节严重的，责令停业整顿、吊销营业执照：（九）侵害消费者人格尊严、侵犯消费者人身自由或者侵害消费者个人信息依法得到保护的权利的；”规定，责令当事人改正侵害消费者依法得到保护的个人信息权利的违法行为，并对当事人共给予罚款320000元。
【法律分析】
当事人未明确征求消费者同意的前提下使用人脸识别系统获取消费者人脸信息的行为，属于侵害消费者依法得到保护的个人信息权利的违法行为，违反了《中华人民共和国消费者权益保护法》第二十九条第一款“经营者收集、使用消费者个人信息，应当遵循合法、正当、必要的原则，明示收集、使用信息的目的、方式和范围，并经消费者同意。经营者收集、使用消费者个人信息，应当公开其收集、使用规则，不得违反法律、法规的规定和双方的约定收集、使用信息。”以及《侵害消费者权益行为处罚办法》第十一条第一款第（一）项“ 经营者收集、使用消费者个人信息，应当遵循合法、正当、必要的原则，明示收集、使用信息的目的、方式和范围，并经消费者同意。经营者不得有下列行为：（一）未经消费者同意，收集、使用消费者个人信息；”的规定。
本案作为典型案例能够对非法收集和使用用户生物识别信息的行为起到一定的震慑作用，也将提高全社会对于个人信息保护工作重要性的认识。虽然本案适用法律为《消费者权益保护法》，但是《消费者权益保护法》仅适用对于消费者权益的保护，如果权利受侵害者为非消费者则不能使用该法。目前相关规范和监管正逐步完善，几部相关法律法规也涉及个人信息的保护。
2021年11月1日起实施的《中华人民共和国个人信息保护法》规定，企业对一般个人信息需要尽到告知义务，包括收集范围和使用目的等，且对人脸等敏感信息，企业的告知义务比一般的个人信息要更高，会有其它额外要求，如可能产生的相应风险和影响等。如果违反本法规定处理个人信息，或者处理个人信息未履行本法规定的个人信息保护义务的，由履行个人信息保护职责的部门责令改正，给予警告，没收违法所得，对违法处理个人信息的应用程序，责令暂停或者终止提供服务；拒不改正的，并处一百万元以下罚款；对直接负责的主管人员和其他直接责任人员处一万元以上十万元以下罚款。
2021年6月1日由广东省人大常委会发布的《广东省社会信用条例》中明确禁止市场信用信息采集自然人的宗教信仰、血型信息，疾病、病史信息，基因、指纹等生物识别信息以及法律、行政法规规定禁止采集的其他信息。针对违法采集、使用个人社会信用信息等行为的处罚力度加大，由县级以上人民政府社会信用主管部门或者法律、法规规定的部门责令改正，对单位处五万元以上五十万元以下的罚款；对直接负责的主管人员和其他直接责任人员处一万元以上十万元以下的罚款。
【典型意义】
根据相关国家标准，个人生物识别信息包括个人基因、指纹、声纹、掌纹、耳廓、虹膜、面部识别特征等。人脸信息属于敏感个人信息中的生物识别信息，是生物识别信息中社交属性最强、最易采集的个人信息，具有唯一性和不可更改性，一旦泄露将对个人的人身和财产安全造成极大危害，甚至还可能威胁公共安全，所带来的个人信息保护问题也日益凸显。一些经营者滥用人脸识别技术侵害自然人合法权益的事件频发，引发社会公众的普遍关注和担忧。因人脸信息等身份信息泄露导致“被贷款”“被诈骗”和隐私权、名誉权被侵害等问题也多有发生。甚至还有一些犯罪分子利用非法获取的身份证照片等个人信息制作成动态视频，破解人脸识别验证程序，实施窃取财产、虚开增值税普通发票等犯罪行为。上述行为严重损害自然人的人格权益，侵害其人身、财产等合法权益，破坏社会秩序，亟待进行规制。
