时间: 2024-10-25 05:53:54 | 作者: 陶瓷穿墙套管
人往摄像头前一站，随着瞬间的定格，门禁就自动识别出人脸信息，自动放行——“人脸识别”是不需要口令的“芝麻开门”，如今在智能解锁、刷脸支付等领域应用十分广泛，也是公寓、社区和写字楼入门的常用“生物钥匙”。但如果这些场所强行采集“人脸”信息，却不能很好地保护这一些信息，便违背了“人脸识别”应用的初衷，同样是违反法律的行为。
当一家连锁长租公寓仅采用“人脸识别”才能打开门禁，拒绝提供其他进门识别方式，采集的人脸和身份信息又未做到安全保密存储和定期删除，上海市虹口区人民检察院以公益诉讼促行政监管，监督公寓整改，保护公民“人脸”信息安全。
2023年初，虹口区检察院公益检察官在相关平台线索摸排中发现有市民反映在入住虹口区某家连锁长租公寓时被要求必须“刷脸”进门，其不愿提供人脸信息希望公寓给予门禁卡或其他方式，但被拒绝。
“人脸信息是生物识别信息中社交属性最强、最易采集的个人隐私信息，具有唯一性和不可更改性，一旦泄露将对个人的人身和财产安全造成极大危害。”检察官介绍，“《上海市数据条例》明确规定，在本市商场、超市、公园、景区、公共文化体育场馆、宾馆等公共场所，以及居住小区、商务楼宇等区域，不得以图像采集、个人身份识别技术作为出入该场所或者区域的唯一验证方式”。
这也意味着，任何公共场所不得强制将‘人脸识别’作为唯一的门禁出入方式，这不仅侵害了不特定人的个人隐私信息权益，同样损害了个人隐私信息保护领域的社会公共利益。为此，公益检察官多次来到该公寓开展调查核实，发现该公寓确实存在将人脸识别技术作为出入公寓的唯一验证方式的情况。检察官同时走访该连锁公寓下另一处公寓，同样存在类似情况。
而检察官在联系到反映该问题的相关市民后，得知该公寓门禁系统是其入住之后安装，安装后公寓管理方通知其来录入人脸信息。“需要向管理方提供本人半身正面照等信息，虽然管理方承诺会谨慎保管，但不知这些人脸信息会不会被不法利用或者泄露……”该市民也表示隐隐担忧。
检察官在调查中也发现，该公寓在采集入住租客人脸信息时并未以显著方式准确、完整告知处理敏感个人隐私信息应当告知的事项，如：处理个人隐私信息的目的、方式、种类、保存期限，处理者的姓名、联系方式，和处理敏感个人隐私信息对个人权益的影响和行使权利的方式、程序等法定事项。
也未采取保障信息安全相关的必要措施。公寓未制定数据安全内部管理制度和操作规程，也未对工作人员进行有关安全教育和培训。管理门禁和保存数十万条人脸信息的电脑及主机都不进行加密处理，门禁系统的账号密码直接保存在电脑中，直接点击就能登陆……
“系统管理区域就位于大堂出入口旁，公寓出入人员较多，信息泄露的风险性较高。”检察官介绍，门禁系统中还长期存储有退租人员、外卖配送员、访客等人员的人脸信息。
公寓工作人员表示：“安装人脸识别门禁系统是为了加强安全管理，更好落实治安防治要求，避免外来人员随意进出公寓，可以最大限度地保障住户的人身和财产安全，访客能够最终靠底楼呼叫等方式进入公寓。”
长租公寓是近年来逐步出现的新业态，而人脸识别同样也是数字时代的新技术。相关行政监管部门对此类新业态中涉及的人脸信息保护问题，在法律和法规和监管上认识理解不同。
公益诉讼检察官立足现行法律和法规，研判分析后认为，根据《上海市数据条例》的相关规定“本市实行数据工作与业务工作协同管理，管区域必须管数字化转型、管行业必须管数字化转型，加强运用数字化手段，提升治理能力和治理水平”。同时根据政府相关公开信息，两处长租公寓使用性质均为租赁住宅。因此，住房租赁行业主管部门应当依照国家和本市有关法律法规，承担住房租赁行业数据安全监管职责。
在多次走访和磋商后，2023年2月，虹口区检察院向住房租赁主管部门制发检察建议，建议该部门依法对两处公寓将人脸识别门禁作为唯一验证出入方式的行为督促整改，增加另外可选验证方式，并督促住房租赁企业履行处理个人敏感信息的法定告知义务和建立完整数据安全管理制度。
经公益检察官联合本院“技术调查官”“益心为公”志愿者以及属地居委工作人员现场回访，两处公寓已经采取了一系列整改措施：增设24小时保安人工服务、IC门禁卡等非生物识别验证出入方式；通过在微信管理群中发布《入住告知书》、在大堂放置《入住贴士》、在人脸识别门禁处张贴提示标识等方式，告知新客户和老客户处理敏感个人隐私信息相关的法定事项；制定《客户信息保密管理办法》、与工作人员签订保密承诺书、对工作人员进行保密培训、电脑设置开机密码等，完善数据安全内部管理制度和操作规程。
现场回访中发现，两处公寓在敏感信息的处理管理中仍存在一定问题：人脸识别门禁系统中仍存储有大量陌生人脸信息，系统电脑中安装有远程协助软件、仍接入互联网等，遂监督相关行政部门进一步督促落实整改。经督促整改，相关公寓已将门禁系统电脑改为内网运行，删除远程协助软件、并建立陌生人脸信息定期删除制度。
“根据《中华人民共和国个人隐私信息保护法》相关规定，处理个人隐私信息应当遵循合法、正当、必要和诚信原则，不可以通过误导、欺诈、胁迫等方式处理个人隐私信息。只有在具有特定的目的和充分的必要性，并采取严格保护措施的情形下，个人隐私信息处理者方可处理敏感个人信息。对宾馆、居住小区、商务楼宇等场所和区域来说，如何在法律规定内合理采集和使用人脸信息，需要从业人员做到懂法、守法。”检察官表示，“人脸识别技术是数字时代快速的提升进步的产物，也是人工智能的重要应用。长租公寓安装人脸识别门禁对于强化治安管理，保障租户的人身财产安全具备极其重大作用，但应规范、智能、便捷地使用人脸识别技术。”
“任何变相、强迫收集人脸信息，泄露公民个人隐私信息的行为，都是违法的。”检察官说。（风云法眼）