目前来看，法院判决逻辑建立在“合同违约”之上，而并未触及核心问题：一般商业场景非要使用“指纹、人脸识别”不可吗？
文 | 《财经》E法 殷继 编辑 | 朱弢
4月9日，历时近两年的“人脸识别第一案”终审落槌宣判。
此案源起于2019年4月，浙江理工大学特聘教授郭兵支付1360元，购买野生动物世界双人年卡，确定指纹识别入园方式。同年7月、10月，野生动物世界两次向郭兵发送短信，通知年卡入园识别系统更换事宜，要求激活人脸识别系统，否则将无法正常入园。但是，郭兵认为人脸信息属于高度敏感个人隐私，不同意接受人脸识别，要求园方退卡。在协商未果的情况下，郭兵于同年10月28日向杭州市富阳区人民法院（下称“富阳法院”）提起诉讼。
2020年11月20日，富阳法院作出一审判决，判令野生动物世界赔偿郭兵合同利益损失及交通费共计1038元；删除郭兵办理指纹年卡时提交的包括照片在内的面部特征信息；驳回郭兵要求确认店堂告示、短信通知中相关内容无效等其他诉讼请求。
郭兵与野生动物世界均表示不服，分别向杭州市中级人民法院（下称“杭州中院”）提起上诉。
在杭州中院终审判决，杭州野生动物世界有限公司（后称“野生动物世界”）应当删除郭兵的“面部特征信息”及“指纹识别信息”。
终审判决后，人民网发表评论称，“人脸识别第一案”终审判决意义非凡，“判决告诉我们，可以勇敢地向人脸识别说‘不’”。
但在《财经》E法看来，该案虽然强调生物识别信息应当谨慎处理和严格保护，但它可能仅代表了司法机关的态度。
对于多数人而言，恐怕难以从法院的“表态”中获益，因为该案并未触及人脸识别技术中更为核心的问题，即：这项技术使用的边界在哪里？
非人脸识别不可吗？
在法院看来，该案为服务合同纠纷，其判决是以存在“合同违约”为前提，来支持郭兵的部分诉讼请求。例如：野生动物世界欲将收集照片激活为人脸识别信息，超出事前约定收集目的，因而判令野生动物世界删除郭兵教授办卡时包括照片在内的“人脸信息”。又因野生动物世界停止使用指纹识闸机，致使以“指纹识别”入园的履行方式无法实现，从而要求删除指纹。
无论在该案的一审还是二审，对于“进动物园必须要人脸识别”这件事的“必要性”探讨并不充分。例如，在富阳法院在一审判决中称：
“野生动物世界基于年卡用户可在有效期内无限次入园畅游的实际情况，使用指纹识别、人脸识别等生物识别技术，以达到甄别年卡用户身份、提高年卡用户入园效率的目的，该行为本身符合前述法律规定的“合法、正当、必要”三原则的要求。”
该裁判说理是否暗含着：为商业利益获取的高效，使用指纹、人脸识别等生物技术来识别特定用户就具有合法性基础呢？倘若依该判决进行场景的类推，一家VIP会员制的健身房、一家年卡制的大型超市岂不是都能以“为了保证进入效率”来推行指纹、人脸识别的应用？
接下来的问题是，这些一般商业场景非使用“指纹、人脸识别”不可吗？
过去传统的人工核验身份证件的方式，对于商家和消费者而言可能丧失部分效率，但对于保障个人信息安全而言是更加有效的。在现阶段，因屡发个人信息泄露导致的公共危机事件，消费者有合理的理由在一般商业场景中拒绝“被人脸识别”。
依据法律要求，公民个人信息的采集和处理依据“合法、正当、必要”等原则。但现实中，往往商家通过单方面在营业厅张贴告示告知，或者在冗长的格式合同中通过“标黑、加粗、下划线”来约定，这看似获得用户同意，满足了“合法原则”，但并不意味着是“正当”且“必要”的。
如果说“核验特定用户身份”还可以牵强解释为“目的明确合理”，因此具有“正当原则”。但无论如何难以认定“进动物园必须要人脸识别”这件事是合乎“必要原则”的。
对指纹、人脸等生物识别技术的应用，应当严格地来解释“必要原则”。例如：支付领域为保证用户财产安全；教育领域在大型考试中为杜绝替考；司法安防领域用于打击犯罪等“强身份认证”场景中，生物识别技术运用才有讨论“必要”的余地。
换言之，进动物园不使用人脸识别会产生什么后果？无非是消费者入园时间延长、动物园需要增加人力进行身份核验。但不排除有人愿意牺牲一点“便利”来确保个人信息的安全，尤其在个人信息泄露事件频繁的现实背景下。
现实中，多数人对于生物识别技术的担忧自于它的安全性。指纹、人脸是具有唯一识别性的，在这些信息经过触摸板、摄像头的扫描成为一串数据后，个人对于这些数据的使用就已经“失控”。尤其是“人脸识别”，它不像指纹需要个人配合才能进行扫描，而只要是摄像头能捕捉到的地方，即可在不知不觉间完成面部特征信息采集。
消费者能信赖这些商家会周延保护他们的个人信息吗？这恐怕很难。商家使用指纹、人脸识别技术替代传统人工核验方式，为的是节省人力成本。但存储、处理个人信息，保障数据安全同样需要增加支出。商家会为了保护这些数据来增加支出吗？这恐怕并不现实。
应保障个人的“信息自决权”
个人信息具有商业价值，在消费者的忧虑中，不乏担心商家会贩卖他们的个人信息来获利。在今年央视315晚会上，苏州万店掌网络科技有限公司、上海悠络客电子科技股份有限公司因涉嫌违规收集人脸信息遭点名，多家企业采买上述两家公司产品放置公共区域，违法采集海量消费者人脸信息进行商业使用，但整个采集过程消费者完全被“蒙在鼓里”。
目前，尽管行政、司法部门对于违法、违规收集公民个人信息、贩卖公民个人信息等行为在不断加大打击力度。但遗憾的是，个人信息一经泄露，就在也难以恢复至“原初状态”。如今佩着口罩都人脸识别，恐怕个人信息被泄露后，个人即便整容也再难逃被识别和定位。
事后监管难以周延保护公民个人信息安全。因此，更应当严格限制人脸识别的应用场景，如果不能这样做。那么至少应该提供给个人拒绝“被人脸识别”的选择，以及赋予个人信息的“删除权”，来保障个人的“信息自决权”。
关于“删除权”，根据中国现行的《网络安全法》第四十三条和《民法典》第一千零三十七条，个人享有个人信息删除的权利，需建立在个人信息处理者违反法律规定或者违反双方约定收集、处理个人信息的前提上。
但现实中，因为生物识别技术具有隐蔽性，尤其是“人脸识别”，个人往往被采集了信息而不自知，更难以举证存在违法或违约收集、处理个人信息的情形。即使确定侵权或者违约存在，需要删除被个人信息时，也难以确认是否被真的删除。
例如，在“人脸识别第一案”终审判决作出后，郭兵声称将申请再审，正是因为他强烈质疑野生动物世界只需向法院出具情况说明，就可表示已删除个人信息，而是否真正删除，完全由野生动物世界一方说了算。因此，他要求在第三方技术机构见证删除信息的真实性。
欧盟GDPR（General Data Protection Regulation，简称“GDPR”）的删除权（被遗忘权）则不完全以个人信息处理者存在违法或违约收集、处理个人信息为前提，当个人撤回同意时，个人信息处理者也有义务删除个人数据。在中国修订中的《个人信息保护法》（草案）中，可看到对标GDPR删除权的条款，但该法是否能在今后顺利落地，还有待观察。
当媒体及公众为“人脸识别第一案”的结果欢呼时，但至少郭兵仍未满意。他对媒体宣称，要求法院认定野生动物世界将指纹及人脸识别作为唯一入园方式的规则无效，才是他最核心的诉讼请求。
从这个意义上来看，“人脸识别第一案”的一审、二审判决并未解决根本问题，即：审查进入动物园必须采用指纹、人脸识别的“必要性”。目前来看，整个判决逻辑建立在“合同违约”之上，而非将“个人信息保护框架”中的“知情同意”“信息自决权”等理念渗入司法推理之中。
遗憾的是，现行的法律难以抑制生物识别技术的扩张应用，更难以周延保护公民个人信息及隐私的安全。我们在等待《个人信息保护法》或者新的司法案例来临之前，亟待需要限制“人脸识别”的应用场景，倘若不能做到这点，那么至少应该保障公民拒绝“被人脸识别”的权利。
