採集利用消費者個人信息需尊重個人選擇權
本報訊 （記者 餘建華 通訊員 富法）日前，浙江省杭州市富陽區人民法院公開開庭宣判原告郭兵與被告杭州野生動物世界有限公司（以下簡稱“野生動物世界”）服務合同糾紛一案，判決野生動物世界賠償郭兵合同利益損失及交通費共計1038元，刪除郭兵辦理指紋年卡時提交的包括照片在內的面部特徵信息；駁回郭兵提出的確認野生動物世界店堂告示、短信通知中相關內容無效等其他訴訟請求。此前，該案備受輿論關注，被媒體稱爲國內“人臉識別第一案”。
2019年4月，郭兵支付1360元購買野生動物世界“暢遊365天”雙人年卡，確定指紋識別入園方式。郭兵與其妻子留存了姓名、身份證號碼、電話號碼等，並錄入指紋、拍照。後野生動物世界將年卡客戶入園方式從指紋識別調整爲人臉識別，並更換了店堂告示。2019年7月、10月，野生動物世界兩次向郭兵發送短信，通知年卡入園識別系統更換事宜，要求激活人臉識別系統，否則將無法正常入園。
此後，雙方就入園方式、退卡等相關事宜協商未果，郭兵遂提起訴訟，要求確認野生動物世界店堂告示、短信通知中相關內容無效，並以野生動物世界違約且存在欺詐行爲爲由要求賠償年卡卡費、交通費，刪除個人信息等。
法院經審理認爲，本案雙方因購買遊園年卡而形成服務合同關係，後因入園方式變更引發糾紛，其爭議焦點實爲對經營者處理消費者個人信息，尤其是指紋和人臉等個人生物識別信息行爲的評價和規範問題。我國法律對於個人信息在消費領域的收集、使用雖未予以禁止，但強調對個人信息處理過程中的監督和管理，即個人信息的收集要遵循“合法、正當、必要”的原則和徵得當事人同意；個人信息的利用要遵循確保安全原則，不得泄露、出售或者非法向他人提供；個人信息被侵害時，經營者需承擔相應的侵權責任。
本案中，客戶在辦理年卡時，野生動物世界以店堂告示的形式告知購卡人需提供部分個人信息，未對消費者作出不公平、不合理的其他規定，客戶的消費知情權和對個人信息的自主決定權未受到侵害。郭兵系自行決定提供指紋等個人信息而成爲年卡客戶。野生動物世界在經營活動中使用指紋識別、人臉識別等生物識別技術，其行爲本身並未違反前述法律規定的原則要求。但是，野生動物世界在合同履行期間將原指紋識別入園方式變更爲人臉識別方式，屬於單方變更合同的違約行爲，郭兵對此明確表示不同意，故店堂告示和短信通知的相關內容不構成雙方之間的合同內容，對郭兵也不具有法律效力，郭兵作爲守約方有權要求野生動物世界承擔相應的法律責任。雙方在辦理年卡時，約定採用的是以指紋識別方式入園，野生動物世界採集郭兵及其妻子的照片信息，超出了法律意義上的必要原則要求，故不具有正當性。此外，審理中未發現有證據表明野生動物世界對郭兵實施了欺詐行爲。
技術進步是社會進步的重要動力。指紋識別、人臉識別等人工智能技術本身並無好壞善惡之分，但科技探索創新運用應當在法治框架內循規而爲。無論是生物識別技術抑或其他新型技術，運用過程中必須依法保護好自然人的個人信息。
以本案中野生動物世界採集照片行爲爲例。雙方在辦理年卡時，約定採用的是以指紋識別方式入園，野生動物世界卻以拍照方式同步採集郭兵及其妻子的面部特徵信息。庭審中，野生動物世界抗辯前述拍照行爲係爲後續採用人臉識別方式入園做準備，但該目的此前並不被郭兵所知曉。儘管野生動物世界在涉指紋識別的“年卡辦理流程”中規定流程包含“至年卡中心拍照”，但其並未告知郭兵與其妻子拍照即已完成對人臉信息的收集及其收集目的，郭兵與其妻子同意拍照的行爲，不應視爲對野生動物世界通過拍照方式收集兩人人臉識別信息的同意。郭兵要求野生動物世界刪除照片，理由正當，應予以支持。
專家點評 消費者選擇權應當得到保障
互聯網法治研究院（杭州）常務副院長、華東政法大學教授 高富平
本案是一起因變更身份驗證方式引發的遊園服務合同糾紛。2019年4月，原告郭兵與被告杭州野生動物世界有限公司所簽署的“暢遊365天”雙人年卡，主合同義務是遊園服務，而身份驗證是合同履行方式的內容之一。簽約3個月後，被告通知年卡入園身份識別系統更換爲人臉識別系統，構成單方面變更履行合同方式。顯然，被告在合同期限內，擅自變更履行方式，沒有給原告選擇權，侵害了原告的消費者權益。法院判決賠償原告合同利益損失，對原告不能享受的遊園服務予以補償，是合理正當的判決。
本案服務合同履行方式涉及到指紋、人臉等身份信息的採集和使用問題，原告拒絕繼續履行合同原因是認爲被告採集人臉違反法律規定，應當認定爲無效。截至目前爲止，我國沒有法律禁止使用人臉作爲身份驗證，而且大量證據表明，因人臉身份驗證的有效性和便捷性，人臉識別被大量地應用於公共和商業服務中。但是，消費者個人信息受法律保護，對於敏感信息的採集應當徵得消費者同意。原告不同意是體現了原告意志，被告應當予以尊重，而不能強迫接受。被告野生動物世界店堂告示、短信通知只是沒有尊重原告的選擇權，但其內容並不違反法律，因而其主張內容無效訴訟請求並未得到法院的支持。
對於個人信息在消費領域的收集、使用，我國法律並不予以禁止，但強調經營者對個人信息處理安全和責任，即個人信息的收集要遵循“合法、正當、必要”的原則和徵得當事人同意。同時，依據消費者權益保護法第二十九條，經營者使用消費者個人信息，應當遵循合法、正當、必要的原則，在服務合同結束且無繼續保存消費者個人信息必要的情形下，應當予以刪除所收集的個人信息。因此，法院判決刪除郭兵辦理指紋年卡時提交的包括照片在內的面部特徵信息，是嚴格依照法律作出的判決，彰顯了法院嚴格適用個人信息保護現行法律規定，保護個人信息上的人格權益的態度。
我國正在制定個人信息保護法，強化對個人信息的保護，本案判決具有一定的啓示和參考價值。採集消費者身份信息，尤其是生物、人臉信息需要尊重消費者個人的選擇權；同時由於個人信息是締結和履行涉及消費者的合同必要條件，經營者可以依法採集和使用個人信息，但是必須尊重個人選擇權，且對個人信息必須嚴格保密，不得泄露、出售或者非法向他人提供，保障信息主體的權益。