刷臉支付、刷臉打卡、刷臉門禁，近年來“人臉識別”作為一項新的信息技術因其識別的精準性、便捷性在各類領域得到廣泛應用，鐵路運輸企業等公共交通領域也廣泛將其應用于旅客身份識別。在公共交通領域處理人臉等敏感個人信息是否需要取得乘客單獨同意？運輸部門有哪些告知義務？接下來關注的這起候選案例為厘清公共利益維護和個人信息保護的邊界提供了有益啟示。

2021年11月25日，汪某某通過12306購票系統購買了一張從貴陽東站至貴陽北站的C6368次高鐵二等座客票。同日，汪某某于貴陽東站進站乘車時，有人工驗票通道和自助驗票通道，車站廣播提示乘客需要手持身份證、摘掉口罩刷臉進站。

成都鐵路運輸中級法院法官 賴佳鵑：汪某某購票后通過自助閘機刷臉驗票后進站乘車。汪某某認為鐵路部門在采集其人臉信息時，未依法作出明確告知，也未取得其授權或同意，侵害了她的合法權益，遂向法院提起訴訟。

2023年4月27日，成都鐵路運輸中級法院依法在線開庭審理了汪某某與中國鐵路成都局集團有限公司個人信息保護糾紛案，這也是全國首例公共交通領域使用人臉識別技術引發的個人信息侵權案件。

原告委托代理人：訴訟請求，一、判令被告停止違法采集個人人臉信息。二、判令被告限期刪除采集到原告的生物識別信息。

原告汪某某認為，在她持票證刷臉進站的過程中，成都鐵路局采集并存儲了她的敏感人臉信息。

原告委托代理人：被告在采集和識別人臉信息以后，并沒有向原告告知有沒有存儲原告的個人信息，也沒有向原告告知有沒有刪除原告的個人信息。

在庭審中，成都鐵路局出具了中國鐵道科學研究院對核驗閘機人臉比對流程的說明，載明“核驗過程中，通過比對二代身份證識讀設備讀取的證件照片和刷證時采集的乘客現場照片，確認是否為本人過閘，整個比對流程均離線完成，不保存任何照片”。

被告委托代理人：本案中的自助實名制核驗閘機只是利用人臉識別技術比對人證是否一致，而我們的閘機僅僅使用的是比對的結果，有別于公眾所熟悉的動物園刷臉入園，小區刷臉進門，閘機不具備儲存功能。

車站在處理個人信息過程中是否存在存儲傳輸等行為？為了查清這一事實，案件合議庭走訪了相關的技術專家，并到自助閘機程序設計方中國鐵道科學研究院電子所取證。

成都鐵路運輸中級法院法官 賴佳鵑：通過相關證據證實，在乘客通過鐵路自助閘機進站過程中，雖然采集了乘客的人臉信息，但并未存儲傳輸及其他處理行為，并未對個人信息安全構成重大威脅。

無先例可依

如何對乘客個人信息準確適用

法庭認定，根據相關證據證實，被告成都鐵路局在處理個人信息過程中不存在存儲傳輸的行為，那么被告采集原告汪某某人臉信息是否違法？圍繞這一爭議焦點原被告雙方展開了充分的法庭辯論。民法典、個人信息保護法等相關法律法規以告知同意規則為基礎，構建了個人信息較為完整的保護體系，但就敏感個人信息如人臉識別信息在公共交通場景下的保護規則并沒有明確的規定。在沒有先例可依的情況下，如何在公共交通領域對乘客個人信息保護規則進行準確適用和認定，是擺在法官面前的一道“難題”。

原告汪某某認為，人臉信息屬于敏感個人信息，根據民法典及個人信息保護法的相關規定，處理敏感個人信息應當取得個人的單獨同意，成都鐵路局并未對進站自助閘機人臉識別取得其個人單獨同意，侵害了其合法權益。

原告委托代理人：原告在進行面部識別前，并沒有任何貴陽東站的工作人員告知原告，采集原告的人臉信息是什么原因，也沒有看見張貼的告示來告知原告人臉識別的用途以及處理方式，更沒有任何人或者設備在采集原告面部信息時，事先征得原告的授權或同意。

成都鐵路局認為，通過自助實名制核驗閘機刷臉進站，已經在公共交通領域被大量使用，是廣為知曉的常識。汪某某于貴陽東站進站乘車時，有人工驗票通道和自助驗票通道。原告選擇自助驗票通道，可以視為對成都鐵路局采集人臉信息的默示同意。

被告委托代理人：從2019年開始，鐵路部門開始使用自助實名制核驗設備技術，自助實名制核驗閘機已在鐵路客運服務業廣泛使用，并且在首次使用前通過各類的公眾媒體，進行了大量而廣泛的宣傳，原告依據其日常的生活經驗，能夠知道刷臉進站就是對人證一致性的核對。

法院經審理認為，依據反恐怖主義法、鐵路安全管理條例、鐵路旅客車票實名制管理辦法等有關規定，鐵路運輸企業有基于維護公共安全對乘客進行“票、人、證”一致核對查驗的法定義務，成都鐵路局使用自助實名制核驗閘機，便于提高查驗的精準性和便民性，并通過網站、App、車站語音提示等渠道對刷臉查驗進站方式進行了介紹，已為群眾所周知。

成都鐵路運輸中級法院法官 賴佳鵑：鐵路部門基于履行維護公共安全的法定義務，處理乘客人臉信息符合個人信息保護法不需取得乘客個人同意的情形。

法院經審理同時認為，取得同意義務的免除并不免除告知義務，成都鐵路局未對采集乘客人臉信息的目的、方式、信息處理等事項履行告知義務，存在告知缺陷。

成都鐵路運輸中級法院法官 陳洲：案涉車站播放的“需要手持身份證、摘掉口罩”的進站廣播雖隱含有“刷臉進站”用于人臉信息驗證的意思，但該廣播內容不符合個人信息保護法關于告知的相關要求。

《中華人民共和國個人信息保護法》第十七條規定：個人信息處理者在處理個人信息前，應當以顯著方式、清晰易懂的語言真實、準確、完整地向個人告知個人信息處理者的名稱或者姓名和聯系方式；個人信息的處理目的、處理方式，處理的個人信息種類、保存期限等。

法庭審理認為，本案中人臉信息作為生物識別的敏感個人信息，個人信息處理者還應該依據個人信息保護法規定向個人告知處理敏感個人信息的必要性以及對個人權益的影響。

清華大學法學院教授 程嘯：個人信息保護法對于敏感的個人信息是給予了非常嚴格的保護的，它要求必須有特定的目的和充分的必要性，包括處理敏感個人信息，要取得個人單獨同意。另外在個人信息處理者對于敏感的個人信息的處理也負有更高度的這種注意的義務。因為敏感的個人信息，如果被泄露或者說非法使用的話，很容易對于人格的尊嚴造成損害，對人身財產安全造成危害，所以法律上給予非常嚴格的保護。

綜合考量成都鐵路局為乘客提供人工通道選擇權、多方廣告告示、未過度使用人臉信息以及告知義務缺陷對汪某某的影響和損害小等因素，告知缺陷亦不足以單獨構成侵權。法院對汪某某請求判令成都鐵路局停止違法采集人臉信息、賠禮道歉、賠償損失800元等訴訟請求不予支持。宣判后，當事人未上訴。

案件宣判后，成都鐵路運輸中級法院向中國國家鐵路集團有限公司發送司法建議，建議在互聯網以及車站進站口以多種方式對個人信息處理進行明確告知。中國國家鐵路集團有限公司于2023年8月就司法建議的整改情況正式復函，立即推動全國鐵路運輸企業及時采取更新網站、優化設備等措施，履行人臉信息采集告知義務。

成都鐵路運輸中級法院法官 陳洲：本案宣判后，中國國家鐵路局集團公司進一步完善了相關告知義務，通過12306網站更新了隱私政策，設置了提示標志，提供人工通道等方式，滿足人民群眾的知情權和選擇權。

清華大學法學院教授 程嘯：我們國家的個人信息保護法，它實際上是以保護個人信息權益和促進個人信息的合理利用為目的目標的。這個案件有一個重要的意義，它明確了取得同意和履行告知義務，這是兩個規則。這個案件中鐵路部門雖然說進行人臉識別可以不需要取得旅客的同意，但還是應當履行告知義務。

（原題為《“刷臉”時代個人信息采集是否安全？有何規范？法官解讀》）