近日，一則“浙大法學(xué)博士拒絕‘刷臉’入園，起訴杭州野生動物世界獲立案”新聞報道，刷爆網(wǎng)絡(luò)。該案因同時有“法學(xué)博士”、“刷臉”、“第一起相關(guān)訴訟”等標(biāo)簽而備受關(guān)注，又被稱為“中國人臉識別第一案”。

該案基本事實(shí)如下：

浙江理工大學(xué)特聘副教授郭兵博士，今年4月27日購買了一張杭州野生動物世界（以下一般稱為“動物園方面”）的雙人年卡，卡費(fèi)是1360元，有效期內(nèi)通過同時驗(yàn)證年卡及指紋方式入園。今年7月，動物園方面將人臉識別檢票系統(tǒng)引入，拆除了原來的指紋檢票閘門。10月17日，動物園方面向年卡用戶發(fā)送了一條信息，稱：園區(qū)年卡系統(tǒng)已經(jīng)升級為人臉識別入園，原指紋識別已取消；即日起，未注冊人臉識別的用戶將無法正常入園。

作為年卡用戶，郭兵收到了這條短信。10月26日，他前往動物園那里核實(shí)，發(fā)現(xiàn)廣告牌都明確要求進(jìn)行人臉識別。他向?qū)Ψ奖硎静煌獠杉四樞畔ⅲ玫降拇饛?fù)是必須進(jìn)行人臉識別，年卡才能繼續(xù)使用。他想要退卡，但動物園方面表示，只能把他已經(jīng)進(jìn)園次數(shù)的相應(yīng)費(fèi)用扣除，將剩下的錢退還。

郭兵表示不能接受：“我買年卡后都進(jìn)園可能有5次左右，換算成人進(jìn)園5次再退剩下的，這樣一弄，我難不成還要倒貼錢嗎？”（成人票一次220元。）

10月28日，郭兵向杭州市富陽區(qū)人民法院提起了訴訟，在起訴狀中，他敘述了事情的經(jīng)過，起訴要求是全額退卡。11月1日，法院正式?jīng)Q定立案受理這起案件。郭兵對媒體表示：“我起訴主要不是為了賠償經(jīng)濟(jì)損失。我個人認(rèn)為目前人臉識別技術(shù)應(yīng)用存在不確定的安全風(fēng)險，需要進(jìn)一步加以規(guī)范。”

本案的爭議焦點(diǎn)是，動物園方面能否單方更改入園方式？

從合同法的角度來看，動物園方面在原初的年卡合同締結(jié)之后，在履行過程中單方更改游客入園方式，若游客不配合即拒絕游客入園，此舉明顯屬于違約。就此而言，郭兵要求解除合同，全額退卡，有事實(shí)和法律依據(jù)。

不過，從新聞報道來看，在郭兵與動物園方面交涉后，后者曾同意為郭“特事特辦”，允許其憑借年卡和身份證雙重驗(yàn)證入園。如此一來，本案很可能以郭兵敗訴或雙方和解告終，從而使得其意圖使“企業(yè)刷臉技術(shù)應(yīng)用之正當(dāng)性經(jīng)受司法檢驗(yàn)”的目標(biāo)落空。

企業(yè)是否有權(quán)收集用戶面部數(shù)據(jù)？企業(yè)能否強(qiáng)制推廣刷臉方式的身份驗(yàn)證？現(xiàn)行法律并未直接提供答案。《消費(fèi)者權(quán)益保護(hù)法》第二十九條規(guī)定：“經(jīng)營者收集、使用消費(fèi)者個人信息，應(yīng)當(dāng)遵循合法、正當(dāng)、必要的原則，明示收集、使用信息的目的、方式和范圍，并經(jīng)消費(fèi)者同意。”但這一原則性規(guī)定畢竟較為含糊和概括，通常無法單獨(dú)成為裁判依據(jù)。只不過，大體上判斷，動物園方面單方?jīng)Q定收集用戶面部數(shù)據(jù)，既談不上合法和正當(dāng)，更談不上具有非此不可的必要性。

從比較法的角度來看，這個問題的答案會清晰得多。

歐盟頒行的《通用數(shù)據(jù)保護(hù)條例》（GDPR）第4條第（14）項(xiàng)對“生物識別數(shù)據(jù)”進(jìn)行了界定，即：“‘生物識別數(shù)據(jù)’是通過對自然人的物理、生物或行為特征進(jìn)行特定的技術(shù)處理得到的個人數(shù)據(jù)。這類數(shù)據(jù)生成了那個自然人的唯一標(biāo)識，比如人臉圖像或指紋識別數(shù)據(jù)。”很顯然，面部數(shù)據(jù)屬于典型的生物識別數(shù)據(jù)。

GDPR第9條（特殊種類的個人數(shù)據(jù)處理）第1款規(guī)定：“對揭示種族或民族出身，政治觀點(diǎn)、宗教或哲學(xué)信仰，工會成員的個人數(shù)據(jù)，以及以唯一識別自然人為目的的基因數(shù)據(jù)、生物特征數(shù)據(jù)，健康、自然人的性生活或性取向的數(shù)據(jù)的處理應(yīng)當(dāng)被禁止。”第2款列舉了十種不適用第一款的情形。

簡言之，據(jù)GDPR的規(guī)定，除非獲得數(shù)據(jù)主體的明示同意，或基于公共安全、科學(xué)或歷史研究或統(tǒng)計(jì)目的、醫(yī)療預(yù)防等有限列舉的公共利益的目的，自然人的生物識別數(shù)據(jù)等特殊數(shù)據(jù)，原則上禁止處理（包括收集）。

本案中的杭州野生動物世界作為一家企業(yè)，其收集游客的生物識別數(shù)據(jù)僅僅是為了所謂的游客入園的便捷和效率，自然與公共利益沾不上邊。若以此為準(zhǔn)，其收集游客面部信息的行為明顯違法。而且，這家動物園規(guī)定游客必須進(jìn)行人臉識別，其年卡才能繼續(xù)使用，固然算是征得游客同意后收集其面部信息，但無疑剝奪了游客的選擇權(quán)。

不要以為這種嚴(yán)格保護(hù)用戶個人信息的做法只在歐盟范圍內(nèi)才有。美國加利福尼亞州2018年6月28日頒布了《2018年加州消費(fèi)者隱私法案》（CCPA）。這部迄今為止美國最嚴(yán)格的隱私立法，將于2020年1月1日生效，其隱私保護(hù)力度不亞于歐盟的《通用數(shù)據(jù)保護(hù)條例》。該法案為消費(fèi)者創(chuàng)建了訪問權(quán)、刪除權(quán)、知情權(quán)等一系列消費(fèi)者隱私權(quán)利，規(guī)定企業(yè)應(yīng)根據(jù)消費(fèi)者的要求刪除相關(guān)數(shù)據(jù)，不得通過拒絕給消費(fèi)者提供商品或服務(wù)，或者對商品或者服務(wù)收取不同價格或者費(fèi)率的方式歧視消費(fèi)者行使權(quán)利。

為什么歐美兩大經(jīng)濟(jì)體對個人數(shù)據(jù)提供越來越嚴(yán)格的保護(hù)？歸根到底是因?yàn)椋S著大數(shù)據(jù)新技術(shù)的革命性發(fā)展，個體比歷史以往任何時候都要顯得更加透明和脆弱，更加不堪一擊，個體與大企業(yè)乃至與公權(quán)力之間的強(qiáng)弱鴻溝，比以往任何時候都要更加固化，難以逾越。

就我國而言，為何應(yīng)當(dāng)限制企業(yè)擅自收集用戶敏感信息？

一方面，數(shù)據(jù)收集企業(yè)未必“有德”，企業(yè)收集了大量用戶數(shù)據(jù)之后，再將其打包處理并倒賣，此現(xiàn)象如今相當(dāng)普遍。雖說現(xiàn)行《刑法》禁止擅自出售或提供公民個人信息，但實(shí)際上，只要數(shù)據(jù)交易沒有產(chǎn)生實(shí)際嚴(yán)重后果，《刑法》基本上不會用得上。“要么坐牢，要么無事”，正成為當(dāng)前個人信息濫用亂象的真實(shí)寫照，而坐牢畢竟是小概率的事件。

另一方面，數(shù)據(jù)收集企業(yè)未必“有能”。任何打算收集用戶數(shù)據(jù)的企業(yè)都應(yīng)當(dāng)有一定的物質(zhì)配備和組織配備，以確保用戶數(shù)據(jù)尤其是敏感數(shù)據(jù)的安全。但如今但凡是一個企業(yè)，都想著盡可能多地采集用戶數(shù)據(jù)，完全不顧及其自身是否有能力安全存儲這些數(shù)據(jù)。近些年，用戶數(shù)據(jù)大規(guī)模泄露事件可謂此起彼伏，大型企業(yè)也不能幸免，這恰恰反映出當(dāng)前數(shù)據(jù)存儲領(lǐng)域存在重大安全隱患。在這樣的背景下，消費(fèi)者有理由盡可能避免自身的敏感數(shù)據(jù)被企業(yè)采集，以防患于未然。

個人信息越敏感，泄露后被他人不當(dāng)使用帶來的風(fēng)險和危害就越大。面部數(shù)據(jù)的敏感性較指紋更勝一籌。通常只有在需要最高級別身份驗(yàn)證的場合下才會使用這種方式，比如出入境安檢、機(jī)場或高鐵安檢等場合。刷臉甚至是一種最高級別的支付身份驗(yàn)證手段。這些均表明個人面部數(shù)據(jù)的敏感性和重要性。如此私密的個人數(shù)據(jù)，理應(yīng)獲得法律最嚴(yán)格的保護(hù)和最謹(jǐn)慎的對待。

倘若作為企業(yè)的某家動物園都可以要求游客刷臉進(jìn)入，又有什么樣的企業(yè)不可以單方宣布采用此種身份驗(yàn)證手段呢？如此一來，中國用戶面部數(shù)據(jù)庫將會泛濫成災(zāi)，最終很可能影響國家數(shù)據(jù)安全。就此而言，縱容企業(yè)以智慧城市為名，以便捷為取向，擅自收取用戶敏感的面部數(shù)據(jù)，絕非智者之選。

我國個人信息保護(hù)法的制定一直在路上。希望這部讓人期待已久的法律能早日出臺，扭轉(zhuǎn)目前公民個人信息保護(hù)問題上刑法與民法、行政法倒掛的不正常現(xiàn)象，為個人信息保護(hù)，尤其是包括用戶面部數(shù)據(jù)在內(nèi)的敏感信息的保護(hù)，提供更權(quán)威和統(tǒng)一的詳細(xì)規(guī)則。

筆者希望，“中國面部識別第一案”的審判法院能夠在個人面部數(shù)據(jù)保護(hù)問題上提出符合當(dāng)今世界潮流的新見解，為當(dāng)前裸奔的刷臉大躍進(jìn)潑一盆叫人清醒的冷水，從而載入史冊。