近日，一則“浙大法學(xué)博士拒絕‘刷臉’入園，起訴杭州野生動(dòng)物世界獲立案”新聞報(bào)道，刷爆網(wǎng)絡(luò)。該案因同時(shí)有“法學(xué)博士”、“刷臉”、“第一起相關(guān)訴訟”等標(biāo)簽而備受關(guān)注，又被稱(chēng)為“中國(guó)人臉識(shí)別第一案”。

該案基本事實(shí)如下：

浙江理工大學(xué)特聘副教授郭兵博士，今年4月27日購(gòu)買(mǎi)了一張杭州野生動(dòng)物世界（以下一般稱(chēng)為“動(dòng)物園方面”）的雙人年卡，卡費(fèi)是1360元，有效期內(nèi)通過(guò)同時(shí)驗(yàn)證年卡及指紋方式入園。今年7月，動(dòng)物園方面將人臉識(shí)別檢票系統(tǒng)引入，拆除了原來(lái)的指紋檢票閘門(mén)。10月17日，動(dòng)物園方面向年卡用戶(hù)發(fā)送了一條信息，稱(chēng)：園區(qū)年卡系統(tǒng)已經(jīng)升級(jí)為人臉識(shí)別入園，原指紋識(shí)別已取消；即日起，未注冊(cè)人臉識(shí)別的用戶(hù)將無(wú)法正常入園。

作為年卡用戶(hù)，郭兵收到了這條短信。10月26日，他前往動(dòng)物園那里核實(shí)，發(fā)現(xiàn)廣告牌都明確要求進(jìn)行人臉識(shí)別。他向?qū)Ψ奖硎静煌獠杉四樞畔ⅲ玫降拇饛?fù)是必須進(jìn)行人臉識(shí)別，年卡才能繼續(xù)使用。他想要退卡，但動(dòng)物園方面表示，只能把他已經(jīng)進(jìn)園次數(shù)的相應(yīng)費(fèi)用扣除，將剩下的錢(qián)退還。

郭兵表示不能接受：“我買(mǎi)年卡后都進(jìn)園可能有5次左右，換算成人進(jìn)園5次再退剩下的，這樣一弄，我難不成還要倒貼錢(qián)嗎？”（成人票一次220元。）

10月28日，郭兵向杭州市富陽(yáng)區(qū)人民法院提起了訴訟，在起訴狀中，他敘述了事情的經(jīng)過(guò)，起訴要求是全額退卡。11月1日，法院正式?jīng)Q定立案受理這起案件。郭兵對(duì)媒體表示：“我起訴主要不是為了賠償經(jīng)濟(jì)損失。我個(gè)人認(rèn)為目前人臉識(shí)別技術(shù)應(yīng)用存在不確定的安全風(fēng)險(xiǎn)，需要進(jìn)一步加以規(guī)范。”

本案的爭(zhēng)議焦點(diǎn)是，動(dòng)物園方面能否單方更改入園方式？

從合同法的角度來(lái)看，動(dòng)物園方面在原初的年卡合同締結(jié)之后，在履行過(guò)程中單方更改游客入園方式，若游客不配合即拒絕游客入園，此舉明顯屬于違約。就此而言，郭兵要求解除合同，全額退卡，有事實(shí)和法律依據(jù)。

不過(guò)，從新聞報(bào)道來(lái)看，在郭兵與動(dòng)物園方面交涉后，后者曾同意為郭“特事特辦”，允許其憑借年卡和身份證雙重驗(yàn)證入園。如此一來(lái)，本案很可能以郭兵敗訴或雙方和解告終，從而使得其意圖使“企業(yè)刷臉技術(shù)應(yīng)用之正當(dāng)性經(jīng)受司法檢驗(yàn)”的目標(biāo)落空。

企業(yè)是否有權(quán)收集用戶(hù)面部數(shù)據(jù)？企業(yè)能否強(qiáng)制推廣刷臉?lè)绞降纳矸蒡?yàn)證？現(xiàn)行法律并未直接提供答案。《消費(fèi)者權(quán)益保護(hù)法》第二十九條規(guī)定：“經(jīng)營(yíng)者收集、使用消費(fèi)者個(gè)人信息，應(yīng)當(dāng)遵循合法、正當(dāng)、必要的原則，明示收集、使用信息的目的、方式和范圍，并經(jīng)消費(fèi)者同意。”但這一原則性規(guī)定畢竟較為含糊和概括，通常無(wú)法單獨(dú)成為裁判依據(jù)。只不過(guò)，大體上判斷，動(dòng)物園方面單方?jīng)Q定收集用戶(hù)面部數(shù)據(jù)，既談不上合法和正當(dāng)，更談不上具有非此不可的必要性。

從比較法的角度來(lái)看，這個(gè)問(wèn)題的答案會(huì)清晰得多。

歐盟頒行的《通用數(shù)據(jù)保護(hù)條例》（GDPR）第4條第（14）項(xiàng)對(duì)“生物識(shí)別數(shù)據(jù)”進(jìn)行了界定，即：“‘生物識(shí)別數(shù)據(jù)’是通過(guò)對(duì)自然人的物理、生物或行為特征進(jìn)行特定的技術(shù)處理得到的個(gè)人數(shù)據(jù)。這類(lèi)數(shù)據(jù)生成了那個(gè)自然人的唯一標(biāo)識(shí)，比如人臉圖像或指紋識(shí)別數(shù)據(jù)。”很顯然，面部數(shù)據(jù)屬于典型的生物識(shí)別數(shù)據(jù)。

GDPR第9條（特殊種類(lèi)的個(gè)人數(shù)據(jù)處理）第1款規(guī)定：“對(duì)揭示種族或民族出身，政治觀點(diǎn)、宗教或哲學(xué)信仰，工會(huì)成員的個(gè)人數(shù)據(jù)，以及以唯一識(shí)別自然人為目的的基因數(shù)據(jù)、生物特征數(shù)據(jù)，健康、自然人的性生活或性取向的數(shù)據(jù)的處理應(yīng)當(dāng)被禁止。”第2款列舉了十種不適用第一款的情形。

簡(jiǎn)言之，據(jù)GDPR的規(guī)定，除非獲得數(shù)據(jù)主體的明示同意，或基于公共安全、科學(xué)或歷史研究或統(tǒng)計(jì)目的、醫(yī)療預(yù)防等有限列舉的公共利益的目的，自然人的生物識(shí)別數(shù)據(jù)等特殊數(shù)據(jù)，原則上禁止處理（包括收集）。

本案中的杭州野生動(dòng)物世界作為一家企業(yè)，其收集游客的生物識(shí)別數(shù)據(jù)僅僅是為了所謂的游客入園的便捷和效率，自然與公共利益沾不上邊。若以此為準(zhǔn)，其收集游客面部信息的行為明顯違法。而且，這家動(dòng)物園規(guī)定游客必須進(jìn)行人臉識(shí)別，其年卡才能繼續(xù)使用，固然算是征得游客同意后收集其面部信息，但無(wú)疑剝奪了游客的選擇權(quán)。

不要以為這種嚴(yán)格保護(hù)用戶(hù)個(gè)人信息的做法只在歐盟范圍內(nèi)才有。美國(guó)加利福尼亞州2018年6月28日頒布了《2018年加州消費(fèi)者隱私法案》（CCPA）。這部迄今為止美國(guó)最嚴(yán)格的隱私立法，將于2020年1月1日生效，其隱私保護(hù)力度不亞于歐盟的《通用數(shù)據(jù)保護(hù)條例》。該法案為消費(fèi)者創(chuàng)建了訪(fǎng)問(wèn)權(quán)、刪除權(quán)、知情權(quán)等一系列消費(fèi)者隱私權(quán)利，規(guī)定企業(yè)應(yīng)根據(jù)消費(fèi)者的要求刪除相關(guān)數(shù)據(jù)，不得通過(guò)拒絕給消費(fèi)者提供商品或服務(wù)，或者對(duì)商品或者服務(wù)收取不同價(jià)格或者費(fèi)率的方式歧視消費(fèi)者行使權(quán)利。

為什么歐美兩大經(jīng)濟(jì)體對(duì)個(gè)人數(shù)據(jù)提供越來(lái)越嚴(yán)格的保護(hù)？歸根到底是因?yàn)椋S著大數(shù)據(jù)新技術(shù)的革命性發(fā)展，個(gè)體比歷史以往任何時(shí)候都要顯得更加透明和脆弱，更加不堪一擊，個(gè)體與大企業(yè)乃至與公權(quán)力之間的強(qiáng)弱鴻溝，比以往任何時(shí)候都要更加固化，難以逾越。

就我國(guó)而言，為何應(yīng)當(dāng)限制企業(yè)擅自收集用戶(hù)敏感信息？

一方面，數(shù)據(jù)收集企業(yè)未必“有德”，企業(yè)收集了大量用戶(hù)數(shù)據(jù)之后，再將其打包處理并倒賣(mài)，此現(xiàn)象如今相當(dāng)普遍。雖說(shuō)現(xiàn)行《刑法》禁止擅自出售或提供公民個(gè)人信息，但實(shí)際上，只要數(shù)據(jù)交易沒(méi)有產(chǎn)生實(shí)際嚴(yán)重后果，《刑法》基本上不會(huì)用得上。“要么坐牢，要么無(wú)事”，正成為當(dāng)前個(gè)人信息濫用亂象的真實(shí)寫(xiě)照，而坐牢畢竟是小概率的事件。

另一方面，數(shù)據(jù)收集企業(yè)未必“有能”。任何打算收集用戶(hù)數(shù)據(jù)的企業(yè)都應(yīng)當(dāng)有一定的物質(zhì)配備和組織配備，以確保用戶(hù)數(shù)據(jù)尤其是敏感數(shù)據(jù)的安全。但如今但凡是一個(gè)企業(yè)，都想著盡可能多地采集用戶(hù)數(shù)據(jù)，完全不顧及其自身是否有能力安全存儲(chǔ)這些數(shù)據(jù)。近些年，用戶(hù)數(shù)據(jù)大規(guī)模泄露事件可謂此起彼伏，大型企業(yè)也不能幸免，這恰恰反映出當(dāng)前數(shù)據(jù)存儲(chǔ)領(lǐng)域存在重大安全隱患。在這樣的背景下，消費(fèi)者有理由盡可能避免自身的敏感數(shù)據(jù)被企業(yè)采集，以防患于未然。

個(gè)人信息越敏感，泄露后被他人不當(dāng)使用帶來(lái)的風(fēng)險(xiǎn)和危害就越大。面部數(shù)據(jù)的敏感性較指紋更勝一籌。通常只有在需要最高級(jí)別身份驗(yàn)證的場(chǎng)合下才會(huì)使用這種方式，比如出入境安檢、機(jī)場(chǎng)或高鐵安檢等場(chǎng)合。刷臉甚至是一種最高級(jí)別的支付身份驗(yàn)證手段。這些均表明個(gè)人面部數(shù)據(jù)的敏感性和重要性。如此私密的個(gè)人數(shù)據(jù)，理應(yīng)獲得法律最嚴(yán)格的保護(hù)和最謹(jǐn)慎的對(duì)待。

倘若作為企業(yè)的某家動(dòng)物園都可以要求游客刷臉進(jìn)入，又有什么樣的企業(yè)不可以單方宣布采用此種身份驗(yàn)證手段呢？如此一來(lái)，中國(guó)用戶(hù)面部數(shù)據(jù)庫(kù)將會(huì)泛濫成災(zāi)，最終很可能影響國(guó)家數(shù)據(jù)安全。就此而言，縱容企業(yè)以智慧城市為名，以便捷為取向，擅自收取用戶(hù)敏感的面部數(shù)據(jù)，絕非智者之選。

我國(guó)個(gè)人信息保護(hù)法的制定一直在路上。希望這部讓人期待已久的法律能早日出臺(tái)，扭轉(zhuǎn)目前公民個(gè)人信息保護(hù)問(wèn)題上刑法與民法、行政法倒掛的不正常現(xiàn)象，為個(gè)人信息保護(hù)，尤其是包括用戶(hù)面部數(shù)據(jù)在內(nèi)的敏感信息的保護(hù)，提供更權(quán)威和統(tǒng)一的詳細(xì)規(guī)則。

筆者希望，“中國(guó)面部識(shí)別第一案”的審判法院能夠在個(gè)人面部數(shù)據(jù)保護(hù)問(wèn)題上提出符合當(dāng)今世界潮流的新見(jiàn)解，為當(dāng)前裸奔的刷臉大躍進(jìn)潑一盆叫人清醒的冷水，從而載入史冊(cè)。