浙江湖州:某景区人脸识别公益损害民事公益诉讼案
【关键词】
民事公益诉讼 人脸识别 个人信息保护 数据合规 一体化办案
【要旨】
检察机关依托“技术+办案”一体化协作机制,对严重侵害游客人脸信息的景区依法启动民事公益诉讼监督程序,做好案件办理与企业数据合规建设相统一,督促景区运营企业合法、合规的收集、利用和存储人脸信息数据,推动景区整体数据合规体系建设,充分保障游客的知情权和选择权等合法权益。
【基本案情】
某景区由浙江某旅游发展有限公司(以下简称旅发公司)负责实际运营,为了方便游客快速入园,2020年7月景区通过招标,委托浙江某智能科技有限公司(以下简称某科技公司)建设完成人脸识别系统,并投入运行。系统使用期间,某景区在采集游客人脸信息时未依法履行告知义务,存在强制要求购票游客录入人脸信息的情形,且景区未对采集到的人脸信息定期加以删除导致游客个人信息处于不安全的状态,截止2021年11月,某景区共采集、存储游客人脸信息120万余条。
【调查和诉讼】
2021年10月,省院将某景区侵害游客人脸信息线索交办湖州市检察院办理。湖州市检察院经过分析研判,认为该案案情重大疑难复杂,第一时间成立办案专班,联合基层检察院一体化办案,召开案件专题研讨会议,集中明确案件办理思路,预判案件办理中可能出现的风险点,讨论案件涉及的相关法律问题,总结案件办理的要点。
2021年11月3日,市检察院与基层检察院一体展开调查、核实、取证工作。调查发现某景区由旅发公司负责实际运营,景区存在违法收集游客人脸信息,且收集程度超出必要性;对游客人脸信息储存及使用缺乏具体制度规范。11月9日,办案人员与检察信息技术人员对某景区人脸识别系统前端完成电子取证。11月12日,检察机关办案人员、省消保委、法律专家、某景区管委会及旅发公司召开保护公民个人信息商谈会,并就某景区人脸识别侵害案进行磋商。
2021年11月18日,检察机关向旅发公司制发检察建议,建议旅发公司积极整改问题,确保合规运营。11月24日,省市基层三级院专班成员、技术人员一同到某科技公司对某景区违规收集、存储的人脸信息数据进行电子取证和现场勘检,并监督某科技公司对相关违规存储数据进行彻底删除。同日,旅发公司就检察建议书中指出的问题整改完成情况回复检察机关。
2021年12月,市检察院与市网信部门关于某景区全链条合规建设进行深入磋商,双方达成协作共识,以某景区数据合规体系建设为切入点,推动具有湖州特色的个人信息保护监管保准出台,形成体系化的监管模式,确保个人信息处理者合规收集、使用、存储信息,保障公民个人信息安全,维护社会公共利益。
【典型意义】
生物识别信息作为敏感的个人信息,深度体现自然人的生理和行为特征。人脸识别技术本身存在着技术风险,一旦被滥用将会侵犯公民权利、危害社会秩序、消弭共同体的信任。某景区人脸识别侵害案是《个人信息保护法》实施以来全市首例针对公民生物识别信息保护的民事公益诉讼案件,检察机关积极发挥民事公益诉讼检察监督职能,充分发挥多维一体化办案机制、办案+技术协作融合机制、办案+社会公众力量参与监督机制,从保护公民个人信息与信息处理者发展相结合角度出发,帮助信息处理者建立合规体系,规避法律风险。同时根据场景应用对人脸识别技术进行标准化规制,推动其既发挥其强大的社会服务功能,又预防化解其潜在信息侵害危害,实现个人信息保护法治化社会化协同治理的目标。