近日，天津市第一中级人民法院二审判决的人脸识别纠纷案受到社会关注。该案并非是人脸识别纠纷的第一起案件，2019年杭州市就发生了被称为“人脸识别第一案”的郭兵诉杭州野生动物世界有限公司服务合同纠纷案。相比而言，天津人脸识别纠纷案显然是更典型的使用人脸识别技术处理个人信息的民事案件。因为，一方面，现实生活中有很多小区在疫情防控期间采取了人脸识别技术来管控小区的人员出入，因此本案具有很广泛的代表性;另一方面，本案也涉及到个人信息保护法领域的一些重要问题，值得关注和思考，如人脸信息是隐私还是个人信息?何种情况下利用人脸识别技术处理个人信息是合法的等。

人脸信息是隐私还是个人信息

个人信息是指，以电子或者其他方式记录的与已识别或者可识别的自然人有关的各种信息，不包括匿名化处理后的信息。人脸信息就是自然人的面部特征信息，属于生物识别信息之一。故此，人脸信息当然是个人信息。依据《民法典》与《个人信息保护法》，自然人就其人脸信息等个人信息享有个人信息权益，受到法律的保护。在天津人脸识别纠纷案中，两审法院之所以有不同的判决，根本原因在于对人脸信息究竟是隐私还是个人信息存在认识上的不同。

依据《民法典》第1032条第2款，隐私是自然人的私人生活安宁和不愿为他人知晓的私密空间、私密活动、私密信息。自然人的私密信息属于隐私，该私密信息可能是个人信息，也可能不是个人信息。如果人脸信息被认定为个人信息中的私密信息的话，那么依据《民法典》第1034条第3款，“个人信息中的私密信息，适用有关隐私权的规定;没有规定的，适用有关个人信息保护的规定。”

显然，人脸信息仅仅是个人信息，而不属于私密信息。所谓私密信息是指自然人不愿为他人知晓的信息，这些信息一旦未经自然人同意被他人知晓或公开，将会侵害自然人的私生活安宁、私生活自主乃至人格尊严。只有这样的信息才属于私密信息，如自然人的健康信息、婚姻信息、家庭信息、财产信息、犯罪记录、人生经历、嗜好、性取向等。人脸信息暴露于外，除非自然人隐居荒无人烟之处或者通过美容而改头换面，否则他(她)在社会交往中是无法隐藏或不愿他人知晓其脸部特征信息的。因为，人们在日常社会交往中必须通过脸部特征来识别特定的自然人，人与人之间的交流也需要借助面部表情加以实现。故此，人脸信息当然不属于私密信息，不是隐私。

故此，本案的案由应确定为“个人信息保护纠纷”，而非“隐私权纠纷”。

人脸信息属于敏感的个人信息

人脸信息不仅属于个人信息，还属于敏感的个人信息。

《个人信息保护法》第28条第1款规定：“敏感个人信息是一旦泄露或者非法使用，容易导致自然人的人格尊严受到侵害或者人身、财产安全受到危害的个人信息，包括生物识别、宗教信仰、特定身份、医疗健康、金融账户、行踪轨迹等信息，以及不满十四周岁未成年人的个人信息。”该款中的生物识别信息，是指关于自然人的身体、生理或行为特征的信息，包括人脸、指纹、声纹、掌纹、基因、虹膜、耳廓等信息。《最高人民法院关于审理使用人脸识别技术处理个人信息等相关民事案件适用法律若干问题的规定》(以下简称“人脸识别司法解释”)第1条第3款明确规定：“本规定所称人脸信息属于民法典第一千零三十四条规定的‘生物识别信息’。”

生物识别信息是与特定的自然人唯一对应的，并且难以或无法改变的。数据化的个人生物特征可以被永久性使用。生物识别信息既可以看作是关于某个自然人的个人信息的内容，也可以看作是一个信息与该自然人的关联，例如，张三的指纹这一生物识别信息既可以说是张三的指纹，也可以说与张三有关(如张三曾触摸过某物品而在其上留下了指纹)。因此，生物识别信息可以作为身份识别指标，用于识别特定的自然人。特别是随着人脸识别等生物识别技术的发展，个人生物特征这一信息可以很容易获取并被用于验证、识别和分析特定的自然人，从而形成对个人的全面监控(边沁所谓的“圆形监狱”)，侵害人格尊严、损害人格自由，对个人的人身权益、财产权益造成损害。故此，人脸信息等个人生物识别信息属于敏感的个人信息。

对于处理敏感的个人信息，我国《个人信息保护法》作出了严格的规定，包括：首先，只有在具有特定的目的和充分的必要性，并采取严格保护措施的情形下，个人信息处理者方可处理敏感个人信息。其次，处理敏感个人信息应当取得个人的单独同意;法律、行政法规规定处理敏感个人信息应当取得书面同意的，从其规定。再次，个人信息处理者处理敏感个人信息的，除《个人信息保护法》第17条第1款规定的事项外，还应当向个人告知处理敏感个人信息的必要性以及对个人权益的影响，除非依照《个人信息保护法》的规定可以不向个人告知。最后，个人信息处理者处理敏感个人信息的，应当事前进行个人信息保护影响评估，并对处理情况进行记录。

利用人脸识别技术属于个人信息处理活动

人脸识别(facialrecognition)，通俗地说，就是使用面部识别或确认个人身份的方法。专业地说，就是指自动处理包含个人面部