旅客進站被刷臉，鐵路公司成被告

刷臉支付、刷臉打卡、刷臉門禁，近年來“人臉識別”作為一項新的信息技術因其識別的精準性、便捷性在各類領域得到廣泛應用，鐵路運輸企業等公共交通領域也廣泛將其應用於旅客身份識別。

在公共交通領域處理人臉等敏感個人信息是否需要取得乘客單獨同意？運輸部門有哪些告知義務？

下面這案例，為釐清公共利益維護和個人信息保護的邊界提供了有益啓示。

全國首例

公共交通使用人臉識別引糾紛

2021年11月25日，汪某某通過12306購票系統購買了一張從貴陽東站至貴陽北站的C6368次高鐵二等座客票。同日，汪某某於貴陽東站進站乘車時，有人工驗票通道和自助驗票通道，車站廣播提示乘客需要手持身份證、摘掉口罩刷臉進站。

成都鐵路運輸中級法院法官賴佳鵑表示：汪某某購票後通過自助閘機刷臉驗票後進站乘車。汪某某認為鐵路部門在採集其人臉信息時，未依法作出明確告知，也未取得其授權或同意，侵害了她的合法權益，遂向法院提起訴訟。

2023年4月27日，成都鐵路運輸中級法院依法在線開庭審理了汪某某與中國鐵路成都局集團有限公司個人信息保護糾紛案，這也是全國首例公共交通領域使用人臉識別技術引發的個人信息侵權案件。

原告汪某某認為，在她持票證刷臉進站的過程中，成都鐵路局採集並存儲了她的敏感人臉信息。

原告委託代理人：被告在採集和識別人臉信息以後，並沒有向原告告知有沒有存儲原告的個人信息，也沒有向原告告知有沒有刪除原告的個人信息。

在庭審中，成都鐵路局出具了中國鐵道科學研究院對核驗閘機人臉比對流程的説明，載明“核驗過程中，通過比對二代身份證識讀設備讀取的證件照片和刷證時採集的乘客現場照片，確認是否為本人過閘，整個比對流程均離線完成，不保存任何照片”。

被告委託代理人：本案中的自助實名制核驗閘機只是利用人臉識別技術比對人證是否一致，而我們的閘機僅僅使用的是比對的結果，有別於公眾所熟悉的動物園刷臉入園，小區刷臉進門，閘機不具備儲存功能。

車站在處理個人信息過程中是否存在存儲傳輸等行為？為了查清這一事實，案件合議庭走訪了相關的技術專家，併到自助閘機程序設計方中國鐵道科學研究院電子所取證。

賴佳鵑認為：通過相關證據證實，在乘客通過鐵路自助閘機進站過程中，雖然採集了乘客的人臉信息，但並未存儲傳輸及其他處理行為，並未對個人信息安全構成重大威脅。

無先例可依

如何對乘客個人信息準確適用

法庭認定，根據相關證據證實，被告成都鐵路局在處理個人信息過程中不存在存儲傳輸的行為，那麼被告採集原告汪某某人臉信息是否違法？

圍繞這一爭議焦點原被告雙方展開了充分的法庭辯論。

民法典、個人信息保護法等相關法律法規以告知同意規則為基礎，構建了個人信息較為完整的保護體系，但就敏感個人信息如人臉識別信息在公共交通場景下的保護規則並沒有明確的規定。在沒有先例可依的情況下，如何在公共交通領域對乘客個人信息保護規則進行準確適用和認定，是擺在法官面前的一道“難題”。

原告汪某某認為，人臉信息屬於敏感個人信息，根據民法典及個人信息保護法的相關規定，處理敏感個人信息應當取得個人的單獨同意，成都鐵路局並未對進站自助閘機人臉識別取得其個人單獨同意，侵害了其合法權益。

原告委託代理人：原告在進行面部識別前，並沒有任何貴陽東站的工作人員告知原告，採集原告的人臉信息是什麼原因，也沒有看見張貼的告示來告知原告人臉識別的用途以及處理方式，更沒有任何人或者設備在採集原告面部信息時，事先徵得原告的授權或同意。

成都鐵路局認為，通過自助實名制核驗閘機刷臉進站，已經在公共交通領域被大量使用，是廣為知曉的常識。汪某某於貴陽東站進站乘車時，有人工驗票通道和自助驗票通道。原告選擇自助驗票通道，可以視為對成都鐵路局採集人臉信息的默示同意。

被告委託代理人：從2019年開始，鐵路部門開始使用自助實名制核驗設備技術，自助實名制核驗閘機已在鐵路客運服務業廣泛使用，並且在首次使用前通過各類的公眾媒體，進行了大量而廣泛的宣傳，原告依據其日常的生活經驗，能夠知道刷臉進站就是對人證一致性的核對。

法院經審理認為，依據反恐怖主義法、鐵路安全管理條例、鐵路旅客車票實名制管理辦法等有關規定，鐵路運輸企業有基於維護公共安全對乘客進行“票、人、證”一致核對查驗的法定義務，成都鐵路局使用自助實名制核驗閘機，便於提高查驗的精準性和便民性，並通過網站、App、車站語音提示等渠道對刷臉查驗進站方式進行了介紹，已為羣眾所周知。

賴佳鵑表示：鐵路部門基於履行維護公共安全的法定義務，處理乘客人臉信息，符合個人信息保護法不需取得乘客個人同意的情形。

法院經審理同時認為，取得同意義務的免除並不免除告知義務，成都鐵路局未對採集乘客人臉信息的目的、方式、信息處理等事項履行告知義務，存在告知缺陷。

成都鐵路運輸中級法院法官陳洲介紹：案涉車站播放的“需要手持身份證、摘掉口罩”的進站廣播雖隱含有“刷臉進站”用於人臉信息驗證的意思，但該廣播內容不符合個人信息保護法關於告知的相關要求。

《中華人民共和國個人信息保護法》第十七條規定：個人信息處理者在處理個人信息前，應當以顯著方式、清晰易懂的語言真實、準確、完整地向個人告知個人信息處理者的名稱或者姓名和聯繫方式；個人信息的處理目的、處理方式，處理的個人信息種類、保存期限等。

法庭審理認為，本案中人臉信息作為生物識別的敏感個人信息，個人信息處理者還應該依據個人信息保護法規定向個人告知處理敏感個人信息的必要性以及對個人權益的影響。

清華大學法學院教授程嘯表示：個人信息保護法對於敏感的個人信息是給予了非常嚴格的保護的，它要求必須有特定的目的和充分的必要性，包括處理敏感個人信息，要取得個人單獨同意。另外在個人信息處理者對於敏感的個人信息的處理也負有更高度的這種注意的義務。因為敏感的個人信息，如果被泄露或者説非法使用的話，很容易對於人格的尊嚴造成損害，對人身財產安全造成危害，所以法律上給予非常嚴格的保護。

重要的意義

不需要取得同意卻應履行告知義務

綜合考量成都鐵路局為乘客提供人工通道選擇權、多方廣告告示、未過度使用人臉信息以及告知義務缺陷對汪某某的影響和損害小等因素，告知缺陷亦不足以單獨構成侵權。法院對汪某某請求判令成都鐵路局停止違法採集人臉信息、賠禮道歉、賠償損失800元等訴訟請求不予支持。宣判後，當事人未上訴。

案件宣判後，成都鐵路運輸中級法院向中國國家鐵路集團有限公司發送司法建議，建議在互聯網以及車站進站口以多種方式對個人信息處理進行明確告知。中國國家鐵路集團有限公司於2023年8月就司法建議的整改情況正式覆函，立即推動全國鐵路運輸企業及時採取更新網站、優化設備等措施，履行人臉信息採集告知義務。

陳洲表示：本案宣判後，中國國家鐵路局集團公司進一步完善了相關告知義務，通過12306網站更新了隱私政策，設置了提示標誌，提供人工通道等方式，滿足人民羣眾的知情權和選擇權。

程嘯表示：我們國家的個人信息保護法，它實際上是以保護個人信息權益和促進個人信息的合理利用為目的目標的。這個案件有一個重要的意義，它明確了取得同意和履行告知義務，這是兩個規則。這個案件中鐵路部門雖然説進行人臉識別可以不需要取得旅客的同意，但還是應當履行告知義務。