N据央视网

央视新闻

刷脸支付、刷脸打卡、刷脸门禁，近年来“人脸识别”作为一项新的信息技术因其识别的精准性、便捷性在各类领域得到广泛应用，铁路运输企业等公共交通领域也广泛将其应用于旅客身份识别。

那么，在公共交通领域处理人脸等敏感个人信息是否需要取得乘客单独同意？运输部门有哪些告知义务？

公共交通使用人脸识别引纠纷

2021年11月25日，汪某某通过12306购票系统购买了一张从贵阳东站至贵阳北站的C6368次高铁二等座客票。同日，汪某某于贵阳东站进站乘车时，有人工验票通道和自助验票通道，车站广播提示乘客需要手持身份证、摘掉口罩刷脸进站。

汪某某购票后通过自助闸机刷脸验票后进站乘车。她认为，铁路部门在采集其人脸信息时，未依法作出明确告知，也未取得其授权或同意，侵害了她的合法权益，遂向法院提起诉讼。

2023年4月27日，成都铁路运输中级法院依法在线开庭审理了汪某某与中国铁路成都局集团有限公司个人信息保护纠纷案，这也是全国首例公共交通领域使用人脸识别技术引发的个人信息侵权案件。

原告汪某某认为，在持票证刷脸进站的过程中，成都铁路局采集并存储了她的敏感人脸信息。

在庭审中，成都铁路局出具了中国铁道科学研究院对核验闸机人脸比对流程的说明，载明“核验过程中，通过比对二代身份证识读设备读取的证件照片和刷证时采集的乘客现场照片，确认是否为本人过闸，整个比对流程均离线完成，不保存任何照片”。

那么，车站在处理个人信息过程中是否存在存储传输等行为？

成都铁路运输中级法院法官赖佳鹃说，通过相关证据证实，在乘客通过铁路自助闸机进站过程中，虽然采集了乘客的人脸信息，但并未存储传输及其他处理行为，并未对个人信息安全构成重大威胁。

如何对乘客个人信息准确适用？

法庭认定，根据相关证据证实，被告成都铁路局在处理个人信息过程中不存在存储传输的行为，那么被告采集原告汪某某人脸信息是否违法？

民法典、个人信息保护法等相关法律法规以告知同意规则为基础，构建了个人信息较为完整的保护体系，但就敏感个人信息如人脸识别信息在公共交通场景下的保护规则并没有明确的规定。在没有先例可依的情况下，如何在公共交通领域对乘客个人信息保护规则进行准确适用和认定，是摆在法官面前的一道“难题”。

法院经审理认为，依据反恐怖主义法、铁路安全管理条例、铁路旅客车票实名制管理办法等有关规定，铁路运输企业有基于维护公共安全对乘客进行“票、人、证”一致核对查验的法定义务，成都铁路局使用自助实名制核验闸机，便于提高查验的精准性和便民性，并通过网站、APP、车站语音提示等渠道对刷脸查验进站方式进行了介绍，已为群众所知。

赖佳鹃表示，铁路部门基于履行维护公共安全的法定义务，处理乘客人脸信息，符合个人信息保护法不需取得乘客个人同意的情形。

法院经审理同时认为，取得同意义务的免除并不免除告知义务，成都铁路局未对采集乘客人脸信息的目的、方式、信息处理等事项履行告知义务，存在告知缺陷。

清华大学法学院教授程啸认为，个人信息保护法对于敏感的个人信息是给予了非常严格的保护的，它要求必须有特定的目的和充分的必要性，包括处理敏感个人信息，要取得个人单独同意。另外在个人信息处理者对于敏感的个人信息的处理也负有更高度的这种注意的义务。

不需要取得同意 但应履行告知义务

综合考量成都铁路局为乘客提供人工通道选择权、多方广告告示、未过度使用人脸信息以及告知义务缺陷对汪某某的影响和损害小等因素，告知缺陷亦不足以单独构成侵权。法院对汪某某请求判令成都铁路局停止违法采集人脸信息、赔礼道歉、赔偿损失800元等诉讼请求不予支持。宣判后，当事人未上诉。

案件宣判后，成都铁路运输中级法院向中国国家铁路集团有限公司发送司法建议，建议在互联网以及车站进站口以多种方式对个人信息处理进行明确告知。中国国家铁路集团有限公司于2023年8月就司法建议的整改情况正式复函，立即推动全国铁路运输企业及时采取更新网站、优化设备等措施，履行人脸信息采集告知义务。

程啸称，个人信息保护法实际上是以保护个人信息权益和促进个人信息的合理利用为目的目标的。这个案件有一个重要的意义，它明确了取得同意和履行告知义务，这是两个规则。这个案件中铁路部门虽然说进行人脸识别可以不需要取得旅客的同意，但还是应当履行告知义务。