全国首例！乘客起诉铁路部门刷脸进站侵权法院驳回；|台湾虎航遭遇信息泄漏！85.8 万数据可被下载

刷脸支付、刷脸打卡、刷脸门禁，近年来“人脸识别”作为一项新的信息技术因其识别的精准性、便捷性在各类领域得到广泛应用，铁路运输企业等公共交通领域也广泛将其应用于旅客身份识别。

在公共交通领域处理人脸等敏感个人信息是否需要取得乘客单独同意？运输部门有哪些告知义务？

下面这案例，为厘清公共利益维护和个人信息保护的边界提供了有益启示。

全国首例公共交通使用人脸识别引纠纷

2021年11月25日，汪某某通过12306购票系统购买了一张从贵阳东站至贵阳北站的C6368次高铁二等座客票。同日，汪某某于贵阳东站进站乘车时，有人工验票通道和自助验票通道，车站广播提示乘客需要手持身份证、摘掉口罩刷脸进站。

成都铁路运输中级法院法官 赖佳鹃：汪某某购票后通过自助闸机刷脸验票后进站乘车。汪某某认为铁路部门在采集其人脸信息时，未依法作出明确告知，也未取得其授权或同意，侵害了她的合法权益，遂向法院提起诉讼。

2023年4月27日，成都铁路运输中级法院依法在线开庭审理了汪某某与中国铁路成都局集团有限公司个人信息保护纠纷案，这也是全国首例公共交通领域使用人脸识别技术引发的个人信息侵权案件。

原告汪某某认为，在她持票证刷脸进站的过程中，成都铁路局采集并存储了她的敏感人脸信息。

原告委托代理人：被告在采集和识别人脸信息以后，并没有向原告告知有没有存储原告的个人信息，也没有向原告告知有没有删除原告的个人信息。

在庭审中，成都铁路局出具了中国铁道科学研究院对核验闸机人脸比对流程的说明，载明“核验过程中，通过比对二代身份证识读设备读取的证件照片和刷证时采集的乘客现场照片，确认是否为本人过闸，整个比对流程均离线完成，不保存任何照片”。

被告委托代理人：本案中的自助实名制核验闸机只是利用人脸识别技术比对人证是否一致，而我们的闸机仅仅使用的是比对的结果，有别于公众所熟悉的动物园刷脸入园，小区刷脸进门，闸机不具备储存功能。

车站在处理个人信息过程中是否存在存储传输等行为？为了查清这一事实，案件合议庭走访了相关的技术专家，并到自助闸机程序设计方中国铁道科学研究院电子所取证。

成都铁路运输中级法院法官 赖佳鹃：通过相关证据证实，在乘客通过铁路自助闸机进站过程中，虽然采集了乘客的人脸信息，但并未存储传输及其他处理行为，并未对个人信息安全构成重大威胁。

无先例可依 如何对乘客个人信息准确适用

法庭认定，根据相关证据证实，被告成都铁路局在处理个人信息过程中不存在存储传输的行为，那么被告采集原告汪某某人脸信息是否违法？

围绕这一争议焦点原被告双方展开了充分的法庭辩论。

民法典、个人信息保护法等相关法律法规以告知同意规则为基础，构建了个人信息较为完整的保护体系，但就敏感个人信息如人脸识别信息在公共交通场景下的保护规则并没有明确的规定。在没有先例可依的情况下，如何在公共交通领域对乘客个人信息保护规则进行准确适用和认定，是摆在法官面前的一道“难题”。

原告汪某某认为，人脸信息属于敏感个人信息，根据民法典及个人信息保护法的相关规定，处理敏感个人信息应当取得个人的单独同意，成都铁路局并未对进站自助闸机人脸识别取得其个人单独同意，侵害了其合法权益。

原告委托代理人：原告在进行面部识别前，并没有任何贵阳东站的工作人员告知原告，采集原告的人脸信息是什么原因，也没有看见张贴的告示来告知原告人脸识别的用途以及处理方式，更没有任何人或者设备在采集原告面部信息时，事先征得原告的授权或同意。

成都铁路局认为，通过自助实名制核验闸机刷脸进站，已经在公共交通领域被大量使用，是广为知晓的常识。汪某某于贵阳东站进站乘车时，有人工验票通道和自助验票通道。原告选择自助验票通道，可以视为对成都铁路局采集人脸信息的默示同意。

被告委托代理人：从2019年开始，铁路部门开始使用自助实名制核验设备技术，自助实名制核验闸机已在铁路客运服务业广泛使用，并且在首次使用前通过各类的公众媒体，进行了大量而广泛的宣传，原告依据其日常的生活经验，能够知道刷脸进站就是对人证一致性的核对。

法院经审理认为，依据反恐怖主义法、铁路安全管理条例、铁路旅客车票实名制管理办法等有关规定，铁路运输企业有基于维护公共安全对乘客进行“票、人、证”一致核对查验的法定义务，成都铁路局使用自助实名制核验闸机，便于提高查验的精准性和便民性，并通过网站、App、车站语音提示等渠道对刷脸查验进站方式进行了介绍，已为群众所周知。

成都铁路运输中级法院法官 赖佳鹃：铁路部门基于履行维护公共安全的法定义务，处理乘客人脸信息，符合个人信息保护法不需取得乘客个人同意的情形。

法院经审理同时认为，取得同意义务的免除并不免除告知义务，成都铁路局未对采集乘客人脸信息的目的、方式、信息处理等事项履行告知义务，存在告知缺陷。

成都铁路运输中级法院法官 陈洲：案涉车站播放的“需要手持身份证、摘掉口罩”的进站广播虽隐含有“刷脸进站”用于人脸信息验证的意思，但该广播内容不符合个人信息保护法关于告知的相关要求。

《中华人民共和国个人信息保护法》第十七条规定：个人信息处理者在处理个人信息前，应当以显著方式、清晰易懂的语言真实、准确、完整地向个人告知个人信息处理者的名称或者姓名和联系方式；个人信息的处理目的、处理方式，处理的个人信息种类、保存期限等。

法庭审理认为，本案中人脸信息作为生物识别的敏感个人信息，个人信息处理者还应该依据个人信息保护法规定向个人告知处理敏感个人信息的必要性以及对个人权益的影响。

清华大学法学院教授 程啸：个人信息保护法对于敏感的个人信息是给予了非常严格的保护的，它要求必须有特定的目的和充分的必要性，包括处理敏感个人信息，要取得个人单独同意。另外在个人信息处理者对于敏感的个人信息的处理也负有更高度的这种注意的义务。因为敏感的个人信息，如果被泄露或者说非法使用的话，很容易对于人格的尊严造成损害，对人身财产安全造成危害，所以法律上给予非常严格的保护。

重要的意义 不需要取得同意却应履行告知义务

综合考量成都铁路局为乘客提供人工通道选择权、多方广告告示、未过度使用人脸信息以及告知义务缺陷对汪某某的影响和损害小等因素，告知缺陷亦不足以单独构成侵权。法院对汪某某请求判令成都铁路局停止违法采集人脸信息、赔礼道歉、赔偿损失800元等诉讼请求不予支持。宣判后，当事人未上诉。

案件宣判后，成都铁路运输中级法院向中国国家铁路集团有限公司发送司法建议，建议在互联网以及车站进站口以多种方式对个人信息处理进行明确告知。中国国家铁路集团有限公司于2023年8月就司法建议的整改情况正式复函，立即推动全国铁路运输企业及时采取更新网站、优化设备等措施，履行人脸信息采集告知义务。

成都铁路运输中级法院法官 陈洲：本案宣判后，中国国家铁路局集团公司进一步完善了相关告知义务，通过12306网站更新了隐私政策，设置了提示标志，提供人工通道等方式，满足人民群众的知情权和选择权。

清华大学法学院教授 程啸：我们国家的个人信息保护法，它实际上是以保护个人信息权益和促进个人信息的合理利用为目的目标的。这个案件有一个重要的意义，它明确了取得同意和履行告知义务，这是两个规则。这个案件中铁路部门虽然说进行人脸识别可以不需要取得旅客的同意，但还是应当履行告知义务。

根据知道创宇暗网雷达监测，2024年1月9日，台湾虎航的85.8万条数据遭泄露，其中包括客户数据和航班预定数据。泄露的客户数据包括id、账户、密码、国籍、姓名、性别、生日、电子邮件、护照号码、护照过期日期、重置密码代码、创建时间等详细信息。而预定数据则包括id、创建者、创建日期、更新者、预订Id、预订参考号、电子邮件地址、乘客数量、产品类别、已创建的代理名称等信息。

此次数据泄露事件引起关注，特别是在中华航空公司的数据泄露事件之后。值得注意的是，2022年7月22日，台湾虎航曾在其官网发表公告称遭受了一次网络攻击事件，幸运的是未造成重大运营影响。然而，这次新的数据泄露可能对客户隐私和公司声誉带来新的风险。