刷脸取厕纸背后：以免费之名侵害个人敏感信息丨21合规调查

如厕取纸先“刷脸”，是否有必要？近日，记者在北京大学肿瘤医院卫生间发现了这样的“智能取纸机”：公众取厕纸时要站在机器前，机器完成人脸识别后才会吐纸，纸巾长度约70cm，同一用户在9分钟内不能二次取纸。 

在记者实地探访过程中，不少使用者对“刷脸取纸”的信息安全问题表达了担忧。经搜索发现，上海、青岛、西安等多地都有类似的“人脸识别取纸机”，或许是为了打消使用者的顾虑，这些设备均强调“不存储任何人脸信息”“通过了公安部安全检测”。

受访律师指出，人脸信息是敏感个人信息，一旦泄露或者非法使用，将会对个人的人身财产权益造成严重侵害。商家应全面评估自身处理个人信息的合法性、正当性、必要性及需履行的法律义务，谨慎使用人脸识别技术。

据了解，北京大学肿瘤医院卫生间的“人脸识别取纸机”设备供应方为“首联智能”，即天津首联科技有限公司。记者以买家身份咨询该公司，一位销售人员称，产品的价格根据型号而有所不同，最高价格为9000元/台。机器单次出纸长度为60-120cm，人次间隔为1-99 分钟，出纸长度和间隔时长均可调节。

（人脸识别取纸机）

在该销售人员发来的产品介绍中，“智能”和“节约”是其最大的卖点，即通过人脸识别，解决用户多拿、偷拿、整卷拿厕纸的现象。

北京大成律师事务所高级合伙人邓志松指出，“刷脸取纸”的初衷是为避免浪费，这似乎无可厚非，但人脸信息作为个人生物识别信息，属于敏感个人信息。根据《个人信息保护法》，仅在具有特定的目的和充分的必要性，并采取严格保护措施的情形下方可处理敏感个人信息，且应当取得单独同意、书面同意或不满14周岁未成年人的监护人同意。

2023年8月公布的《人脸识别技术应用安全管理规定（试行）（征求意见稿）》提到，旅馆客房、公共浴室、更衣室、卫生间及其他可能侵害他人隐私的场所不得安装图像采集、个人身份识别设备。

“尽管前述规定尚未正式施行，但也具有参考意义。”邓志松认为，即使避免浪费的目的具有一定正当性，但考虑到存在投币式取纸、感应式取纸等更便捷、个人信息侵害风险更低的替代技术手段，“刷脸取纸”是否具备充分的必要性值得商榷。

浙江垦丁律师事务所李晋沅律师提示，人脸信息属于“数字人权”，具有唯一性、永久性和不可替代性，一旦被泄露或者非法使用，将引发无底线的算法歧视、无节制的追踪监视、无下限的不信任和提防等不良后果，损害人格尊严，且人脸识别广泛应用于金融支付，人脸信息被盗用，将危害财产安全。

“刷脸取纸既不满足法律规定的必要情形，在具体操作中，似乎也不满足同意、告知等具体操作细节。”李晋沅说。

当记者向该销售人员询问“人脸识别取纸机”如何处理个人信息、是否有信息泄露风险时，其表示设备采用节点识别的方式，无需用户转头、张嘴等等，而是通过对比相关点位，避免同一人多次重复取纸，“不采集、不上传任何数据”“不会存储用户面部信息”。

该销售人员还展示了产品的《公安部安全与警用电子产品质量检测中心检验报告》，检验项目中有一项为“人脸识别自动删除功能”，检验结果为“符合要求”。但是，报告并未包含产品的使用场景、数据处理方式、数据安全保障措施等内容，也无法体现其不采集、不存储、不上传人脸信息。

（销售人员展示的检测报告截图）

李晋沅指出，人脸识别系统主要包括人脸图像采集及检测、人脸图像预处理、人脸图像特征提取、人脸图像匹配与识别四个组成部分，主要针对人脸中不易产生变化的部分如眼眶、颧骨周围及嘴部边缘区域等进行图像处理。而所谓的节点识别，本质上依然是脸部生物识别，构成最基础的信息采集。

邓志松表示，本地人脸识别方式下，人脸识别数据的收集、使用等处理都在终端设备完成，而远程人脸识别则采用终端收集、远程服务器端使用的处理模式，数据处理在终端和服务器端分别进行。

“‘不存储任何人脸信息’的人脸识别取纸机应属于前者，如果其声称的技术手段和安全检测结果属实，其风险相对可控，但这并不意味着运营相关设备、使用人脸识别技术就没有任何法律风险。”邓志松认为，商家应对照相关法律法规对自身处理个人信息的合法性、正当性、必要性及需履行的法律义务等进行全面评估。 

李晋沅进一步补充，人脸识别技术不宜普遍适用，风险大都来源于相关市场主体。一是部分商业机构责任意识淡薄。在面对众多的终端用户时为了免责，在采集人脸信息的过程中会以含有免责条款的格式合同或者单方告示的形式迫使用户同意出让自己的面部识别信息，试图以一纸声明的方式撇清关系。

二是商业机构在传输数据时安全措施不到位。一些商业机构把重心放在业务发展和商业利益上，对确保数据安全的关注不够。接入的设备越多、数据流转程序越多，就越可能成为人脸数据泄露的风险点。

三是数据存储存在漏洞。数据往往采取分布式的方式进行存储，人脸识别技术的安全性很大程度依赖于企业自律，但现实是相关企业资质良莠不齐，数据保管维护能力存在差异，一旦暴雷就会酿成公共事件。

“刷脸”换便利的方式，正在被重新审视。近日，上海网信部门办理首起人脸识别滥用案件，涉事游泳馆在更衣室采用人脸识别设备，其运营主体受到行政处罚。此外，北京、上海、广州、天津等多地酒店已取消“强制刷脸”，旅客出示有效身份证件即可办理入住。

“没必要让公众为获取几张厕纸而支付个人信息作为‘对价’，应避免以免费取纸之名，行侵害个人信息之实。”邓志松直言。