房地产营销中心使用人脸识别系统判定客户是否违规.docx

一、引言

近日，宁波市市场监督管理局、永嘉市市场监督管理局、温岭市市场监督管理局等多地行政管理部门展开专项行动，对多家地产商做出了行政处罚决定，原因是这些地产商在售楼处安装了人脸识别系统，用于识别、记录购房者的面部信息。以宁波市市场监督管理局作出的一份行政处罚决定书为例，主管部门根据《侵害消费者权益行为处罚办法》第十四条和《中华人民共和国消费者权益保护法》第五十六条第一款第九项之规定，认定地产商在个人信息收集收集方面不合规，责令地产商改正，并罚款25万元。尽管处罚金额不高，但人脸识别系统在售楼处是如此普遍，随着个人信息保护的法律法规及相关规范的陆续出台，行业主管部门也开始对这些不合规行为进行规范和整治。因此，数据合规应逐渐引起地产行业的重视。本文将从处罚决定入手，尝试对售楼处人脸识别系统的合规事宜进行初步探讨。

二、人脸识别系统相关的基本概念

N0.1个人信息

如前所述，主管部门认为地产商是在个人信息收集方面存在不合规问题。所以我们先来看一下个人信息的概念。

《民法典》第一千零三十四条规定：个人信息是以电子或者其他方式记录的能够单独或者与其他信息结合识别特定自然人的各种信息，包括自然人的姓名、出生日期、身份证件号码、生物识别信息、住址、电话号码、电子邮箱、健康信息、行踪信息等。

2021年4月29日发布的《个人信息保护法(草案二次审议稿)》规定：

第四条个人信息是以电子或者其他方式记录的与已识别或者可识别的自然人有关的各种信息，不包括匿名化处理后的信息。

2020年10月起实施的《信息安全技术Y个人信息安全规范》中

规定：

3.1

个人信息personalinformation

以电子或者其他方式记录的能够单独或者与其他信息结合识别特定自然人身份或者反映特定自然人活动情况的各种信息。

注1:个人信息包括姓名、出生日期、身份证件号码、个人生物识别信息、住址、通信通讯联系方式、通信记录和内容、账号密码、财产信息、征信信息、行踪轨迹、住宿信息、健康生理信息、交易信息等。

注2:关于个人信息的判定方法和类型参见附录A.

注3:个人信息控制者通过个人信息或其他信息加工处理后形成的信息，例如，用户画像或特征标签，能够单独或者与其他信息结合识别特定自然人身份或者反映特定自然人活动情况的，属于个人信息。

而个人信息中，一旦泄漏、非法提供或滥用可能危害人身和财产安全，

极易导致个人名誉、身心健康受到损害或歧视性待遇等的信息，被称为“个人敏感信息”。

3.2

个人敏感信息personalsensitiveinformation

一旦泄露、非法提供或滥用可能危害人身和财产安全，极易导致个人名誉、身心健康受到损害或歧视性待遇等的个人信息。

注1:个人敏感信息包括身份证件号码、个人生物识别信息、银行账户、通信记录和内容、财产信息、征信信息、行踪轨迹、住宿信息、健康生理信息、交易信息、14岁以下(含)儿童的个人信息等。

注2:关于个人敏感信息的判定方法和类型参见附录B.

注3:个人信息控制者通过个人信息或其他信息加工处理后形成的信息，如一旦泄露、非法提供或滥

结合《信息安全技术Y个人信息安全规范》附录A与附录B的内容，可以判定，人脸识别系统所收集的包含面部识别特征的人脸，应属于个人信息中的个人敏感信息。

表A.1个人信息举例

个人基本资料

个人姓名、生日、性别、民族、国籍、家庭关系、住址、个人电话号码、电子邮件地址等

个人身份信息

身份证、军官证、护照、驾驶证、工作证、出入证、社保卡、居住证等

个人生物识别信息

个人基因、指纹、声纹、掌纹、耳廓、虹膜、面部识别特征等

网络身份标识信息

个人信息主体账号、IP地址、个人数字证书等

个人健康生理信息

个人因生病医治等产生的相关记录，如病症、住院志、医嘱单、检验报告、手术及麻醉记录、护理记录、用药记录、药物食物过敏信息、生育信息、以往病史、诊治情况、家族病史、现病史、传染病史等，以及与个人身体健康状况相关的信息，如体重、身高、肺活量等

个人教育工作信息

个人职业、职位、工作单位、学历、学位、教育经历、工作经历、培训记录、成绩单等

个人财产信息

银行账户、鉴别信息(口令)、存款信息(包括资金数量、支付收款记录等)、房产信息、信贷记录、征信信息、交易和消费记录、流水记录等，以及虚拟货币、虚拟交易、游戏类兑换码等虚拟财产信息

个人通信信息

通信记录和内容、短信、彩信、电子邮件，以及描述个人通信的数据(通常称为元数据)等

联系人信息

通讯录、好友列表、群列表、电子邮件地址列表等

个人上网记录

指通过日志储存的个人信息主体操作记录，包括网站浏览记录、软件使用记录、点击记录、收藏列表等

个人常用设备