依据最高法院相关负责人在新闻发布会的报告，此《规定》的出台背景在“随着信息技术飞速发展，人脸识别逐步渗透到人们生活的方方面面”，在带来便利的同时，诸多实践中“行为严重损害自然人的人格权益，侵害其人身、财产等合法权益，破坏社会秩序，亟待进行规制”。

余通读该《规定》，虽条款仅为16条，但所含内容极为丰富，跨涉诸多法律，亦兼实体及程序，其中不乏合乎民众颈望之规定，是谓良法。

第一条 因信息处理者违反法律、行政法规的规定或者双方的约定使用人脸识别技术处理人脸信息、处理基于人脸识别技术生成的人脸信息所引起的民事案件，适用本规定。

人脸信息的处理包括人脸信息的收集、存储、使用、加工、传输、提供、公开等。

本规定所称人脸信息属于民法典第一千零三十四条规定的“生物识别信息”。

解读：规定明确的规制的对象为“基于人脸识别技术生成的人脸信息”，且为民事案件，即不适用于行政、刑事相关案件。第2款是对民法典第1035条第2款的直接引用，亦保持上下位法的一致性。集中规制的行为在于信息的“收集、存储、使用、加工、传输、提供、公开”等环节，前述七种行为（后文引用此说法）具体的内涵与边界还有待司法解释及实践判例予以明确。第三款即是对“人脸信息”的法律上的定性、亦是明确为民法典为规制的依据，参考已出台的相关法律（草案）、及国标（草案）等，“生物识别信息”的“收集、存储、使用、加工、传输、提供、公开”等保护标准较其他个人信息更为严格，主要在于“人脸信息”可以直接锁定具体个人，反映信息极为丰富且唯一。

第二条 信息处理者处理人脸信息有下列情形之一的，人民法院应当认定属于侵害自然人人格权益的行为：

（一）在宾馆、商场、银行、车站、机场、体育场馆、娱乐场所等经营场所、公共场所违反法律、行政法规的规定使用人脸识别技术进行人脸验证、辨识或者分析；（二）未公开处理人脸信息的规则或者未明示处理的目的、方式、范围；（三）基于个人同意处理人脸信息的，未征得自然人或者其监护人的单独同意，或者未按照法律、行政法规的规定征得自然人或者其监护人的书面同意；（四）违反信息处理者明示或者双方约定的处理人脸信息的目的、方式、范围等；（五）未采取应有的技术措施或者其他必要措施确保其收集、存储的人脸信息安全，致使人脸信息泄露、篡改、丢失；（六）违反法律、行政法规的规定或者双方的约定，向他人提供人脸信息；（七）违背公序良俗处理人脸信息；（八）违反合法、正当、必要原则处理人脸信息的其他情形。

解读：规定为“侵害自然人人格权益”，大抵出于2个方面，一是本法即涉及侵权责任、亦涉及违约责任，二是因处理“人脸信息”除侵害到“个人信息”之权益外，可能还会涉及其他方面的人格权益，在民事案由中，“个人信息保护纠纷”为新增的第二级案由，其上位为“人格权纠纷”，是为周延人格权保护之考虑故。第（一）项以列举加概括的形式规定了经营场所、公共场所违法使用人脸识别技术之情形，除“国营”之银行、车站、机场等场所可借用“公共利益”之免责事由外（可见民法典第1036条），其他具体经营场所、公共场所（如物业管理，可见本《规定》第10条之规定）受此规定影响较大，预计在本《规定》正式实施之前，均要作出调整，避免交涉、亦或诉讼之累。第（二）之（五）项归纳来看，行使七种行为时，需得到“同意”，需明示“目的、方式、范围”，并特别叮嘱储存期间的责任。第（五）（六）项，是违反公序良俗、合意、法律规定之侵害的概括性说明。第（八）项，从“合法、正当、必要”三原则（该三原则贯穿于有关个人信息保护相关法律的始终，为必要、基础性原则）进行兜底性规定。

第三条 人民法院认定信息处理者承担侵害自然人人格权益的民事责任，应当适用民法典第九百九十八条的规定，并结合案件具体情况综合考量受害人是否为未成年人、告知同意情况以及信息处理的必要程度等因素。

解读：民法典第998条规定：“认定行为人承担侵害除生命权、身体权和健康权外的人格权的民事责任，应当考虑行为人和受害人的职业、影响范围、过错程度，以及行为的目的、方式、后果等因素”。本条是关于民事责任承担的认定方面，对于裁判机关的要求，需要综合考虑“职业、影响范围、过错程度，行为目的、方式、后果，受害人主体，告知同意情况，信息处理的必要程度”等。这也同样对于涉案的双方在预判责任大小、责任承担比例等方面给予参考。

第四条  有下列情形之一，信息处理者以已征得自然人或者其监护人同意为由抗辩的，人民法院不予支持：

（一）信息处理者要求自然人同意处理其人脸信息才提供产品或者服务的，但是处理人脸信息属于提供产品或者服务所必需的除外；（二）信息处理者以与其他授权捆绑等方式要求自然人同意处理其人脸信息的；（三）强迫或者变相强迫自然人同意处理其人脸信息的其他情形。

第五条 有下列情形之一，信息处理者主张其不承担民事责任的，人民法院依法予以支持：（一）为应对突发公共卫生事件，或者紧急情况下为保护自然人的生命健康和财产安全所必需而处理人脸信息的；（二）为维护公共安全，依据国家有关规定在公共场所使用人脸识别技术的；（三）为公共利益实施新闻报道、舆论监督等行为在合理的范围内处理人脸信息的；（四）在自然人或者其监护人同意的范围内合理处理人脸信息的；（五）符合法律、行政法规规定的其他情形。

解读：第四条是第五条规定的信息处理者责任豁免的例外情形，主要是实践中多发且不合理的情形：如以“同意”作为服务、产品提供为前提（具体以必要性为界，举证责任在信息处理者）；以授权捆绑、强迫或者变相强迫来获取“同意”，从实质角度来看，此为“内心不自由”，不是真实的意思表示，《规定》做例外处理合乎法律、合乎情理，以“必要性”为界又兼顾了信息处理（科技研发、运营）发展所需。

第五条为信息处理者在“人脸信息”处理中民事责任的豁免性规定，归纳来看，是为公共利益之所需、是为合理（范围）之处理（实践中就合理亦或合理范围预计为争议焦点）。

第六条 当事人请求信息处理者承担民事责任的，人民法院应当依据民事诉讼法第六十四条及《最高人民法院关于适用〈中华人民共和国民事诉讼法〉的解释》第九十条、第九十一条，《最高人民法院关于民事诉讼证据的若干规定》的相关规定确定双方当事人的举证责任。

信息处理者主张其行为符合民法典第一千零三十五条第一款规定情形的，应当就此所依据的事实承担举证责任。

信息处理者主张其不承担民事责任的，应当就其行为符合本规定第五条规定的情形承担举证责任。

第七条 多个信息处理者处理人脸信息侵害自然人人格权益，该自然人主张多个信息处理者按照过错程度和造成损害结果的大小承担侵权责任的，人民法院依法予以支持；符合民法典第一千一百六十八条、第一千一百六十九条第一款、第一千一百七十条、第一千一百七十一条等规定的相应情形，该自然人主张多个信息处理者承担连带责任的，人民法院依法予以支持。

信息处理者利用网络服务处理人脸信息侵害自然人人格权益的，适用民法典第一千一百九十五条、第一千一百九十六条、第一千一百九十七条等规定。

解读：此两条主要规制举证责任，内容亦极为丰富。第六条第一段引用了三部法规，实质上对于“谁主张谁举证”的明确，尤见前两部法规之第64条、第90条、第91条的规定，是举证责任的一般性规定，即本法亦明确举证责任亦由一般性规定为原则。

民法典第1035条第1款规定：“处理个人信息的，应当遵循合法、正当、必要原则，不得过度处理，并符合下列条件：（一）征得该自然人或者其监护人同意，但是法律、行政法规另有规定的除外；（二）公开处理信息的规则；（三）明示处理信息的目的、方式和范围；（四）不违反法律、行政法规的规定和双方的约定”。信息处理者需对本条款中规定三种具体情形承担举证责任，“同意，公开，明示目的、方式、范围”以满足“合法、正当、必要”原则。

第七条是对共同侵权之不同情形下民事责任承当的具体规定，民法典第1168条（二人以上共同实施侵权行为，造成他人损害的，应当承担连带责任）是原则性规定，并就网络服务提供者的及时通知、初步处理等义务方面多了特别引用说明，是为多发的实践的一种回应，亦是对网络服务提供者责任施加。

以上两条均是对“连带责任”的突出规定，是为更多保护信息所有人之合法权益故。

第八条 信息处理者处理人脸信息侵害自然人人格权益造成财产损失，该自然人依据民法典第一千一百八十二条主张财产损害赔偿的，人民法院依法予以支持。

自然人为制止侵权行为所支付的合理开支，可以认定为民法典第一千一百八十二条规定的财产损失。合理开支包括该自然人或者委托代理人对侵权行为进行调查、取证的合理费用。人民法院根据当事人的请求和具体案情，可以将合理的律师费用计算在赔偿范围内。

第九条 自然人有证据证明信息处理者使用人脸识别技术正在实施或者即将实施侵害其隐私权或者其他人格权益的行为，不及时制止将使其合法权益受到难以弥补的损害，向人民法院申请采取责令信息处理者停止有关行为的措施的，人民法院可以根据案件具体情况依法作出人格权侵害禁令。

解读：此两条，笔者极为赞赏，是为点睛之笔。第八条，是《规定》制定者考虑人格权益不同财产性纠纷，很难量化赔偿数额，在难以判断具体数额时，可由法院根据本法第三条及其他法律之规定，综合予以考虑。第二款规定，允许当事人将“侵权行为进行调查、取证的合理费用”以及“合理律师费用”作为请求事项，极大鼓励权利人的权利行使动力。第九条是“行为保全”在个人信息保护范畴的行使的肯定，从《规定》行文来看，是为诉前“行为保全”，并使用“禁令”一词，甚为完美。此两条均有受知产领域立法的影响痕迹，可以预判此后立法，制定者为保护权利人之合法权益，力度上会更大，是社会经济发展、民智高度进步之反映。

第十条 物业服务企业或者其他建筑物管理人以人脸识别作为业主或者物业使用人出入物业服务区域的唯一验证方式，不同意的业主或者物业使用人请求其提供其他合理验证方式的，人民法院依法予以支持。

物业服务企业或者其他建筑物管理人存在本规定第二条规定的情形，当事人请求物业服务企业或者其他建筑物管理人承担侵权责任的，人民法院依法予以支持。

解读：本条是对本规定第二条的补充，是就都市居民在居住、工作方面日常中频发的侵权事件的特别反应，可预计后续物业服务企业或者其他建筑物管理人将在法律专业人士的指导下，改进管理方式。

第十一条 信息处理者采用格式条款与自然人订立合同，要求自然人授予其无期限限制、不可撤销、可任意转授权等处理人脸信息的权利，该自然人依据民法典第四百九十七条请求确认格式条款无效的，人民法院依法予以支持。

第十二条 信息处理者违反约定处理自然人的人脸信息，该自然人请求其承担违约责任的，人民法院依法予以支持。该自然人请求信息处理者承担违约责任时，请求删除人脸信息的，人民法院依法予以支持；信息处理者以双方未对人脸信息的删除作出约定为由抗辩的，人民法院不予支持。

解读：该两条是对因合同关系建立的个人信息处理事务的规定，首先考虑到实践中信息处理者的“强势”地位以及经济成本拟定格式条款的规制，对于无效情形进行较为严密的规定。民法典第497条，将格式条款的无效情形进行了归纳式规定，涵盖所有无效之可能（其中第1编第6章第3节“民事法律行为的效力”及506条是对该条第（二）（三）之无效情形填补与完善，大大超过之前合同法的保护力度），其次第十二条是信息处理者的违约之责，亦是对本规定之第二条第（六）项的积极回应，并明确“删除”为信息所有人的固有权利，不可以约定或未约定予以排除，此点也反映处人格权异与财产权的特点。

第十三条 基于同一信息处理者处理人脸信息侵害自然人人格权益发生的纠纷，多个受害人分别向同一人民法院起诉的，经当事人同意，人民法院可以合并审理。

解读：此条同本规定第三条规定，是对裁判机关要求，并考虑到个人信息的所涉及的隐私性，将合并审理的权利最终交由当事人。

第十四条 信息处理者处理人脸信息的行为符合民事诉讼法第五十五条、消费者权益保护法第四十七条或者其他法律关于民事公益诉讼的相关规定，法律规定的机关和有关组织提起民事公益诉讼的，人民法院应予受理。

解读：此点是对公益保护的规定，尤其事关众多消费者合法权益的破坏生态环境和资源保护、食品药品安全领域的侵害事宜。一是填补权利主张主体的漏洞、二是考虑在涉众型且个体怠于行使权利的情形、三是不排除考虑到侵权对象过于强大、涉外等特殊情形下，集体（如消费者协会、人民检察院等）代为行使权利的客观现实需要。

第十五条 自然人死亡后，信息处理者违反法律、行政法规的规定或者双方的约定处理人脸信息，死者的近亲属依据民法典第九百九十四条请求信息处理者承担民事责任的，适用本规定。

解读：民法典第994条规定：“死者的姓名、肖像、名誉、荣誉、隐私、遗体等受到侵害的，其配偶、子女、父母有权依法请求行为人承担民事责任；死者没有配偶、子女且父母已经死亡的，其他近亲属有权依法请求行为人承担民事责任”。本条是考虑到极端情况下，信息所有人的权利持续保护需要，此时的“人脸信息”可能涉及到信息所有人的“姓名、肖像、名誉、荣誉、隐私”等，在实践中可能会产生权利的竞合，具体需要结合个案进行探讨，但本条规定不失为周延保护的之功效，且权利主张者可延展至“其他近亲属”。

第十六条 本规定自2021年8月1日起施行。

信息处理者使用人脸识别技术处理人脸信息、处理基于人脸识别技术生成的人脸信息的行为发生在本规定施行前的，不适用本规定。

解读：本条是考虑实践所需，亦遵循法不溯及既往之原则，实质为立法之目的在于鼓励社会之健康发展（含本规定所规制的相关技术）。

来源：微信公众号“民法商律”