郭兵，浙江理工大学特聘副教授、数据法学创新团队负责人但是在今天，在疫情已经基本结束的时期，健康码要不要退出历史舞台，还存有争议，健康码仍然在存储我们的个人信息。
大家好，我叫郭兵，是一名高校教师，主要从事数据法学的研究。同时，我也是一个数据法治的实践者。
我参与过许多与数字生活、个人信息有关的案件，有的是亲自提起诉讼，有的是提供法律支持。
其中，“人脸识别第一案”受到的关注最多，我就是这个案件的当事人。
「人脸识别第一案」：真的胜诉了吗？
2019年10月17日，我无意间翻到了一条杭州野生动物世界发来的短信，提示说，未来必须要采取人脸识别的方式入园，否则我的会员年卡将不能正常使用。
看到这条短信我很气愤，因为早在半年前，他们就要求年卡会员必须通过指纹识别入园。我不由得感叹，野生动物世界收集敏感个人信息越来越过分了。
为了搞清楚他们为什么要采取人脸识别的方式入园，我亲自到野生动物世界去了解情况。在确认短信内容属实后，我问了工作人员三个方面的问题：
第一个问题是，为什么要人脸识别入园？工作人员敷衍地回答说，这是智慧景区发展的趋势。
第二个问题是，谁提供的人脸识别技术？他们说：“帅哥，我只是一个打工的，具体哪个公司我也不知道。”
而且，我发现他们的员工竟然直接用手机对着年卡用户刷脸。我对这种方式的安全性表达了质疑：为何员工用手机就可以刷脸？
这三个与个人信息安全有关的问题，野生动物世界都是漠视的。并且，园方也拒绝退卡。于是，我选择了通过诉讼的方式维护自身的合法权益。
当时没有《民法典》，也更没有《个人信息保护法》，我起诉的依据是《消费者权益保护法》和《网络安全法》。我根据掌握的证据和法律规定，确定了八个方面的诉讼请求，概括为三个方面：
第一，要求法院确认野生动物世界强制刷脸的霸王条款内容无效。这也是我起诉的核心诉求，因为它维护的不仅仅是我个人的权益，也能够间接地维护其他年卡用户的权益。
第二项诉讼请求是，主张野生动物世界存在欺诈。野生动物世界向法院表示，我在办指纹年卡的时候就已经同意了通过拍照的方式给他们提供人脸信息，用于后面的人脸识别。
那时候我才意识到，办理年卡时有一个环节是拍照，但是没想到他们的逻辑是——同意了拍照，就等同于同意了收集人脸信息用于人脸识别系统。
第三项诉讼请求是，主张野生动物世界删除违法收集的我的个人信息。当然，在这个诉讼请求当中我做了一些创新的探索，可以说是一个世界级的创新探索，我主张要求法院支持在第三方专业机构的见证之下，将我的信息删除。
我本来以为这三个方面的诉讼请求在证据和法律依据上都是非常充分的，但是没想到，三个方面的诉讼请求法院都没有支持。
在一审的判决当中，法院只是支持了赔偿我的部分合同利益，以及我亲自去野生动物世界了解刷脸情况所导致的交通损失。
判决支持了删除人脸信息，但是没有支持在第三方专业机构见证之下删除，更没有支持我的核心诉求——确认强制刷脸的霸王条款无效。
二审的法院判决也是不痛不痒，增加了删除办卡时提交的指纹识别信息。因为对一审和二审的判决都表达了不满，我继续向省高级人民法院申请了再审，再审的结果并没有支持我的申请。
我穷尽了最后的法律救济途径，向检察机关申请了民事审判监督，但是最终检察机关作出了不予支持监督申请的决定。
野生动物世界这个案件，从2019年11月到2022年4月，历时两年半。很多人对这个案件的评价是“原告胜诉了”，但是我一直不认为在这个案件当中我胜诉了，因为我的核心诉求——确认人脸识别入园的霸王条款无效，没有得到法院的支持。
令我意外的是，在野生动物世界案二审宣判的两个月后，最高人民法院出台了专门针对人脸识别的司法解释，全面地回应了此案诉讼过程中引发的诸多法律纠纷。
并且在其中有一大亮点，就是确认了企业不能够强迫或者变相地强迫使用人脸识别。这是我感到倍感欣慰的一个司法解释。
有关个人信息保护，什么是「合理利用」？
在这个司法解释出台后的两个月，全国人大常委会又通过了《个人信息保护法》。这是我国第一部专门针对个人信息保护出台的的专项立法。
这部法律对个人信息保护做了较为系统的规定，也在很大程度上顺应了世界性的趋势——我们既需要保护个人信息，也要允许个人信息的合理利用。
“个人信息保护”与“合理利用”是一枚硬币的两面。在我们强调个人信息保护的时候，更加突出的是它的私益性质；而在强调个人信息的合理利用的时候，是因为个人信息同样具有公益性。
就个人信息保护而言，最主要、最基础的就是保障我们个人的知情权、决定权，也就是政府或者企业在处理我们的个人信息的时候，应当取得我们个人的同意。
这也是为什么不论是企业还是政府的各种App，都会有专门的隐私政策，隐私政策就是履行保护个人信息权益的一个基本要求。
当然，《个人信息保护法》也确定了在特定的情况下，可以不取得个人同意就收集使用个人信息，这就是我们说的“合理利用”。
但是，合理利用在认定的过程中极易引发争议，也极易导致个人信息被滥用。
《个人信息保护法》第十三条确立了合理利用的同意豁免的相关规定，但是，我们怎么界定“合理范围”？什么情况下，政府或者企业在处理我们个人信息的时候是必须要处理，而且不需要征得个人同意？
这在实践中引发了一些争议。
2022年3月，一个外校的学生向我发出了一个咨询。他发现，社交平台的评论下方会显示IP地址，他觉得“这个功能会涉及隐私权”。
这就是IP属地的强制公开问题，曾经引起过非常大的讨论。
当然，这个案件会有一个争议，就是我们怎么去认定 IP 属地，它到底属不属于个人信息。
但是更大的争议在于合理使用问题。平台会表示，这是为了公共利益。强制公开IP属地可以起到监督网络暴力、监督网络谣言的作用，比如，网暴的受害者可以更方便地去留言者IP归属地的监管部门反映情况。
但是，这样公开IP属地是否能够达到维护公共利益的目的，是否符合合理使用的标准，法律界有截然不同的观点。
在课上，我和同学们讨论了这个问题，一些同学认为平台的做法是违反《个人信息保护法》的，于是他们将平台起诉到了法院。目前，这个案件还没有一个最终的司法认定。
除了企业的个人信息合理利用会引发争议之外，事实上，政府的个人信息合理利用同样会引发争议。
2020年，杭州诞生了全国首个健康码。健康码在收集使用老百姓个人信息的时候就引发过争议——政府能不能不经过我们个人的同意，直接来处理这些信息。
2021年，《个人信息保护法》专门设置了一个条文，为了应对突发公共卫生事件，政府是可以不经同意处理我们的个人信息的。
但是在今天，在疫情已经基本结束的时期，健康码要不要退出历史舞台，还存有争议，健康码仍然在存储我们的个人信息。
前不久，广东省政府作出了一个率先举措，停止了粤康码（广东的健康码）的使用，并且明确地承诺将删除全部数据。
很可惜，广东的做法没有得到其他省的积极回应。我们的个人信息仍然在被存储着，可能也在被利用着。
面对政府或者企业的个人信息的合理利用，由于存在着很多不透明，这个时候就会引发质疑：政府或者企业有没有以“合理利用”的名义在滥用我们的个人信息？
个人信息的「暗网」
正是在这样的质疑声当中，我发现个人信息合理利用名义下存在着一个系统性的巨大暗网。这张暗网可能会直接影响到我们个人的权益，甚至可能会在毫无感知的情况下，索取掉我们全部的积蓄。去年我接触到了一系列银行App人脸识别盗刷案件。这个系列案件有很多的受害人，这些银行储户是在自己没有任何感知的情况下，被境外的不法分子伪造人脸信息，将账户上的资产全部盗刷走，最多的达到了数十万。
这些储户现在在向银行讨要一个说法，有的已经通过司法途径在维护自己的权益。但是在这个案件当中，法院形成了截然不同的两种看法，一种认为银行没有责任，一种认为银行是存在着过失的。
当然，这张暗网在更多时候不会给个体造成直接的损失。即便存在着明显的个人信息的泄露，很多个体对此还是无感。
前不久，一些官方媒体报道了一个骇人听闻的新闻事件——在暗网上，疑似有45亿条国内快递电商领域的个人信息被交易。已经有专业的网络安全专家证实这是一起真实的泄露事件。
面对公众的质疑，一些上市的快递公司快速地作出了回应，表示经过内部核实，信息没有泄露。到底有没有泄露，用户是没有办法判断的。
这个时候，政府的相关部门会不会及时介入，会不会进行监管、执法和追责呢？我们发现，其实在很多数据泄露事件当中，监管也存在着缺位的情况。
更让人遗憾的是，对于这些大面积的个人信息权益受到侵害的事件，大众往往是沉默的。
这种沉默背后是个人信息维权经常会面临的挑战——个人信息权益的侵害往往是大规模的，但是所导致的损失又往往是“小微侵害”，损失也很难直接确认，所以大众没有动力去维权。
当然也有少数人会选择打破这个沉默，会依据《个人信息保护法》等法律维护自身的合法权益。事实上，他们在维护自身合法权益的时候，也间接地保护了其他权益受到侵害的个体。
那么这些少数打破沉默的个体，在诉讼的过程中会不会一帆风顺呢？在《个人信息保护法》已经全面地对个人信息的相关权益作出保障的时候，会不会很容易打赢官司？
事实上，个人诉讼会面临一系列的挑战。
面对侵权，个体即便起诉，法院也可能会以各种理由驳回起诉，或者不支持起诉，不予受理，不立案。
除了起诉难，个人信息的诉讼还会面临着取证难。因为跟大型的平台和政府相比，用户没办法掌握技术的相关原理，只能看到一些表面化的侵权情形。这背后存在着一个非常严重的信息不对称。
当然我们还会面临索赔难，因为无法确认损失。即便我们保留了相关证据，证明了我们的损失，最终法院也可能会以法律上存在争议为由驳回相关诉讼请求。
一个很重要的原因，就是原告和被告的力量对比是非常悬殊的，因为不论是大型平台还是政府，他们都有专门的法律团队，而个人只能单打独斗。
因此，用户作为原告获得胜诉的概率其实是非常低的。这个时候，一个非常重要的司法救济制度，公益诉讼就应当出场。
公益诉讼是由国家的专门力量用来维护涉及众多的个人权益的保障手段。跟我们刚刚说到的个体发起的带有公益性的诉讼形成了两种不同的力量，对于维护个人信息权益有非常大的帮助。
法律上规定，人民检察院、法律规定的机关和组织，都可以为了维护公共利益提起个人信息保护领域的公益诉讼。
狗仔卡
发表于 2023-4-5 10:51 AM
提升卡
置顶卡
沉默卡
喧嚣卡
变色卡
