網上投稿
在日常生活與工作中，我們一次又一次穿梭在不同的“門”與“門”之間，往返于居住空間、辦公、娛樂場所等場所。每經過一道“門”的時候，我們總需事先獲取“門禁”設備的“認可”。而近年來，智能化門禁設備的發展也在不斷演變及進化，從傳統的鑰匙到門禁卡，再到指紋識別與人臉識別，技術的迭代讓我們的生活更加便捷。
在安全性、便捷性增加的同時，作為“門禁”管理方的物業服務企業，也掌握了業主們的生物識別信息及相關隱私內容。如何把握及平衡安全、便捷和隱私之間的邊界，也逐漸成為物業服務企業和業主共同關注的問題。
本文旨在討論、分析物業服務企業應如何合法、合規地獲取業主生物識別信息，確保業主刷的安心、物業存的合規。
一、案例分享
案例一：“某小區強制刷臉案”
某小區業主在進入小區時被物業服務企業要求強制使用人臉識別門禁。業主認為，物業服務企業存在未經業主同意，擅自獲取其人臉生物識別信息的情況且拒絕提供其他替代方案，遂起訴至法院。
法院審理案件后，認定物業服務企業無權在未獲得業主同意的情況下，強制收集其人臉信息，遂判決物業服務企業提供門禁卡或其他替代方案，以解決業主出入小區門禁事宜。
案例二：“某公司生物識別信息泄露案”
某物業服務企業的服務器遭到黑客攻擊，服務器中存儲的業主個人基本信息、指紋識別信息、人臉識別信息被黑客竊取并用于非法用途。業主發現自己的個人生物識別信息在網上被打包售賣后，向有關部門進行了舉報，并同步向人民法院提起訴訟。最終，物業服務企業因自身的數據管理存在問題，承擔了相應的法律責任。
從上述兩個案例可以看出：近年來，隨著業主法律意識的不斷增強，其對于生物識別信息、個人隱私權等問題已越來越重視。一旦物業服務企業不慎泄露或者使用生物識別信息，可能面臨小業主的投訴、舉報、訴訟等各類風險。
二、概述
1、生物識別信息的定義及分類
根據《民法典》第一千零三十四條規定，自然人的個人信息包括生物識別信息。經筆者進一步檢索，現行法律、法規并未直接對生物識別信息進行定義。
經筆者歸納，生物識別信息是指：通過計算機和光學、聲學、生物傳感器和生物統計學原理等高科技手段密切結合所獲取的人體固有的生理特征（如指紋、臉像、虹膜等）和行為特征（如筆跡、聲音、步態）等相關信息。
結合上述定義，物業服務領域中的生物識別信息通常包括：指紋、人臉、虹膜、筆跡、聲音等。
2、生物識別信息與隱私權的關系
根據《民法典》第一千零三十四條規定，個人信息中的私密信息，適用有關隱私權的規定；沒有規定的，適用有關個人信息保護的規定。同時，根據《民法典》第一千零三十二條、第一千零三十三條等規定，自然人享有隱私權。任何組織或者個人不得以刺探、侵擾、泄露、公開等方式侵害他人的隱私權。
因此，泄露或者濫用生物識別信息的行為將構成對隱私權的侵犯。根據《民法典》第一百七十九條規定，需承擔停止侵害、排除妨礙、賠償損失等民事責任。
三、 法律分析
1、 業主的核心權利
1） 知情及同意權
業主有權在物業服務企業收集生物識別信息前，要求其主動告知收集的原因、用途、存儲方式及存儲期限。未經業主同意，物業服務企業不得隨意啟動收集程序。
2） 異議及刪除權
業主在發現物業服務企業侵害其知情及同意權時，有權向物業服務企業提出異議，并要求其刪除違法收集的生物識別信息。
2、 物業服務企業獲取業主生物識別信息的合規邊界
根據《民法典》等相關規定，生物識別信息的處理包括：收集、存儲、使用、加工、傳輸、提供、公開等。因此，物業服務企業在處理業主的生物信息的整個過程中，應當注意以下問題：
1）收集過程的合規性
根據《民法典》第一千零三十五條、《個人信息保護法》第十三條等規定，物業服務企業在向業主收集指紋、人臉、虹膜等生物信息之前，應當事先通過書面、電子等方式獲取業主方的同意（如需獲取未成年人相關信息的，應獲得其監護人同意）。
2）存儲傳輸的保密性
根據《民法典》第一千零三十八條、《消費者權益保護法》第二十九條等規定，物業服務企業不得泄露業主信息，且應當采取技術措施和其他必要措施，確保信息安全，防止業主信息泄露、丟失。若發生相關情況，應當及時采取補救措施。
從案例二可見，物業服務企業必須重視生物識別信息的存儲、傳輸工作，一旦發生信息泄露或遭黑客攻擊，或將造成不可估量的損失。
3）使用范圍的限定性
根據《民法典》第一千零三十五條規定，處理個人信息的，應當遵循合法、正當、必要原則，不得過度處理。簡單來講，需遵守“最小必要原則”，即：收集來的指紋、人臉、虹膜、聲紋等可且僅可用于門禁識別、安全認證等已事先取得業主同意的范圍，禁止超范圍使用、加工、提供或者公開。
四、 物業服務企業獲取業主生物識別信息的合規指南
1、事先取得同意
在提供物業服務時，如需采集指紋、人臉、虹膜、聲紋的，應當事先向業主充分說明。必要時，可在物業服務合同、管理規約中明示有關的生物識別信息采集條款。信息采集條款建議包含以下內容：
1） 收集內容：包括但不限于指紋、人臉、虹膜、聲紋等。
2） 使用范圍：包括但不限于如門禁識別、身份認證、在線支付。
3） 保存期限：若為住宅、辦公、工業物業的，建議設定為自采集之日至業主出售房屋/承租人的租賃合同履行完畢之日；若為商業物業的，建議設定一定的期限（如3-6個月或其他合適的期限）。
如業主在物業釋明后依舊不同意采集的，應當提供相應的替代方案。例如：
1） 若為門禁識別用途的，可提供門禁卡、手機NFC系統等各類實體身份驗證途徑；
2） 若為身份認證用途的，可采取人工上門驗證并書面確認等形式；
3） 若為在線支付用途的，可采取現金、二維碼、儲值卡等形式替換。
2、事中加強管理
對于物業服務企業的日常管理，建議從以下幾個方面展開：
1）完成數據采集后，物業服務企業應當采用加密存儲、防火墻設置、定期安檢等技術手段，加強日常的存儲及傳輸管理。
2）對于使用、加工、提供或者公開生物識別信息，應當加設審批權限，由專門的安全員或者級別較高的管理人員審批通過方可進行。
3）對于無需再保存或者超出保存期限的生物識別信息，應當由專門的安全員對該等數據進行刪除，避免被不法分子通過技術手段恢復、利用。
4）必要時，還可以通過購買網絡安全責任保險，降低在意外事件發生時的經濟損失。
3、事后及時處理
若發生生物識別信息意外泄露的，建議及時向政府主管部門進行匯報，并及時采取補救措施，避免泄露范圍進一步擴大。同時，如購買了網絡安全責任保險，建議第一時間與保險人聯系出險，盡快辦理理賠手續。必要時，物業服務企業還可通過司法途徑向侵權人主張賠償損失。
五、結語
個人生物識別信息的保護，離不開物業服務企業和業主個人的共同努力。作為物業服務企業，需要及時更新相關行業知識及法律法規，處理信息時守好“底線”、不越“邊界”。作為業主個人，也需加強防范意識，共同為物業服務智能化管理工作打造一個良好的環境。
附：核心法律、法規等條款摘錄
| 序號 |
名稱 |
條文 |
| 1 |
民法典 |
第一百一十一條 自然人的個人信息受法律保護。任何組織或者個人需要獲取他人個人信息的，應當依法取得并確保信息安全，不得非法收集、使用、加工、傳輸他人個人信息，不得非法買賣、提供或者公開他人個人信息。 第一千零三十二條 自然人享有隱私權。任何組織或者個人不得以刺探、侵擾、泄露、公開等方式侵害他人的隱私權。 隱私是自然人的私人生活安寧和不愿為他人知曉的私密空間、私密活動、私密信息。 第一千零三十三條 除法律另有規定或者權利人明確同意外，任何組織或者個人不得實施下列行為： （一）以電話、短信、即時通訊工具、電子郵件、傳單等方式侵擾他人的私人生活安寧； （二）進入、拍攝、窺視他人的住宅、賓館房間等私密空間； （三）拍攝、窺視、竊聽、公開他人的私密活動； （四）拍攝、窺視他人身體的私密部位； （五）處理他人的私密信息； （六）以其他方式侵害他人的隱私權。 第一千零三十四條 自然人的個人信息受法律保護。 個人信息是以電子或者其他方式記錄的能夠單獨或者與其他信息結合識別特定自然人的各種信息，包括自然人的姓名、出生日期、身份證件號碼、生物識別信息、住址、電話號碼、電子郵箱、健康信息、行蹤信息等。 個人信息中的私密信息，適用有關隱私權的規定；沒有規定的，適用有關個人信息保護的規定。 第一千零三十五條 處理個人信息的，應當遵循合法、正當、必要原則，不得過度處理，并符合下列條件： （一）征得該自然人或者其監護人同意，但是法律、行政法規另有規定的除外； （二）公開處理信息的規則； （三）明示處理信息的目的、方式和范圍； （四）不違反法律、行政法規的規定和雙方的約定。 個人信息的處理包括個人信息的收集、存儲、使用、加工、傳輸、提供、公開等。 第一千零三十八條 信息處理者不得泄露或者篡改其收集、存儲的個人信息；未經自然人同意，不得向他人非法提供其個人信息，但是經過加工無法識別特定個人且不能復原的除外。信息處理者應當采取技術措施和其他必要措施，確保其收集、存儲的個人信息安全，防止信息泄露、篡改、丟失；發生或者可能發生個人信息泄露、篡改、丟失的，應當及時采取補救措施，按照規定告知自然人并向有關主管部門報告。 |
| 2 |
最高人民法院關于審理使用人臉識別技術處理個人信息相關民事案件適用法律若干問題的規定 （法釋〔2021〕15號） |
第一條 因信息處理者違反法律、行政法規的規定或者雙方的約定使用人臉識別技術處理人臉信息、處理基于人臉識別技術生成的人臉信息所引起的民事案件，適用本規定。 人臉信息的處理包括人臉信息的收集、存儲、使用、加工、傳輸、提供、公開等。 本規定所稱人臉信息屬于民法典第一千零三十四條規定的“生物識別信息”。 第四條 有下列情形之一，信息處理者以已征得自然人或者其監護人同意為由抗辯的，人民法院不予支持： （一）信息處理者要求自然人同意處理其人臉信息才提供產品或者服務的，但是處理人臉信息屬于提供產品或者服務所必需的除外； （二）信息處理者以與其他授權捆綁等方式要求自然人同意處理其人臉信息的； （三）強迫或者變相強迫自然人同意處理其人臉信息的其他情形。 第五條 有下列情形之一，信息處理者主張其不承擔民事責任的，人民法院依法予以支持： （一）為應對突發公共衛生事件，或者緊急情況下為保護自然人的生命健康和財產安全所必需而處理人臉信息的； （二）為維護公共安全，依據國家有關規定在公共場所使用人臉識別技術的； （三）為公共利益實施新聞報道、輿論監督等行為在合理的范圍內處理人臉信息的； （四）在自然人或者其監護人同意的范圍內合理處理人臉信息的； （五）符合法律、行政法規規定的其他情形。 第十條 物業服務企業或者其他建筑物管理人以人臉識別作為業主或者物業使用人出入物業服務區域的唯一驗證方式，不同意的業主或者物業使用人請求其提供其他合理驗證方式的，人民法院依法予以支持。 物業服務企業或者其他建筑物管理人存在本規定第二條規定的情形，當事人請求物業服務企業或者其他建筑物管理人承擔侵權責任的，人民法院依法予以支持。 |
| 3 |
個人信息保護法 |
第十三條 符合下列情形之一的，個人信息處理者方可處理個人信息： （一）取得個人的同意； （二）為訂立、履行個人作為一方當事人的合同所必需，或者按照依法制定的勞動規章制度和依法簽訂的集體合同實施人力資源管理所必需； （三）為履行法定職責或者法定義務所必需； （四）為應對突發公共衛生事件，或者緊急情況下為保護自然人的生命健康和財產安全所必需； （五）為公共利益實施新聞報道、輿論監督等行為，在合理的范圍內處理個人信息； （六）依照本法規定在合理的范圍內處理個人自行公開或者其他已經合法公開的個人信息； （七）法律、行政法規規定的其他情形。 依照本法其他有關規定，處理個人信息應當取得個人同意，但是有前款第二項至第七項規定情形的，不需取得個人同意。 |
| 4 |
網絡安全法 |
第四十一條 網絡運營者收集、使用個人信息，應當遵循合法、正當、必要的原則，公開收集、使用規則，明示收集、使用信息的目的、方式和范圍，并經被收集者同意。 網絡運營者不得收集與其提供的服務無關的個人信息，不得違反法律、行政法規的規定和雙方的約定收集、使用個人信息，并應當依照法律、行政法規的規定和與用戶的約定，處理其保存的個人信息。 |
| 5 |
消費者權益保護法 |
第二十九條 經營者收集、使用消費者個人信息，應當遵循合法、正當、必要的原則，明示收集、使用信息的目的、方式和范圍，并經消費者同意。經營者收集、使用消費者個人信息，應當公開其收集、使用規則，不得違反法律、法規的規定和雙方的約定收集、使用信息。 經營者及其工作人員對收集的消費者個人信息必須嚴格保密，不得泄露、出售或者非法向他人提供。經營者應當采取技術措施和其他必要措施，確保信息安全，防止消費者個人信息泄露、丟失。在發生或者可能發生信息泄露、丟失的情況時，應當立即采取補救措施。 經營者未經消費者同意或者請求，或者消費者明確表示拒絕的，不得向其發送商業性信息。 |