一审曾败诉
2021年8月1日，最高人民法院出台《关于审理使用人脸识别技术处理个人信息相关民事案件适用法律若干问题的规定》 （下称《人脸识别司法解释》）生效施行。
在法学界看来，这份司法解释对处理人脸识别信息进行了有力的规范，其不仅规范了宾馆、商场、银行、车站、机场、体育场馆、娱乐场所等经营场所、公共场所和物业公司的采集人脸信息行为，还涉及举证责任和维权合理开支等细节。
对于顾城遇到的情况，《人脸识别司法解释》第十条规定，"物业服务企业或者其他建筑物管理人以人脸识别作为业主或者物业使用人出入物业服务区域的唯一验证方式，不同意的业主或者物业使用人请求其提供其他合理验证方式的，法院依法予以支持"。这意味着，顾城对物业采集人脸的拒绝"有法可依"。
司法解释实施第二天，顾城再度向物业公司表达拒绝刷脸的诉求，要求其他通行方式，但仍然被拒绝。2021年8月9日，他委托律师向物业公司快递律师函，对方在8月19日签收后仍无回应，他决定起诉。
同年9月3日，天津市和平区人民法院对顾城的起诉立案，案由为"隐私权纠纷"，被起诉的诚基中心物业公司全名为兰州城关物业服务集团有限公司天津分公司（下称"城关物业"），顾城的诉讼请求包括物业删除他的人脸信息，停止对他人脸信息的处理，并出具相关信息已删除完毕的书面证明，为他提供其他能保证隐私权的便利出入诚基中心的方式，以及赔偿律师费和诉讼费用。
顾城方除了援引《人脸识别司法解释》第十条和第八条之外，还提到当时已由全国人大通过，即将生效的《个人信息保护法》第十五条：基于个人同意处理个人信息的，个人有权撤回其同意。个人信息处理者应当提供便捷的撤回同意的方式。
顾城诉称，他曾多次要求城关物业删除他的人脸识别信息，并提供其他合理验证方式，但对方明确表示拒绝。城关物业拒绝删除他的人脸识别信息，使用人脸识别作为出入服务区域的唯一验证方式，侵犯了他的人格权，违反了处理人脸信息需要遵循的"合法、正当、必要"原则。
城关物业辩称，人脸识别信息采集是通过业主委员会、综合治理办公室、社区、街道办共同完成的工作，同时在天津市公安局和平分局进行联网监控，符合现在疫情管控要求，顾城的人脸信息只在门禁上使用，存储在内部数据库和硬盘里，该数据库没有跟网络连接。
和平区法院采信了城关物业的观点。法院认为，鉴于诚基中心居住人员众多，使用顾城人脸信息，是按照天津市疫情防控的相关规定和要求，"确为疫情防控的必要措施和需要"，此外法院还认为，顾城提供的相关证据，不能证明城关物业侵犯了他的隐私权。据此，一审法院驳回了顾城的全部诉讼请求。
"一审败诉有点出乎意料。"顾城说，"案情很简单，法条也很清晰，觉得法院最多不支持赔偿律师费，但是不会在问题定性上产生分歧。"
劳东燕是清华大学法学院教授，长期关注个人信息保护，她告诉《中国新闻周刊》，顾城案的一审判决"对于现行的法律规定理解明显是错误的"。她指出，在《个人信息保护法》中明确规定撤回同意就可以删除，而根本没有规定必须证明数据处理者在处理过程中存在安全方面的隐患，个人才可以行使删除权。
"如果像顾城案一审法院这么理解的话，任何个人都势必会败诉，因为个人根本没法证明数据处理者处理个人信息的行为存在安全隐患，除非个人信息已经被泄露了，但即使泄露了，也很难证明是谁泄露的。"她说。
劳东燕还提出，一审法院考虑到疫情防控的因素，而驳回顾城的诉求，也存在对法律的理解偏差。"疫情已经不能说是突发状态，更何况《个人信息保护法》和《人脸识别司法解释》都是疫情期间公布的，自然可以推断是适用于疫情期间的。"
她指出，一审法院可能过多地考虑到了疫情防控需要，"但是疫情防控也应该守法，在法治的轨道上进行，不能把临时性的政策性规定凌驾于法律之上"。
顾城决定上诉。他与律师复盘，一审之所以败诉，有可能是因为案由被定为"隐私权纠纷"，由于他无法证明自己的信息已被泄露，因此无法认定隐私权受到侵害。二审上诉时，上诉案由变为"个人信息保护纠纷"，在个人信息保护方面，举证责任在物业方。
2022年5月18日，天津市第一中级人民法院对此案二审判决，支持了顾城的诉求。
法院认为，城关物业于2020年2月启用人脸识别系统作为业主及物业使用人出入验证方式，能够更精准识别出入小区人员，使小区管理更加安全、通行更加高效，在新冠肺炎疫情防控中发挥了较大作用，并不违反法律规定。但是，顾城办理入住时，虽然同意城关物业提取其人脸信息作为通行验证方式，但此后多次就城关物业提取人脸信息作为唯一的验证通行方式提出异议。城关物业拒绝为顾城提供其他验证方式，这种做法与《人脸识别司法解释》第十条相悖。
因此二审法院认为，城关物业应积极履行法律义务，删除顾城的人脸信息，并为其提供其他验证方式，并承担顾城因本案诉讼支出的律师费等合理费用。
有必要考虑单独立法
如今人脸识别装置在全国各个小区"全面开花"，如何规范物业公司对住户人脸的采集行为？地方法规已经先行一步。
浙江理工大学法政学院副教授郭兵告诉《中国新闻周刊》，今年3月1日，最新修订的《杭州市物业管理条例》施行，其中增加了规定，"物业服务人不得强制业主通过指纹、人脸识别等生物信息方式进入物业管理区域或者使用共有部分。"
郭兵曾参与修订《杭州市物业管理条例》的听证会，并针对人脸识别信息的保护提出建议。当时，他的身份除了是法学专家，还是"中国人脸识别第一案"的发起人。
那是在2019年10月，身为杭州野生动物世界年卡会员的郭兵，被通知未经注册人脸识别，其所购年卡将无法正常入园，他不愿被采集人脸信息，要求退卡退费被拒，于是将动物世界告上法庭。
经法院判决，动物世界最终删除了郭兵办理年卡时提交的面部特征信息，赔偿了他合同利益损失及交通费。2020年，在这起引发广泛关注的诉讼期间，《杭州市物业管理条例》开始修订，在全国率先启动强制人脸识别禁止性条款的地方立法。
紧随其后，《四川省物业管理条例》在2021年开始修订，其中更加明确了业主委员会及委员、候补委员和物业服务人等主体，不得泄露业主信息或者将业主信息用于与物业管理无关的活动；同时明确了物业服务人不得以强制业主通过指纹、人脸识别等生物信息的方式使用共用设施设备。
我国首部《个人信息保护法》在2021年11月1日起施行，突出了对生物识别信息作为敏感个人信息的特别保护，其中指出："敏感个人信息是一旦泄露或者非法使用，容易导致自然人的人格尊严受到侵害或者人身、财产安全受到危害的个人信息。"敏感个人信息包括生物识别、宗教信仰、特定身份、医疗健康、金融账户、行踪轨迹等信息，以及不满十四周岁未成年人的个人信息。
只有具有特定的目的和充分的必要性，并采取严格保护措施的情形下，个人信息处理者方可处理敏感个人信息。与普通的个人信息相比，《个人信息保护法》规定，处理个人敏感信息应该进行更多的告知，包括相应的风险，以及应当取得个人的单独同意。
但是，在劳东燕看来，《个人信息保护法》将一般个人信息和敏感个人信息做了区分，体现了强化保护后者的精神，这种"强化"仍有明显的不足之处。
"突出保护敏感个人信息的地方，其实只在于征求同意的环节，其他地方和普通个人信息几乎没有差别，并没有在实质上抬高法律保护的门槛。"劳东燕认为，从法律层面来说，如今对生物识别信息的保护依然是是远远不足的，全国人大及其常委会有必要考虑对生物识别信息进行单独立法，不应放在《个人信息保护法》的框架下来保护。
劳东燕还指出，《个人信息保护法》第二十六条规定，"在公共场所安装图像采集、个人身份识别设备，应当为维护公共安全所必需，遵守国家有关规定，并设置显著的提示标识；所收集的个人图像、身份识别信息只能用于维护公共安全的目的，不得用于其他目的；取得个人单独同意的除外。"这一条款存在用"公共安全"作为"口袋"的嫌疑。
"如果对这里面的'公共安全'做扩张性的解释，实际上就意味着除了家里，几乎所有地方都可以安装人脸识别装置，比如地铁、小区，甚至楼道。"她认为，当以"公共安全"作为理由写入立法后，就要对其进行严格的解释和限定，不然就可能将过滥的人脸信息收集予以合法化。
此外，人脸信息收集的滥用，可能造成大量的信息泄露，产生许多事故和纠纷。"当问题洪水一般涌来，会给后端的监管和执法带来特别大的压力，而执法资源是有限的。"劳东燕说，除了信息采集的滥用，还要关注对信息的保管与使用环节的规制，以及如何更好地行使删除权。
2019年起诉杭州野生动物世界时，郭兵曾要求在第三方专业技术机构的见证之下，动物世界删除他的人脸信息，但没有获得法院支持。
"我到现在仍然认为，这是删除权的最佳实现方式。"他指出，在顾城的案子里，城关物业自称将人脸信息存储在"内部数据库和硬盘"，难以确保保密性，而对于顾城的"脸"到底删没删，也不能听信对方的一面之词。
