房地产售楼处使用人脸识别系统收集消费者人脸识别信息以区分营销渠道，是否以侵害消费者个人信息为代价，房地产企业如何才能做到合法合规收集、使用消费者人脸识别信息呢？本文将结合相关法律规定、实践操作口径、处罚案例情况进行分析讨论，以期对房地产企业在这一问题的处理上有所裨益（囿于篇幅及笔者能力所限，本文以“合规”为主，将不会着重讨论房地产企业“判客”、渠道费区分合理性、人脸识别系统功能技术性等问题，敬请谅解。）
一、问题引出
2021年“3.15”曝光了南京某男子戴着头盔进行房地产售楼处看房的视频，引起消费者群体的一片哗然，不少消费者至此才了解到房地产企业通常会在其售楼处配置具有人脸识别功能的摄录系统。而在房地产企业内部，该等情况早就成为了“常态”，多家房地产企业售楼处承认安装了人脸识别系统，更有房地产业内人士称“类似的系统每一个公司都有”。
房地产企业为区分销售渠道、降低渠道费成本及避免渠道费争议的这一举措，同时产生以侵害消费者个人信息（具体包括但不限于生物识别信息）为代价的“并发症”。那么，什么是个人信息？哪些属于个人信息？在售楼处配置人脸识别系统采集人脸生物识别信息是否侵害个人信息？如此是否存在合法合规性问题？房地产企业应如何降低自身风险？由此引发笔者思考。
二、“个人信息”的定义
1. 《民法典》第一千零三十四条第二款规定，个人信息是以电子或者其他方式记录的能够单独或者与其他信息结合识别特定自然人的各种信息，包括自然人的姓名、出生日期、身份证件号码、生物识别信息、住址、电话号码、电子邮箱、健康信息、行踪信息等。
2. 《个人信息保护法（草案二次审议稿）》第四条规定，个人信息是以电子或者其他方式记录的与已识别或者可识别的自然人有关的各种信息，不包括匿名化处理后的信息。个人信息的处理包括个人信息的收集、存储、使用、加工、传输、提供、公开等。个人信息的处理包括个人信息的收集、存储、使用、加工、传输、提供、公开等。
3. 《信息安全技术-个人信息安全规范GB/T 35273—2020》第三条第一款规定，个人信息是指以电子或者其他方式记录的能够单独或者与其他信息结合识别特定自然人身份或者反映特定自然人活动情况的各种信息。个人信息包括姓名、出生日期、身份证件号码、个人生物识别信息、住址、通信通讯联系方式、通信记录和内容、账号密码、财产信息、征信信息、行踪轨迹、住宿信息、健康生理信息、交易信息等。
尽管上述法律、草案征求意见稿、有关国家标准对于“个人信息”的具体定义不尽相同，但分析归纳可知，自然人的姓名、出生日期、身份证件号码、生物识别信息、住址、电话号码、健康信息、行踪信息等可识别自然人有关的各种信息，均属“个人信息”的范畴。本文讨论所主要涉及的自然人生物识别信息就在其列。
三、民事、行政层面关于个人信息保护及相应法律责任的主要规定
1. 《民法典》第一百一十一条规定，自然人的个人信息受法律保护。任何组织或者个人需要获取他人个人信息的，应当依法取得并确保信息安全，不得非法收集、使用、加工、传输他人个人信息，不得非法买卖、提供或者公开他人个人信息。
《民法典》第一千零三十四条规定，自然人的个人信息受法律保护。……个人信息中的私密信息，适用有关隐私权的规定；没有规定的，适用有关个人信息保护的规定。
2. 《消费者权益保护法》第十四条规定，消费者在购买、使用商品和接受服务时，享有人格尊严、民族风俗习惯得到尊重的权利，享有个人信息依法得到保护的权利。
《消费者权益保护法》第二十九条规定，经营者收集、使用消费者个人信息，应当遵循合法、正当、必要的原则，明示收集、使用信息的目的、方式和范围，并经消费者同意。经营者收集、使用消费者个人信息，应当公开其收集、使用规则，不得违反法律、法规的规定和双方的约定收集、使用信息。经营者及其工作人员对收集的消费者个人信息必须严格保密，不得泄露、出售或者非法向他人提供。经营者应当采取技术措施和其他必要措施，确保信息安全，防止消费者个人信息泄露、丢失。在发生或者可能发生信息泄露、丢失的情况时，应当立即采取补救措施。
《消费者权益保护法》第五十条规定，经营者侵害消费者的人格尊严、侵犯消费者人身自由或者侵害消费者个人信息依法得到保护的权利的，应当停止侵害、恢复名誉、消除影响、赔礼道歉，并赔偿损失。
《消费者权益保护法》第五十六条规定，经营者有下列情形之一，除承担相应的民事责任外，其他有关法律、法规对处罚机关和处罚方式有规定的，依照法律、法规的规定执行；法律、法规未作规定的，由工商行政管理部门或者其他有关行政部门责令改正，可以根据情节单处或者并处警告、没收违法所得、处以违法所得一倍以上十倍以下的罚款，没有违法所得的，处以五十万元以下的罚款；情节严重的，责令停业整顿、吊销营业执照：……（九）侵害消费者人格尊严、侵犯消费者人身自由或者侵害消费者个人信息依法得到保护的权利的；……
根据上述法律规定，个人信息是受到法律保护的；如经营者收集、使用消费者个人信息的，应当明示收集、使用信息的目的、方式和范围，取得消费者同意，并且应当对于消费者个人信息进行保密，不得泄露、出售或者非法向他人提供，否则需承担相应民事、行政法律责任。
四、实操层面已出台的指导性文件
据笔者了解，自2020年底开始，各地都针对房地产售楼处设置人脸识别系统收集购房客户人脸生物识别信息问题相继出台文件：
1. 2020年12月，南京市住房保障和房产局发出通知“各房地产开发企业：根据《中华人民共和国侵权责任法》《中华人民共和国网络安全法》《中华人民共和国民法典》等法律法规规定，在售楼处或开盘现场，未经本人同意，不得使用人脸识别系统。请各房地产开发企业严格遵照执行。”南京多家售楼处接到南京市住房保障与房产局通知，要求拆除现有的人脸识别系统。
2. 继南京之后，徐州市住房和城乡建设局近日也向部分新开楼盘和续销楼盘项目发出口头通知，要求售楼处不得使用“人脸识别”系统。
3. 2021年4月1日，昆明市住房和城乡建设局发布《关于规范商品房销售场所人脸识别系统使用行为的通知》，“一、房地产开发企业对商品房消费者进行身份识别，收集、使用消费者个人信息应当遵循合法、正当、必要的原则，不得强制消费者通过指纹、人脸识别等生物识别信息方式进入商品房销售场所或使用公共设施设备。二、确有必要须在商品房销售场所使用人脸识别系统的，房地产开发企业应当明确标识人脸识别区域及个人信息采集使用用途，未经消费者本人同意，不得使用人脸识别系统进行信息采集。……”
4. 2021年4月2日，惠州市住房和城乡建设局发布《关于规范商品房销售场所使用人脸识别系统的通知》，“……二、请各房地产开发企业将已安装的人脸识别监控系统相关设备查处，并彻底删除先前非法采集的人脸信息，于4月11日前将整改情况书面报我局房产科。三、本通知下发之日起，各开发企业、中介服务机构在售楼处或销售活动现场，未征得消费者本人书面同意，不得使用人脸识别系统收集消费者的人脸信息。若需采集人脸信息的，须先获得消费者本人签署的同意书，并向消费者明示收集和使用信息的目的、方式、范围等内容后方可采集。……”
五、行政处罚案例及司法判例情况
（一）行政处罚案例
根据笔者了解的情况，实操层面部分市场监督管理机关已经开展对于设置并不规范使用人脸识别系统的房地产企业专项整治，已有实施行政处罚的案例：宁波已开展房地产领域人脸识别专项执法行动：截至2021年4月21日，宁波市市场监督管理局共对非法摄取消费者人脸信息行为立案16件，已对其中3件案件（宁波杭州湾新区泛海置业有限公司、宁波融创金湾置业有限公司和宁波保利实业投资有限公司）分别做出行政处罚，责令改正并处以罚款25万元。宁波市市场监督管理局认为，相关房地产企业侵害了消费者依法应得到保护的个人信息权利，违反了《消费者权益保护法》第五十六条第一款第（九）项的规定。
（二）司法判例
虽然该售楼处设置人脸识别系统的情况既存时间已不短暂，但经笔者检索了解（囿于笔者检索能力及关键词限定，存在检索、了解情况不周延的可能），目前尚未检索到消费者因个人信息权利受到侵害而起诉房地产开发企业的裁判文书。
据此，根据笔者了解到的实践中上述相关地方房地产监管部门的通知口径：（1）要求房地产企业进行整改，拆除现有人脸识别系统，删除此前已经采集的生物识别信息，并向地方房地产监管部门汇报此前已经收集个人信息数据情况和整改情况；（2）应在销售现场进行公示，向消费者明确告知，存在人脸识别系统会无感收集消费者的个人信息；（3）收集消费者信息时，要求消费者本人签署知情同意书，房地产企业收集相关信息需要获得消费者明确授权。
六、合规建议
根据上述情况及分析，有关房地产企业应当注意合规性问题，如无法取得消费者相关授权同意的，房地产企业仍收集消费者个人生物识别信息，存在违法风险，可能面临相应的民事和行政责任承担问题。在落实取得消费者授权同意环节，笔者建议：
（一）如必须在项目售楼处通过人脸识别系统收集消费者个人生物识别信息的，建议首先采用店堂公示等方式在入口位置明确提示消费者（无论该消费者是否为签署认购协议或房屋预售/销售合同的正式客户），售楼处存在人脸识别及生物信息采集系统，且明示该等个人信息采集系统会对消费者个人信息进行收集的情况，进入房地产售楼处即视为清楚知悉该等情况并认可个人信息采集系统的设置。
（二）在消费者看房购房流程中告知消费者并要求消费者签署对售楼处设置人脸识别及生物信息收集系统允许收集、存储、使用对消费者所采集的个人信息，告知消费者设置该人脸识别系统的真实用途，并且将要求消费者签署知情同意文件的环节嵌入看房购房流程，在征得消费者本人书面同意后，方可使用人脸识别系统收集、存储、使用消费者的人脸信息，且需注意对收集的个人信息进行保密。