2021年7月27日，最高人民法院发布《最高人民法院关于审理使用人脸识别技术处理个人信息相关民事案件适用法律若干问题的规定》（下称《规定》），并自2021年8月1日起施行。

本次《规定》出台的主要原因一方面是人脸信息拥有高敏感性、社交属性最强、最易采集、唯一性和不可更改性等五大特性，一旦被不法分子掌握，容易导致侵害自然人合法权益民事案件甚至犯罪行为的发生，而且人脸信息一旦泄露将对个人的人身和财产安全造成极大危害，甚还可能至威胁公共安全；另一方面是近年来滥用人脸识别技术侵害自然人合法权益的事件频发，亟待规制。

《规定》一共16个条文，虽然内容并不多，但是对于信息处理者而言，均值得重视。就《规定》出台后的影响而言，主要包括如下几个方面：

（一）《规定》的适用范围：准确适用，也应关注敏感个人信息严格处理的趋势

《规定》第1条规定“因信息处理者违反法律、行政法规的规定或者双方的约定使用人脸识别技术处理人脸信息、处理基于人脸识别技术生成的人脸信息所引起的民事案件，适用本规定”。在理解、适用《规定》时，一方面要准确理解上述概念；另一方面生物识别信息属于敏感个人信息范畴，《个人信息保护法》对于敏感个人信息进行了专节规定，需注意其他敏感个人信息（如种族、民族、宗教信仰、医疗健康、金融账户、个人行踪等信息）相关民事案件可能未来也会参照该《规定》。

（二）《规定》的溯及力：信息处理者应重视该《规定》的威慑力

虽然《规定》第16条明确了其适用并不会溯及到2021年8月1日以前，但是如果信息处理者使用人脸识别技术处理人脸信息、处理基于人脸识别技术生成的人脸信息的违法违规、违约行为一直持续到2021年8月1日以后，则会面临适用《规定》的风险。《规定》的威慑力主要体现在两个方面，一个是举证责任更重，一个是赔偿范围更加明确。

（三）信息处理者面临的人脸信息处理纠纷民事案件败诉风险增大

此方面的影响主要包括：1、信息处理者的“常用”抗辩被《规定》否定。例如通过一揽子、捆绑、强迫同意等方式获得自然人关于处理其人脸信息的授权的；2、信息处理者面临的民事诉讼多元化。除了常见的侵权责任及其相应的责任承担方式之外，还包括如人格权侵害禁令、请求其他合理验证方式、请求删除人脸信息、公益诉讼等多元化的诉讼请求方式；3、信息处理者的举证责任加重。信息处理者要对其满足处理个人信息的条件、以及符合《规定》第5条的情形（不需要经过同意等情形）进行举证；4、信息处理者的责任范围扩大。包括民法典规定的共同侵权等责任形式，同时制止侵权行为、调查等合理费用属于合理开支、合理的律师费计算在赔偿范围内。

（四）信息处理者在IPO过程中，如存在大量个人信息保护纠纷，IPO被否的风险也将进一步提高

在我们持续关注的境内IPO案例中，梳理拟IPO企业被问询的数据合规问题可以发现，“是否存在隐私权侵权纠纷”、“是否存在个人信息保护纠纷”基本上都是必问的问题。甚至一些还未出台的与个人信息保护有关的规定，也会被问询“是否已经对照整改”。随着《规定》出台，拟IPO企业如适用该《规定》，则可能更容易面临个人信息保护纠纷，尤其是在上市前。在IPO审核过程中一旦发生了这类个人信息保护纠纷，则容易暴露出企业的数据不合规问题或者存在较大漏洞，往往成为IPO被否的事由之一。当然除了IPO，企业被上市公司并购，或者正在进行后期的股权融资，仍应同等重视该《规定》。