近日，居住在北京市昌平区某小区的赵明（化名）出差一趟回来后，发现原先无门禁的小区加装了人脸识别门禁。
“突然变成要刷脸才能进小区，也没有提前告知，我只能去补办。”9月27日，赵明对记者说，“办理这个需要录入个人信息，我是非常不情愿的。”
当前，人脸识别被越来越多的作为门禁，其强制推行的方式触碰了信息被采集者的敏感神经，而信息的不透明、不对称更加剧了人们的担忧。质疑声随之而来：小区门禁采用人脸识别是否有相应的法律依据？物业有权强制采集居民个人信息吗？收集到的个人生物信息是否得到了妥善保护？
“突然变成刷脸才能进小区”
和赵明同住一个小区的租户吴静（化名）告诉记者，对于刷脸才能进小区，小区管理人员只是在门口贴了一纸通知，并没有提前征求大家意见，也没有挨家挨户告知。
记者在这份社区居委会9月16日发出的通知中看到，上面要求居民带好手机、身份证、购房户带房产证、租户带租房合同，4天内在指定地点注册登记。通知中还附上了智能门禁注册流程。
“疫情期间，为了严控外来人员出入，保安日夜值守，居委会、物业的工作量都很大，所以才想到启用刷脸出入。”该小区一名物业管理人员对记者说，“早就应该这样了，你去别的小区看看，咱们这里算是装得很晚的了。”
记者走访该小区发现，一些居民认为智能门禁方便，能保证小区安全，也有不少居民对个人信息采集表示担忧。
“一旦个人的生物信息被录进系统，就有被泄露的风险。”赵明说。
“我一直压到规定期限的最后一天才去物业办理。”吴静说，“现场很多人都有怨言，害怕隐私被泄露，但没办法，不办理就无法进门。”目前，该小区的智慧门禁系统已经启用。
居民“交”出人脸信息安全吗？对此，该小区物业管理人员对记者表示，“这是街道办推动安装的，不是针对个别小区，非常安全。”不过，对于收集到的信息怎么保管、怎么保证合理使用，物业公司方面并没有给出明确回应。
还有居民认为，物业解释的“防盗”并不起作用。“如果真的有盗窃企图，只要有人开门，盗贼就可能尾随进入，或者翻墙进入，这种系统就是摆设。”小区一位女士表示。
记者了解到，已有媒体报道一些小区人脸识别门禁并不智能，刷脸不成功的状态也随时存在。《厦门晚报》就曾报道过一位女士三年只成功刷脸进楼三次的新闻。
“人脸信息泄露了可以换脸吗”
居民对人脸识别门禁产生质疑的核心问题是：小区物业有权强制采集居民个人信息吗？
北京市京师律师事务所的熊超律师对记者表示，目前我国对个人信息采集的主体没有明确的法律依据，存在极大的个人信息泄露风险和隐私安全问题。
“正因为能够采集个人信息的主体尚不明确，所以现在一些商家、小区物业等为了便利化、提升管理效率，都在采集个人信息。”熊超说，“虽然没有明说是‘强制’，但如果不按照要求接受采集，就无法完成支付、无法进门等，这是一种变相的强制。”
熊超告诉记者，收集、使用个人信息，应当遵循合法、正当、必要的原则，公开收集、使用规则，明示收集、使用信息的目的、方式和范围，并经被收集者同意。
“目前很多运营者在使用‘刷脸’技术时，并未考虑到收集个人生物识别信息过程中所存在的法律风险。小区安装人脸识别门禁，如果完全不提前由居民商量讨论，征得居民同意，直接加装，违反了经被收集者同意的原则。”熊超说。
深圳市一家科技公司的技术管理刘欢称，人脸信息一旦泄露，风险极大。“如果你的支付宝或者微信支付绑定了人脸识别，你能用支付密码来支付也可以通过人脸识别自动支付，那么你的人脸识别信息被别人采集走后，相当于你把银行卡密码告诉了别人。”刘欢说，“更可怕的是，银行卡密码泄露了可以更改，但是，人脸信息泄露了可以换脸吗？”
法律应规制人体生物信息采集
今年6月，因不接受动物园将入园方式改成“刷脸”，浙江理工大学副教授郭兵将杭州野生动物世界告上了法庭。这起“人脸识别第一案”备受关注，折射出公众对个人信息采集滥用产生质疑乃至不满。
今年上半年，清华大学法学院教授劳东燕也遇到“不刷脸不让进小区”的情况，她明确对物业公司和居委会表达了拒绝。9月23日，在一场主题为《小区门禁能否人脸识别？——人体生物信息采集的滥用及其法律规则》的研讨会上，劳东燕作为主讲嘉宾，现身说法讲述了这一经历。
劳东燕认为，在小区安装人脸识别装置并无必要，人脸识别技术给社会带来的巨大风险，远远大于它带来的各种便利。另一方面，不经同意收集人脸数据，也违反现行的法律规定。
中国政法大学教授陈忠云称，目前我国对人体生物信息采集的规定仍主要零星体现在个人信息保护层面，并没有专门的立法规范。在此背景下，社区或小区是人们生活中最长时间居住、最多私人活动的场所和空间，不宜在门禁系统中强制使用人脸识别技术。法律应对可以采集个人信息的主体、法律义务、违法采集作出明确的规定。
有专家认为，人脸识别技术并不一定适合在很多场合采集，建议采取自愿原则，给予居民充分的选择权，刷卡门禁和人脸识别门禁并存。
10月1日，新版《信息安全技术个人信息安全规范》实施。《规范》要求，在收集人脸、指纹等个人生物识别信息前，应单独向个人信息主体告知收集、使用个人生物识别信息的目的、方式和范围以及存储时间等规则，并征得个人信息主体的同意。业界认为，这是政府为加强个人信息保护释放的一个强烈信号。
