《规定》明确人脸识别信息属于民法典规定的个人信息中的“生物识别信息”，但并没有明确是属于私密信息，而私密信息适用隐私权保护。一定程度上来说，是否私密信息具有一定主观性，而人脸信息是否属于私密信息可能因人而异。

而在《个人信息保护法》（二审稿）中规定的是个人生物特征信息，并属于敏感个人信息。作为信息处理者，在处理敏感个人信息时，不管该敏感个人信息对其自身而言是否属于私密信息，法律都对其在处理相关信息时提出了更高的要求。

《规定》还明确，信息处理者违法处理人脸识别信息的行为，属于侵害自然人人格权益。人脸信息属于肖像权，但可能又不仅仅是传统意义上的肖像权，可以说是还有时候还与其他人格权益联系在一起，共同维护其人身自由和人格尊严。

《规定》还明确了自然人的近亲属有权维护其人脸信息权益，明确自然人死亡后，信息处理者违反法律、行政法规的规定或者双方的约定处理人脸信息，死者的近亲属依据民法典第九百九十四条请求信息处理者承担民事责任的，适用本规定。与此类似的还有名誉权、荣誉权等，具有一定延续性，且相关侵害行为会对近亲属产生直接影响。

《规定》目的是审理使用人脸识别技术处理个人信息相关民事案件，其法律依据包括《中华人民共和国民法典》《中华人民共和国网络安全法》《中华人民共和国消费者权益保护法》《中华人民共和国电子商务法》《中华人民共和国民事诉讼法》等。

其中《民法典》所确立的个人信息人格权益是处理人脸识别相关民事案件的基本依据，《网络安全法》规定了网络运营者对个人信息处理的义务，《消费者权益保护法》《电子商务法》中对相关当事人之间权利义务和举证责任的规定，结合《民事诉讼法》中相关程序规则促进维护人脸识别相关权益。

值得注意的是，将于2021年8月17日至20日举行的十三届全国人大常委会第三十次会议将审议包括个人信息保护法草案在内的多部法律。如未来《个人信息保护法》被最高立法机构通过并实施后，该法也将成为法院审理该类案件的法律依据。

《规定》总结近年来各行业应用人脸识别以及相关案件处理的实际情况，规定了若干种比较典型的侵权类型。信息处理者处理人脸信息有下列情形之一的，人民法院应当认定属于侵害自然人人格权益的行为：

一是在宾馆、商场、银行、车站、机场、体育场馆、娱乐场所等经营场所、公共场所违反法律、行政法规的规定使用人脸识别技术进行人脸验证、辨识或者分析。

这些场所采信的人脸信息数量巨大，法律和行政法规往往会对相关处理有更严格的要求。如《个人信息保护法（二审稿）》第二十七条规定，在公共场所安装图像采集、个人身份识别设备，应当为维护公共安全所必需，遵守国家有关规定，并设置显著的提示标识。所收集的个人图像、个人身份特征信息只能用于维护公共安全的目的，不得公开或者向他人提供，取得个人单独同意的除外。这里就提到，公共场所必须遵守“国家有关规定”，这些规定可能就不仅仅是法律、行政法规了，包括了包括规章等相关规范性文件，以及相关国家标准、地方标准也将判断其是否成违反规范的重要参照。

二是未公开处理人脸信息的规则或者未明示处理的目的、方式、范围。

这是对处理所有个人信息都需要遵守的要求，在这里再一次重申。

三是基于个人同意处理人脸信息的，未征得自然人或者其监护人的单独同意，或者未按照法律、行政法规的规定征得自然人或者其监护人的书面同意。

实践中有很多信息处理者采取一些不适当的方式取得自然人同意，《规定》在后面进行了列举。

四是违反信息处理者明示或者双方约定的处理人脸信息的目的、方式、范围等。

明示或者双方约定均构成对信息处理者自身行为的约束。如果违反这些明示或约定，违反诚实信用原则，属于违约行为。

五是未采取应有的技术措施或者其他必要措施确保其收集、存储的人脸信息安全，致使人脸信息泄露、篡改、丢失。

这是对信息处理者的一个非常重要的要求。应有的技术措施和其他必要措施，就包括我国《网络安全法》等相关法律、行政法规所要求的网络安全、数据安全保护义务所要求的相关制度措施。

六是违反法律、行政法规的规定或者双方的约定，向他人提供人脸信息；

提供人脸信息与其他个人信息一样，都需要遵守法律、行政法规和双方的约定。

七是违背公序良俗处理人脸信息等。由于人脸信息与个人肖像和个人名誉权、荣誉权联系在一起，不能违背公序良俗，这是一种社会通常的伦理道德要求。

《规定》第三条规定，人民法院认定信息处理者承担侵害自然人人格权益的民事责任，应当适用民法典第九百九十八条的规定，并结合案件具体情况综合考量受害人是否为未成年人、告知同意情况以及信息处理的必要程度等因素认定。而《民法典》第九百九十八条规定，认定行为人承担侵害除生命权、身体权和健康权外的人格权的民事责任，应当考虑行为人和受害人的职业、影响范围、过错程度，以及行为的目的、方式、后果等因素。也就是说，人脸识别侵权属于过错责任，具体认定要结合具体情况。构成过错责任，一般包括行为人有过错、行为本身具有违法性、造成损害的客观事实以及违法行为与损害结果之间存在因果关系等。

《规定》还明确信息处理者利用网络服务处理人脸信息侵害自然人人格权益的，适用民法典中有关信息网络平台侵权相关规定。

《规定》列举了不当取得人脸信息使用同意的三种情形。由于取得同意是使用人脸识别信息的主要手段，但是很多信息处理者会基于其与用户或消费者的地位不对等，采取不恰当的方法取得自然人的同意，具体列举了以下情况：

《规定》还对以格式合同取得同意的侵权情形进行了规定。其中规定，信息处理者采用格式条款与自然人订立合同，要求自然人授予其无期限限制、不可撤销、可任意转授权等处理人脸信息的权利，该自然人依据民法典第四百九十七条请求确认格式条款无效的，人民法院依法予以支持。

这种格式条款利用其与自然人的不对等地位，限制了自然人的权利，而扩充了信息处理者的权利，是一种变相强迫采信人脸信息的行为。

《规定》明确，信息处理者违反约定处理自然人的人脸信息，该自然人请求其承担违约责任的，人民法院依法予以支持。该自然人请求信息处理者承担违约责任时，请求删除人脸信息的，人民法院依法予以支持。法院还认为，即便双方并未对人脸信息的删除作出约定，但只要信息处理者有违约行为，人民法院对自然人的删除要求都将予以支持。

《规定》还特别对物业等企业侵权的情形进行具体规定。其中规定，物业服务企业或者其他建筑物管理人以人脸识别作为业主或者物业使用人出入物业服务区域的唯一验证方式，不同意的业主或者物业使用人请求其提供其他合理验证方式的，人民法院依法予以支持。

物业等企业与公众日常生活紧密相关，其采用人脸信息的情形越来越多，但物业企业对人脸信息的收集、保存、使用的监督往往是非常不够，侵权行为时有发生，而且物业企业完全可以不收集人脸信息也可以提供服务，因此《规定》特别对物业企业有关活动作出明确规定，并明确当事人有权根据物业企业的违法违约情形请求物业服务企业或者其他建筑物管理人承担侵权责任的。

《规定》也对多人侵权时责任承担的情形进行了规定。根据不同情况，承担连带或分别侵权责任。

《规定》明确有下列情形之一，信息处理者主张其不承担民事责任的，人民法院依法予以支持：

《规定》明确，如果当事人请求信息处理者承担民事责任的，法院依据一般民事侵权案件举证责任规定，要求当事人承担相关举证责任。也就是说，受侵害人应该就受侵害的事实和造成的损失，侵害人的过错及因果关系等承担举证责任。

信息处理者主张其行为符合包括民法典在内的法律规定的，应当就此所依据的事实承担举证责任。如果信息处理者认为其不应当承担责任，其信息处理行为符合相关法律法规规定的，应当承担举证责任。

《规定》明确了如何认定财产损失，包括对自然人造成的损失和对方因此而获得的利益，规定信息处理者处理人脸信息侵害自然人人格权益造成财产损失。《规定》还明确规定了为制止侵权所支付的合理开支也属于财产损失，即自然人为制止侵权行为所支付的合理开支，可以认定为符合民法典规定的财产损失。合理开支包括该自然人或者委托代理人对侵权行为进行调查、取证的合理费用。并且明确规定，法院根据当事人的请求和具体案情，可以将合理的律师费用计算在赔偿范围内。这可能也是为了避免一些当事人主张过高的律师费。

《规定》还从程序上进行了相关配套，包括人格侵害权禁令、合理审理以及支持公益诉讼。其中关于人格权侵害禁令，规定自然人有证据证明信息处理者使用人脸识别技术正在实施或者即将实施侵害其隐私权或者其他人格权益的行为，不及时制止将使其合法权益受到难以弥补的损害，向人民法院申请采取责令信息处理者停止有关行为的措施的，人民法院可以根据案件具体情况依法作出人格权侵害禁令。这充分体现了人民法院对人脸信息人格权保护的高度重视。

关于相关案件合并审理的规定。明确如果当事人同意，那么基于同一被诉对象即信息处理者处理人脸信息侵害自然人人格权益发生的纠纷，当事人分别向同一人民法院起诉的，法院可以合并审理。这无疑有利于降低当事人的诉讼成本维护自身权益。

关于人脸信息民事案件的公益诉讼。如果符合民事诉讼法、消费者权益保护法或其他法律有关公益诉讼的规定，法律规定的机关和有关组织可以提起民事公益诉讼的。鉴于个人信息民事维权的成本问题，公益诉讼已经在学术界和司法实践中已经多次提起，这次是正式明确规定。