作者：王欣 欧玉洁 张瑞斌 金杜律师事务所争议解决部
引言:一次司法解释先于法律的有趣现象
2021年7月28日，最高人民法院发布《最高人民法院关于审理使用人脸识别技术处理个人信息相关民事案件适用法律若干问题的规定》，即“《人脸识别司法解释》”。8月29日，十三届全国人大常委会第三十次会议表决通过《中华人民共和国个人信息保护法》，自2021年11月1日起施行。
一般来说，人民法院制定的司法解释是人民法院根据法律和有关立法精神，结合审判工作实际需要，对在审判工作中如何具体应用某一法律或者对某一类案件、某一类问题如何应用法律等问题而制定的法律解释。逻辑上和时间上，一般是法律在先，司法解释在后。《人脸识别司法解释》发布在其上位法——《个人信息保护法》之前，体现了我国对于“个人信息保护”和“人脸安全”规范需求的紧迫性。同时，也在立法技术上出现了一个有趣的现象，即本文所要讨论的《人脸识别司法解释》第六条关于举证证明责任规则的规定。
证明责任：三个欲言又止的规范
《人脸识别司法解释》第六条共三款，第一款规定“当事人请求信息处理者承担民事责任的，人民法院应当依据民事诉讼法第六十四条[1]及《最高人民法院关于适用〈中华人民共和国民事诉讼法〉的解释》第九十条[2]、第九十一条[3]，《最高人民法院关于民事诉讼证据的若干规定》的相关规定确定双方当事人的举证责任。”
第二款规定，信息处理者主张其行为符合民法典第一千零三十五条[4]第一款规定情形的，应当就此所依据的事实承担举证责任。
第三款规定，信息处理者主张其不承担民事责任的，应当就其行为符合本规定第五条[5]规定的情形承担举证责任。
该三条规则，构成了《人脸识别司法解释》的证明责任规则。然而，其第一款不过是民事诉讼证明责任规则的“摘抄”，民诉法第64条，民诉法解释第90条、第91条所确立的民事诉讼证明责任规则就是最一般的“谁主张，谁举证”的证明责任。第二款、第三款只不过是从抗辩方的角度重述“谁主张，谁举证”的证明规则，但其措辞似乎又想表达出一些特别的含义或者说倾向，这种“微妙”在“《关于审理使用人脸识别技术处理个人信息相关民事案件适用法律若干问题的规定》的理解与适用”[6]一文中道出：
信息处理者使用人脸识别技术处理人脸信息侵害人格权益相关纠纷的举证责任分配，应当遵循民事诉讼法及相关司法解释的一般性规定。
但由于人脸识别技术具有较强的技术性和专业性，实践中，使用人脸识别技术处理人脸信息的有关证据一般均由信息处理者掌握，加之信息主体对于信息处理者如何处理信息并不了解，让信息主体承担信息处理者信息处理行为违法的证明责任，将面临知识和信息上的障碍。
有鉴于此，个人信息保护法（草案）采取了过错推定原则，将过错要件的举证责任倒置给信息处理者。
由于归责原则和举证责任倒置具有法定性，在个人信息保护法正式施行前，信息处理者使用人脸识别技术侵害自然人人格权益的案件，能否直接适用过错推定责任原则实行举证责任倒置值得研究。
正是由于利用人脸识别技术处理个人信息引起的民事案件应当适用举证责任倒置，即并非完全以“谁主张，谁举证”为原则，但举证责任倒置具有法定性，这种法定性是指“实体法规定性”，《人脸识别司法解释》在这个问题上采取了谦抑的姿态。
而后，新颁布的《个人信息保护法》第六十九条（第一款）规定，处理个人信息侵害个人信息权益造成损害，个人信息处理者不能证明自己没有过错的，应当承担损害赔偿等侵权责任。即在过错归责原则上采取了“过错推定”并规定该项相反事实的证明责任由个人信息处理者承担——即使个人信息处理者在诉讼中未主张自己没有过错，也要由其承担证明责任。
“谁主张，谁举证”与证明责任倒置规则的根本区别在于，证明责任倒置规则下，责任一方即使不主张相关事实，相关事实的证明责任仍然在该方，该方不能证明的，承担不利后果。假使证明个人信息处理者“存在过错”的责任在个人信息权利人，则个人信息处理者没有必要主动反驳自己不存在过错（第六条第二款）或者存在免责抗辩事由（第六条第三款），而仅需要在个人信息权利人已经完成对个人信息处理者“存在过错”的证明之后，再提出相应的反驳和抗辩。这将对于个人信息权利人的保护造成困难。
实体要件：证明责任分配的依据
我国目前的通说认为，证明责任分配应当根据具体的实体法律关系来合理确定，并由法律进行规定。《人脸识别司法解释》实质上涉及多种法律关系。法律关系，尤其“责任型”法律关系（如侵权责任关系、违约责任关系）涉及责任的构成要件分析。
从法律关系构成要件的角度，一般侵权责任法律关系的构成要件有“侵权行为”“损害结果”“因果关系”和“过错”。
-
侵权行为及其对象
“侵权行为”涉及当事人对民事权利的侵犯性、可责性分析。从权利位阶的角度来看，《民法典》将个人信息保护放在与“隐私权”的同一章规定，《民法典》第一千零三十四条第三款规定“个人信息中的私密信息，适用隐私权的规定；没有规定的，适用有关个人信息保护的规定”，对于《人脸识别司法解释》所规定的“人脸信息”是否属于个人信息“私密信息”，本身可能存在理解上的争议。《中华人民共和国民法典人格权编理解与适用》将“长相”列举为个人的私密信息（属个人生理信息）[7]， 但此处所说的“长相”应当是和《人脸识别司法解释》所说的“人脸信息”属于不同的法律客体，因为后者是指“人脸识别技术”的运用对象，全国信息安全标准化技术委员会《信息安全技术 人脸识别数据安全要求》（征求意见稿）定义“人脸识别数据”是指人脸图像及其处理得到的，可单独或与其他信息结合识别特定自然人或特定自然人身份的数据；“人脸图像”是指自然人脸部信息的模拟或数字表示。因此，作为《人脸识别司法解释》项下的权利客体——人脸信息，具有明显的技术性、特定性，因而应当适用《人脸识别司法解释》的规定，从而与隐私权、肖像权等区分开。
《个人信息保护法》提出了“个人信息权益”的概念（第二条），并将“生物识别”信息归类为“敏感个人信息”，并认为“敏感个人信息是一旦泄露或者非法使用，容易导致自然人的人格尊严受到侵害或者人身、财产安全受到危害的个人信息”（第二十八条）。人脸信息就是“生物识别信息”的一个子类，相应的其所对应的权利可称之为“人脸信息权益”。
《人脸识别司法解释》将侵犯人脸信息权益的行为归类为“侵害自然人人格权益的行为”。
因此，存在以下权利位阶关系：自然人人格权>个人信息权益>敏感个人信息权益>生物识别信息权益>人脸信息权益。
《人脸识别司法解释》所要保护的客体就是这个十分精细的权利种类——人脸信息权益。作为侵权行为要件的“行为要件”就是对该权益的侵犯。一个行为，是否构成对民事权利的侵犯，需要对行为本身进行可责性分析，甚至在当行为本身也是一项权利或者应受保护的国家发展利益的时候，还需要进行价值上的比较和平衡。
对 “人脸信息权益”的人脸识别技术运用，一般分为人脸验证[8]、人脸辨识[9]和人脸分析[10]，各类运用场景给人民群众带来了极大的便利，立法本身不是为了限制技术的发展和运用，而是为了规制技术的“滥用”，“滥用”本身就包含着对行为的可责性评价。而“滥用”与“运用”的分界，根据《人脸识别司法解释》的规定应当是以是否符合“合法、正当、必要原则”作为评判依据的，《个人信息保护法》也规定，处理个人信息应当遵循合法、正当、必要和诚信原则，不得通过误导、欺诈、胁迫等方式处理个人信息（第五条）。
-
侵权行为要件与过错要件的关系及其证明责任
对于“侵权行为”要件的证明责任，应当适用一般证明责任规则，即“谁主张，谁举证”的证明责任规则，个人信息权利人应当对人脸识别技术滥用行为进行举证。
然而，正是由于“滥用”的可责性，个人信息权利人在证明该侵权行为要件时，实质上已经一起证明了“过错”要件。这似乎与《个人信息保护法》规定的过错推定规则（第六十九条）构成了两组矛盾，第一组矛盾是，即如果只要求个人信息权利人证明人脸识别技术运用行为，由人脸信息处理者反证没有“滥用”（没有过错），又有导致个人信息权利人烂诉的可能风险。
例如《人脸识别司法解释》第二条第一款第（一）项列举的“在宾馆、商场、银行、车站、机场、体育场馆、娱乐场所等经营场所、公共场所违反法律、行政法规的规定使用人脸识别技术进行人脸验证、辨识或者分析”，个人信息权利人不仅应当就在营业场所、公共场所“运用”人脸识别技术的行为举证，也要为该“运用”违反法律、行政法规的规定进行举证。
第二组矛盾就是，由于人脸识别技术的较强的技术性和专业性，要求个人信息权利人证明技术运用违反合法、正当、必要原则（滥用）又会导致对个人信息权利人的保护不足。
解决或者平衡上述矛盾的方案在于对人脸识别案件作类型化分析，可以将人脸识别侵权案件分为两类，一类是造成了传统人格权受损结果或者近似传统人格权受损结果的，二类是仅造成当事人抽象人脸信息权益受损的行为。
对于第一类案件，完全可以严格适用《个人信息保护法》第六十九条的过错推定责任。比如，《人脸识别司法解释》第二条第一款第（五）项的“（人脸信息处理人）未采取应有的技术措施或者其他必要措施确保其收集、存储的人脸信息安全，致使人脸信息泄露、篡改、丢失”，个人信息权利人只要对人脸信息的泄露、篡改、丢失的结果、人脸信息处理人的人脸识别技术运用行为、二者之间的关系进行证明，就应当推定该项运用存在过错，由人脸信息处理人就其不存在过错的事实承担证明责任。
对于第二类案件，可以考虑个人信息权利人既对人脸识别技术行为运用行为进行举证，也为该行为的“滥用性质”（违反“合法、正当、必要原则”）进行证明。在个人信息权利人对技术滥用行为承担证明责任后，人脸信息处理者仍按证明责任倒置的规则，对无过错要件承担证明责任。
-
损害结果要件、因果关系要件的拟制与其证明责任
人脸信息权益、个人信息权益属于精神性人格权（非物质性人格权，如姓名、名誉、人身自由等），而“精神性人格权存在差异，且侵害此类权利的侵权形态多样化，难以归纳出一般的构成要件”[11]，因此《人脸识别司法解释》将“动态系统论”（民法典第九百九十八条）引入到人脸识别侵权责任的认定中[12]。这一方面尊重了此类案件的基本特征，另一方面体现了司法的政治职能。
一般侵权责任的“因果关系”要件在人脸识别侵权案件中也受到挑战，因为《个人信息保护法》、《人脸识别司法解释》实质是对人脸识别技术的滥用行为的规制，这种行为是否事实上对个人信息权利人有人格上的侵犯关系并不重要（比如某些应用的“颜值评分”功能），行为本身即需要被禁止。
在某些情形下，如果要求个人信息权利人证明因果关系和损害结果必将减损法律、司法解释的效果。比如，某娱乐场所未公开处理人脸信息的规则而进行群体“颜值评分”服务，即使对于某些受到“积极评价”的人脸信息权利人来说，仍然不能否定其此行为具有诉的利益，更不能以不能证明损害结果、或者不能证明因果关系为由裁判。尽管如此，从诉讼策略的角度来讲，个人信息权利人对于“损害结果”“因果关系”仍应提供尽量充足、“客观”的证据，比如《人脸识别司法解释》第八条规定的进行调查、取证费的费用、律师费等。
结论
《人脸识别司法解释》、《个人信息保护法》是我国民法在信息时代的重要组成部分，是保护人民个人信息权益的基础性法规，同时在维护数据安全、防止技术滥用上也体现了相当的公法作用。科技是第一生产力，科技也是一柄双刃剑，科技也对传统民法理论提出了挑战。证明责任的分配问题直接关系一个诉讼的进行模式，而证明责任的分配依据是法律关系的要件分析，以“谁主张，谁举证”为原则，依理依法适用举证责任倒置规则，动态系统论将对侵权类个人信息案件的构成要件分析和证明责任分配发挥重要的作用。
[1] 当事人对自己提出的主张，有责任提供证据。（第一款）
[2]当事人对自己提出的诉讼请求所依据的事实或者反驳对方诉讼请求所依据的事实，应当提供证据加以证明，但法律另有规定的除外。
在作出判决前，当事人未能提供证据或者证据不足以证明其事实主张的，由负有举证证明责任的当事人承担不利的后果。
[3] 人民法院应当依照下列原则确定举证证明责任的承担，但法律另有规定的除外：
（一）主张法律关系存在的当事人，应当对产生该法律关系的基本事实承担举证证明责任；
（二）主张法律关系变更、消灭或者权利受到妨害的当事人，应当对该法律关系变更、消灭或者权利受到妨害的基本事实承担举证证明责任。
[4]处理个人信息的，应当遵循合法、正当、必要原则，不得过度处理，并符合下列条件：
（一）征得该自然人或者其监护人同意，但是法律、行政法规另有规定的除外；
（二）公开处理信息的规则；
（三）明示处理信息的目的、方式和范围；
（四）不违反法律、行政法规的规定和双方的约定。
个人信息的处理包括个人信息的收集、存储、使用、加工、传输、提供、公开等。
[5] 有下列情形之一，信息处理者主张其不承担民事责任的，人民法院依法予以支持：
（一）为应对突发公共卫生事件，或者紧急情况下为保护自然人的生命健康和财产安全所必需而处理人脸信息的；
（二）为维护公共安全，依据国家有关规定在公共场所使用人脸识别技术的；
（三）为公共利益实施新闻报道、舆论监督等行为在合理的范围内处理人脸信息的；
（四）在自然人或者其监护人同意的范围内合理处理人脸信息的；
（五）符合法律、行政法规规定的其他情形。
[6] 原文载于“人民司法”微信公众号，作者：郭锋 陈龙业 贾玉慧 张音；作者单位：最高人民法院。
[7] 参见《中华人民共和国民法典人格权编理解与适用》第349页。
[8]《信息安全技术 人脸识别数据安全要求》（征求意见稿）载，人脸验证：将采集的人脸识别数据与存储的特定自然人的人脸识别数据进行比对（1：1比对），以确认特定自然人是否为其所声明的身份。典型应用包括机场、火车站的人证比对，移动智能终端的人脸解锁功能等。
[9] 《信息安全技术 人脸识别数据安全要求》（征求意见稿）载，人脸辨识：将采集的人脸识别数据与已存储的指定范围内的人脸识别数据进行比对（1：N比对），以识别特定自然人。典型应用包括公园入园、居民小区门禁等。
[10] 《信息安全技术 人脸识别数据安全要求》（征求意见稿）载，人脸分析：不开展人脸验证或人脸辨识，仅对采集的人脸图像进行统计、检测或特征分析。典型应用包括公共场所人流量统计、体温检测、图片美化等。
[11] 参见《中华人民共和国民法典人格权编理解与适用》第101页。
[12] 第三条 人民法院认定信息处理者承担侵害自然人人格权益的民事责任，应当适用民法典第九百九十八条的规定，并结合案件具体情况综合考量受害人是否为未成年人、告知同意情况以及信息处理的必要程度等因素。《民法典》第九百九十八条规定，认定行为人承担侵害除生命权、身体权和健康权外的人格权的民事责任，应当考虑行为人和受害人的职业、影响范围、过错程度，以及行为的目的、方式、后果等因素。