杭州市富阳区人民法院经审理认为，本案的核心问题为对经营者处理消费者个人信息，尤其是指纹和人脸等个人生物识别信息行为的评价和规范问题。结合诉辩双方的意见，本案的争议焦点可以归纳为：一、郭兵主张的店堂告示、短信通知内容的效力认定问题；二、野生动物世界是否存在郭兵主张的违约和欺诈行为，若存在，则损失如何认定；三、郭兵能否要求野生动物世界删除已收集的个人信息。

　　关于争议焦点一，郭兵系基于野生动物世界已经收集其指纹等信息，以及欲收集其人脸识别信息，侵害其权利为由，根据《消费者权益保护法》第二十六条第二款、第三款的规定，主张相关店堂告示、短信内容无效。根据《消费者权益保护法》第二十九条第一款、第二款的规定，经营者收集、使用消费者个人信息，应当遵循合法、正当、必要的原则，明示收集、使用信息的目的、方式和范围，并经消费者同意。经营者收集、使用消费者个人信息，应当公开其收集、使用规则，不得违反法律、法规的规定和双方的约定收集、使用信息。经营者及其工作人员对收集的消费者个人信息必须严格保密，不得泄露、出售或者非法向他人提供。经营者应当采取技术措施和其他必要措施，确保信息安全，防止消费者个人信息泄露、丢失。在发生或者可能发生信息泄露、丢失的情况时，应当立即采取补救措施。根据以上规定及其他相关法律的规定，我国法律对于个人信息在消费领域的收集、使用并未采取禁止的态度，而是强调对个人信息处理过程的监督管理，即在前端收集个人信息阶段需要遵循“合法、正当、必要”的原则和征得当事人同意的规则；在中端控制信息过程中需要遵循确保安全原则，不得泄露、出售或者非法向他人提供个人信息；在末端出现个人信息被侵害之时，经营者依法需要承担采取补救措施等相应的侵权责任。本案中，野生动物世界基于年卡用户可在有效期内无限次入园畅游的实际情况，使用指纹识别、人脸识别等生物识别技术，以达到甄别年卡用户身份、提高年卡用户入园效率的目的，该行为本身符合前述法律规定的“合法、正当、必要”三原则的要求。郭兵办理年卡时，野生动物世界的店堂告示以醒目的文字告知购卡人需要提供包括指纹在内的部分个人信息，郭兵自行决定提供该信息成为年卡客户。该店堂告示内容保障了郭兵的消费知情权和对个人信息的自主决定权，未作出排除或者限制消费者权利、减轻或者免除经营者责任、加重消费者责任等对消费者不公平、不合理的规定，不属于《消费者权益保护法》第二十六条第三款规定的因含有上述内容导致无效的情形，故对郭兵的第1项诉讼请求，本院不予支持。

　　关于郭兵的第2至第4项诉讼请求，根据《合同法》第八条第一款规定，依法成立的合同，对当事人具有法律约束力。当事人应当按照约定履行自己的义务，不得擅自变更或者解除合同。《合同法》第十三条、第十六条第一款、第二十条第一项规定，当事人订立合同，采取要约、承诺方式；要约到达受要约人时生效；拒绝要约的通知到达要约人的，要约失效。本案中，在郭兵与野生动物世界已经达成采取指纹识别方式入园合意的情况下，野生动物世界在履行合同期间向郭兵发送案涉两条短信，拟将原已达成的指纹识别入园方式变更为人脸识别入园方式，该行为属于单方变更合同的行为。从合同缔结角度，该短信的内容对郭兵而言属于新的要约，鉴于郭兵在诉前已经明确表示不同意变更人脸识别入园方式，并以诉讼方式要求确认该两条短信内容无效，应当认定野生动物世界发出的前述要约已失效。野生动物世界张贴的有关人脸识别的店堂告示主要面向新办卡的不特定用户，该店堂告示内容未成为郭兵与野生动物世界之间的合同条款，对郭兵不发生法律效力，郭兵对该店堂告示不具有法律上的直接利害关系，其要求确认涉人脸识别的短信通知和店堂告示内容无效，不符合《中华人民共和国民事诉讼法》第一百一十九条第一项的规定，本院不予支持。

　　关于争议焦点二，（一）关于郭兵主张的违约及赔偿问题。双方当事人之间形成的服务合同合法有效，依法应当得到全面履行。合同履行过程中，野生动物世界在未与郭兵进行任何协商，亦未征得其同意的情况下，发送短信告知郭兵未注册人脸识别将无法正常入园，在郭兵上门咨询求证时，野生动物世界的工作人员明确告知其不注册人脸识别将无法入园，而未告知存在其他的入园方式，野生动物世界的该行为属于以明示的方式表明不履行原合同约定的主要义务，依据《合同法》第一百零八条的规定，郭兵作为守约方，可以在履行期限届满前要求野生动物世界承担违约责任。尽管野生动物世界在2019年11月2日向郭兵告知了“年卡+身份证”双重验证的入园方式，但该方式实际上亦改变了合同约定的履行方式，客观上增加了郭兵履行合同的负担，侵害了消费者的信赖利益。郭兵在本案中不要求解除合同，而要求野生动物世界退还年卡卡费并赔偿交通费。据郭兵当庭陈述，“退还”年卡费实质上是赔偿损失的性质，根据本案野生动物世界的违约情节以及郭兵的损失情况，本院认为，野生动物世界承担的赔偿损失范围，包括自2019年10月26日起至合同期限届满之日止的合同利益损失及部分交通费。关于合同利益损失，本院认为应当以卡费1360元为基数，按利益受损的182天在合同履行期限365天中的比例折算，该部分损失为678元。关于郭兵主张的三项交通费，本院对郭兵因前往野生动物世界咨询交涉产生的往返交通费360元予以支持；对因前往本院立案和参加诉讼产生的两项交通费用，因法律依据不足，本院不予支持。综上，野生动物世界应当赔偿郭兵上述两项费用合计1038元。

　　（二）关于郭兵主张的欺诈及赔偿问题。郭兵主张野生动物世界存在欺诈行为有二：一是在办理指纹识别方式入园的年卡，以及要求进行人脸识别注册时，故意隐瞒存在其他入园方式的真实情况，诱使其作出错误意思表示；二是野生动物世界提供的入园和身份验证服务不符合保障个人信息安全要求。关于郭兵诉称的第一种欺诈行为，本院认为，野生动物世界的客户群体分为单次购票客户和年卡客户等不同类型。年卡客户不同于单次购票用户，其在购买年卡后可以在特定时段内不限次数畅游，因此在每次入园前都应当接受身份查验，故野生动物世界对不同客户群体采用差异化的入园查验方式具有必要性和合理性。野生动物世界在本案中明确表示，郭兵办理年卡时只有通过采集游客个人指纹及人脸面部信息后办理年卡一种方式，没有其他年卡办理方式；所谓存在其他辅助入园方式，是指如持卡人指纹无法识别或未带年卡，以及服务合同有效期内游客不同意激活人脸识别方式等特殊情形，可以借助人工识别身份方式入园。根据野生动物世界的上述意见，结合郭兵已接受指纹识别入园方式并办理年卡的实际情况，本院认为现无证据证明野生动物世界在办卡时存在故意隐瞒其他入园方式误导郭兵作出消费决定的行为，郭兵主张的该项欺诈事由缺乏依据。至于野生动物世界告知郭兵若不接受人脸识别入园方案将无法入园的行为，属于不履行主合同义务的违约行为，郭兵未接受人脸识别入园的方案，双方就新的入园方式未达成合意，因此未产生任何“欺诈”后果。关于郭兵主张的第二种欺诈行为，其依据的法律规范为国家工商总局《侵害消费者权益行为处罚办法》第五条第一项和第十六条第一款的规定，即经营者销售的商品或者提供的服务不符合保障人身、财产安全要求，且不能证明自己并非欺骗、误导消费者而实施此种行为的，属于欺诈行为。对此本院认为，诚如前文所述，野生动物世界为正当经营活动所需采用指纹识别技术，并在征得消费者同意的情况下收集、使用其指纹信息，尚无证据证明该项技术和野生动物世界提供的游览服务存在“不符合保障人身、财产安全要求”的情形。另一方面，野生动物世界也已提供证据证明，其在采用指纹识别入园方式并收集消费者指纹时，已经尽到了告知、说明的义务，不存在欺骗、误导消费者的情形。综上，郭兵主张野生动物世界存在欺诈行为，并以此要求其承担赔偿责任，依据不足，本院不予支持。

　　关于争议焦点三，经审理查明，野生动物世界在为郭兵办理年卡之时，收集了郭兵与其妻子的姓名、身份证号码、指纹和人脸识别信息，并收集了郭兵的电话号码等信息。在合同履行过程中，郭兵与其妻子由于入园游览又形成多条入园记录信息，现郭兵要求野生动物世界删除以上全部信息。本院认为，本案系服务合同之诉，郭兵与野生动物世界签订的合同中并没有关于删除个人信息的约定。野生动物世界为更好地履行案涉服务合同，在订立合同之时，经征得当事人同意收集案涉信息，本院认为除人脸识别信息之外的其他信息收集行为，符合前述法律规定的“合法、正当、必要”的原则，现无证据证明野生动物世界存在违反法律规定或约定处理个人信息的情形，郭兵请求判令野生动物世界删除相关信息，法律依据不足，本院不予支持。关于野生动物世界收集的郭兵及其妻子的人脸识别信息，野生动物世界抗辩系为后续采用人脸识别方式入园做准备，本院认为，合同当事人在办卡时签订的是采用指纹识别方式入园的服务合同，野生动物世界收集郭兵及其妻子的人脸识别信息，超出了必要原则的要求，不具有正当性。尽管野生动物世界在涉指纹识别的“年卡办理流程”中规定流程包含“至年卡中心拍照”，但其并未告知郭兵与其妻子拍照即已完成对人脸信息的收集及其收集目的，郭兵与其妻子同意拍照的行为，不应视为对野生动物世界通过拍照方式收集两人人脸识别信息的同意。综上，郭兵要求野生动物世界删除收集的其个人的人脸识别信息，理由正当，应予以支持。郭兵要求在第三方技术机构见证的情况下删除信息，法律依据不足，不予支持。关于郭兵要求删除入园记录信息的主张，本院认为，入园记录既属于郭兵与其妻子的行踪信息，同时也是作为合同另一方的野生动物世界的经营信息。在没有证据证明野生动物世界发生泄露、篡改、丢失和其他违法使用前述信息行为，对郭兵及其妻子的个人信息权益已经造成损害或有发生损害较大可能的情况下，郭兵要求删除前述入园记录信息，本院不予支持。

　　本案经本院审判委员会讨论决定，依据《中华人民共和国民法总则》第一百一十一条、第一百四十二条、《中华人民共和国合同法》第十三条、第十六条第一款、第二十条第一项、第一百零八条、《中华人民共和国消费者权益保护法》第二十六条、第二十九条、第四十条、《中华人民共和国民事诉讼法》第六十四条第一款规定，判决如下：

　　一、被告杭州野生动物世界有限公司赔偿原告郭兵合同利益损失及交通费共计1038元，于本判决生效之日起十日内付清。

　　二、被告杭州野生动物世界有限公司删除原告郭兵办理指纹年卡时提交的包括照片在内的面部特征信息，于本判决生效之日起十日内履行完毕。

　　三、驳回原告郭兵的其他诉讼请求。

　　对于该判决，原被告双方都不服，均向杭州市中级人民法院提起了上诉。

　　对该案的判决结果，双方都不服，都提起了上诉。

二审判决结果

　　2021年4月9日二审结果出炉，杭州中院认为，生物识别信息作为敏感的个人信息，深度体现自然人的生理和行为特征，具备较强的人格属性，一旦被泄露或者非法使用，可能导致个人受到歧视或者人身、财产安全受到不测危害，更应谨慎处理和严格保护。

　　根据本案主要争议焦点，结合查明事实，二审认为郭兵在知悉指纹识别店堂告示内容的情况下，权衡后自主作出办理年卡的决定并提供相关个人信息，指纹识别店堂告示对郭兵与野生动物世界具有约束力，而人脸识别店堂告示并非郭兵与野生动物世界之间的合同条款，对郭兵不发生效力。郭兵办理指纹识别年卡时选择权并未受到限制或侵害，野生动物世界的行为亦不构成欺诈，但野生动物世界单方变更入园方式构成违约。现野生动物世界欲利用收集的照片扩大信息处理范围，超出事前收集目的，表明其存在侵害郭兵面部特征信息之人格利益的可能与危险，应当删除郭兵办卡时提交的照片在内的面部特征信息。鉴于野生动物世界停止使用指纹识别闸机，致使原约定的入园服务方式无法实现，故二审在原判决的基础上增判野生动物世界删除郭兵办理指纹年卡时提交的指纹识别信息。

案件扩展

　　从该案判决结果来看，本案法官根据合同约定从违约角度判令动物园承担责任，即：双方签订合同时约定了刷指纹进入动物园，后动物园又单方面更改合同，要求刷脸才能进入动物园，构成了违约。但该案中法官并未否决园方要求刷脸的正当性、必要性，而且在判决书中还明确载明了“野生动物世界在经营活动中使用指纹识别、人脸识别等生物识别技术，其行为本身并未违反前述法律规定的原则要求”。只是基于双方在办理年卡时，约定采用的是以指纹识别方式入园，野生动物世界采集郭兵及其妻子的照片信息，被认定为超出了法律意义上的必要原则要求，故不具有正当性。

　　相信这个被称为中国人脸识别第一案的影响还会继续外溢，如果从消费者领域再推广到职场领域，用人单位采集劳动者的人脸识别信息，如用于考勤、门禁刷卡等事项，是否可以？劳动者不同意的，用人单位该如处理？对此，可以细分如下两种情形：

　　第一种情形：对于新入职的员工，如果用人单位搜集员工的人脸识别信息，劳动者不同意的，应该比较好处理，那就不办理入职即可，当然了，如果用人单位不让劳动者办理入职的，这也会引发纠纷，但对用人单位来说风险、责任都不大。

　　第二种情形：对于在职员工，用人单位改变考勤方式，如原来实行指纹考勤，后来用人单位要推行人脸识别考勤，劳动者若像本案中的郭教授拒绝让用人单位采集人脸识别信息，用人单位该如何处理？这种情况下，笔者认为，还不能比照本案判决的情况处理，毕竟职场领域与消费者领域存在不同，劳动关系中存在管理与被管理的关系，劳动者在职场上应当让渡一部分“个人信息”甚至“个人隐私”的权利，用人单位推行人脸识别考勤属于经营自主权的体现，劳动者应当服从、配合用人单位正常的经营管理自主权。若劳动者拒绝用人单位采集人力识别信息的，笔者认为可以按照违纪予以认定与处理。

　　最后，需要提醒的是，进入《民法典》时代，人格权纠纷会越来越多，职场上的人格权保护也面临新的挑战。有关个人信息保护的规定摘录如下：

　　《民法典》第111条　自然人的个人信息受法律保护。任何组织或者个人需要获取他人个人信息的，应当依法取得并确保信息安全，不得非法收集、使用、加工、传输他人个人信息，不得非法买卖、提供或者公开他人个人信息。

　　《民法典》第1034条　自然人的个人信息受法律保护。

　　个人信息是以电子或者其他方式记录的能够单独或者与其他信息结合识别特定自然人的各种信息，包括自然人的姓名、出生日期、身份证件号码、生物识别信息、住址、电话号码、电子邮箱、健康信息、行踪信息等。

　　个人信息中的私密信息，适用有关隐私权的规定；没有规定的，适用有关个人信息保护的规定。

　　《民法典》第1035条　处理个人信息的，应当遵循合法、正当、必要原则，不得过度处理，并符合下列条件：

　　（一）征得该自然人或者其监护人同意，但是法律、行政法规另有规定的除外；

　　（二）公开处理信息的规则；

　　（三）明示处理信息的目的、方式和范围；

　　（四）不违反法律、行政法规的规定和双方的约定。

　　个人信息的处理包括个人信息的收集、存储、使用、加工、传输、提供、公开等。

　　此外，我们国家的“个人信息保护法”也在紧锣密鼓制定过程中，预计在不远的将来也会出炉。

　　法律的不断完善，对用人单位人力资源管理的合规性也提出了更高的要求。