杭 州 市 人 民 政 府

行 政 复 议 决 定 书

  杭政复〔2021〕156号

申请人：郭某

被申请人：杭州市江干区人民政府白杨街道办事处

第三人：杭州某某有限公司

申请人郭某不服被申请人杭州市江干区人民政府白杨街道办事处对某某小区外围门进行人脸识别健康码门禁建设过程中处理申请人面部特征个人信息等行为,于2021年1月22日向本机关申请行政复议。后经本机关释明，申请人将复议请求变更为确认被申请人对某某小区外围门进行人脸识别健康码门禁建设过程中处理申请人面部特征个人信息的行为违法。因案情复杂，本机关依法对本案进行延期并通知了各方当事人。2021年3月25日本机关追加杭州某某有限公司（以下简称“某某公司”）、浙江某某有限公司（以下简称“某某物业”）为本案第三人。在审理过程中，本机关依申请于2021年4月2日起就当事人有关争议进行调解，经当事人同意，调解期间不计入行政复议审理期限。调解未果，本案于2021年6月17日恢复审理。现本案已审理终结。

申请人称:申请人为某某小区业主。该小区外围门禁设备于 2020年9月左右由被申请人更换为人脸识别健康码门禁一体机。2020年10月，在申请人未录入面部特征信息、未同意开通人脸识别功能的情况下，出现一体机对其进行人脸识别的情况。经申请政府信息公开，申请人获知该人脸识别门禁系统为被申请人建设的“白杨街道‘全域治理’综合应用系统”（以下简称“全域治理系统”）一部分，故违法对申请人进行人脸识别的行为系被申请人实施，要求确认被申请人处理申请人面部特征个人信息的行为违法，并责令删除申请人面部特征信息。

申请人同时向本机关提交的证据材料有：

1.2020年8月31日第三人某某物业发布的《战时管用 平时好用——门禁设备全面升级启动通知》；

2.2020年10月27日申请人被门禁设备识别身份的照片；

3.被申请人2020年11月26日作出的《政府信息公开申请答复书》；

4.白杨街道“全域治理”综合应用系统服务中标通知书；

5.白杨街道“全域治理”综合应用系统服务中标结果公告；

6.白杨街道“全域治理”综合应用系统服务招标文件第1、52、55、60页内容；

7.白杨街道“全域治理”综合应用系统服务的政府采购合同公告；

8.白杨街道“全域治理”综合应用系统服务政府采购合同第1、6页；

9.申请人身份证及不动产登记证书。

被申请人答复称：一、在小区出入口安装人脸识别门禁系统，系根据《中华人民共和国地方各级人民代表大会和地方各级人民政府组织法》第六十一条实施的维护社会秩序的行为，不是具体行政行为，不属于行政复议范围。二、被申请人以政府采购形式购买“全域治理系统服务”，由中标单位某某公司安装调试、某某物业收集住户信息并录入，数据库上传至杭州政务云，被申请人不保留后台数据，故未实施处理申请人面部特征信息的行为。三、案涉小区安装人脸识别门禁设备后依然可以刷原门禁卡进出，不存在强制以人脸识别方式进出小区的情况。四、申请人证据2中门禁设备显示屏出现申请人“穿圆领衫的小照片”，不是对其进行人脸识别的表现。该照片系申请人2017年办理原门禁卡时留存于原门禁系统中，新的人脸识别门禁系统误关联了该照片，以致申请人刷门禁卡时该照片出现在显示屏上。该瑕疵在全域治理系统验收前已由某某公司纠正。五、申请人所称情况属于调试期间的过程性行为，不涉及处理或保留申请人的面部信息，对其权利义务亦不产生实际影响，请求驳回申请人的复议请求。

被申请人在规定时间内提交了答复材料并同时提供以下证据：

1.白杨街道“全域治理”综合应用系统服务招标文件节选，拟证明案涉小区门禁数据全部上传政务云；

2.2020年8月31日某某物业发布的《战时管用 平时好用——门禁设备全面升级启动通知》，拟证明出入小区的方式可自由选择且原门禁卡可继续使用；

3.白杨街道“全域治理”综合应用系统服务中标通知书，拟证明案涉门禁系统建设工期为90天；

4.白杨街道“全域治理”综合应用系统服务的验收报告，拟证明该系统验收日期为2020年12月15日；

5.中标单位某某公司的情况说明，拟证明申请人证据2反映的情况与被申请人无关。

申请人在规定时间内查阅了被申请人的答复材料，并提交如下补充意见：一、申请人证据2并非拍摄于申请人刷门禁卡时，而是拍摄于全程不刷卡进出小区过程中。2020年10月和11月，申请人数次不刷卡进出小区，门禁设备均显示健康码和申请人“穿圆领衫的小照片”，全程有视频为证，申请人予以补充提供。二、全域治理系统由被申请人建设，某某公司和某某物业的行为系被申请人委托实施，应由被申请人承担责任。三、案涉行为是具体行政行为且侵犯申请人合法权益。1.被申请人作为行政主体，以招标方式对外作出意思表示，明确在行政管辖范围内多个小区建设人脸识别门禁系统并付诸实施，符合具体行政行为特征；2.面部特征信息是个人信息中的生物识别信息，被申请人擅自采集、使用已侵犯申请人的人格权。四、案涉行为属重大、明显违法行为。1.《中华人民共和国地方各级人民代表大会和地方各级人民政府组织法》第六十一条是组织规范，不是行为规范，且该条款适用于乡镇政府，与被申请人市辖区政府派出机构的情况不符，故被申请人作出案涉行为并无法律依据；2.实施案涉行为未征求小区业主意见，未作出行政决策，程序违法；3.未遵循最低限度收集、使用个人信息的原则，未经个人同意采集、使用并将部分信息公开披露，违反个人信息处理的法定要求。五、违法处理案涉小区住户面部特征信息的行为仍在持续。

申请人提交补充意见的同时，补充提交以下证据：

9．白杨街道“全域治理”综合应用系统服务招标公告，拟证明某某公司行为系被申请人委托实施；

10.《个人信息安全规范（GB/T35273--2020）》节选 ，拟证明被申请人处理申请人的面部特征信息不合法；

11. 申请人与小区物业有关负责人的微信聊天记录，拟证明物业公司行为系受被申请人委托实施、申请人在门禁建设过程中已表示异议；

12. 2020年11月9日政府信息公开申请办件查询情况截图，拟证明申请人对被申请人行为已提出异议；

13. 2020年11月16日申请人未刷门禁卡即被门禁系统识别身份并开门的全程视频，拟证明被申请人严重侵犯申请人合法权益；

14. 2021年2月25日申请人无法通过人脸识别开门、使用门禁卡开门时健康码信息出现在门禁显示屏的全程视频，拟证明被申请人严重侵犯申请人合法权益；

15．2021年2月25日申请人家属未刷门禁卡即被门禁系统识别身份并开门的全程视频，拟证明被申请人关于“案涉情况设备调试阶段瑕疵、验收前已纠正”的陈述与事实不符。

针对申请人的补充意见，被申请人提交补充答复称：一、被申请人没有实施处理申请人个人信息的行为，申请人认为处理行为存在，应当明确“处理”的内涵和实施该行为的时间。二、申请人证据2反映的情况不是人脸识别现象，某某公司的情况说明已解释该现象为“门禁卡误关联小照片”，故不存在合法与否问题。

为查明事实，本机关于2021年3月24日组织召开听证会，申请人、被申请人参加听证并发表听证意见。

申请人的听证意见：一、民法典中“处理”个人信息的行为包括多种，被申请人至少实施了其中的采集、储存和使用三种。二、申请人多次对案涉行为表示异议但未获回应。三、被申请人启用或者停用申请人的人脸识别，均未通知申请人，以致申请人无法明确其面部特征信息被“处理”的具体时间段。四、称案涉行为是“调试中的过程性行为”与事实不符，实际在系统验收后和申请行政复议之后的2021年2月25日，依然有未授权住户被门禁系统人脸识别的情况，申请人证据15可以证明。五、被申请人称某某物业处理了申请人面部特征信息但未提供任何证据证明，且该主张与事实和法律不符。六、被申请人的行为是不可类型化的具体行政行为，属于行政复议范围。

被申请人的听证意见：一、经核实，案涉门禁系统在一段时间内确实对申请人进行了人脸识别。原门禁系统数据，包括申请人2017年办理原门禁卡时拍摄的“穿圆领衫的小照片”，导入全域治理系统。某某物业在系统内发现该照片后想当然地勾选了人脸识别功能的选项。该照片不代表申请人自愿接受人脸识别，被申请人已让物业公司纠正。二、人脸识别门禁系统的建设由被申请人主导，某某公司和某某物业的行为后果由被申请人承担。三、“穿圆领衫的小照片”当初用于门禁，在全域治理系统中亦用于门禁，属于合理使用。四、被申请人已责令某某物业删除该照片，参照网络管理有关法规，现已改正的情况不属于违法情形。五、被申请人按照自愿、保密的原则做好信息安全工作。

听证会上，申请人、被申请人对证据进行了质证。

申请人的质证意见：对被申请人证据的真实性、合法性、关联性无异议，对被申请人证据5证明对象有异议，认为无法证明被申请人与处理申请人面部特征信息的行为无关。

被申请人的质证意见：1.对申请人证据1-11的真实性、合法性、关联性无异议，对证明对象有异议。认为申请人证据1-8未明确是想证明门禁建设行为违法还是处理其面部特征信息的行为违法，证据9本身无违法性，证据10不应属于证据，证据11无法证明被申请人要求物业公司处理申请人面部特征信息；2.对申请人证据12的真实性、合法性无异议，对关联性有异议；3.对申请人证据13-14的真实性、合法性、关联性无异议，对证明对象有异议，认为证据13反映的情况属于系统调试中的过程性现象，证据14反映的情况属于对健康码的合理使用；4.对申请人证据15的真实性、合法性、关联性均有异议。

听证会后，本机关追加某某公司、某某物业为第三人。某某公司向本机关提交了书面意见称：对被申请人所有陈述无异议，请求驳回申请人的复议请求；第三人物业公司未向本机关提交书面意见或者证据。

经质证和调查，本机关对当事人提交的证据认定如下：

申请人证据1证明案涉小区门禁系统升级、原门禁卡沿用、启用人脸识别需补录人脸信息的情况，予以采信；证据2证明门禁显示屏出现申请人健康码和“穿圆领衫的小照片”的情况，予以采信；证据3证明被申请人称未制作或者保存案涉小区门禁系统升级的决定，予以采信；证据4-9证明人脸识别门禁系统的建设主体和技术要求，予以采信；证据10证明信息安全技术标准中的个人信息安全规范，予以采信；证据11证明申请人在门禁系统建设过程表示异议，予以采信；证据12证明申请人曾就案涉纠纷申请信息公开，予以采信；证据13证明门禁系统通过人脸识别方式辨认出申请人身份并准予放行，予以采信；证据14为刷门禁卡时门禁设备显示屏的情况，与人脸识别行为无关，不予采信；证据15经本机关查证属实，证明门禁系统在验收后以人脸识别方式辨识出申请人家属的身份并准予放行，与本案有一定关联，予以采信。

被申请人证据1证明案涉门禁系统的建设主体及技术要求，予以采信；证据2与申请人提交的证据2为同一证据，予以采信；证据3证明某某公司为全域治理系统服务的中标单位，予以采信；证据4证明全域治理系统服务验收日期为2020年12月15日，予以采信；证据5系某某公司误判申请人证据2所反映情况的前提下出具，其关于“穿圆领衫的小照片出现在显示屏上是申请人刷门禁卡所致”的说明与事实不符，对该部分内容不予采信，对其他内容予以采信。

根据审理需要，本机关进行了实地调查并调取了以下证据：1.白杨街道“全域治理”综合应用系统服务公开招标采购文件；2.白杨街道“全域治理”综合应用系统服务采购合同；3.《中共杭州市江干区白杨街道工作委员会、杭州市江干区人民政府白杨街道办事处职能配置、内设机构和人员编制规定》（以下简称“被申请人‘三定方案’”）。

根据上述认定的证据，本机关查明：

2020年6月，被申请人通过政府采购程序发布“白杨街道‘全域治理’综合应用系统服务”（以下简称“全域治理服务”）公开招标采购文件。该文件第六章“采购内容及需求”部分，标明采购内容为“小区外围人脸识别门禁系统升级建设”和全域治理系统。后某某公司中标并于同年7月30日与被申请人签订采购合同，合同约定采购人脸识别门禁主机、人证比对录入机、人脸识别枪形摄像机等多项设备和小区级云应用系统基础功能、街道级应用系统基础功能、政务云租赁、平台运维等多项服务。

2020年8月开始，被申请人辖区内多个小区进行案涉人脸识别门禁系统建设，申请人所在的某某小区是其中之一。申请人为该小区业主并实际居住于该小区，某某物业为该小区物业管理单位。

2020年8月31日，申请人收到某某物业通过微信发送的《战时管用 平时好用——门禁设备全面升级启动通知》（以下简称“《通知》”）。《通知》内容包括“白杨街道对本辖区范围内的小区智慧门禁系统进行全面升级”、“计划升级日期为2020年9月7日”、“需要使用人脸开门的可至物业办卡中心补录人员信息后进行人脸开门……也可去APP商城下载某某社区APP自助人脸补录”、“原cpu门禁卡用户、身份证开门用户不受升级影响，可继续正常使用”等。当日，申请人通过微信向小区物业管理人员表示异议，并始终未补录人脸信息，未同意采用人脸识别的方式进出小区外围门。

2020年10月27日，申请人发现小区外围门的门禁设备可以通过人脸识别方式辨识出申请人身份、显示健康码信息和申请人“穿圆领衫的小照片”，遂拍摄现场照片并通过微信向小区物业管理人员提出异议；同年11月16日，申请人就门禁设备以人脸识别方式辨识其身份的全过程拍摄视频； 2021年1月14日，申请人再次就人脸识别门禁的使用向小区物业管理人员表示异议。小区物业管理人员通过微信回复回应申请人多次异议时，有“这个是政府要做的，没有强制要使用人脸识别，自愿的原则”、“肯定有上级部门指令吧”、“你也知道这个系统是谁在推进的，物业没有这个能力让叫他们升级”的表述。

2020年11月26日，申请人通过政府信息公开获取了全域治理服务政府采购项目的中标通知书，获知案涉人脸识别门禁系统为被申请人建设的全域治理系统一部分。

2020年12月15日，全域治理服务项目通过被申请人验收。

2021年1月21日，申请人向本机关申请行政复议。

被申请人在审理中承认：案涉人脸识别门禁系统曾对申请人进行人脸识别；申请人“穿圆领衫的小照片”是用以验证当前人像是否为申请人的后台参考照片，即申请人的“后台人像”；该小照片系申请人办理原门禁卡时留存于原门禁系统中，后随原系统数据由某某公司统一导入至全域治理系统，纳入该系统数据库。

另查明：某某小区是白杨街道“智慧安防小区”（简称“智安小区”），升级为案涉人脸识别门禁系统前，不具备人脸识别功能。

本机关认为，本案争议焦点在于：一、被申请人是否处理了申请人面部特征信息；二、案涉行为是否属于行政复议范围；三、被申请人对申请人面部特征信息的处理是否符合法律规定。

一、被申请人是否处理了申请人面部特征信息。

（一）本案中处理申请人面部特征信息的含义。

《中华人民共和国民法典》第一千零三十四条第二款规定“个人信息是以电子或者其他方式记录的能够单独或者与其他信息结合识别特定自然人的各种信息，包括自然人的姓名、出生日期、身份证件号码、生物识别信息……健康信息、行踪信息等”。本案中，申请人面部特征信息用于人脸识别，属于个人信息中生物识别信息。《中华人民共和国民法典》第一千零三十五条第二款规定“个人信息的处理包括个人信息的收集、存储、使用、加工、传输、提供、公开等”。全域治理系统获取并保存含有申请人面部特征信息的“穿圆领衫的小照片”，并与当前人像进行比对、输出身份核验结果，故本案中对申请人面部特征信息的处理至少包括收集、存储和使用。

（二）被申请人实施了处理申请人面部特征信息的行为。

关于收集行为。本案中，申请人面部特征信息被收集的具体表现是：“穿圆领衫的小照片”进入全域治理系统成为“后台人像”。该照片系某某公司导入全域治理系统。某某公司与被申请人的政府采购合同显示，其全域治理服务义务包括“负责安装、调试完成”、“向使用方提供……并免费提供现场培训”。鉴于该服务内容包含数据库建设，某某公司的调试工作必然包括对数据收集、存储与使用功能是否正常的核验。同时，招标文件第六章明确要求全域治理系统“与已建成的56个智慧门禁小区数据、20个智安小区数据要实现数据的全接入，保证共建共享、数据利旧”。某某小区作为智安小区之一，将原门禁系统数据统一接入全域治理系统，系招标文件要求。故某某公司将包含申请人“穿圆领衫的小照片”在内的原门禁系统数据统一接入全域治理系统，系根据采购合同实施的履约行为，其行为责任应由被申请人承担。故收集申请人面部特征信息的行为，系被申请人实施。

关于存储行为。招标文件与采购合同表明，被申请人建设的全域治理系统设有包含人像信息的数据库；有关数据收集、存储所需的服务器租赁、网络链路构建和系统运维等费用均由被申请人承担；某某公司受委托实施前述工作。故存储申请人面部特征信息的行为，系被申请人实施。

关于使用行为。本案中，申请人面部特征信息被使用的具体表现是：全域治理系统利用该信息辨识申请人。被申请人称上述现象系某某物业“想当然地开通”申请人的人脸识别功能所致，但未提供任何证据证明某某物业实施了该行为或者具备实施该行为的技术条件。作为系统建设方，被申请人在查明人脸识别具体情况时处于实际上的信息优势地位；作为行政机关，被申请人依法应对行政行为合法性承担举证责任。因此，被申请人应就申请人面部特征信息的使用情况进行说明、举证并承担举证不能的法律后果。复议过程中，被申请人始终无法证明人脸识别申请人的决定系物业公司作出，故应视为被申请人作出。此外，某某物业的现场人脸信息补录虽是开通人脸识别功能的方式之一，但其补录设备由被申请人提供、操作人员受某某公司指导、补录信息纳入全域治理系统、人脸识别在该系统内完成，其现场补录是全域治理系统收集信息的方式之一，对外不具有独立性，相应责任应由被申请人承担，且实际申请人未至现场补录。故使用申请人面部特征信息的行为系被申请人实施。

综上，收集、存储和使用申请人面部特征信息的处理行为，均系被申请人实施。

二、本案是否属于行政复议范围。

本案中，处理申请人面部特征信息的行为，发生于被申请人对某某小区外围门人脸识别门禁系统升级建设过程中，判断其是否属于行政复议范围，应当考虑案涉处理行为发生的情境与对申请人权利义务产生的影响。

（一）案涉处理行为是被申请人行使政府服务和管理职能的表现。

关于小区外围门人脸识别门禁系统升级建设，招标文件第六章对其描述是“对全域74个小区外围门进行人脸识别健康码门禁建设，并配套建设人脸比对系统……从而加强流动人口动态服务管理，促进公共服务均等化等工作”，由此可见该门禁系统与流动人口服务管理和提供均等化公共服务有关；被申请人“三定方案”第三条第（五）项中，其依法履行的政府服务和管理职能包括“对辖区内城市管理、人口管理、社会管理等地区性、综合性工作，承担……推进实施、综合协调和监督检查职能……受委托对本行政区域内物业管理进行监督管理，对辖区住宅小区开展综合管理”，即辖区内人口管理、住宅小区综合管理属于被申请人政府职能。故被申请人通过案涉人脸识别门禁系统处理申请人面部特征信息，是行使其政府服务和管理职能的表现。

（二）案涉处理行为对申请人权利义务产生了影响。

申请人面部特征信息是申请人人格权的重要体现。该信息在被申请人行使政府服务和管理职能的过程中被处理，虽非被申请人履职行为积极追求的结果，未引起被申请人与申请人之间行政法律关系的设立、变更或者消灭，但客观上影响了申请人的人格权益，属于行政事实行为，依法属于行政复议范围。

三、被申请人对申请人面部特征信息的处理行为是否符合法律规定。

面部特征信息作为生物识别信息的一种，属于敏感的个人信息，具备较强的人格属性，应审慎处理和严格保护。被申请人作为实际掌握大量公民个人信息的行政机关，对公民个人信息的处理应当遵循合法、正当、必要原则，并严格依法进行。《中华人民共和国民法典》第一千零三十五条第一款规定“处理个人信息的，应当遵循合法、正当、必要原则，不得过度处理，并符合下列条件：（一）征得该自然人或者其监护人同意，但是法律、行政法规另有规定的除外；（二）公开处理信息的规则；（三）明示处理信息的目的、方式和范围；（四）不违反法律、行政法规的规定和双方的约定。”  从该规定可以看出，个人信息处理者应尽充分告知义务，且在此前提下获得自然人或者其监护人对处理行为的明示同意，未征得其同意的处理行为应有法律或者行政法规依据。本案中，被申请人处理申请人面部特征信息的行为，未公开处理信息的规则，未明示处理信息的目的、方式和范围，未征得申请人同意，亦无法律或者行政法规依据，于法无据，程序违法。

综上，被申请人行使行政服务和管理职能过程中，未经申请人同意处理申请人面部特征信息，且无法律或者行政法规依据，根据《中华人民共和国行政复议法》第二十八条第一款第（三）项第4目之规定，本机关决定：

确认被申请人对某某小区外围门进行人脸识别健康码门禁建设过程中处理申请人面部特征个人信息的行为违法，责令删除案涉的申请人面部特征信息。

如不服本决定，可以自收到行政复议决定书之日起15日内，依法向杭州市中级人民法院提起行政诉讼。

二〇二一年六月十七日

附：有关法律依据

《中华人民共和国民法典》

第一千零三十五条第一款第（一）项  处理个人信息的，应当遵循合法、正当、必要原则，不得过度处理，并符合下列条件：（一）征得该自然人或者其监护人同意，但是法律、行政法规另有规定的除外；

《中华人民共和国行政复议法》

第二十八条第一款第(三)项　行政复议机关负责法制工作的机构应当对被申请人作出的具体行政行为进行审查，提出意见，经行政复议机关的负责人同意或者集体讨论通过后，按照下列规定作出行政复议决定：

（三）具体行政行为有下列情形之一的，决定撤销、变更或者确认该具体行政行为违法；决定撤销或者确认该具体行政行为违法的，可以责令被申请人在一定期限内重新作出具体行政行为：

1．主要事实不清、证据不足的；

2．适用依据错误的；

3．违反法定程序的；

4．超越或者滥用职权的；

5．具体行政行为明显不当的。