近年来，“人脸识别”作为一种新型信息技术，因其识别的准确性和便利性，在各个领域得到了广泛的应用，在铁路运输企业等公共交通领域的乘客识别中也得到了广泛的应用。
在公共交通领域处理人脸等敏感个人信息是否需要征得乘客的单独同意？交通部门的通知义务是什么？
以下案例为厘清公共利益保护与个人信息保护之间的界限提供了有益的启示。
全国首例！在公共交通中使用面部识别导致了争议。
2024年11月25日，王某某通过12306售票系统购买了贵阳东站至贵阳北站的C6368高铁二等车票。 当天，王某某在贵阳东站进站乘车时，有人工验票通道和自助检票通道，车站广播提醒旅客需持身份证、摘下口罩刷脸才能进站。
成都市轨道交通中级法院法官赖家娟说：购票后，王某某通过自助闸机扫脸检票后进入车站。 王某某认为，铁路部门在收集其面部信息时未依法明确告知，未征得其授权同意，侵犯了她的合法权益，遂向法院提起诉讼。
2024年4月27日，成都市轨道交通中级法院依法审理了王某某与中铁成都局集团个人信息保护纠纷案，这也是国内首例在公共交通领域使用人脸识别技术引发的个人信息侵权案件。
原告王某某认为，成都铁路局在持票持脸进站过程中，收集并存储了她的敏感面部信息。
原告委托：被告在收集和识别人脸信息后，既未告知原告的个人信息是否被存储，也未告知原告的个人信息是否被删除。
庭审期间，成都铁路局出具了中国铁道科学研究院检验闸口人脸比对过程的描述，称“在检验过程中，确认了二代身份证读取装置读取的证件**和刷卡时采集的乘客场景**，以确认是否为通过检票口的人， 并且整个比对过程是离线完成的，没有保存任何**”。
被告委托**人：本案的自助实名认证闸机仅使用人脸识别技术来比对人与身份证是否一致，而我们的闸机仅使用比对结果，这与大众熟悉的动物园刷脸、社区刷脸进门不同， 并且闸机没有存储功能。
本站是否在处理过程中存储和传输个人信息？为查明这一事实，本案合议庭拜访了相关技术专家，并前往自助闸机程序设计者中国铁道科学院电子研究所取证。
赖家娟认为，通过相关证据证实，在旅客通过铁路自助闸机进站过程中，虽然采集了旅客的人脸信息，但并未发生存储、传输等处理行为，并未对个人信息安全构成重大威胁。
没有先例可循。
如何准确应用乘客的个人信息。
法院认为，根据相关证据，被告成都铁路局在处理个人信息的过程中并未存储、传输个人信息，因此被告收集原告王某的面部信息是否违法
围绕这一争议焦点，原告和被告进行了全面的法庭辩论。
《民法典》、个人信息保护等相关法律法规在告知同意规则的基础上，构建了较为完善的个人信息保护体系，但对公共交通背景下的人脸识别信息等敏感个人信息的保护却没有明确规定。 在缺乏先例可循的情况下，如何准确适用和识别公共交通领域乘客个人信息保护规则，是摆在法官面前的“难题”。
原告王某某认为，人脸信息属于敏感个人信息，根据《民法典》及个人信息保护相关规定，敏感个人信息的处理应征得个人单独同意，成都铁路局对进站自助闸机进行人脸识别并未征得其个人同意， 侵犯了他的合法权益。
原告委托：在原告进行人脸识别之前，贵阳东站工作人员未告知原告采集人脸信息的原因，也未看到张贴告知原告人脸识别目的及处理方法的通知，也未事先征得原告人脸信息的授权或同意。
成都铁路局认为，众所周知，通过自助实名认证闸机进站已在公共交通领域得到广泛应用。 王某某在贵阳东站进站乘车时，有人工验票通道和自助验票通道。 原告选择自助检票渠道，可视为默示同意成都铁路局收集人脸信息。
被告委托**人：自2024年起，铁路部门开始使用自助实名认证设备技术，自助实名认证闸机已广泛应用于铁路旅客服务行业，并在首次使用前通过各类公众**进行了大规模、广泛的宣传。
法院经审理认为，根据《反恐怖主义法》、《铁路安全管理条例》《铁路旅客客票实名制管理办法》的有关规定，铁路运输企业在维护公共安全的基础上，有法律义务对旅客的“票、人、证”进行一致的核验和检查。
赖家娟说，铁路部门在履行维护公共安全的法律义务的基础上处理旅客的面部信息，符合个人信息保护不需要旅客同意的情形。
同时，法院认为，免除征得同意义务并不免除告知义务，成都铁路局未履行告知旅客面部信息的目的、方式和信息处理义务，告知存在不足。
成都市轨道交通中级法院陈周法官介绍：涉案车站“持身份证摘下口罩”的入站广播虽然隐含“刷脸进站”进行人脸信息核验的含义，但广播内容并不符合个人信息保护的相关要求。
《中华人民共和国个人信息保护法》第十七条规定，个人信息处理者在处理个人信息前，应当真实、准确、完整地告知个人信息处理者的名称或者名称、处理个人信息的目的和方式、处理的个人信息类型和保存期限、 等，以显眼的方式和清晰易懂的语言。
法院认为，本案中，人脸信息属于生物识别的敏感个人信息，个人信息处理者还应当按照个人信息保护的规定，告知个人处理敏感个人信息的必要性以及对个人权益的影响。
清华大学法学院教授程晓表示，个人信息保护对敏感个人信息的保护非常严格，要求必须有特定的目的和充分的必要性，包括对敏感个人信息的处理，必须取得个人的单独同意。 此外，个人信息处理者对敏感个人信息的处理也负有较高的注意义务。 由于敏感个人信息一旦泄露或非法使用，很容易造成人格尊严的损害，损害人身和财产安全，因此法律给予了非常严格的保护。
意义。
不需要同意，但需要告知的义务。
综合考虑成都铁路局为旅客提供人工通道选择权、多次广告通知、人脸信息非过度使用、告知义务瑕疵对王某造成的影响和小幅损害等因素，告知瑕疵不足以单独构成侵权。 法院不支持王某关于责令成都铁路局停止非法采集人脸信息、赔礼道歉、赔偿损失800元的请求。 宣判后，双方未上诉。
案件宣判后，成都市轨道交通中级法院向中国国家铁路集团***发出司法建议，建议在互联网和车站入口处以多种方式明确告知个人信息的处理情况。 2024年8月，中国国家铁路集团正式回复司法建议整改，立即督促全国铁路运输企业及时采取设备更新优化、履行人脸信息采集、告知义务等措施。
陈周说，本案宣判后，中国国家铁路局集团公司进一步完善了相关告知义务，通过12306**更新了隐私政策，设置了提醒标志，提供了人为渠道等方式，满足了人民的知情权和选择权。
程晓说，我国的个人信息保护其实就是为了保护个人信息的权益，促进个人信息的合理使用。 本案的重要意义在于，明确了征得同意和履行告知义务是两条规则。 本案中，铁路部门虽然表示进行人脸识别无需征得旅客同意，但仍应履行告知义务。