Re: [閒聊] 不使用臉部辨識不能進場喔

感謝bihug大分享法律知識，個資法主管機關是國發會，我已經寫信問了，得到回覆如下。看起來的確違法無誤，本人已經同步向體育署8771-1800檢舉，希望有更多人願意跟主管機關反映。

二、有關您所詢相關個資法適用疑義，說明如次：

(一)有關健身事業透過攝影設備取得會員臉部影像是否涉及個人資料之蒐集行為
按個資法第2條第3款規定「本法用詞，定義如下：…三、蒐集：指以任何方式取得個人資料。」，故健身事業經由攝影設備取得會員之臉部影像係屬個人資料之蒐集行為。

(二)有關健身事業以AI系統針對會員進場之臉部影像進行比對分析，是否涉及個人資料之處理或利用行為

1. 按個資法第2條第4款及第5款規定「本法用詞，定義如下：…四、處理：指為建立
或利用個人資料檔案所為資料之記錄、輸入、儲存、編輯、更正、複製、檢索、刪除、輸出、連結或內部傳送。五、利用：指將蒐集之個人資料為處理以外之使用。」

2. 一般而言，人臉辨識技術之過程可包括：影像取得(image acquisition)、臉部偵測(face detection)、標準化(normalisation)(例如轉換為標準大小、校準色彩分布)、萃取特徵(feature extraction)、登錄(enrolment)及比對(comparison)等子流程，故健身事業採用人臉辨識技術，透過AI系統對所蒐集之臉部影像（臉部辨識資料）進行比對分析，應涉及上開個資法規定之個人資料處理及利用行為。

(三)有關健身事業導入人臉辨識系統是否須對會員踐行個資法第8條告知義務
個資法第8條規定「公務機關或非公務機關依第15條或第19條規定向當事人蒐集個人資料時，應明確告知當事人下列事項：…四、個人資料利用之…方式。…」由於使用人臉辨識
系統針對臉部辨識資料進行比對分析屬於個人資料之利用方式，故健身事業自會員照片擷取臉部辨識資料，及透過攝影設備取得會員臉部辨識資料時，均應依上開規定踐行告知義務。

(四)健身事業透過攝影設備取得會員臉部影像，並透過AI系統比對分析，是否需再次取得會員明示同意
按個資法第19條第1項及第20條第1項本文之規定，非公務機關蒐集、處理及利用個人資料應有特定目的，並具備第19條第1項各款合法事由之一，例如為履行與當事人之契約而有必要，或經當事人明確同意等。故倘取得會員臉部辨識資料非為履行契約所必要，則健身事業應依個資法第8條規定，先向當事人告知將蒐集其臉部辨識資料並透過AI系統進行比對分析等事項，於取得其明確同意後始得為之。

國家發展委員會 敬啟

※ 引述《bihug (bihug)》之銘言：
: 文長先說結論，正式會員提供證明後應即可入場，人臉辨識應該只能是多一個選項。
: 合約限制的是簽約的雙方。若想解約，消費者應可無條件解約，有疑慮可找消保官。
: 1．合約的內容：
: 合約書第5點(會員權利與義務)、第(2)項：
: 「會員進入FF時，除因故尚未取得正式會員卡外，應出示以利識別，
: 未持會員卡者，禁止進入FF。...」
: → 反面推論，持有會員卡即可進入FF。
: 這也是一直以來FF採行的入場方式中最原始的一種。
: 2．照片和人臉辨識的不同：
: 合約書第4點(會員入會資格)、第(2)項：
: 「凡簽署本合約書並經FF審核通過入會，即成為正式會員；
: 不以有無領取會員卡為依據。會員於收到會員卡後，同意讓櫃檯服務人員照相存檔，
: 以便於每次進入會所時核對身份。」
: 首先，既然是正式會員，且提出會員證明(會員卡、APP)以資識別後，
: FF無理由不能禁止會員入場。
: 其次，有人說照片都同意被拍了，不就可以拿來識別？或是人工辨識和機器辨識不都一樣
: 換個例子來看好了。因為人臉無法隱藏，所以比較容易混淆。
: 把辨識的對象換成「手」試試。
: 如果一開始是拍「手」的照片，然後人工核對「照片手」和「本人手」是否相同來入場。
: 現在改成由「機器」擷取「特徵點」，也就是您當初拍的照片中手的「指紋」，來檢視。
: 這樣兩者對個人「特定化、精確化」的等級，或是隱私的侵犯，還是相同的嗎？
: 更不用提「人工」和「機器」對「個人特徵點」的可再複製、轉發利用，是天差地別。: 3．會員權益改變之告知與同意：
: 今天FF片面更改入場方式，是否有經一段時間的公告並經會員同意後才行使？
: 且是否僅為多一個選擇的方案，而不是只是單一選項？
: 而且今天若您同意了，是同意什麼呢？有白紙黑字寫明只供FF進場使用，不得他用？
: 若機器方轉成所謂「數位碼」後，可否再行使用呢？
: 這些FF都有充分告知並經同意嗎？
: FF所持有的個人資料，包含了您的名、證號、信用卡、通訊方式等，
: 這些若和人臉辨識資料一連結起來，是一筆很有價值的資訊，
: 但FF卻用這麼輕率的方式看待和使用這些資訊。
: 4．違約之解約：
: 契約所約束的，是契約雙方。今天合約所定的入場方式是人工辨識，FF也該受其約束。: 若我不同意FF變更入場方式，由於合約限制，
: 消費者可以選擇「以原本合約方式走完」；或是「無條件(不賠錢)解約」。
: 因為今天違約的是FF，就算要解約，該賠錢的也是FF。
: 5．人臉辨識的問題：
: 人臉辨識應是科技的大潮流，但面對龐大的國家或企業，微小的個人團結起來，
: 也是一股力量，至少讓對方利用起來不那麼肆無忌憚。
: 畢竟全世界可以公然毫不考慮個人隱私的地方，應該只有某國和其附屬地吧。
: 連以臉起家的臉書都曾因標記問題被罰款了，
: 更不論歐洲的GDPR還打算禁止私人或政府的人臉辨識。
: 6．結論：
: 「隱私」和「便利」是個人權衡的問題，但這是個人的選擇，而不應強制。
: 就這件事來說，合約內FF本就應遵守原本的方式，
: 頂多是提供一個「人臉辨識」的選擇，要不要使用，應是由會員自己決定，
: 而不是FF單方面粗暴的決定。
: 會員保障權益，可以多方反應，包括主管機關和消保官。

--