自chatGPT兴起且逐渐广为利用后，社会也感受到了科技和智能给生活工作带来的便利。其应用领域逐渐扩增，“数字人”的产生即为其体现之一。

        根据全国科学技术名词审定委员会的释义，“数字人”英文对照名为“digital human，meta human”，特指运用数字技术创造出来的、与人类形象接近的数字化人物形象。具体的制作方式可以分为两大类，一类是进行虚拟形象的设计形成动画形象，另一类则是将现实生活中的人脸利用识别技术进行数字化的对应，通过捕捉面部的形状和特征创建面部三维模型，直接转化为动画形象。

        第二类制作方式更便于制作也更快捷，目前市面上存在不少公司利用员工的人脸信息制作数字人虚拟形象，应用于简单的宣传、问题解答或产品解说等定式的场景。而其背后的法律风险也随之产生，例如，所收集的人脸识别信息对应什么法益？公司是否可以强制征用员工的人脸信息制作数字人并进行利用？公司利用员工人脸制得的数字人形象应当归属何方？员工离职之后该数字人形象是否可以继续使用？何种行为构成对员工权益的侵犯？等等。笔者对上述问题进行了检索，现分享如下：

一、人脸信息属于个人信息权益保护的范畴

        《民法典》第一千零三十四条规定“个人信息是以电子或者其他方式记录的能够单独或者与其他信息结合识别特定自然人的各种信息”，《中华人民共和国个人信息保护法》第四条规定“个人信息是以电子或者其他方式记录的与已识别或者可识别的自然人有关的各种信息，不包括匿名化处理后的信息。”

        可以总结为：1）以一定方式记录，2）具有可识别性，3）单独或者组合呈现。具体可包括“自然人的姓名、出生日期、身份证件号码、生物识别信息、住址、电话号码、电子邮箱、健康信息、行踪信息等”。人脸信息属于法条列示的生物识别信息范围，是受法律保护的个人信息。

        根据《中华人民共和国个人信息保护法》第四条、《民法典》第一百一十一条的规定，个人信息的收集、存储、使用、加工、传输、提供、公开、删除等均属于受保护的行为之列，信息的处理都应当经过合法合规的方式进行，任何主体“不得非法收集、使用、加工、传输他人个人信息，不得非法买卖、提供或者公开”。

《民法典》第一千零三十四条

自然人的个人信息受法律保护。

个人信息是以电子或者其他方式记录的能够单独或者与其他信息结合识别特定自然人的各种信息，包括自然人的姓名、出生日期、身份证件号码、生物识别信息、住址、电话号码、电子邮箱、健康信息、行踪信息等。

个人信息中的私密信息，适用有关隐私权的规定；没有规定的，适用有关个人信息保护的规定。

《中华人民共和国个人信息保护法》第四条　

个人信息是以电子或者其他方式记录的与已识别或者可识别的自然人有关的各种信息，不包括匿名化处理后的信息。

个人信息的处理包括个人信息的收集、存储、使用、加工、传输、提供、公开、删除等。

二、公司利用员工人脸制作数字人的基本流程

（一）公司及第三方合作机构均需要充分列示个人信息处理规则

        根据《个人信息保护法》第四条的规定，收集行为以及加工公开行为均在个人信息“处理”的定义范畴。公司收集员工人脸信息，并与第三方进行合作的商业模式下，公司以及第三方机构均为个人信息处理者，两者均需要对个人信息处理规则进行明晰披露，并取得员工的明确同意。

《个人信息保护法》第十三条

个人信息处理者在处理个人信息前，应当以显著方式、清晰易懂的语言真实、准确、完整地向个人告知下列事项：

（一）个人信息处理者的名称或者姓名和联系方式；

（二）个人信息的处理目的、处理方式，处理的个人信息种类、保存期限；

（三）个人行使本法规定权利的方式和程序；

（四）法律、行政法规规定应当告知的其他事项。

前款规定事项发生变更的，应当将变更部分告知个人。

个人信息处理者通过制定个人信息处理规则的方式告知第一款规定事项的，处理规则应当公开，并且便于查阅和保存。

（二）员工需要进行明确自愿同意

        根据我国《个人信息保护法》的规定，尚未公开的个人信息以及已公开但是对个人权益有重大影响的个人信息，均需要经过个人的明确同意，有《个人信息保护法》第十三条第（二）至（七）款情形的除外。同时，应当遵循合法、正当、必要和诚信原则，采取最小授权范围、最小个人权益影响、最少授权时间的方式。

        除此之外，个人信息的处理目的、处理方式和处理的个人信息种类发生变更的，应当重新取得个人同意。且，基于他人同意处理其个人信息的，个人有权以约定方式撤回其同意，该约定方式应当便于操作。

《个人信息保护法》第十三条

符合下列情形之一的，个人信息处理者方可处理个人信息：

（一）取得个人的同意；

（二）为订立、履行个人作为一方当事人的合同所必需，或者按照依法制定的劳动规章制度和依法签订的集体合同实施人力资源管理所必需；

（三）为履行法定职责或者法定义务所必需；

（四）为应对突发公共卫生事件，或者紧急情况下为保护自然人的生命健康和财产安全所必需；

（五）为公共利益实施新闻报道、舆论监督等行为，在合理的范围内处理个人信息；

（六）依照本法规定在合理的范围内处理个人自行公开或者其他已经合法公开的个人信息；

（七）法律、行政法规规定的其他情形。

依照本法其他有关规定，处理个人信息应当取得个人同意，但是有前款第二项至第七项规定情形的，不需取得个人同意。

（三）数字人的著作权归属

        利用员工制作成的数字人形象，其著作权一般归属于公司。该等约定应在员工个人信息授权的文件中进行释明，同时在公司与第三方的合作协议中进行具体约定。

        除合同约定的著作权归属以外，我国还设立了中国数字人产业的基础设施和综合服务平台用于进行数字产品的备案存证和合规审核，其下设中国数字人知识产权存证保护平台运用“区块链、大数据、云计算、GPT大模型等前沿技术，给数字人核发“合规审核、原创保护、身份备案、资产认定”四个证书，从而实现对虚拟产品著作权权属的固定和宏观监管。

        在数字人形象制作完成之后，其著作权的归属即与原本对员工人脸收集的生物信息相分离。数字人形象的继续加工或者公开发布，如不涉及员工的具体姓名等个人信息，不需要再行经过员工的同意。但在员工离职后，应对相应的数字人形象进行匿名化处理，以保护离职员工的个人信息。

注：中国数字人产业的基础设施和综合服务平台，成立于2023年6月，总部位于北京，由国家知识产权局知识产权出版社、人民动漫数字生态综合服务平台、杭州国际数字交易中心、汇文传媒等机构联合发起，由中知科创(北京)技术有限公司独家运营，为中国的数字人运营单位和应用平台提供“合规审核-原创保护-身份备案-资产认定”等专业服务。

三、侵犯个人信息的法律后果

（一）侵犯个人信息民事权益

        2021年8月，最高人民法院发布的《最高人民法院关于审理使用人脸识别技术处理个人信息相关民事案件适用法律若干问题的规定》正式实施，其第三条规定，人民法院在处理这类案件时应当具体考量受害人是否为未成年人、告知同意情况以及信息处理的必要程度等因素。如涉及未成年人相关权益应当结合《未成年人保护法》进行综合考量，不能完整决定己方权利处分的应当征得其监护人的明确同意。

        一方人脸识别技术侵害他人个人信息的，可参照《民法典》中有关侵害他人人身权益要求财产损失的赔偿，包括但不限于为制止侵权行为所支付的合理开支。

（二）侵犯公民个人信息罪

《刑法》第二百五十三条之一规定了侵犯公民个人信息罪，犯罪行为界定为出售或者非法提供他人信息，借其他职责或者其他民事活动之便的，从重处罚。将面临有期徒刑或拘役，单处或并处罚金的刑事责任

《刑法》第二百五十三条之一【侵犯公民个人信息罪】

违反国家有关规定，向他人出售或者提供公民个人信息，情节严重的，处三年以下有期徒刑或者拘役，并处或者单处罚金；情节特别严重的，处三年以上七年以下有期徒刑，并处罚金。

违反国家有关规定，将在履行职责或者提供服务过程中获得的公民个人信息，出售或者提供给他人的，依照前款的规定从重处罚。

窃取或者以其他方法非法获取公民个人信息的，依照第一款的规定处罚。

单位犯前三款罪的，对单位判处罚金，并对其直接负责的主管人员和其他直接责任人员，依照各该款的规定处罚。