自从脸书（facebook）公司的剑桥咨询（Cambridge Analytic）数据丑闻爆发后，全球用户对于高科技公司的态度已变成了普遍不信任。近日，因规定只有交出人脸永久使用权才能使用应用，国内一款名为ZAO的视频换脸应用的用户协议被热议，网友质疑该应用开发商长沙深度融合网络科技有限公司（以下简称ZAO公司）用户协议的相关条款侵犯用户的肖像权和隐私权。

笔者归纳了一下，网友质疑的内容主要有四点：

一是用户肖像上传后，ZAO公司是否就可以对用户肖像为所欲为；

二是用户肖像被他人上传，是否ZAO公司可以借此获得用户的肖像权；

三是用户上传的视频里用了明星的肖像，是否会被追索天价赔偿；

四是ZAO公司不仅拿到用户的肖像，还需要用户用手机认证，是否让用户刷脸支付存在被盗刷危险。

作为服务过很多互联网企业的律师，笔者没有为ZAO应用开发者长沙深度融合网络科技有限公司以及其疑似关联公司陌陌公司服务过，只是结合自身的行业经验分析一下此事件。

问题一：ZAO公司凭用户协议就可以对用户肖像为所欲为吗？

zao公司《用户协议》引发争议最大的是这样一句话：“如果您把用户内容中的人脸换成您或其他人的脸，您同意或确保肖像权利人同意授予ZAO及其关联公司全球范围内完全免费、不可撤销、永久、可转授权和可再许可的权利，包括但不限于：人脸照片、图片、视频资料等肖像资料中所含的您或肖像权利人的肖像权，以及利用技术对您或肖像权利人的肖像进行形式改动。”

这个条款写得那么霸道，到底有没有效呢？作为律师，笔者认为一个条款是否有用，核心还是要去法院诉讼时能被认定有效。在此，笔者举两个极端的例子：一是用户上传肖像后，ZAO公司用肖像制作了恶搞视频；二是ZAO公司用用户肖像合成了广告，未经用户许可就授权广告商使用。

显然，这两种情况都属于滥用格式合同条款，是典型的侵犯用户合法权益的行为，即便有用户协议的约定，根据《合同法》第四十条的规定，提供格式合同条款一方免除其责任、加重对方责任、排除对方主要权利的，该条款无效。因此，法院会判该条款无效。

既然法院都不认可其效力，ZAO公司为何还要这么写？笔者猜测ZAO公司写这条的目的可能是为了防身。我国创业者最大的敌人往往是“友商”，也就是同行。市场就这么大，打败友商就能快速占有市场，而对热门的项目或应用抄袭、扒数据、扒内容的情况在我国互联网行业十分常见。比如，有竞争对手大量复制了ZAO应用上的视频放到网站上，ZAO公司依据这个条款起诉同行不正当竞争的，法院多半会认定这个条款有效。为此，ZAO公司还特意在用户协议里强调。

“ZAO及其关联公司将尽最大努力在合理范围内使用上述内容，且您的必要授权并不代表ZAO及其关联公司对上述信息内容的必然使用，也不改变上述信息内容的所有权及其知识产权归属，更不影响您对上述内容信息任何合法使用”。

大多数网友质疑ZAO公司规定的用户协议霸道，而不会注意上述这一条规定。

问题二：如果用户上传的视频里用了其他人甚至是明星的肖像，用户会赔钱吗？

有网友提出，如果ZAO应用里的素材用了未经明星授权的视频，一旦明星起诉的，平台承担责任后会追究用户责任。笔者不同意这种观点，如果ZAO应用没有取得授权导致明星来维权的，平台当然要承担相应责任，但其起诉用户的话一定会被法院驳回，平台应该对自身素材授权合法负责，这个锅是无论如何也轮不到用户背的。

退一步讲，ZAO应用如果支持用户自行上传视频素材，并且用户上传了未经许可的他人肖像的，这种情况下多半还是会由ZAO承担相应责任。

如前文所述，由于用户协议的规定无效，不管是明星还是普通人，其肖像未经许可被ZAO公司的用户上传并制作成视频的，ZAO公司不能因此获得用户的肖像权。一旦ZAO应用用非授权肖像制作的视频成了热门视频，ZAO公司还可能因审核不严而被起诉，法院很可能会判其作为平台构成帮助侵权，并承担相应责任。

用户制作并上传的视频侵权，为何多半由平台承担责任？以笔者多年执业经验看，平台只有保护用户隐私，用户才会继续使用其服务，这已成行业惯例。如果新浪微博、知乎这些平台的用户发布了侵犯版权、商标专用权、隐私权、名誉权等民事权利的内容，被侵权方发律师函要求新浪微博、知乎删除侵权内容并披露侵权者信息的，平台最多就是删除信息，一般不会向投诉人披露侵权者的注册信息。此时，投诉者需要到法院起诉平台，要求其披露信息，平台只有拿到法院判决书才会披露。披露的信息很可能只是一个手机号，或者登录平台的IP地址，普通人很难据此找到发布者。

因此，如果ZAO平台上有用户上传含有未经授权第三方肖像的视频的，被侵权方要索赔效率最高的方式还是起诉ZAO公司作为平台未经许可使用肖像权，如果视频达到热播的程度，法院就会判定平台对此有很高的注意义务，没有审核权利来源就是其过失，赔钱、道歉等责任都要承担。而对于真正发布内容的用户，维权者锲而不舍的维权，也许能找到发布内容用户的真实身份。

问题三：如果ZAO公司泄露数据导致用户刷脸支付被盗刷，该承担啥责任？

由于人脸识别等新技术的兴起，脸部肖像的泄露有可能导致非常严重的经济损失，用户对ZAO应用的质疑大多体现在其对数据的保护能力上。

有网友指出，ZAO应用明明可以微信登录，但其还是索取用户手机号认证，同时获取了用户人脸信息，这样很不好。也有网友称：“别把自己的人脸信息这么重要的隐私数据轻易交出去。如果是国家为了安全收集倒也算了，就怕无良的设备商中间环节存储，让人脸数据批量进入黑产。”网友的这些质疑其实包含了实名制、数据保护的合规等重要法律问题。

根据《网络安全法》的规定，ZAO公司有义务要求用户提供真实身份信息。对于实名制的实现方式，目前互联网公司普遍的做法是要求用户手机验证，政府对此也是认可的。但如果用户可以微信登录，那其实也是实名的，目前微信需要手机号才能注册，那么ZAO公司为何还需要用户的手机号？据笔者所知，绝大多数互联网公司在基础注册时需要用手机号注册，但为了登录方便，也允许用户用微信登录。

可能的原因是：微信是腾讯公司开发的服务，可以提供给第三方使用，也可以拒绝第三方使用。比如近期的“头腾大战”，微信就拒绝了向抖音用户提供登录服务。另一个原因是，互联网公司掌握了用户的手机号，就能掌握其更多的个人信息，方便向用户推送商业广告。

但是，如果ZAO公司没有完备的用户信息保护能力，而要求用户提供手机号确实有巨大的风险。人的肖像属于生物识别信息，是敏感度非常高的数据，如果不法分子能以大数据的方式把肖像和手机号结合，可以造成非常严重的隐私泄露后果。因此，ZAO公司要做到合规，在数据存储的法律和技术及硬件上都要达到要求。对此，《网络安全法》《电信和互联网用户个人信息保护规定》《信息安全等级保护管理办法》等法律法规在数据的收集、存储、使用和法律责任上有非常详细的规定。ZAO公司需要对照上述规定完善用户个人信息保护机制。

如果ZAO公司没有达到合规要求而导致数据泄露情况发生，比如由于数据没有脱敏存储而被不法分子窃取的，公司和直接责任人都会承担很重的法律责任，如果涉及侵犯用户的民事权利，其将向用户承担民事赔偿责任。

根据《消费者权益保护法》第二十九条的规定，经营者应当采取技术措施和其他必要措施，确保信息安全，防止消费者个人信息泄露、丢失。在发生或者可能发生信息泄露、丢失的情况时，应当立即采取补救措施。此外，工信部、公安部的有关规定也有相应的行政处罚内容，如果ZAO公司造成用户个人信息泄露，还可能承担相应的行政责任。

如果ZAO公司造成用户个人信息泄露的情况较为严重，还可能承担刑事责任。《刑法》第二百八十六条规定，网络服务提供者不履行法律、行政法规规定的信息网络安全管理义务，经监管部门责令采取改正措施而拒不改正，致使用户信息泄露，造成严重后果的，处三年以下有期徒刑、拘役或者管制，并处或者单处罚金。

当然，在ZAO应用上上传了数据的用户也不必过于恐慌，即便发生数据泄露，不法分子用一张照片通过刷脸支付盗刷的可能性虽然不能排除，但可能性不大，毕竟银联、支付宝和微信这些支付平台有相应的技术防范措施。

总之，在本次事件中，虽然网友的质疑不一定全部合理，但归根结底还是ZAO公司自身数据保护合规建设不完备，考虑也欠周全。肖像权有人身属性，具有高度敏感性。ZAO公司对这样高度敏感的权利使用“霸王条款”进行规定，确实较易引发用户不安，应当对此好好反思。