医疗卫生机构过度收集指纹和人脸，检察公益诉讼督促叫停

3月30日，最高人民检察院发布一批个人信息保护检察公益诉讼典型案例。其中一起案例中，针对信息化建设对指纹和人脸识别等个人生物识别信息过度收集、未落实网络安全等级保护制度等问题，检察机关明确个人信息处理“合法、正当、必要和诚信原则”的内涵与外延，厘清各职能部门法定职责，督促其依法全面履职、协调联动，消除公民个人信息泄露风险，切实维护社会公共利益。

案情显示，湖南省长沙市望城区卫生健康局（以下简称区卫健局）为推进数字化门诊建设，自2019年7月12日起，要求长沙市望城区辖区内17家医疗卫生机构陆续使用电子签核系统推送疫苗接种知情告知书，疫苗受种者或监护人点击“同意”时系统自动采集指纹和人脸识别信息，收集电子数据的存储及主机均由各社区卫生服务中心管理。截至2022年3月11日，上述机构共收集83万余条涉及指纹、人脸识别等个人生物识别信息。

2022年2月11日，湖南省长沙市望城区人民检察院（以下简称望城区院）接到群众举报，反映自己和孩子的指纹和人脸等个人生物识别信息被医疗卫生机构过度收集，存在泄露风险。望城区院经初步调查确认属实，遂于2022年3月19日、5月16日分别对望城区卫健局、长沙市公安局望城分局（以下简称区公安分局）立案调查。

望城区院查明：根据《中华人民共和国个人信息保护法》相关规定，望城区17家医疗卫生机构违反个人信息处理的合法、正当、必要和诚信原则，过度收集服务对象指纹和人脸等个人生物识别信息，未按要求解决电子签核系统的弱口令、数据未加密等安全漏洞，未能防患未经授权的访问及个人信息泄露、篡改、丢失等高风险，未落实网络安全等级保护制度要求，对敏感个人信息保护的内部管理不到位。望城区卫健局和区公安分局对上述医疗卫生机构收集、处理敏感个人信息活动未尽到监管职责。

望城区院分别向区卫健局、区公安分局送达行政公益诉讼诉前检察建议，建议区卫健局改进征求知情同意的方式，避免过度收集指纹或人脸识别信息等个人生物识别信息；完善技术和管理措施，防止未经授权的访问及个人信息泄露、篡改、丢失。建议区公安分局对17家医疗卫生机构未履行网络安全等级保护责任的行为依法处理。同时将上述检察建议抄送望城区网信部门。

望城区卫健局、区公安分局收到检察建议后部署开展了专项行动。截至2022年6月10日，全区23家单位均已完成电子签核系统升级，取消生物识别信息功能；21家单位已彻底删除既往数据；升级后的电子签核系统完善了内部信息安全管理制度，于2022年8月初在全区正式启用。