ZAO公司可以凭用户协议对用户的肖像为所欲为吗？

自从facebook的剑桥咨询（Cambridge Analytic）数据丑闻爆发后，全球用户对于高科技公司的态度已经逆转成了普遍不信任，近日国内一款名为ZAO的视频换脸网红应用又遭质疑，网友对该应用开发商长沙深度融合网络科技有限公司（以下简称“ZAO公司”）用户协议中的肖像权和隐私权条款产生了严重不信任，笔者归纳了一下，质疑的内容主要有四点：

一、肖像上传后，是不是就完全失控了，ZAO公司可以对肖像为所欲为？

二、我的肖像被别人上传了，是不是也意味着ZAO公司可以借此获得我的肖像权？

三、我上传的视频里用了明星的肖像，是不是明星的律师会找我要天价赔偿？

四、现在有刷脸支付，而ZAO公司又拿了我的手机号，是不是我的钱会被盗刷？

作为服务过很多互联网企业的律师，今天我就结合自己的行业经验和大家聊一下这件事。先说下利益冲突，本人没有为ZAO应用开发者长沙深度融合网络科技有限公司以及其疑似关联公司陌陌服务过，本文为独立观点。先说下基本观点，用户协议

一、ZAO公司凭用户协议就可以对用户肖像为所欲为吗？

ZAO公司《用户协议》引发争议最大的是这句：“如果您把用户内容中的人脸换成您或其他人的脸，您同意或确保肖像权利人同意授予“ZAO”及其关联公司全球范围内完全免费、不可撤销、永久、可转授权和可再许可的权利，包括但不限于：人脸照片、图片、视频资料等肖像资料中所含的您或肖像权利人的肖像权，以及利用技术对您或肖像权利人的肖像进行形式改动；”

这个条款写得那么霸道，到底有没有效呢？作为律师，我认为一个条款是不是有用，核心还是要法院打官司的时候能被认定有效。我们这里就举两个极端的例子：

1、用户上传肖像后，ZAO公司用肖像制作了让人感官很差的恶搞视频；或者

2、ZAO公司用用户肖像合成了广告，未经用户许可就授权广告商使用。

很显然，这两种情况都属于滥用这个条款，是典型的侵犯用户合法权益的行为，即便有用户协议的约定，根据《合同法》第四十条：提供格式条款一方免除其责任、加重对方责任、排除对方主要权利的，该条款无效。所以法院肯定会判这个条款无效。

既然法院都不认可其效力，那ZAO公司为什么还要这么写，没事惹得用户不痛快，这不是智商欠费吗？我感觉还真不是。中国创业者最大的敌人往往是“友商”，也就是自己的同行。市场就这么大，打败友商，就都是自己的了，所以在中国互联网行业，对热门的项目或应用抄袭、扒数据、扒内容的情况太司空见惯了。

ZAO公司写这条真正想起的作用应该是防身。比如有竞争对手大量复制了ZAO应用上的视频放到自己网站上，ZAO公司依据这个条款起诉同行不正当竞争的，法院多半会认定这个条款有效。为此，他们还特意在用户协议这条的下一条里强调：

 ““ZAO”及其关联公司将尽最大努力在合理范围内使用上述内容，且您的必要授权并不代表“ZAO”及其关联公司对上述信息内容的必然使用，也不改变上述信息内容的所有权及其知识产权归属，更不影响您对上述内容信息任何合法使用”。可惜网上一旦开始质疑用户协议霸道，这条就被无视了。

二、如果用户上传的视频里用了其他人甚至是明星的肖像，用户会赔钱吗？

有网友提出：如果ZAO应用里的素材用了未经明星授权的视频，一旦明星起诉的，平台承担责任后会追究用户责任。我不同意这种观点，如果ZAO应用没有取得授权导致明星来维权的，平台当然要道歉加赔钱，但其起诉用户的话一定会被法院驳回，平台应该对自己的素材授权合法负责，这个锅，是无论如何甩不到用户头上的。

即便退一步，ZAO应用如果支持用户自行上传视频素材的（笔者已经申请上传权限，目前在审核中），且用户上传了未经许可的他人肖像的，这种情况下多半还是会由ZAO负责。

如前文所述，因为用户协议的规定无效，所以如果不管是明星还是普通人，其肖像未经许可被ZAO公司的用户上传并制作成视频的，ZAO公司肯定不能因此获得用户的肖像权。而且一旦应用上用非授权肖像制作的视频成了热门视频，反而ZAO公司还可能因审核不严而被起诉，法院很可能会判其作为平台构成帮助侵权，要道歉加赔钱。

用户制作并上传的视频，为什么平台会背锅？因为平台要保护用户的隐私呀！不然谁敢继续用他们的服务。这是笔者多年执业经验总结出的行业惯例。如果新浪微博、知乎这些平台的用户发布了侵犯民事权利的内容，比如版权、商标、隐私、名誉这些，被侵权方发律师函要求新浪微博、知乎删除侵权内容并披露侵权者信息的，平台最多就是删除信息，肯定不会向投诉人披露侵权者的注册信息。此时，投诉者需要到法院起诉平台，要求其披露信息，平台只有拿到法院判决书才会披露。而且披露的信息很可能只是一个手机号，或者登陆IP地址，普通人很难据此对应到发布者。

所以如果ZAO平台上有用户上传含未经授权第三方肖像的视频的，被侵权方如果要索赔的，效率最高的方式还是起诉ZAO公司作为平台未经许可使用肖像权，如果视频达到热播的程度，法院就会判定平台对此有很高的注意义务，因此没有审核权利来源就是其过失，赔钱道歉一个都没跑。而真正发布内容的用户，则可能因为维权效率的原因被放过了。当然，如果维权者锲而不舍的维权，也是有可能找到发布内容用户的真实身份的。

三、ZAO公司如果泄露数据，使用户被人脸支付盗刷的，他们有啥责任？

由于人脸识别等新技术的兴起，脸部肖像的泄露有可能导致非常严重的经济损失，所以此次对ZAO应用的质疑也体现在用户对其数据保护能力的质疑上。

有网友指出：ZAO应用明明可以微信登录，但其还是索取用户手机号，还拿用户人脸信息，这样很不好。也有网友称“别把自己的人脸信息，这么重要的隐私数据这么轻易就交出去了”。“如果真的是国家为了安全收集倒也算了，就怕无良的设备商中间环节存储，让人脸数据批量进入黑产”这些质疑其实包含了实名制、数据保护的合规等非常重要的问题。

根据《网络安全法》的规定，ZAO公司有义务要求用户提供真实身份信息。对于实名制的实现方式，目前互联网公司普遍的做法是要求用户手机验证，政府对此也是认可的。但如果用户可以微信登录，那其实也是实名的，因为微信需要手机号才能注册，那么ZAO公司为什么还需要用户的手机号？

据我所知，绝大多数互联网公司都是基础注册需要手机号，但为了登录方便，也允许用户微信登录。可能的原因是：微信是腾讯公司的服务，其可以提供给第三方，也可以拒绝第三方使用。比如近期“头腾大战”，微信就拒绝了向抖音用户提供登录服务。另一个原因是，互联网公司掌握了用户的手机号，就能掌握其更多的个人信息，并方便推送商业广告。

但如果ZAO公司没有合格的用户信息保护能力，要求用户提供手机号确实会导致巨大的风险。人的肖像属于生物识别信息，是敏感度非常高的数据，如果不法分子能以大数据的方式把肖像和手机号结合，可以造成非常严重的隐私泄露。因此，ZAO公司要做到合规，在数据存储的法律和技术及硬件上都要达到要求。对此《网络安全法》、工信部《电信和互联网用户个人信息保护规定》、公安部《信息安全等级保护管理办法》等法律法规在数据的收集、存储、使用和法律责任上有非常详细的规定。

如果ZAO公司没有达到合规要求而导致数据泄露情况发生的，比如由于数据没有脱敏存储而被不法分子窃取的，公司和直接责任人都会有很重的法律责任，严重的甚至可以追究刑事责任。除了向用户赔偿的民事责任，被工信部、公安机关处罚的行政责任外，还有刑事责任，《刑法》二百八十六条规定：网络服务提供者不履行法律、行政法规规定的信息网络安全管理义务，经监管部门责令采取改正措施而拒不改正，致使用户信息泄露，造成严重后果的，处三年以下有期徒刑、拘役或者管制，并处或者单处罚金。

当然，在ZAO应用上上传了数据的用户也不必过于恐慌，即便发生数据泄露，不法分子用一张照片或者一个3D打印的头套就可以通过刷脸支付把钱骗走的情况虽然不能排除，但可能性也不大，毕竟银联、支付宝和微信这些支付平台的技术也会有防范措施。

最后，本次事件虽然网友的质疑虽然不一定全部是合理的，但归根结底还是ZAO公司自己没考虑周全，肖像权有人身属性，非常敏感，对这么敏感的权利用这么霸道的规定，确实容易引发用户不安，所以其应当好好反思。

本文首发于界面行为，作者：游云庭，上海大邦律师事务所高级合伙人，知识产权律师，电话：8621-52134900，Email: yytbest@gmail.com，本文仅代表作者观点。