人臉識別國際監管經驗及規制建議

摘? ?要：人臉識別是人工智能不斷發展的一種技術應用。近年來，人臉識別已在電子支付等諸多領域廣泛使用，但同時也暗含著濫用等諸多風險。目前，我國在相關專門立法尚未出臺之際，已先行實施了人臉識別線下支付行業自律公約。文章在分析了美國、歐盟和法國關于人臉識別專門立法與人工智能監管的基礎上，認為上述地區已在立法與監管方面邁出了實質性步伐，值得借鑒。文章建議我國應該立法引領個人信息保護機制，構建多層次的人工智能治理體系，并逐漸完善人臉識別應用的相關規范制度，從而結束“人臉裸奔”現狀。

關鍵詞：人臉識別;生物識別數據;人工智能;執法部門;法律規制建議

中圖分類號： TP309? ? ? ? ? 文獻標識碼：A

Abstract： Facial recognition technology increasingly relies on artificial intelligence， to sift through still images or video of people's faces and obtain identity matches. In recent years， facial recognition has been widely used in electronic payment and many other fields， but it also has many risks at the same time， such as abuse of this technology. At present， when the relevant special legislation has not yet been introduced， China has issued first industry guidelines for facial recognition offline payments. Based on the analysis of the special legislation of facial recognition and artificial intelligence supervision in the United States， EU and France， this paper holds that those countries have taken substantial steps in legislation and supervision. In the future， this article suggests that China should start drafting a law on personal information protection， establishing a multi-level governance framework for artificial intelligence， and gradually improving the relevant norms of facial recognition applications， so as to put an end to the abuse of this technology.

Key words： facial recognition; biometric data; artificial intelligence; law enforcement agency; legal regulation advise

1 引言

2020年1月10日，首次以“加強大數據時代個人信息保護”為主題的全國政協網絡議政遠程協商會在北京舉行。來自全國政協的14位委員與專家通過遠程連線的方式，就如何平衡個人信息保護與數據產業發展建言獻計，其中如何應對人臉識別風險隱憂，成為委員專家們熱議的話題。

就在政協委員們熱議人臉識別等話題之際，1月21日，由中國支付清算協會發布的全國首個人臉識別線下支付行業自律公約正式實施，進一步規范了人臉識別線下支付，防范刷臉支付的安全風險。消息一出，引起國內民眾對人臉識別的再次廣泛熱議。這標志著人臉識別應用風險的防范需要法律政策、行業自律、技術保障等諸多方式予以規制應對。目前，在相關法律尚未出臺、安全技術標準仍待深入研究之際，電子支付領域的行業自律公約的實施，為應對人臉識別風險、架構合理的前沿技術治理體系提供了有益經驗。

2 人臉識別線下支付行業自律公約

2.1 尊重用戶刷臉支付選擇權，建立人臉信息全生命周期安全管理機制

中國支付清算協會的成員單位應根據用戶意愿為其提供開通或關閉刷臉支付服務。用戶開通的，應以顯著方式提示服務協議中與其有重大利害關系的事項，采取包括隱私政策、格式條款、短信提示在內的方式，確保用戶知情同意可選擇。具體到人臉數據采集環節，應確保用戶知情同意，只收集與目的、使用方式所必要的且相關的信息。在存儲環節，用技術加密存儲原始面部信息，與銀行賬號、支付賬號、身份證號等用戶個人隱私安全隔離。在使用環節，收單機構與商戶不得截留原始面部信息，實現隱私端到端保護。

2.2 確保線下支付商戶合法資質，切實履行日常管理主體責任

提供線下刷臉支付的單位應具備中國人民銀行規定的相關主體資格，定期巡查審核商戶資質，著力健全商戶風險評級制度及黑名單管理機制。同時，強化商戶日常收單環節支付敏感信息的主體安全責任，不得將核心業務運營、受理終端密鑰管理、特約商戶資質審核交由外包機構辦理。

2.3 嚴格支付終端管理認證，預防刷臉支付各環節風險隱患

刷臉支付受理終端產品應符合相關金融科技產品認證條件，及時辦理登記注冊手續。建立覆蓋刷臉支付受理終端開通、使用、更換、維護、撤銷等各環節的風險管理制度，開展刷臉支付受理終端定期巡檢，及時發現排除支付風險隱患，確保產品終端風險可控。

2.4 強化支付交易風險管理，采取多種風控措施確保交易安全

中國支付清算協會的成員單位應結合用戶信用狀況、風險程度等因素，對用戶刷臉支付可開通的交易類型進行限制。通過協議約定交易限額、設置或約定刷臉支付單筆及日累計交易限額、建立突發事件應急處理機制等風控措施，以便及時、有效地化解刷臉支付風險，保障支付交易和用戶資金安全。

2.5 建立健全風險補償機制，切實保障用戶合法權益

會員單位應建立用戶刷臉支付投訴處理流程，明確投訴受理責任部門與受訴渠道，及時處理客戶提出的差錯爭議和投訴問題。建立健全風險撥備資金、保險計劃、應急處置等風險補償機制，對不能有效證明因用戶原因導致的資金損失及時先行賠付。

3 國際社會主要立法與監管經驗

3.1 美國州法先行，立法規制人臉識別，尤其是暫時禁止執法部門使用

2019年10月，美國加州州長簽署了首個州級別的身體攝像頭責任法案《California's Body Camera Accountability Act》，法案規定將在未來3年內，禁止政府執法部門使用面部識別或任何生物識別技術。

其一，法案以預防公民權利自由過度受侵為制度邏輯核心。面部監控將破壞執法人員攜帶隨身攝像頭的執法目的，將提升責任感和透明度的設備轉為全天候監控的工具，不成比例地危害公民權利和自由的可能性大大超過了其聲稱的利益，這將加劇種族不公正，并威脅人們不受政府持續監控的生活能力。

其二，法案以專屬概念為制度依托，規范識別面部行為。人臉識別和其他生物特征監控（Facial Recognition or other Biometric Surveillance）是指通過捕獲或分析個人生物特征數據，以識別或協助識別個人的自動或半自動過程;或是生成或協助生成有關個人生物特征數據的監控信息的自動或半自動過程。執法人員攝像頭（Officer Camera）指的是執法人員隨身攜帶的，用以記錄或傳輸圖像或聲音，便攜式相機或類似設備。

其三，法案以技術禁止范圍特定，留足完善空間為制度設計基點。法案明確條款有效期只有3年，為技術完善與成熟立法留足空間。受限人群只包括州與地方警察，面部監控工具也僅限于隨身攜帶的攝像頭，不包括其他面部識別技術，例如固定攝像設備等。

進入2020年，華盛頓州在規制人臉識別技術的立法進程中又邁出了重要一步，于3月被參眾兩院正式通過，標志著全美首個州級別的人臉識別專門法案正式出臺。鑒于該法案恐成為未來美國聯邦與各州立法的風向標，參照意義較大。本文擬從規范構造、制度機理以及價值取向三個層面予以展開。

在規范構造層面，法案從基礎性專門概念入手，意圖界定清楚人臉識別技術的基本范疇。例如，羅列了一系列專屬概念：面部模板（Facial Template）、持續監視（Ongoing Surveillance）、持續追蹤（Persistent Tracking）和非識別人口數據（Nonidentifying Demographic Data）等，旨在強調人臉面部也可單獨構成識別每個個體的生物特征標識，精準定位出個人行蹤軌跡，甚至勾勒預測出個體未來的圖景畫像。

在制度機理層面，法案以外部強問責，提升透明度為外在表征;以規范監控行為，平衡隱私與公益為內在邏輯。就外部問責而言，法案不僅要求擬使用該技術的公共部門，在使用前90天向社會公布使用面部識別技術的目的、途徑及方法等信息，更強制要求人臉識別服務的提供商提供責任報告（Accountability Report），說明人臉識別產品或服務的基本用途功能、數據流轉方式、預期與目的等方面的基本信息。就透明度提升來講，法案要求數據管理政策需簡潔明了。例如，在政策中清晰陳述識別服務的方式、時間、主體等;描述為減少不必要收集面部數據而采取的相應措施;哪些數據被政府機構收集和使用等。就規范監控行為來看，法案規定州級和地方政府暫不得使用人臉識別服務，以停止持續監視、實時識別與持續追蹤等行跡。但若獲得相關授權、存在危機情形以及獲取法官令狀，則不受上述規范約束。而就平衡個人隱私與公共權益而言，法案也規定執法機構在使用人臉識別得出的相應結論，不得作為刑事偵查中的相當理由（Probable Cause）的唯一定罪基礎。

在價值取向層面，法案通篇貫穿預防偏見，保障公平的指導思想。一方面法案從人員與技術設置上預防識別偏見，明確使用識別服務作出決策時應當進行有意義的人工審查以及技術運營測試。另一方面，法案強調州與地方政府在使用該技術時不得基于宗教、種族和犯罪史等因素帶有歧視性偏見，特別是嚴禁透過犯罪特征分析進行預測性執法活動，從而罔顧了公正執法的根本要義。

綜合前述兩部法案，會發現之所以存在各州分散立法的現狀，是因為對制定一部統一的聯邦層面的人臉識別專門法案尚有分歧。但值得注意的是，此種分歧正在逐漸縮小，進行聯邦立法的嘗試接續不斷。例如，2019年有議員就起草了《人臉識別技術搜查法案》《人臉識別道德使用法案》以及《商業面部識別隱私法案》，試圖從規范化搜查、架構技術的道德框架以及場景化隱私保護等不同面向，分別立法規制人臉識別技術可能產生的諸多風險。

3.2 歐盟加快評估面部識別風險，擬近期出臺人工智能監管框架

在部分國家個人數據保護機構出臺評估報告的同時，歐盟也在抓緊制定人工智能監管框架。2020年1月17日，歐盟委員會披露出人工智能白皮書草案，擬考慮大致從可信AI標簽化、政府部門使用面部識別、高風險應用的強制管控、安全與責任、治理五個方面展開，其中包括在一定期限內，例如三到五年內禁止私人或公共管理者在公共場所使用面部識別技術，為立法者出臺人臉識別法案贏得時間。同時在此期間，制定一套合理方案評估該技術的影響和風險。

一是標簽化可信人工智能。開發者可以在自愿基礎上選擇打造合乎道德和值得信賴的人工智能，若滿足相應合規要求，則被標簽為“合乎道德和可信賴的人工智能”，并附有相應約束力條件。

二是公共部門應保障個人免受自動化決策權。鑒于越來越多的人臉識別被應用于公共場所，數據主體有權不受制于已經或可能對其造成重大影響的自動化處理措施，避免與其本人直接相關的工作、生活、個人偏好等任何構成結構化個人信息集合的個人信息被預測分析出。

三是具有法律約束力的監管目前只適用于人工智能高風險領域。所謂高風險是指風險來源于包括醫療、交通、警務、司法領域在內的高風險領域，存在潛在的法律后果，或者會造成個人受傷、死亡以及重大物質損失的風險。此種基于風險路徑的監管，將聚焦于面臨風險的公眾以及漸受威脅的重要法益。

四是適度修訂現有產品責任法律，完善人工智能技術安全治理體系。對尚未涵蓋網絡安全威脅、個人信息安全、隱私泄露風險的相關法律予以針對性修訂，包括《一般產品安全指令》《機械指令》《無線電設備指令》《產品責任指令》等。在未來，可能會嚴格區分人工智能開發者與生產者責任，將人工智能系統納入產品責任范疇。

3.3 法國試驗性技術方案先行，逐步確立以尊重他人為核心的技術法律框架

2019年11月，法國數據保護機構（CNIL）發布了人臉識別報告，從三個方面提出了應對人臉識別風險的法律規制框架要點。

第一，在試驗性使用人臉識別技術前應確保符合法律規定，嚴守社會底線。當前人臉識別應用無論是試驗性暫時之舉，還是全面正式實施，任何情形下均需遵循《一般數據保護條例》（GDPR）與《數據保護執法指令》框架。具體來說，對于需進行高級別身份驗證的情形，生物識別數據控制權需交由數據主體本身，且面部識別滿足合法性原則、合比例性原則。對于已被社會禁止針對特定人群識別的情形，例如校園中的兒童，則需通過以其他侵入性較小的有效安全手段運用人臉識別。對于過往不加區分群體籠統捕捉人臉圖像信息，檢測抽取面部特征予以分析的歷史，要尤其注意不再發生此種范圍廣、程度深侵入性強的監視方式，畢竟識別系統針對不同種族群體、不同膚色的識別準確率不高。

第二，堅持以尊重他人為核心的個人信息自決理念，建立人臉信息全周期管理機制。人臉識別所采集到的信息涉及基本隱私，終端設備收集信息前需事前取得個人知情同意，且遵循最小夠用原則。在存儲環節，確保人臉信息存儲主體安全可靠，存儲流程沒有泄露。在使用環節，提供清晰、可理解、易于訪問的信息，尤其在自動控制場景下，保障個人退出權、信息訪問權和干預權。

第三，采用真正的試驗性路徑，逐步測試和完善合乎法律框架的技術性方案。考慮到人臉識別帶來的信息泄露以及濫用隱患，需防止與某些設備關聯后產生的棘輪效應。在全國范圍內推廣更加定型的法律監管制度前，最好分批次、按類型、依地域逐步推進人臉識別試驗，在合理時間內透過強對抗、跨學科方式遴選出真正的試驗性路徑評估方案，為未來搭建合乎法律框架的技術性方案，確保以公正性判斷、以基礎的法律框架奠定基礎。

4 對我國人臉識別法律規制建議

首先，立法引領個人信息保護機制。我國應采取人臉識別專門立法的立法保護模式，在已納入立法規劃的《個人信息保護法》中專條規定人臉識別，進一步明確相關立法理念、厘定基本范疇以及構建制度規范。

一是要明確立法理念。由于面部信息內涵的識別唯一性能夠準確識別出個人敏感信息，極容易侵犯個人隱私，因此要優先保護面部信息，全面保護背后的人格利益。在此基礎上，注重合理的面部信息利用。若相關機構依據法定事由行使公共權力或已經個人授權同意，則可合理地利用面部信息。此外，鑒于人臉識別技術仍在不斷發展，立法需留足發展空間，可以暫時禁止特定機構、指定人群和若干場所使用人臉識別，亦或針對禁止性條款設置有效期限。

二是需厘定基本范疇。從基本概念角度看，應規定若干人臉識別專屬概念，譬如人臉識別技術、生物識別信息、監控攝像頭等。從人臉識別信息的權屬界定上看，其承載著人格利益，與人格的健全完整與功能發揮具有緊密聯系，具備典型的人格要素，認定為具體人格權較為適宜。從人臉識別信息在個人信息中的體系定位看，應在生物識別信息的內涵中明確面部特征的唯一識別性，同時在外延中明確規定，并置于優先保護位置。

三是建構相關的制度規范。我國應細化人臉識別的應用規制，就公共場所大規模使用與商業場景商業化利用分別設計不同的制度規范。就以收集面部信息的正當性為例，在邊境安防等公共領域，應明確基于何種公共職權、履行哪類公共職責、能否采用其他方式實現相同目的等，從而論證公權力機構收集數據的正當性權源。而在掃臉支付等商業場景下，收集面部信息的正當性就在于個人事前的知情同意基礎，因此在收集前就應明確告知面部信息收集的目的、范圍、方式以及銷毀時間等。在此基礎上，嚴格規范面部數據的后續存儲、使用、共享和刪除等處理行為。鑒于面部信息的唯一識別性對個人的精準識別，應尤其注意當收集目的已達，或距離最初收集已達到法定期限或合理時限，則必須永久刪除相關的面部特征信息，或者銷毀可提取面部信息的原始圖像。

其次，構建多層次的人工智能治理體系。人臉識別技術作為人工智能的一種類型化應用，近年來隨著深度學習等人工智能底層技術的突破性進步，才被廣泛應用到日常生活與工作中。為了有效應對包括人臉識別技術在內的個人信息保護風險，不能單單依靠法律與監管，而要采取規范標準、技術指南、行業自律公約、最佳實踐做法以及人工智能倫理框架等諸多軟法性質的非強制性規則。

最后，制定人臉識別應用的相關配套制度。建議對于公私部門，尤其是執法部門大規模公共場所采用人臉識別，應自覺遵循“比例原則”與“必要性原則”，明確收集的范圍與所達目的直接相關且必要，盡量減少不必要的負面影響，必要時在高風險場所建立“黑名單”制度。與此同時，嚴格遵守“正當程序原則”，切實履行審批、聽證和公開等法定程序。逐漸讓公眾參與到相關的公共政策討論中，及時公開面部信息收集的范圍、目的，從程序上保障民眾的知情權參與權。

5 結束語

隨著人臉識別應用的不斷增多，人臉識別潛在風險亟需理論界與實務界加強研究。在對新技術抱以審慎包容態度的同時，要充分借鑒域外國家法律監管經驗，不斷逐漸從人臉識別專門立法與強化人工智能監管兩個方面，予以完善人臉識別法律監管，早日擺脫“人臉裸奔”的現狀。理論構建充滿挑戰，立法制定任重道遠。在制定《個人信息保護法》的關鍵節點，希望從法律規制人臉識別技術為切入點，以期為個人生物特征信息法律規制理論研究有所助益。

參考文獻

[1] CNIL.FACIAL RECOGNITION： FOR A DEBATE LIVING UP TO THE CHANLLENGES[EB/OL]. https：//www. cnil.fr/en/facial-recognition-debate-living-challenges，2020-06-2/2020-03-28.

[2] Euractiv. Structure for the White Paper on Artificial Intelligence—a European approach[EB/OL]， https：//www.euractiv.com/section/digital/news/leak-commission-considers-facial-recognition-ban-in-ai-white-paper/，2020-06-2/2020-03-16.

[3] 洪延青.人臉識別技術的法律規制研究初探[J].中國信息安全，2019（08）：85.

[4] 呂堯，周千荷.歐美限制人臉識別技術對我國的啟示[J].網絡空間安全，2020（02）：93.

[5] 蔡雄山，袁俊.如何應對人臉識別技術的安全隱憂[N].光明日報，2019（12）26（14）.

作者簡介：

袁俊（1994-），男，漢族，山西太原人，對外經濟貿易大學，碩士;主要研究方向和關注領域：人臉識別、數據治理、網絡空間治理。