“刷臉”時代如何“護臉”

◎ 文 《法人》全媒體記者 銀昕

今年的央視“3·15”晚會，曝光了科勒衛(wèi)浴、寶馬和MaxMara品牌線下門店在未提前告知消費者的情況下，安裝具有人臉識別功能的攝像頭，并大量采集消費者人臉信息。隨后，科勒公司發(fā)布致歉聲明，并要求相關(guān)門店連夜拆除攝像設(shè)備，但寶馬、MaxMara品牌未就此發(fā)聲。

商家采集人臉信息的邊界在哪里，相關(guān)部門又該如何完善監(jiān)管職能？

“刷臉”真的安全嗎？

要說人臉識別技術(shù)是近年來的最熱門科技之一，相信沒人會反對。這項技術(shù)已被應(yīng)用于日常生活中，在智慧安防領(lǐng)域更是大顯身手。隨著人臉識別商業(yè)化落地加速，云哨智能動態(tài)人臉識別系統(tǒng)從人臉布控、身份識別等業(yè)務(wù)場景出發(fā)，以人臉識別技術(shù)、行為動作分析技術(shù)為核心，通過視頻采集和數(shù)據(jù)分析等技術(shù)手段，實現(xiàn)對所管轄區(qū)域進行智能視頻分析預(yù)警和監(jiān)管。

一位曾參與銀行系統(tǒng)與公安部人臉庫對接項目的人士告訴《法人》記者，為了確保正確識別，人臉識別機構(gòu)不會將人臉關(guān)鍵點特征比對后輕易“放行”測試者，而是要求測試者做眨眼、搖頭或噘嘴等動作以進一步驗證。由于這些動作會產(chǎn)生比人臉關(guān)鍵點信息更復(fù)雜的代碼，可以避免他人使用照片或視頻蒙混過關(guān)。雖然每次識別這些動作的指令順序有所差別，但并不影響數(shù)據(jù)的最終判斷。

盡管識別和鑒別技術(shù)如此精準，但還是難以避免出現(xiàn)漏洞。2019年年底，在一家亞洲商店，美國某人工智能公司的Kneron團隊使用高質(zhì)量的3D面具騙過了支付寶和微信支付系統(tǒng)，成功進行購買。近年來，一些根據(jù)人臉特征制作的“套頭玩偶”或“仿真面具”，也在網(wǎng)絡(luò)上悄然出現(xiàn)，人臉識別技術(shù)迎來各種新挑戰(zhàn)。

“仿真面具相較于視頻和照片更具有欺騙性，它既可以靜態(tài)地被檢驗，也可以做出眨眼、噘嘴或搖頭等動作。一旦蒙混過關(guān)，以人臉識別解鎖的權(quán)限會在一瞬間全部被‘撬開’，這非常可怕。”上述人士對記者說。

值得一提的是，目前金融、安防以及考勤門禁是人臉識別應(yīng)用最廣泛的領(lǐng)域，一旦發(fā)生誤判，系統(tǒng)被攻破，后果往往不堪設(shè)想。

商業(yè)采集邊界在哪里

今年的“3·15晚會”，一共點名了3家人臉識別技術(shù)供應(yīng)商，蘇州萬店掌網(wǎng)絡(luò)科技有限公司就是其中之一。據(jù)天眼查APP顯示，該公司成立于2016年4月，創(chuàng)始人周圣強擁有近20年的圖像智能開發(fā)及市場應(yīng)用從業(yè)經(jīng)驗。該公司一位薛姓經(jīng)理稱，這套系統(tǒng)能通過人臉識別信息解決精準營銷，抓取的人臉數(shù)據(jù)信息累計上億。

該公司一位陳姓經(jīng)理介紹，該公司人臉信息采集系統(tǒng)能輕松掌握消費者的年齡和性別，甚至可以判斷消費者被拍照的一瞬間情緒是否穩(wěn)定、心情如何等。而這些信息應(yīng)該如何使用、如何有效納入監(jiān)管體系，目前尚無相關(guān)具體管理規(guī)定。

成立于2011年的曠視科技公司，目前是人臉識別領(lǐng)域的翹楚，已于2021年3月12日向上交所提交了IPO招股書。在該公司主營業(yè)務(wù)中，人臉識別技術(shù)被大量使用，但該公司在招股書中卻沒有一個字提到其使用的人臉是通過何種方式獲得。

那么，商業(yè)公司是否擁有人臉采集的權(quán)利，以及采集的邊界在哪里？

在《中華人民共和國個人信息保護法(草案)》和全國信息安全標(biāo)準化技術(shù)委員會于2017年12月29日發(fā)布、2018年5月1日實施的《信息安全技術(shù)個人信息安全規(guī)范》”中，都明確了提前告知并征得信息主體同意的原則。除此之外，《消費者權(quán)益保護法》第二十九條規(guī)定：經(jīng)營者收集、使用消費者個人信息，應(yīng)當(dāng)遵循合法、正當(dāng)、必要的原則，明示收集、使用信息的目的、方式和范圍，并經(jīng)消費者同意。

盡管如此，近年來的商業(yè)采集人臉信息，似乎并沒有被遏制。此前，網(wǎng)絡(luò)上曝出一些房地產(chǎn)項目售樓處安裝攝像頭，以人臉識別技術(shù)判斷到訪者屬于哪類客戶，導(dǎo)致看房者被迫戴頭盔前往，此事件曾引發(fā)很大爭議；被央視“3·15晚會”點名的商家，也沒有在攝像頭旁給予消費者提示信息；2019年，南都個人信息保護研究中心曾在北京多個商場調(diào)查發(fā)現(xiàn)，不少商場都裝有人臉識別系統(tǒng)，并對顧客進行刷臉，跟蹤記錄消費軌跡，但沒一家商場告知顧客并征得同意。

針對“提前告知并征得消費者同意”的原則，中國鐵建某項目售樓處工作人員表示，攝像頭擺放在一進門的入口處，等同于提前告知，也相當(dāng)于獲取了看房者的知情同意。“這種說法根本站不住腳，這怎么能稱為提前告知？”北京市中聞律師事務(wù)所律師趙虎對記者說。

不過，趙虎表示，對于如何執(zhí)行“提前告知并征得消費者同意”， 既沒有統(tǒng)一認識，也沒有統(tǒng)一標(biāo)準，這也是人臉識別技術(shù)頻頻被推上風(fēng)口浪尖的原因。

建立“比對權(quán)”管控機制

人臉識別技術(shù)是指利用分析比較的計算機技術(shù)識別人臉，屬于生物特征識別技術(shù)，目前為熱門計算機技術(shù)研究領(lǐng)域，其中包括人臉追蹤偵測、自動調(diào)整影像放大、夜間紅外偵測、自動調(diào)整曝光強度等技術(shù)。

較之于其他個人信息，人臉信息更容易被采集。與指紋、證件號碼、手機號碼和家庭住址不同的是，人臉常年暴露在外，采集人臉不需要當(dāng)事人主動提供，不需要與當(dāng)事人的身體進行接觸，極易在未告知的情況下被“偷偷”收集。

中國政法大學(xué)傳播法研究中心副主任朱巍認為，民法典和個人信息保護法草案只對“個人生物識別信息”進行了規(guī)定，但沒有單獨提到人臉的問題，考慮到人臉信息的特殊性，針對人臉識別的特別規(guī)定勢在必行。

由于人臉具有一定的結(jié)構(gòu)分布特征，即使經(jīng)歷衰老及蛻變，或是扮上妝容，但幾乎所有人臉上的64個或128個關(guān)鍵點特征終生不變，人臉識別技術(shù)正是將這些關(guān)鍵點特征與“母庫”信息進行比對。如果一致，則會判定該人臉對應(yīng)的就是“母庫”中的本人。

那么，既然某些“仿真面具”能夠以假亂真，那我們越來越依賴的生物識別工具，其安全性是否不像很多人認為的那么高？

對此，朱巍表示，人臉并不是單獨存在的，一張人臉照片用處不大。公安機關(guān)應(yīng)該對人臉“采集權(quán)”制定審核制度。同時，公安機關(guān)應(yīng)對擁有人臉信息的“母庫”單位建立“比對權(quán)”管控機制。

朱巍還建議，為避免人臉識別技術(shù)被濫用，公安機關(guān)應(yīng)對人臉信息“采集權(quán)”和“比對權(quán)”進行限制，并分開管理，即擁有“采集權(quán)”的單位不能比對，擁有“比對權(quán)”的單位不得采集。讓采集單位和比對單位之間自行建立合作關(guān)系，而公安機關(guān)對擁有這兩種不同資質(zhì)的單位進行嚴格管理。

“這樣一來，對于技術(shù)供應(yīng)商來說，他們只是掌握了幾張孤零零的照片，即使有‘人臉’也無法‘識別’。” 朱巍說。

今年兩會期間，全國政協(xié)委員馬進在接受媒體采訪時建議，應(yīng)明確人臉采集使用場景并頒發(fā)采集許可證。相關(guān)部門應(yīng)出臺人臉采集使用場景的限制性規(guī)定，并根據(jù)該規(guī)定就特定場所人臉采集的必要性、合理性以及場所所屬企業(yè)的技術(shù)能力與管理能力進行評估，對符合條件的企業(yè)與場所頒發(fā)許可證。取得許可證后，企業(yè)方可在規(guī)定的場景下進行人臉采集。