人臉識別的公地悲劇

車寧　徐麗捷

作為人類歷史上最具效率的經濟組織方式，市場經濟較之以往游牧經濟、農耕經濟更能釋放生產力的秘訣就在于“物化”乃至“金融化”。曾幾何時，物化的對象還主要集中于自然資源和人的勞動，進入數字時代，人本身包括社會關系、行為方式乃至生物特征等都成了物化的對象。數據作為新經濟的“原油”，在驅動歷史洪流滾滾向前的同時，卻也在信息安全、隱私保護方面留下一地雞毛。

伴隨數字經濟對傳統社會關系滲透改造的加強，對個人信息的關注也西風東漸，在中國引起強烈關注。從媒體對特斯拉“隱私門”的廣泛報道到“3·15”晚會對多家知名商店違法安裝人臉識別設備的曝光;從全國人大法工委提出“個人信息保護法草案應對人臉識別信息處理作出專門規定”，到全國“兩會”期間委員聯合提案建議建立人臉識別的網絡及信息安全監管體系，無不說明了這一點。

在種種爭論、焦慮乃至恐慌中，成為眾矢之的的莫過于人臉識別。本來，在種種安全技術中，人臉識別因為在成本、技術、門檻以及體驗上的綜合優勢，不但力壓數字密碼、電子證書等傳統技術，就連系出同門的指紋、聲紋等也自嘆不如，成為名副其實的“希望之星”。只是春風得意不過數年便遭逢信息安全大潮的“水逆”，展望未來，人臉識別還有多少含“金”量？

技術與應用瓶頸

在那個“大眾創業、萬眾創新”的鍍金時代，一句俏皮話曾經火遍大江南北——站在風口上豬都能飛。很明顯，經歷了泥沙俱下的時間洗禮，有著硬核實力和真實應用的人臉識別并不是那只會飛的豬。

按照行業一般看法，人臉識別可以簡單概括為機器對靜態或視頻中的人臉圖像進行特征提取、分類識別，以達到身份鑒別的目的，其功能歸納起來主要是身份驗證和監控。

隨著技術本身的快速進步、市場應用需求的日益凸顯，以及各路資本的競相熱捧，人臉識別的應用不斷升溫，在政府機構的公共應用和非政府機構的商業應用與慈善應用的場景和功能與日俱增。

然而在互聯網經濟退潮之后，人臉識別雖不至于在“裸泳”，但卻也暴露出曾掩映在高速發展光環下的種種先天缺陷：

首先，人臉識別主打的無感識別正在走向自己的反面，核心在于人是“被”識別而非主動識別，這還不僅僅是信息安全、隱私保護、人格尊嚴等的問題，即使在技術層面也暴露出人臉識別的一大短板：一方面，人臉識別固然在驗證是否本人方面功效卓著（雖然也會受到自然條件如光線等的影響，以及識別率的調節）;但另一方面，被動的人臉識別在行為意愿與否的驗證上卻需要進化以及其他技術的支持。

其次，人臉識別的安全認證對象是人臉，而作為人體主要生物特征且寄托社會關系和情感因素的人臉，卻很難甚至不能更換。一者，人臉不可避免地持續暴露在外，增加了被破解、被利用的幾率;二者，更改密碼等安全要素、各類密碼不能混同等本是基本的安全常識，但人臉卻不能滿足這些策略;三者，人臉是自然生成，具有隨機性，識別也主要是靠一個個元素試錯性的積累，這從根本上無法避免“撞臉”的可能。

最后，物化及反物化的撕裂已經并將如影隨形地持續影響人臉識別應用。表面上看，人臉識別是將自然生物特征密碼化，是從工具到工具，實質上看，由于人臉的社會屬性，人臉識別卻是將人格權利工具化，是從人到物。特別是在被互聯網刺激整合的民粹主義思潮影響下，張揚個性、反對物化的號召到處引起共鳴，再考慮到哲學社會科學以及法律領域對信息權利歸屬并沒有權威解釋、規范而莫衷一是，人臉識別的合規壓力顯然具有長期性和深刻性。

在互聯網經濟退潮之后，人臉識別雖不至于在“裸泳”，但卻也暴露出曾掩映在高速發展光環下的種種先天缺陷。圖/IC

除了技術層面的先天缺陷外，人臉識別在應用層面也遇到重重挑戰：

挑戰首先來自業界自身。從發展歷程看來，人臉識別作為前沿的安全技術，其向傳統行業的普及始終與作為主要推動力量的互聯網相進退。現在，互聯網越來越成為一種通用技術、一種基礎設施，人們對其應用的需求已經從此前的便捷高效，跨越到安全、合規領域。

尤為重要的是，一方面，業界對人臉識別還缺乏整合，商業機構各行其是，行業沒有統一聲音，共性問題成為“公地悲劇”，在人性道德陷阱下由于資金缺乏而破題艱難;另一方面，一些曾經失意的競爭對手卻卷土重來，比如電子證書解決了便攜問題，指紋識別優化了安全功能，它們或者自身進化、或者強強聯合，已然成為頗具規模的替代方案。

另外，人臉識別對網絡渠道的路徑依賴正逐漸成為其應用上的最大掣肘。

以金融領域為例，一者，行業已經過了渠道線上化而進入經營線上化的時代，這就要求人臉識別不能還只作為登錄、支付等掌上銀行交易環節的驗證工具，而是向中后臺應用延伸，需要支持金融機構風控、信貸等更深層次的核心要求，但現實卻是人臉識別的應用縱深并不夠，并不能直接、獨立提升經營管理效率。

再者，人臉識別及與其相關的人工智能等在一定程度上也可以稱為“勞動密集型”產業，需要大規模的人工通過經驗主義的方式對AI進行個案輔導以提升識別等能力。但現在由于成本控制的考量，人工還只停留于一般勞動者的簡單勞動。

然而行業解決方案需要的卻是基于專家經驗的技術應用，人臉識別與場景的深度結合不但要有天才的方案設計，更需要腳踏實地的專家經驗的輔導與喂養，而這至少在短時間內會使企業遭遇成本上升和業務增長的“兩難”，甚至成為部分初創企業的“滑鐵盧”。

三大合規隱患

如果說人臉識別的發展瓶頸主要在于技術，其風險桎梏則主要來自法律。如前所述，在“互聯網+”的大背景下，科技與商業的融合愈發緊密，利用科技手段竊取和非法使用群眾個人信息的新聞也屢見不鮮;同樣，科技進步也推動了普通民眾法律知識水平與思想觀念的進步，從西方到東方，個人信息保護已成為社會共識。

在上述情況影響下，對人臉識別的法律規范已然在進行，但其風險主要來自三個方面，一是法律、政策乃至發展規劃對人臉識別的“層層加碼”。人臉識別技術所收集的生物信息在中國是屬于法律規定的個人信息的范疇，應該受到個人信息保護的法律、法規等規范性法律文件的約束。另外，由于人臉識別及其相關人工智能在技術發展上的重要性，從中央到地方，從金融到產業，各類規劃對其發展進行鼓勵的同時也按各自思路施加引導（見圖）。立法領域和層級的復雜性在一定程度上增加了執法司法的不確定性，進而增加了行業企業的合規成本。

二是確權這一基礎的法律理論問題并沒有真正解決，基本法律框架還處在發育過程中，未來甚至不排除有根本性的轉變。一者，信息權利在個人和企業間的歸屬及為何如此歸屬的問題還沒有很好的詮釋，信息權利橫跨人格權和財產權兩大法域，既不利于權利的針對性保護，也為其“物化”預留了法律空間。

二者，保護框架還在利益平衡和絕對保護兩者之間搖擺，前者關注個人和企業之間的利益平衡，強調服務提供與信息讓渡的公平交易，將信息保護更多歸為商業領域，后者則直接將信息保護視作基本人權，強調其構成人之所以為人的基本要素而絕對保護，對技術發展則進行規范甚至約束。

三者，規范體系仍在持續增加，并且由于其縱向、橫向的廣泛跨度，專業性也日趨縝密。比如，除文末附圖中收集整理的中國關于個人信息保護的相關法律法規外，正在征求意見的《數據安全管理辦法》、《個人信息出境安全評估辦法》也是專門針對個人數據管理的專門性法規。

此外，中國還出臺了與人臉識別技術或識別生物特征信息的相關國家標準規定，比如《信息安全技術個人信息安全規范》《信息技術生物特征識別應用程序接口》系列標準、《公共安全人臉識別應用圖像技術要求》等。

即便如此，中國針對人臉識別所涉及個人信息和數據安全等方面的規范體系也還并不健全，比如中國重點限制企業采集信息，但對公權力和域外收集個人信息還少有限制，中國規定正當性采集信息為原則，但未明確具體細節等，同時現有政策法律規定零散、操作性也有待加強。以上種種的疊加，自然而然隱藏著較大的風險隱患。

企業風控桎梏

除了法律規范逐漸細致、確權問題尚未解決、權利意識日益高漲等合規問題外，隨著人臉識別在深度（越來越多地介入企業經營機制縱深）、廣度（應用場景、作用發揮越來越多）兩端的擴展，企業逐漸走向原來并不熟悉的高風險領域。并且由于這些領域技術應用的交叉性，此間也沒有成功經驗可循，包括業務發展以及法律規范、權利保護等都需要持續摸索，持續面臨不確定性的挑戰。也可以說，人臉識別的風險現在集中表現為，即使是企業自身（更遑論其他）也并不具備相應的風險管控能力，擇其要者具體如下：

首先是技術應用風險。按照行業通說，人臉識別作為收集生物信息技術手段，需滿足真實性、保密性及實用性等要求。但因現在人臉識別技術還處于發展過程之中，實際應用未臻完美，其識別精準度受算法、光照甚至姿態等因素的影響，尤其是部分企業在動態識別領域關鍵技術的缺失，使得其在實際應用中的效果會較理想大打折扣。

在信息安全方面，如今互聯網公司掌握公民大量的信息，一旦黑客利用技術入侵乃至盜取相關企業儲存的用戶信息，極易造成安全隱患。根據《南方都市報》人工智能倫理課題組和App專項治理工作組發布的《人臉識別應用公眾調研報告（2020）》顯示，有九成以上的受訪者使用過人臉識別，其中六成受訪者認為人臉識別技術有濫用趨勢，另有三成受訪者表示，已經因為人臉信息泄露、濫用而遭受到隱私或財產損失。并且由于人臉信息在生物性和社會性上的唯一性，使得其不像其他信息。人臉信息一旦丟失就無法進行掛失，無異于將自己的“密碼”公之于眾。有鑒于此，如何防止和堵塞黑客盜取公民信息的技術漏洞，應是互聯網企業提升安全防范技術的重中之重。

在技術運行方面，人臉識別受外界因素影響較大，具有使用不穩定、復雜性不夠的特點，可能會造成識別錯誤、識別混同等情形。另外，由于地區之間資源不平衡、信息流通不暢等問題，也容易導致識別信息混亂。

同時，由于采集來的大量生物信息集中儲存在企業相關系統內，且數據量呈指數倍極快增長，如果同時運行或輸出各種不同的數據，系統程序多次頻繁運行，有可能造成輸出數據錯位和內部信息錯亂，為信息數據儲存和運行帶來安全風險。相關企業當前的數據儲存技術和架構能否承擔龐大的需求還需要實踐的檢驗。而信息權利不同其他，若其數據管理系統缺乏相應的安全機制，即使亡羊補牢也為時晚矣。

其次是規范紕漏風險。即使是有了各種各樣的法律規范，但由于人臉識別及相關技術的復雜性和應用的廣泛性，不同領域也都在不同程度上存在法律制度、監管政策制定瑕疵和落后實際需要的風險。

如小區、校園等公共場所公民信息被隨意收集，或消費者以自身信息作為接受服務的對價，這些現象的出現主要是因為中國對于信息收集并沒有針對具體場景應用設置相應的、細致的門檻要求，部分企業在利潤驅動下鋌而走險，以“打擦邊球”方式來肆意收集公民信息。

在強制采集方面，曾經風靡一時的“面相測試”、“掌紋算命”、網上基因檢測以及ZAO軟件都是未經用戶同意以欺騙手段或強制采集用戶生物信息。而在此前中國消費者協會公布的對于涉及采集個人信息的App抽查測評也顯示中國存在大量App等程序不正當、不適度收集用戶信息的情況。因為缺乏市場有效約束和違法成本相對較低，部分領域企業強制采集用戶信息甚至成為常態。相當多的軟件要求用戶不同意信息采集則被禁止享有App服務，即“不授權無服務”，即使屢遭治理，仍有部分企業依然我行我素，憑借專業及信息優勢欺瞞監管和公眾，過量采集相關信息。

在信息濫用方面，正如不少專家所指出的，目前人臉識別所面臨的最重要問題還不是如何保護，而是治理濫用。濫用人臉識別技術之所以引起恐慌，是因為其綜合了無感性、被動性、唯一性以及關聯性等特性，原本的威脅也因未知而具有了“乘數效應”。

如前所述，人臉識別技術可以在肢體非接觸的情形下，在人臉檢測、核驗人臉屬性、身份驗證等環節遠程識別出自然人而無需物理性接觸，這也曾是人臉識別信息區別于虹膜信息、指紋信息的最大“優勢”。當然也是憑借該特征，為大規模隱秘監控、多人同時識別及避免物理性殘余干擾提供了技術上的可能。

最后是保護不足風險。即使公眾的權利保護意識較之先前有了較大提高，但與人臉識別技術及風險相比，其認識程度仍顯不足。由于人臉識別技術具有前述的非接觸性等特點，從而使其讀取或收集個人信息更具隱蔽性，甚至是在被收集人不知情的情況下就可以進行信息采集，悄然無息之間，人臉識別就會侵犯公民隱私、自由甚至人身安全。

在知情權方面，作為法律規定公民所享有的保護其個人信息的基本權利，知情權的存在決定了任何應用訪問個人信息必須獲得用戶許可。如中國《網絡安全法》第四十四條就規定：“任何個人和組織不得竊取或者以其他非法方式獲取個人信息，不得非法出售或者非法向他人提供個人信息。”但是由于專業性壁壘和信息不對稱，民眾往往對于在無感的情況下個人信息不合理或過度采集缺乏保護意識。所以，如何保護公民信息采集時的知情權，以及企業乃至政府使用個人信息時如何合法授權，應是業界思考的重要問題。

在隱私權方面，當下，人臉識別探頭幾乎遍布公共場所每一角落，其對外宣傳的目的當然是諸如維護治安，保護居民等等。然而用戶的信息卻被各類企業大量采集，如若收集的公民信息使用不當就會侵犯公民的隱私權。事實上，在崇尚效率的今天，大多數民眾并不排斥人臉識別帶來的便捷實用，但是隱私泄露這一高懸的“達摩克利斯之劍”也讓大家心生恐懼。生物信息會不會被過度地采集？一些企業有沒有合理使用信息的自律性、自覺性？一旦這些信息被盜取，普通民眾的隱私將無所遁形。

當然，除了上述風險外，法律領域部分專家還對人臉識別持更加批判的態度，認為其還可能引發諸如成為“透明人”、行為“被操控”甚至權利無法救濟等問題，這在業界看來則有些“匪夷所思”。然而上述聲音也并非孤例，相反，如果行業不未雨綢繆，這些“過慮”的觀點會持續發酵，直至成為社會共識，最終對人臉識別發展造成重大影響。

未來規范之路

隨著技術及應用的發展，人們對于人臉識別“兩面性”的認識逐漸加深，在規范與發展這組“兩面性”上，首先，規范的目的是通過調整和規范公共機構與公眾的活動，實現既定的公共政策目標，在此之下需要平衡數據產業發展與個人信息保護之間的矛盾，實現規范技術應用和促進技術發展的目標。

在技術屬性和社會屬性這組“兩面性”上，最為關鍵的還是作為技術的人臉識別需要充分認識到其社會成本和外部性，并予以有效約束和補償（當然最好是自律和自償，否則將面臨嚴峻的外部規范），目標則是從根本上緩釋、控制乃至解決人格權利的“物化”問題，真正回到服務消費者的初心，將其作為主體而非對象，服務而非消費。

在法律規范領域，除了按照社會共識加強對收集與使用數據方面的合規約束，明確個人數據和信息保護的責任歸屬，根據類型與場景進行不同程度的保護，以及重點打擊對個人數據的濫用等外，關鍵還在于形成體現數字時代精神，寓發展于規范，架構內容合理的多重規范體系。這體現了國家治理能力和社會治理體系現代化的規范體系既要綜合運用直接治理和間接調控等多種手段，也要吸納各方基于專業性的積極參與。

在具體落實方面，政府應當加強對“人臉識別技術”應用的監管，剛柔并濟，促成與相關行業之間的公私良性互動、共同合作規制。行業組織、專業機構應當加強安全管理，著重保障用戶的隱私和數據的安全，加緊推動自律規范、行標團標等“軟法”的形成，既為法律實施提供保障，也為規范完善打造基礎。

相關企業在使用人臉的過程中，應當重視隱私合規要求，依法盡到告知義務，同時高度重視人臉數據的使用和存儲安全，進行充分的技術投入和管理措施用于保護人臉識別的安全性，避免因自身防護不當導致的用戶敏感信息泄露和賬戶資金損失，及其產生的法律、輿情風險。

展望未來，人臉識別的技術發展與社會公眾的權利保護并不沖突，破題關鍵在于企業要勇于沖出（現在也不得不沖出）低水平、低成本運營的“舒適區”，使技術深度融入產業鏈、創新鏈，更具有“高級感”。

（編輯：袁滿）

部分領域人臉識別法律規范匯總

法律

2013年10月

全國人大常委會《消費者權益保護法》

經營者收集、使用消費者個人信息，應當遵循合法、正當、必要的原則，明示收集、使用信息的目的、方式和范圍，并經消費者同意。經營者收集、使用消費者個人信息，應當公開其收集、使用規則，不得違反法律、法規的規定和雙方的約定收集、使用信息。

2016年11月

全國人大《網絡安全法》

將個人生物識別信息的管理進一步細化，范圍進一步明確。《網絡安全法》的公布和施行不僅保障廣大群眾的切身利益，還有利于高新技術的應用，進而激發互聯網的巨大潛力。

2018年4月

全國人大《中華人民共和國反恐主義法》（2018 年修正）

公安機關調查恐怖活動嫌疑，可以依照有關法律規定對嫌疑人員進行盤問、檢查、傳喚，可以提取或者采集肖像、指紋、虹膜圖像等人體生物識別信息和血液、尿液、脫落細胞等生物樣本，并留存其簽名。

2020年5月

全國人大《中華人民共和國民法典》

專章對個人信息保護進行規定，對個人信息的概念、適用情形、免責情形以及法律責任等進行相關規定。對于個人信息的保護又零散分布于各章。

自然人的個人信息受法律保護。任何組織或者個人需要獲取他人個人信息的，應當依法取得并確保信息安全，不得非法收集、使用、加工、傳輸他人個人信息，不得非法買賣、提供或者公開他人個人信息。

為公共利益實施新聞報道、輿論監督等行為的，可以合理使用民事主體的姓名、名稱、肖像、個人信息等;使用不合理侵害民事主體人格權的，應當依法承擔民事責任。

2020年7月

全國人大《數據安全法》

明確數據活動的紅線，將來在“數據主權、數據經營、數據交易”等方面，通過法律條文的形式，推動數據時代的快速發展。

2020年10月

全國人大常委會《中華人民共和國出口管制法》

國家出口管制管理部門依法履行職責，國務院有關部門、地方人民政府及其有關部門應當予以協助。

國家出口管制管理部門單獨或者會同有關部門依法開展監督檢查和調查工作，有關組織和個人應當予以配合，不得拒絕、阻礙。

有關國家機關及其工作人員對調查中知悉的國家秘密、商業秘密、個人隱私和個人信息依法負有保密義務。

2020年10月

全國人大《個人信息保護法（草案）》

規定了個人信息是以電子或者其他方式記錄的與已識別或者可識別的自然人有關的各種信息;規定了個人信息的處理包括個人信息的收集、存儲、使用、加工、傳輸、提供、公開等活動的要求。

2020年12月

全國人大中華人民共和國刑法（2020 修正）

違反國家有關規定，向他人出售或者提供公民個人信息，情節嚴重的，處三年以下有期徒刑或者拘役，并處或者單處罰金;情節特別嚴重的，處三年以上七年以下有期徒刑，并處罰金。

違反國家有關規定，將在履行職責或者提供服務過程中獲得的公民個人信息，出售或者提供給他人的，依照前款的規定從重處罰。

竊取或者以其他方法非法獲取公民個人信息的，依照第一款的規定處罰。

單位犯前三款罪的，對單位判處罰金，并對其直接負責的主管人員和其他直接責任人員，依照各該款的規定處罰。

行政法規

2017年1月

國務院《國務院關于印發“十三五”市場監管規劃的通知》

提出加強對消費者個人信息的保護，加大對違法出售、提供、獲取消費者個人信息的處罰力度。

2017年7月

國務院《新一代人工智能發展規劃》

指出建設安全便捷的只能社會，圍繞行政管理、司法管理、城市管理、環境保護等社會治理的熱點難點問題，促進人工智能技術應用，推動社會治理現代化。同時，圍繞社會綜合治理、新型犯罪偵查、反恐等迫切需求，題出研發視頻圖像信息分析識別技術、生物特征識別技術的智能安防與警用產品，建立智能化監測平臺的要求。

2021年3月

國務院國務院關于落實《政府工作報告》

重點工作分工的意見意見中提及要加強網絡安全、數據安全和個人信息保護。

部門規章

2019年4月

公安部《互聯網個人信息安全保護指南》

個人生物識別信息應僅收集和使用摘要信息，避免收集其原始信息。

2019年9月

中國人民銀行《金融科技（FinTech）發展規劃（2019-2021年）》

明確提出構建適應互聯網時代的移動終端可信環境，充分利用可信計算、安全多方計算、密碼算法、生物識別等信心技術，建立健全兼顧安全與便捷的多元化身份認證體系，不斷豐富金融交易驗證手段，保障移動互聯環境下金融交易安全，提升金融服務的可得性、滿意度與安全水平。同時，提出強化需求引領作用，主動適應數字經濟環境下市場需求的快速變化，在保障客戶信息安全的前提下，利用大數據、物聯網等技術分析客戶金融需求，借助機器學習、生物識別、自然語言處理等新一代人工智能技術，提升金融多媒體數據處理與理解能力，打造“看懂文字”、“聽懂語言”的智能金融產品與服務。

2019年9月

工業和信息化部《關于促進網絡安全產業發展的指導意見（征求意見稿）》

支持構建基于商用密碼、指紋識別、人臉識別等技術的網絡身份認證體系。

2020年3月

交通運輸部交通運輸部辦公廳關于加快推廣應用道路運輸電子證照提升數字化服務與監管能力的通知

嚴格按照《中華人民共和國網絡安全法》和國家網絡安全等級保護制度要求，加強部級電子證照系統運行網絡和信息安全管理，嚴格保護個人隱私和個人信息安全，個人信息采集過程中應遵循“最少夠用”原則，防止采集的個人信息以任何形式泄露、損毀、丟失或用于其他用途。

2020年5月

國家互聯網信息辦公室，工業和信息化部，公安部，國家市場監督管理總局、國家互聯網信息辦公室秘書局、工業和信息化部辦公廳、公安部辦公廳、國家市場監督管理總局辦公廳關于印發《常見類型移動互聯網應用程序必要個人信息范圍規定》的通知

四部委聯合印發個人信息保護的相關規定，對常見類型移動互聯網應用程序必要個人信息范圍進行了較為詳細的規定。

2021年3月

十三屆全國人大四次會議《中華人民共和國國民經濟和社會發展第十四個五年規劃和2035年遠景目標綱要》

聚焦新一代信息技術、生物技術、新能源、新材料、高端裝備、新能源汽車、綠色環保以及航空航天、海洋裝備等戰略性新興產業，加快關鍵核心技術創新應用，增強要素保障能力，培育壯大產業發展新動能。堅持專群結合、群防群治，提高社會治安立體化、法治化專業化、智能化水平，形成問題聯治、工作聯動、平安聯創的工作機制，健全社會治安防控體系。