人臉識(shí)別急需法律規(guī)制
——訪中央財(cái)經(jīng)大學(xué)法學(xué)院教授邢會(huì)強(qiáng)

本社記者 劉海燕

今年的央視“3·15”晚會(huì)上，多家知名商家違規(guī)采集人臉信息的事件被曝光。4月9日，備受關(guān)注的“人臉識(shí)別第一案”也迎來了終審判決，被告杭州野生動(dòng)物世界被判刪除原告郭兵辦理指紋年卡時(shí)提交的包括照片在內(nèi)的面部特征信息和指紋識(shí)別信息。一時(shí)間，人臉識(shí)別成為熱議話題。

可以說，人臉識(shí)別因關(guān)系到我們每一個(gè)人而受到社會(huì)各界的廣泛關(guān)注。如何保護(hù)好自己的臉，成為大數(shù)據(jù)時(shí)代無法逃避的課題。我們知道，隨著科技的發(fā)展，我國(guó)的人臉識(shí)別技術(shù)應(yīng)用廣泛，“刷臉”在線上線下處處可見。該技術(shù)的廣泛應(yīng)用，創(chuàng)造了巨大的社會(huì)價(jià)值和經(jīng)濟(jì)價(jià)值，給我們的工作和生活帶來了極大便利。

但同時(shí)也應(yīng)看到，人臉信息數(shù)據(jù)一旦泄露，就意味著個(gè)人的隱私、財(cái)產(chǎn)等諸多的安全受到威脅，不可避免地會(huì)帶來一系列現(xiàn)實(shí)的和潛在的信息安全風(fēng)險(xiǎn)。及時(shí)回應(yīng)人臉識(shí)別技術(shù)發(fā)展帶來的新挑戰(zhàn)，治理人臉識(shí)別之亂象，防范人臉識(shí)別技術(shù)應(yīng)用的法律風(fēng)險(xiǎn)，成為當(dāng)下關(guān)注的焦點(diǎn)之一。

對(duì)此，本社記者就如何完善對(duì)人臉識(shí)別的法律規(guī)制，厘定人臉識(shí)別技術(shù)應(yīng)遵循的法律底線等問題，對(duì)邢會(huì)強(qiáng)教授進(jìn)行了專訪。

記者：請(qǐng)您談?wù)勅四樧R(shí)別的特征？

答：

人臉識(shí)別可簡(jiǎn)單地概括為：機(jī)器對(duì)靜態(tài)或視頻中的人臉圖像進(jìn)行特征提取、分類識(shí)別，以達(dá)到身份鑒別的目的。人臉識(shí)別具有七項(xiàng)特征：1.獨(dú)特性和直接識(shí)別性。每個(gè)人的人臉都是獨(dú)特的，通過人臉可以直接識(shí)別到個(gè)人，而無需結(jié)合其他信息（當(dāng)然，如果結(jié)合其他個(gè)人信息進(jìn)行識(shí)別則準(zhǔn)確度更高）。2.方便性。與其他人體生物特征相比，人臉具有不容易被遺忘的特征。它“隨身攜帶”，方便驗(yàn)證。3.不可更改性。密碼也可以用來進(jìn)行賬戶登錄和身份驗(yàn)證，但密碼很容易更改，而人臉一般是不可以更換的。4.變化性。人臉雖難以更改，但會(huì)發(fā)生變化。歲月、整容、光線等都會(huì)使人臉發(fā)生變化，從而導(dǎo)致識(shí)別困難甚至識(shí)別錯(cuò)誤。5.易采集性。采集人臉，可使用攝像頭自動(dòng)抓拍，無須人工操作，也無須被采集者配合，只要其以正常狀態(tài)經(jīng)過攝像頭前即可。6.不可匿名性。很多個(gè)人信息都可以去身份而實(shí)現(xiàn)匿名化，但是人臉無法去身份和匿名化。7.多維性。通過人臉識(shí)別可獲得表情信息，如悲傷、憂愁、高興等，通過“觀色”，可以洞察人心。

人臉識(shí)別的上述特征，直接決定了人臉識(shí)別技術(shù)具有復(fù)雜性特征，而現(xiàn)實(shí)中很多收集人臉的機(jī)構(gòu)并不具備相應(yīng)的風(fēng)險(xiǎn)防控、安全保障能力、組織和機(jī)制。

記者：人臉識(shí)別技術(shù)有哪些收益和風(fēng)險(xiǎn)？

答：

人臉識(shí)別技術(shù)的收益是世所公認(rèn)的。人臉識(shí)別技術(shù)可以應(yīng)用于諸多場(chǎng)景，從改善銀行業(yè)和零售業(yè)的消費(fèi)者體驗(yàn)到加快機(jī)場(chǎng)邊境管制等等。該項(xiàng)技術(shù)的發(fā)展與應(yīng)用，創(chuàng)造了大量裨益社會(huì)的機(jī)會(huì)。其收益主要在于它識(shí)別速度更快，能極大地節(jié)省成本。

但是，人臉識(shí)別技術(shù)的風(fēng)險(xiǎn)也是不可小覷的。其風(fēng)險(xiǎn)主要有：1.誤差風(fēng)險(xiǎn)。如果人臉識(shí)別技術(shù)不夠成熟，可能出現(xiàn)混淆。此外，由于人臉為非剛體性，人臉之間的相似性以及各種變化因素的影響，準(zhǔn)確的人臉識(shí)別仍較困難。2.身份認(rèn)證被破解的風(fēng)險(xiǎn)。密碼是秘密保存的，但人臉卻是公之于眾的。最新的人臉驗(yàn)證技術(shù)，結(jié)合了3D圖片進(jìn)行登錄與驗(yàn)證，這比以前的技術(shù)更難破解，但破解并非完全不可能。3.信息泄露風(fēng)險(xiǎn)。用于保存人臉信息的電子計(jì)算機(jī)系統(tǒng)存在被黑客入侵、病毒入侵的風(fēng)險(xiǎn)，這可能導(dǎo)致信息泄露。此外，內(nèi)部員工的作案也可能導(dǎo)致信息泄露。生物信息具有100%的可識(shí)別性，一旦被泄露或是被不當(dāng)利用，后果無法估量。

訪談人物

邢會(huì)強(qiáng)

中央財(cái)經(jīng)大學(xué)首批龍馬學(xué)者特聘教授、博士生導(dǎo)師，中國(guó)法學(xué)會(huì)經(jīng)濟(jì)法學(xué)研究會(huì)常務(wù)理事兼副秘書長(zhǎng)、中國(guó)法學(xué)會(huì)證券法學(xué)研究會(huì)副會(huì)長(zhǎng)兼秘書長(zhǎng)、北京市金融服務(wù)法研究會(huì)會(huì)長(zhǎng)，《財(cái)經(jīng)法學(xué)》主編、《金融服務(wù)法評(píng)論》執(zhí)行主編、《證券法律評(píng)論》執(zhí)行主編。2018年國(guó)家社科基金重大項(xiàng)目《大數(shù)據(jù)法制立法方案研究》首席專家。

因此，人臉識(shí)別技術(shù)雖然能帶來可觀的收益，但其風(fēng)險(xiǎn)也是不可低估甚至是難以估量的，風(fēng)險(xiǎn)大于收益的可能性也是存在的。即使人臉識(shí)別技術(shù)的收益大于風(fēng)險(xiǎn)，也有必要建立強(qiáng)有力的治理架構(gòu)來降低風(fēng)險(xiǎn)。

記者：國(guó)外對(duì)人臉識(shí)別的法律規(guī)制有哪些做法？

答：

美國(guó)對(duì)人臉識(shí)別的法律規(guī)制主要包括對(duì)于政府部門使用人臉識(shí)別的法律規(guī)制和對(duì)于非政府機(jī)構(gòu)使用人臉識(shí)別的法律規(guī)制，二者是分別立法、分別規(guī)制的，規(guī)制的具體方法和價(jià)值取向截然不同。

對(duì)政府部門使用人臉識(shí)別的法律規(guī)制主要分為三種：第一種是禁止使用制度，第二種是特別許可使用制度，第三種是任意使用制度。禁止使用制度為美國(guó)舊金山市所首創(chuàng)，目前備受關(guān)注。特別許可使用制度目前尚處于民間建議階段。任意使用制度即對(duì)政府使用人臉識(shí)別尚未特別立法，政府部門可以任意使用人臉識(shí)別。

對(duì)非政府機(jī)構(gòu)使用人臉識(shí)別的法律規(guī)制，主要是將人臉信息作為生物信息之一加以規(guī)制，可以分為兩種路徑：一種是比對(duì)一般個(gè)人信息的保護(hù)更為嚴(yán)格的高強(qiáng)度規(guī)制路徑或特別規(guī)制路徑，另一種是與對(duì)一般個(gè)人信息的保護(hù)沒有區(qū)分的、同等程度保護(hù)的普通規(guī)制路徑。

與美國(guó)對(duì)政府部門和商業(yè)部門使用人臉識(shí)別技術(shù)分別進(jìn)行立法不同，歐盟采取的是統(tǒng)一禁止的態(tài)度，強(qiáng)調(diào)對(duì)于“基本權(quán)利”的保護(hù)。歐盟《通用數(shù)據(jù)保護(hù)條例》（以下簡(jiǎn)稱GDPR）是對(duì)公私部門一體適用的。這就意味著，無論是政府部門還是非政府部門，只要使用人臉識(shí)別技術(shù)，就必須遵守相同的規(guī)范。

GDPR第4條定義條款對(duì)“生物數(shù)據(jù)”（biometric data）進(jìn)行的界定包括“面部圖像”（facial images）。GDPR第9條規(guī)定了特殊種類的個(gè)人數(shù)據(jù)處理，其中就包括生物數(shù)據(jù)。GDPR對(duì)于生物數(shù)據(jù)的處理，遵循“原則禁止，特殊例外”的原則。數(shù)據(jù)控制者可援引“數(shù)據(jù)主體的同意”作為個(gè)人生物數(shù)據(jù)處理的例外，但該同意必須是“自由給予、明確、具體、不含混”的，數(shù)據(jù)主體的任何被動(dòng)同意均不符合GDPR的規(guī)定。

2019年7月，歐洲數(shù)據(jù)保護(hù)委員會(huì)（EDPB）頒布了《關(guān)于通過視頻設(shè)備處理個(gè)人數(shù)據(jù)的3/2019指引》，提供了盡量降低風(fēng)險(xiǎn)的措施。例如，對(duì)原始數(shù)據(jù)進(jìn)行分離、存儲(chǔ)和傳輸；對(duì)生物識(shí)別數(shù)據(jù)尤其是分離出的片段數(shù)據(jù)進(jìn)行加密并制定加密和秘鑰管理政策；整合關(guān)于反欺詐的組織性和技術(shù)性措施；為數(shù)據(jù)分配整合代碼；禁止外部訪問生物識(shí)別數(shù)據(jù)；及時(shí)刪除原始數(shù)據(jù)，如果必須保存則采取添加干擾（noise-additive）的保護(hù)方法。

記者：請(qǐng)您談?wù)剣?guó)外對(duì)人臉識(shí)別的法律規(guī)制對(duì)我國(guó)有何啟示？

答：

就政府部門使用人臉識(shí)別的法律規(guī)制，目前國(guó)外雖然三種制度并存，但任意使用制度顯然是大數(shù)據(jù)時(shí)代之前的做法，未認(rèn)識(shí)到人臉識(shí)別技術(shù)給人們帶來的風(fēng)險(xiǎn)；禁止使用制度也太過于激進(jìn)，不利于發(fā)揮人臉識(shí)別技術(shù)的優(yōu)勢(shì)，扼殺了技術(shù)的發(fā)展。相比較而言，特別許可使用制度既發(fā)揮了人臉識(shí)別技術(shù)之利，又防范了人臉識(shí)別技術(shù)之弊，是一種更為理性的制度安排，值得借鑒。

就非政府部門使用人臉識(shí)別的法律規(guī)制，目前國(guó)外雖然兩種制度并存，但將人臉信息作為一般個(gè)人信息對(duì)待的普通規(guī)制路徑，顯然是沒有認(rèn)識(shí)到人臉信息及人臉識(shí)別技術(shù)的特殊性，將個(gè)人置于極大的風(fēng)險(xiǎn)之中。而將人臉信息作為比對(duì)一般個(gè)人信息更為嚴(yán)格的特別保護(hù)和特別規(guī)制，更有利于保護(hù)個(gè)人的人臉信息，更值得借鑒。

但是，各國(guó)的政治、社會(huì)和技術(shù)背景存在各自的特殊性，這就決定了國(guó)外對(duì)于人臉識(shí)別技術(shù)的相關(guān)制度未必適合于我國(guó)，我國(guó)在借鑒相關(guān)制度時(shí)需要審慎甄別。

記者：目前我國(guó)對(duì)人臉識(shí)別法律規(guī)制的情況如何？

答：

我國(guó)2020年5月頒布的民法典第一千零三十四條第1款規(guī)定，“自然人的個(gè)人信息受法律保護(hù)”，并在該條第2款個(gè)人信息的定義中，明確將生物識(shí)別信息列舉為個(gè)人信息，但未對(duì)個(gè)人生物識(shí)別信息作特別保護(hù)。日前公布的《中華人民共和國(guó)個(gè)人信息保護(hù)法（草案）（二次審議稿）》第二十七條規(guī)定：“在公共場(chǎng)所安裝圖像采集、個(gè)人身份識(shí)別設(shè)備，應(yīng)當(dāng)為維護(hù)公共安全所必需，遵守國(guó)家有關(guān)規(guī)定，并設(shè)置顯著的提示標(biāo)識(shí)。所收集的個(gè)人圖像、個(gè)人身份特征信息只能用于維護(hù)公共安全的目的，不得公開或者向他人提供，取得個(gè)人單獨(dú)同意的除外。”這里“圖像采集”包括人臉識(shí)別。個(gè)人信息保護(hù)法（草案）（二次審議稿）第二十九條將個(gè)人生物信息作為敏感個(gè)人信息加以保護(hù)，并規(guī)定了“充分必要”原則。

我國(guó)目前對(duì)包括人臉信息在內(nèi)的生物識(shí)別信息的特別保護(hù)呈現(xiàn)出軟法先行的特點(diǎn)。2020年2月，全國(guó)金融標(biāo)準(zhǔn)化技術(shù)委員會(huì)審查通過的《個(gè)人金融信息保護(hù)技術(shù)規(guī)范》（JR/T 0171-2020）將生物識(shí)別信息列為敏感性最高的C3類信息，并要求金融機(jī)構(gòu)不應(yīng)委托或授權(quán)無金融業(yè)相關(guān)資質(zhì)的機(jī)構(gòu)收集C3類信息，金融機(jī)構(gòu)及其受托人收集、通過公共網(wǎng)絡(luò)傳輸、存儲(chǔ)C3類信息時(shí)，應(yīng)使用加密措施。2020年3月新修訂的我國(guó)國(guó)家標(biāo)準(zhǔn)GB/T 35273-2020《信息安全技術(shù)個(gè)人信息安全規(guī)范》明確規(guī)定，個(gè)人生物識(shí)別信息屬于個(gè)人敏感信息，并對(duì)個(gè)人敏感信息進(jìn)行了特殊保護(hù)。2020年11月26日，工信部組織發(fā)布了電信終端產(chǎn)業(yè)協(xié)會(huì)團(tuán)體標(biāo)準(zhǔn)《APP收集使用個(gè)人信息最小必要評(píng)估規(guī)范人臉信息》，規(guī)定了移動(dòng)應(yīng)用軟件對(duì)人臉信息的收集、使用、存儲(chǔ)、銷毀等活動(dòng)中的最小必要規(guī)范和評(píng)估方法，并通過個(gè)人信息處理活動(dòng)中的典型應(yīng)用場(chǎng)景來說明如何落實(shí)最小必要原則。2021年4月25日，《信息安全技術(shù)人臉識(shí)別數(shù)據(jù)安全要求》國(guó)家標(biāo)準(zhǔn)的征求意見稿面向社會(huì)公開征求意見。該征求意見稿對(duì)個(gè)人信息保護(hù)法（草案）（二次審議稿）中的人臉識(shí)別相關(guān)的規(guī)定，有一定的體現(xiàn)和細(xì)化。

記者：您認(rèn)為應(yīng)如何完善對(duì)人臉識(shí)別的法律規(guī)制？

答：

我認(rèn)為應(yīng)從三個(gè)方面完善人臉識(shí)別技術(shù)的法律規(guī)制：

一是建立健全一體適用的安全與責(zé)任底線

法律規(guī)制人臉識(shí)別技術(shù)的目的，是在確保安全的前提下，倡導(dǎo)一種負(fù)責(zé)任的使用。為此，要建立如下公私部門一體適用的安全與責(zé)任底線。如果不符合這些安全與底線原則，則為違法收集個(gè)人信息。第一，無論誰使用人臉識(shí)別技術(shù)，人臉識(shí)別系統(tǒng)都要經(jīng)第三方獨(dú)立機(jī)構(gòu)定期檢測(cè)，以檢測(cè)其準(zhǔn)確性與非歧視性。必要時(shí)，人臉識(shí)別系統(tǒng)及其定期檢測(cè)結(jié)果應(yīng)向監(jiān)管部門備案。第二，無論誰通過公共網(wǎng)絡(luò)收集、傳輸、存儲(chǔ)人臉信息，都應(yīng)使用加密措施，并對(duì)收集到的人臉信息進(jìn)行分片段單獨(dú)存儲(chǔ)，并不得公開披露人臉信息。第三，無論誰使用人臉識(shí)別技術(shù)，都應(yīng)該建立可追蹤的技術(shù)體系。誰在何時(shí)何地查詢、使用、修改、下載了人臉信息，事后都可查證，以便發(fā)生侵權(quán)時(shí)，人臉識(shí)別技術(shù)使用主體對(duì)侵權(quán)人進(jìn)行查證和追責(zé)。第四，法律應(yīng)該規(guī)定，無論是誰使用人臉識(shí)別技術(shù)，如果其收集的信息被證明出現(xiàn)被盜竊、泄露、非法使用、非法出售、非法提供等情形，從而給信息主體造成損失的，收集者對(duì)受害人受到的實(shí)際損失承擔(dān)連帶賠償責(zé)任；如果受害人的實(shí)際損失難以證明，則應(yīng)對(duì)每個(gè)受害人至少賠償一定數(shù)額（如2000元人民幣）的法定定額賠償金。受害人受到的實(shí)際損失小于該法定定額賠償金的，受害人可直接主張法定定額賠償金。第五，無論是誰使用人臉識(shí)別技術(shù)，人們均有權(quán)拒絕“刷臉”。如果是在無競(jìng)爭(zhēng)性的服務(wù)領(lǐng)域（如民航、鐵路、學(xué)校、社區(qū)等）使用人臉識(shí)別技術(shù)，當(dāng)人們拒絕“刷臉”時(shí)，應(yīng)提供其他替代性的驗(yàn)證機(jī)制，而不能不“刷臉”就不能使用或進(jìn)入。畢竟，每個(gè)人的風(fēng)險(xiǎn)偏好是不盡相同的，法律規(guī)則的設(shè)置應(yīng)容忍和尊重那些低風(fēng)險(xiǎn)偏好的人，尤其是在當(dāng)前不能做到人臉識(shí)別系統(tǒng)百分之百安全的情況下。

二是區(qū)分公私部門配置不同的規(guī)制重心

對(duì)政府部門使用人臉識(shí)別技術(shù)應(yīng)以事前事中規(guī)制為主，對(duì)非政府部門使用人臉識(shí)別技術(shù)應(yīng)以事中事后規(guī)制為主。這是因?yàn)椋块T執(zhí)行公務(wù)過程中構(gòu)成侵權(quán)，因有國(guó)家賠償法的限額賠償而使當(dāng)事人難以獲得充分賠償，且一旦政府部門涉嫌侵權(quán)對(duì)政府部門的聲譽(yù)將造成重大不良影響，因此，應(yīng)著重從事前進(jìn)行風(fēng)險(xiǎn)防范，即對(duì)于政府部門安裝、使用人臉識(shí)別技術(shù)應(yīng)堅(jiān)持有權(quán)機(jī)構(gòu)批準(zhǔn)同意原則。有權(quán)機(jī)構(gòu)在批準(zhǔn)時(shí)，應(yīng)考慮到安裝、使用人臉識(shí)別技術(shù)的必要性、正當(dāng)性，且應(yīng)通過一定的法律正當(dāng)程序，遵循公開、透明、民主參與等原則予以批準(zhǔn)。

如果對(duì)商業(yè)部門安裝、使用人臉識(shí)別技術(shù)也堅(jiān)持事前批準(zhǔn)的話，則可能遏制商業(yè)創(chuàng)新和技術(shù)創(chuàng)新。同時(shí)商業(yè)部門的人臉識(shí)別如果給消費(fèi)者造成損害的話，受害人可以通過事后的民事訴訟來進(jìn)行追責(zé)，執(zhí)法部門也可以通過事中或事后的執(zhí)法進(jìn)行監(jiān)管和追責(zé)。當(dāng)然，這需要我們健全法律框架，使執(zhí)法部門有法可依，使受害人可以依法維權(quán)。

三是對(duì)人臉信息的采集施加比對(duì)一般個(gè)人信息的采集更強(qiáng)的規(guī)制力度

人臉信息不同于一般個(gè)人信息，甚至人臉信息作為生物信息也與其他生物信息（如指紋）有較大區(qū)別。因此，對(duì)于人臉信息的采集應(yīng)堅(jiān)持特別規(guī)制即差異化規(guī)制，即應(yīng)堅(jiān)持更強(qiáng)的知情同意原則。除了法定例外情形，其所適用的知情同意原則，應(yīng)比一般的個(gè)人信息所適用的知情同意原則更嚴(yán)格，即應(yīng)堅(jiān)持書面（written）知情同意原則。此外，法律應(yīng)規(guī)定采集人臉信息之前，采集者應(yīng)告知被采集者其采集的信息具體類型、目的、保存時(shí)間、被采集者的風(fēng)險(xiǎn)與權(quán)利，告知的方式必須是書面的。

采訪手記

在采訪中，記者注意到，近年來，為規(guī)范和保障信息技術(shù)和數(shù)字經(jīng)濟(jì)的健康發(fā)展，我國(guó)立法機(jī)關(guān)不斷完善信息技術(shù)和數(shù)字經(jīng)濟(jì)方面的相關(guān)立法。在2018年個(gè)人信息保護(hù)法被正式列入第十三屆全國(guó)人大常委會(huì)立法規(guī)劃和年度立法工作計(jì)劃后，第十三屆全國(guó)人大常委會(huì)已經(jīng)先后于2020年10月和2021年4月對(duì)個(gè)人信息保護(hù)法（草案）進(jìn)行了兩次審議。在向全社會(huì)公布的個(gè)人信息保護(hù)法（草案二審稿）第二十七條中，對(duì)人臉識(shí)別進(jìn)行了專門規(guī)定，及時(shí)地回應(yīng)了公眾的迫切需求。與此同時(shí)，行業(yè)標(biāo)準(zhǔn)的出臺(tái)及國(guó)家標(biāo)準(zhǔn)的即將出臺(tái)，都為進(jìn)一步規(guī)制人臉識(shí)別提供了規(guī)范依據(jù)。我們期待更多的法學(xué)法律專家立足法治前沿，密切配合立法機(jī)關(guān)及相關(guān)部委加強(qiáng)對(duì)前沿新興領(lǐng)域立法的研究，為建立健全人臉識(shí)別的法律規(guī)制獻(xiàn)計(jì)獻(xiàn)策，讓人臉識(shí)別技術(shù)的發(fā)展與應(yīng)用在規(guī)范有序的道路上前行，為公眾帶來更加便利、安全和高效的幸福生活。