為“人臉信息”安全保護加碼

彭飛

從“人臉識別第一案”——郭兵（浙江理工大學法政學院特聘副教授、杭州長三角大數據研究院副院長）訴杭州野生動物世界有限公司要求刪除年卡面部特征信息獲勝訴，到今年“3·15”晚會曝出的“多家知名商店安裝人臉識別系統未經同意收集個人信息”，關于“人臉信息安全保護”的話題一直廣受關注。

過去幾年，由于缺乏相對完善的法律規制，人臉信息收集者在處理人臉信息數據時存在濫用甚至違法使用的風險。加強對人臉信息的立法保護和司法保護，關系到個人信息安全保護問題，也關系到數字經濟的良性發展。

8月20日正式出臺的《中華人民共和國個人信息保護法》（下稱“個人信息保護法”）對涉及人臉信息采集的相關問題，作出了進一步規定。該法第二十六條明確了公共場所的視頻監控和個人身份識別設備的安裝規則，所收集個人信息使用目的的限制性規定，即“所收集的個人圖像、身份識別信息只能用于維護公共安全的目的，不得用于其他目的”。

此外，個人信息保護法在第二章第二節專節規定了“敏感個人信息的處理規則”。結合關于敏感個人信息的規定，人臉信息屬于敏感個人信息。

中國信息通信研究院云計算與大數據研究所研究員呼娜英表示，個人信息保護法明確要求個人信息處理者在處理敏感個人信息前需存在“特定的目的”及“充分的必要性”。該條是對處理個人信息遵循“合法、正當、必要”的具體體現，也是對處理敏感個人信息提出更高的要求。鑒于人臉信息也屬于敏感個人信息，因而對人臉信息的處理也需要遵循敏感個人信息的特殊規則進行保護、處理。

對收集個人敏感信息限制更嚴格

個人信息保護法第二十六條規定：在公共場所安裝圖像采集、個人身份識別設備，應當為維護公共安全所必需，遵守國家有關規定，并設置顯著的提示標識。所收集的個人圖像、身份識別信息只能用于維護公共安全的目的，不得用于其他目的；取得個人單獨同意的除外。

值得注意的是，前述條文中“不得用于其他目的”，在個人信息保護法二審稿第二十七條中是“不得公開或者向他人提供”。

9月6日，“人臉識別第一案”原告郭兵在接受《法人》記者采訪時表示，相比二審稿，正式發布條文規定的“不得用于其他目的”限制更加嚴格，這意味著除了用于維護公共安全的目的，包括公開、向他人提供等不涉及公共安全的使用都是禁止范圍。

呼娜英也表示，個人信息保護法在三次審議中不斷強化針對公共場所安裝圖像采集、個人身份識別設備的要求。相較于二審稿，個人信息保護法將所收集的個人圖像、身份識別信息的禁止性規定由“不得公開或者向他人提供”修改為“不得用于其他目的”，進一步限縮了圖像采集、個人身份識別的處理范圍。另外，該法條中將連接限制個人圖像、身份識別信息使用的原則性規定與個人單獨同意的例外性規定之間的“逗號”改成“分號”，一定程度上消除了二審稿中個人單獨同意例外使用目的的歧義。

9月6日，通力律師事務所大合規業務組負責合伙人潘永建指出，按照第二十六條的規定，如以維護公共安全以外的目的在公共場所設置圖像采集、人臉識別裝置，應征得自然人（或者其監護人）的單獨同意。此外，第二十八條和第二十九條也再次明確，處理敏感個人信息應取得個人的“單獨同意”。

如何理解“單獨同意”？郭兵認為，單獨同意與一般的告知同意存在差別，結合7月28日最高人民法院發布的《關于審理使用人臉識別技術處理個人信息相關民事案件適用法律若干問題的規定》的規定，單獨同意是不能強迫或者變相強迫的同意，至少意味著不能像隱私政策那樣一攬子綁定授權同意。

潘永建律師也認為，單獨同意是指應通過交互方式取得個人的明示同意，不應僅在隱私政策中籠統表述而不作單獨說明。

配套適用規則仍有待進一步明確

北京市中倫文德律師事務所合伙人、網絡安全和數據合規專業委員會主任徐云飛律師認為，盡管個人信息保護法明確了公共場所監控設備在采集圖像信息時需“取得單獨同意”的使用規則和“僅可用于維護公共安全”的限制性規定。但在實踐中，仍有諸多問題需要進一步明確，比如，如何定義“公開場所”“公共安全”，如何理解“必需”等。

郭兵也認為，就第二十六條的規定而言，未來肯定需要相關配套立法來加以明確的。除了目前規定中對于“公共場所”“公共安全”的范圍界定不明確之外，上面說到的“單獨同意”在理解上也會存在一定分歧，“顯著的提示標識”中“顯著”的程度也很難評價，這些可能都是需要配套立法加以明確的。

呼娜英指出，當前人臉識別技術和具體業務場景深度結合，人臉安全防護問題和人臉信息保護問題深度交織在一起，技術和業務仍在快速的發展和演進中，這就更需要從體系化的視角開展相應的治理工作，如何更好地平衡創新技術和風險防范成為重要的研究議題。

呼娜英透露，目前，中國信息通信研究院云計算與大數據研究所在相關主管部門的指導支持下，在現有法律法規、標準規范等框架下，正在不斷推進相關研究工作，加快編寫“《人臉信息處理合規性操作指引（擬）》”等研究報告，為人臉識別相關企業構建全鏈路安全以及合規處理人臉數據提供參考依據，促進人臉識別產業的健康發展。