人臉識別技術的法律規制研究

趙倩

摘 要：近年來人工智能迅速發展，人臉識別作為人工智能中一個發展迅速的分支，給我們的日常生活帶來了巨大而便利，但與此同時也存在著巨大的風險。在保護個人信息安全的同時兼顧技術發展。文章在分析美國，歐盟關于人臉識別的相關規定的基礎上，結合我國的具體情況提出了建立完善的法律系統規制人臉識別技術的應用，區分公權力機關和私人企業的規制重心，利用與規制并行建立健全責任追究制度的建議，對人臉識別技術的應用進行規制。

關鍵詞：人臉識別;人工智能;法律規制;生物識別信息

在當今的人工智能時代，人臉識別技術在越來越多的場合得到應用，已經嵌入到了人們的日常生活之中，甚至涉及到國家安全方面，例如刷臉支付，刷臉進火車站，刷臉取款，刷臉取快遞，手機解鎖，刑事偵查、安全保障等領域。i人臉識別技術給我們帶來便利的同時也存在著巨大的風險問題。隨著“杭州人臉識別第一案”的出現，人臉識別技術應用的問題逐漸顯現，人臉識別技術如果不加以限制，很容易對個人的信息、財產、隱私等造成侵權。人臉識別是人工智能領域的一個發展迅速且應用廣泛的分支，技術的發展理應得到我們的支持，但是技術的濫用會造成一系列不利的后果，我們應當對其進行規制，對人臉識別技術的應用應當慎之又慎。

人臉識別技術相較于之前的身份證識別、指紋識別、虹膜識別、語音識別等，人臉識別具有顯著的優勢，它可以無需接觸就可以進行識別，能夠提高交易的效率，并且不容易被他人盜取。截至2019年我國監控攝像頭約有6億多個，監控著14億公民。這些監控攝像頭借助大數據驅動面部識別技術，能夠識別一個人的姓名，身份證號，性別，衣著等，由此可見人臉識別技術不僅對個人生活提供了便利，對國家安全也有很大幫助。但是，我國現有法律對人臉識別技術應用的規制遠遠不夠，從長期來看，大數據信息所具有的潛在風險會隨著技術的發展逐步顯現，給個人信息，個人隱私，社會安全，金融安全等領域帶來威脅。因此，我們對人臉識別技術應當持審慎的態度，避免其野蠻生長，造成不必要的后果。

一、人臉信息的特征及人臉識別的利益衡量

（一）人臉信息的特征

1、人臉信息具有社會性

在原始初民社會，人們生活的群落比較小，在這個群落中，人們通過認臉識別他們彼此之間的身份地位，“人臉”被賦予了某種權力色彩，使得人們可以維系他們之間的交往。ii人臉是人們的外在特征，一個人很難拒絕來自另一個人的人臉識別，從這一角度來說，人臉識別是人類社會的一種規范制度，是人們進行人際交往的一種游戲規則。隨著現代社會技術的發展，人臉的社會性遭到削弱，但是其社會性在一個人的正常交際范圍之內還具有很強的效力。

2、人臉信息具有唯一性

面部特征是一個人重要的生物信息，具有區分此與彼的作用，每個人都有獨一無二的人臉識別，即使是同卵雙胞胎也有區別。人臉的生物數據庫一旦被破解，大量的人臉信息就被不法分子獲取，人臉一旦被盜用，將會對人的隱私、信息、財產等造成侵害，造成不可估量的損害。

3、人臉信息具有易獲取性

人臉是一個人顯現于外部的一個生物特征，一個人走在路上就可能被別人偷拍，或者被監控攝像頭捕獲面部信息，從而通過一些技術手段，對人臉進行識別并與數據庫中既有的其他信息進行整合分析，可以得到這個主體的非常全面的信息，在一定程度上說，在信息時代的每個人的隱私都被暴露在太陽底下，無處安放。2020年5月，Facebook就因為默認的人臉識別而遭到用戶的訴訟。通過人臉識別追蹤個人的具體信息，對用戶來說是非常可怕的。iii

4、人臉信息具有可破解性

任何一種技術都不是絕對的安全，目前人臉識別技術正處于發展的當中，尚未到達完全成熟的階段。iv近年來，時常有人臉識別被破解的例子發生，目前研究發現，有五種破解人臉識別的方法。人臉信息數據庫一旦被攻破，危害的范圍、造成的損失可能是我們無法想象的。

（二）人臉識別技術的利益衡量

一種新技術的出現，是人類社會發展帶來的必然結果，但是與新技術相伴而生的是它所帶來的風險，這種風險不是因為自然變化而產生的自然風險，而是一種人為創造的風險。人臉識別技術確實可以給我們帶來便利，可以提供更為便利的支付方式，更加安全可靠的生活環境，提高我們經濟活動的交易效率，同時，它也帶來了一系列的風險，從長期來看，它對人們的生活的影響可能是非常巨大的。目前人臉識別技術的法律規制并不完善，現實生活中存在人臉信息被濫用的風險，人臉識別的風險目前雖然尚不明確，但是也有必要構建法律框架來規制其利用，降低技術應用所帶來的風險。下文將從成本收益角度進行分析。

人臉識別的收益是世界各國所共同承認的。世界經濟論壇指出：“人臉識別技術可以應用于諸多場景，從改善銀行業和零售業的消費者體驗到加快機場邊境管制。該項技術的發展創造了大量裨益社會的機會。”v人臉識別技術的收益主要在于以下幾個方面：一是人臉識別只需要辨認人們外在的臉部特征就可以確認人們的身份，識別的方式非常便捷，人們不需要繁瑣的程序（出示身份證等）就可以確認身份;二是人臉識別具有非接觸性，機器在識別人臉的時候不需要與被識別的主體發生空間上接觸，與其他識別技術相比，具有一臺機器可以同時識別多個主體的優勢;三是人臉識別可以在不侵擾、不被被識別主體發覺的情況下，實現人臉信息的采集，對于一些被通緝的犯罪分子，可以通過人臉識別技術捉拿歸案，維護社會的安寧;四是人臉識別的準確性很高，目前人臉識別的準確率已經在97%以上，相較于人的肉眼識別，準確率大大提高。vi

但是，任何事物都具有兩面性，一個事物并不是只有好的方面，它也存在弊端。人臉識別技術也存在其弊端，存在潛在的風險。成本和風險是一體的，除了直接損失或間接損失之外，風險有無、大小也是確定成本所要考慮的因素，甚至說風險本身就是一種成本。人臉識別技術應用所面臨的風險或者說成本主要包括以下兩個方面：一是誤差所產生的成本。對于任何一個量的測量或者觀察都不能得出一個絕對的準確的數值，誤差是客觀存在的，只要有測量就有誤差的存在。目前人臉識別的準確率在97%以上，可是說已經達到了一個較高的水平，但是還是存在識別錯誤的概率。在進行人臉識別的時候，有時會遇到兩個極其相似的主體，如果人臉識別的技術不夠成熟，很有可能會出現識別錯誤的情形。而且人臉是處于動態變化之中，這與膚色，皺紋等有關。上述的一系列因素都有可能會影響人臉識別的準確性。如果在性命攸關或者關系社會甚至國家重大利益的的情況下運用人臉識別技術出現錯誤情形，會造成難以估量的后果。二是人臉信息數據存在被破解的風險。人臉是外在的公之于眾的信息，監控者很容易獲取被識別主體的臉部，然后利用人臉識別的技術漏洞破解人臉信息，并作出損害被識別主體的行為，例如利用3D打印制作模型可以將手機解鎖等。三是存在信息泄露的風險。在大數據時代，各種各樣的信息都被保存在數據庫之中，人臉信息同樣如此，人臉信息被保存在數據庫中，信息數據庫并不是想象中的那么安全，安全防護系統并不是一塊銅墻鐵壁，它可能遭到黑客的攻擊甚至破解，一旦破解必然會導致數據庫內的信息泄露，從而侵犯人們的隱私、財產甚至人身安全。

二、域外對人臉識別的法律規制

（一）美國對人臉識別的法律規制

美國可以說的上是人臉識別技術應用和法律規制的先驅者。美國出于人臉識別技術應用可能會侵犯人們的隱私信息安全等的考量，對待人臉識別技術的態度是十分謹慎的。vii就目前而言，美國聯邦立法機關還沒有出臺相關法律來規制人臉識別技術的應用，但是例如華盛頓州以及加利福尼亞州的立法機關已經制定了相關法律來約束人臉識別技術的使用了。具體包括美國議員提出的三個典型的法案：《道德使用人臉識別法案》、《商業人臉識別隱私法案》、《人臉識別技術授權法案》。州政府層面的立法主要有：華盛頓州出臺的《人臉識別服務法》、加利福尼亞州出臺的《人臉識別技術法（草案）》等。

《道德使用人臉識別法案》主要有三方面的內容：一是對于政府部門使用人臉識別技術的態度原則上是禁止的，但是也規定了例外制度;二是對于在應用人臉識別技術的過程中出現的侵權現象提供救濟途徑，受害者可以提起訴訟，使自己得到救濟;三是設立專門的委員會，有委員會成員來制定人臉識別技術的應用規則viii。《商業人臉識別隱私法案》是商業領域應用人臉識別的法律規制，主要內容是：一是強調在獲取他人的人臉時要經過被獲取人的明示同意;二是獲取人臉數據信息之后進行處理時要遵循法律的規定，不能任意而為;三是列舉了可以使用人臉識別技術的例外情形;四是要求人臉識別技術的應用者在進行人臉識別的時候要有獨立的第三方來對人臉識別技術的準確定性進行測試評估。ix《人臉識別技術授權法案》的目的在于限制一些機關或者機構對人臉識別技術的濫用，具體內容是：一原則上不能使用人臉識別技術對個人或者群體進行持續監視，但是該法案中規定了持續監視的條件，在滿足條件的情況下可以進行持續監視;二是對允許持續監視并通過持續監視獲得的數據信息作為證據的使用做出了一定限制;三是為了確保人臉識別的準確性，需要定期對人臉識別進行審查的測試。《人臉識別服務法》是美國華盛頓州出臺的法案，目的是為了規范人臉識別技術在州內的使用，具體內容如下：一是建立了人臉識別技術應用的問責機制，政府在使用人臉識別技術的時候需要編制問責報告;二是建立人臉識別的準確性審查機制;三是對政府使用人臉識別技術做出了限制性的規定;四是設立工作組，對一些事務提出建議。《人臉識別技術法（草案）》是加利福尼亞州眾議院通過的一項法案，主要包括四方面的內容：一是獲取人臉信息需要得到當事人的同意;二是建立人臉識別的準確性審查機制;三是建立了人臉識別技術應用的問責機制;四是對政府使用人臉識別技術作出限制。

（二）歐盟對人臉識別的法律規制

旨在應對與個人信息保護相關的挑戰，歐盟制定了《通用數據保護條例（GDPR）》并于2018年生效。GDPR規定了生物識別數據的定義，其中就包括“面部圖像”。對于個體的生物識別數據的收集遵循的是“原則禁止，特殊例外”的原則，在數據被收集者明確同意的情況下，數據采集者可以對其生物識別數據進行處理。x但是這些規定在具體的現實操作之中存在一定的困難，因為如果是在公共場合中應用人臉識別，沒辦法征求一整個群體的明示的表示同意。因此，歐盟此后又出臺了《人工智能白皮書》來限制人臉識別的使用，這個文件認為人臉識別技術的應用必須以保護人們的隱私等一系列基本權利作為前提。xi此外，歐盟還發起了倡議，以及發布《人臉識別的指南》，其基本的宗旨是，在保護人們基本權利的前提下，使用人臉識別技術。

三、我國對人臉識別法律規制現狀

人臉識別技術所收集的人臉信息在我國法律中的歸屬是個人信息的范疇，理應受到個人信息保護法的規制和約束。我國目前關于個人信息保護的法律主要包括《民法典》第111條、《侵權責任法》第6條、《刑法》第253條、《網絡安全法》第41條、《消費者權益保護法》第29條、《電子商務法》第23條、《互聯網個人信息安全保護指南》。xii從現有的法律可以看出，我國對個人信息的保護并不完善，目前我國對企業收集個人信息的限制比較嚴格，但是對政府機關等對個人信息的收集并無相關的法律限制，而且并沒有專門的法律保護公民的個人信息安全，只是零散地分布在其他法律中，立法非常的碎片化，此外，在相關法條中的一些規定是一些原則性地規定，并未規定具體的細節，可操作性不強，最后，大多數的法律位階比較低，對人臉識別技術的規制或者是個人信息的保護起不到很好的作用。

需要重點指出的是，在2020年新頒布的《民法典》中，提供了人臉識別侵權的保護路徑。人臉識別生物信息可以附于一定的載體之上并且為人們所識別，從這個意義上來說，人臉識別生物信息可以被視為肖像，使用時應當獲得肖像權人的同意，但是國家機關依法律的需要使用不受此限制;《民法典》還明確將生物識別信息劃歸到了個人信息的范疇，人臉識別信息屬于生物識別信息的范疇，因此也受到相關的個人信息法律的保護。雖然民法典對人臉識別信息有一定的涉及但是這是遠遠不夠的，尤其是在面對人臉識別的潛在風險的情況下。

從上述法律規定可以看出，我國對人臉識別應用的規制并不像歐美國家那么嚴格，而是采用了一種相對寬容的態度，采取的是先發展后規制的模式。但是這種模式使得法律遠遠滯后于科技的發展，面對人工智能快速發展的今天，出現的新情況新現象不能夠很好地做出應對，對社會中出現的情況不能做出正確的評判，如果人臉識別技術應用侵犯了人們的隱私、信息安全，甚至危害社會的公共安全或者國家安全，而此時法律卻對它無可奈何，那么將會造成非常嚴重的后果。

四、對我國人臉識別技術應用法律規制的建議

（一）建立完善的法律系統規制人臉識別技術的應用

在目前人臉識別技術被廣泛應用，給人們帶來便利的同時，因人臉識別技術被侵害的案件也層出不窮，公民越來越關注自己的個人信息安全的保護問題，他們對法律保護個人隱私，信息安全的要求也越來越高，而現有法律根本不能滿足他們的需求，因此有必要構建完整的法律體系或者出臺一部專門的法律來保護他們的生物信息安全。

世界范圍內的其他國家一般會將人臉信息劃入個人生物識別信息的范疇里，對人臉識別信息進行妥善周全地保護，因此我國也可以借鑒其他國家的這種立法的模式，將人臉識別信息劃入個人生物識別信息然后通過個人信息保護法進行保護。xiii但是法律借鑒并非盲目，我國在借鑒域外經驗的時候不能生搬硬套，立法應充分結合我國的國情和具體情況。具體而言，可以從人臉識別的特點出發，對人臉識別的獲取的方式，收集的主體和行為，信息的儲存，信息的處理，信息的利用等方面進行限制，以保護人們的個人信息為原則，以人們的知情同意為前提，嚴格限制人臉識別技術的利用，防止人臉識別技術的濫用造成的不必要的損害。

（二）區分公權力機關和私人企業的規制重心

我國相關的政府部門雖然有義務規制人臉識別技術的應用和保護人們的生物識別信息，但是并沒有對人臉識別技術的應用做專門的規制，也沒有專門的部門來負責人臉識別技術的應用。就目前來看如果國家有關部門任意安裝人臉識別設備，那么可能會侵害人們的權利，這將會演變成公司主體之間的侵權問題，在未經信息主體同意的情況下收集其人臉信息，仍會對公民的合法權益造成侵害，對政府的公信力產生影響。因此，對于政府部門安裝、使用的行為應當得到有關機關的授權與監督。xiv

對于非政府機構例如私人企業等應用人臉識別技術的規制應當與公權力機關相區別，對于非政府機構的規制應當以事后事中規制為主，主要是因為一個新技術的產生到成熟必然要經歷一個過程，如果在人臉識別技術產生之初就對其進行事前規制那么很有可能造成阻滯人臉識別技術發展的不利后果，因此可以通過受害人時候訴訟或者行政部門監管，事后處罰等方式來對侵害人們個人生物信息的非政府機構進行追責。

（三）利用與規制并行建立健全責任追究制度

法律規制人臉識別技術應用的目的不是限制技術的發展，而是在發展技術的同時也要保障安全，這兩者是不矛盾的，因此有必要規定安全與責任的底線，建立健全責任追究機制。

首先，人臉識別系統要經第三方獨立機構定期檢測其準確性，并且向有關部門報告;其次，加強保密措施，對儲存人臉信息的數據庫采取加密，不得向公眾披露;再次，要健全責任追究的機制，對于侵權主體所實施的侵權行為能夠追責，避免找不到侵權人的情況的出現，必要時可以采取連帶責任原則;最后，建立健全對受害人的救濟機制，對于人臉識別信息被泄露的情況，給信息主體造成損害的，應當追究信息收集者以及信息泄露者的責任，確保被侵害主體的權益受到保護。

五、結語

在人臉識別技術迅速發展并被廣泛應用的今天，我們一方面需要對新技術的利用和技術的發展要持有寬容的心態也要注重對人們生物識別信息的保護，因此有必要在促進技術發展的同時對其進行必要的限制。我們要以開放包容的心態對待技術的發展，對新技術帶了的益處持肯定的態度，對新技術所帶來的潛在風險持審慎對待的態度。在理性的支配下，建立在不抑制技術發展的情況下，保護個人信息安全的配套的法律體系。

注釋：

i 參見尹菡：《AI人臉識別技術濫用的法律規制》，載《上海法學研究》集刊（2020年第5卷 總第29卷）——2020年世界人工智能大會法治論壇文集，第51-58頁。

ii 參見胡凌：《刷臉：身份制度、個人信息與法律規制》，載《法學家》2021年第2期，第41-55頁。

iii 參見凱文·米特尼克 ， 羅伯特·瓦摩西：《捍衛隱私》，吳攀譯，《浙江人民出版社》2019年版，第148-153頁.

iv 參見銀丹妮，許定乾：《人臉識別技術應用及其法律規制》，載《前沿思考》2020年第4期，第32-39頁。

v WFE， A Framework for Responsible Limits on Facial Recognition Use Case： Flow Management， Feb. 2020.

vi https：//www.qianzhan.com/wenda/detail/190817-163e86fd.html

vii 參見閆曉麗：《美國對人臉識別技術的法律規制及啟示》，載《信息安全與通信保密》2020年第11期，第94-101頁。

viii 參見林梓瀚，史淵：《歐美基于人臉識別技術的法律規制研究》，載《互聯網天地》2021年第4期，第47-50頁。

ix 參見袁俊：《人臉識別國際監管經驗及規制建議》，載《網格空間安全》2020年第7期，第120-124頁。

xEls J. Kindt，Transparency and Accountability Mechanisms for Facial Recognition，German Marshall Fund of the United States，1-8（2021）.

xi 參見林梓瀚，史淵：《歐美基于人臉識別技術的法律規制研究》，載《互聯網天地》2021年第4期，第47-50頁。

xii 參見文銘，劉博：《人臉識別技術應用中的法律規制研究》，載《科技與法律》2020年第4期，第77-85頁。

xiii 參見楊建軍，李童心：《人臉識別技術運用的法律原則》，載《南寧師范大學學報》2020年第5期，第38-47頁。

xiv 參見郭春鎮：數字人權時代人臉識別技術應用的治理》，載《現代法學》2020年第4期，第19-36頁。