便利背后的風險：“人臉識別第一案”的法理分析

毛奕洲

揚州大學，江蘇 揚州 225000

一、案件事實概要

2019年10月，當事人郭某在杭州Y動物園入園檢票之時，發現門檢員正用手機而不是專業人臉識別設備為游客“刷臉”，其認為，在核實身份證信息后進行“刷臉”并非完全必要。門檢員用手機為游客“刷臉”是否符合有關政府部門規定，專業設備由誰來提供，在對個人信息安全保障存疑的情況下，其選擇與園方協商退卡但無果，遂以服務合同違約為由提起訴訟。

一審中，郭某提出訴訟請求，要求判定杭州Y動物園指紋識別、人臉識別相關格式條款內容無效，并未得到法院支持。一審法院根據《消費者權益保護法》第二十九條規定認定，杭州Y動物園以甄別用戶身份、提高用戶入園效率為目的使用指紋識別具有合法性。杭州Y動物園要求“刷臉”入園這一要約未對郭某發生法律效力。而后，雙方當事人均提起上訴，杭州中院在原判決的基礎上增判Y動物園刪除郭某辦理指紋年卡時提交的指紋識別信息。

二、消費者隱私權概述

大多國內學者將消費者界定為購買商品或接受服務的人。“消費者既可能是親自購買商品的個人，也可能是使用和消費他人購買的商品的人；既可能是有關服務合同中接受服務（如旅館、運輸、酒店、食品、勞務等各種服務）的一方當事人，也可能是接受服務的非合同當事人。”［1］

在高科技普遍應用的當下，侵權的主體更加多元化，不僅局限于商家等經營主體，隱私侵權行為的法律關系也不只是存在于經營者與消費者二者之間。當大量信息匯集，并迅速交互傳遞，商家的技術平臺，即中間技術服務提供者，并不一定擁有足夠的信息把關能力，由此，侵權人、被侵權人、中間技術提供者之間的權利義務關系就變得尤為復雜。

2001年《最高人民法院關于確定民事侵權精神損害賠償責任若干問題的解釋》第十條第二款規定：“違反社會公共利益、社會公德侵害他人隱私或者其他人格利益，受害人以侵權為由向人民法院起訴請求賠償精神損害的，人民法院應當依法予以處理”，使隱私權成為獨立的訴因。2005年《治安管理處罰法》在相關治安管理處罰辦法中納入偷窺、偷拍、監聽、散布他人隱私的行為；同年，在新修訂的《婦女權益保護法》中，隱私權的概念第一次在法律上被正式使用。2010年，原《侵權責任法》頒行，隱私權正式獲得獨立的法律地位，成為一項區別于名譽權的具體人格權。

一般來說，隱私權作為一項獨立的人格權，主要是指公民享有的私人生活安寧與私人信息依法受到保護，不被他人非法騷擾、知悉、利用和公開。隨著科技的迅速發展，網絡隱私權這一新興概念逐漸被引入。網絡隱私權是一種較為特殊的人格權，它主要產生于各大網絡媒體中，即法律保障公民在網絡上的私人空間不受侵犯、私人生活不被打擾、私人信息不被泄露濫用等。

三、人工智能時代隱私權保護的困境

（一）人工智能時代的消費特點

相較于傳統隱私權而言，人工智能時代的網絡隱私權，內容更加多元化，網絡隱私權的侵權行為，無論是主體還是客體的種類都更為復雜，這使得侵權行為變得更加具有隱蔽性。當信息逐漸成為一種具有價值的資源，或者說商品，無論是人工智能、互聯網，還是其他技術，都為個人隱私的侵犯提供了條件。日常的一次出行、一次掃碼，都會留下數字痕跡，借助互聯網數據傳播速度之快、涵蓋范圍之廣，個人隱私信息暴露所導致的損害后果也更為嚴重。

“人工智能是研究、開發用于模擬、延伸和拓展人的智能的理論、方法、技術及應用系統的一門新的技術科學。”［2］人臉識別技術運用到的則是人工智能的算法，而算法的主體，就是消費者的各項信息。

在本案中，Y動物園人臉識別技術的運用，大大提高了園方接納游客的效率，使得公園的運行秩序得到一定保障。這種趨勢并不是偶然。近年來，人臉識別技術在金融支付醫療教育、安保管控、政務服務等領域都廣為運用。例如，高鐵站檢票可以通過刷臉，大幅度提高整個交通系統運轉效率；大型公共演出中，人臉識別技術能在密集人群中精準定位逃犯面孔并協助辦案人員逮捕；大醫院排隊取號，通過人臉識別技術把號販子篩除出去。

人臉識別技術有著廣闊的市場前景。作為一種新興的身份認證手段，未來也將應用于越來越多的日常生活場景中。如何在利用好它的同時兼顧技術安全性，近來頻頻引發學界的討論。

（二）秩序與人權的碰撞

法的價值貫穿于法學發展的始終，深刻揭示了人類利用法來發展自己、創造生活的目標所在。自由、公平、安全、效率、秩序等價值影響著立法者對人們權利義務的界定與分配；影響著人們對法的評價；同時影響著執法者們的執法水平及司法者對案件的評判質量。［3］

所謂秩序價值，是指人與人、人與社會之間依照法律而形成的相對穩定、和諧的狀態。維護良好的社會秩序，對于人們的物質生產效率方面的意義不得而知。人臉識別技術作為一種新興的技術手段，在身份認證這一現代社會運行的必要環節上有著獨到的優勢，這是以往的傳統手段無可比擬的，因此它得到各大商家組織和機構單位的廣泛應用和推廣。

而人權是法治保障的核心，人格權指主體與生俱來的基于自身人格利益而產生的維護其獨立人格的權利。隱私的存在不僅維護了人類在社會中獨立的主體地位，而且承認了個人靈魂和思想的重要性，保障個人發展更加符合其興趣愛好等方面更高層面的追求，一定程度上也捍衛了公民的個人尊嚴，彰顯了公民在社會中的價值。我國《憲法》第三十三條中增加了“國家尊重和保障人權”這一條款更是體現了對“人”本身的尊重。

只需短短幾秒鐘的刷臉，就可完成支付、考勤、入園等一系列事項。一方面，人們享受著智能技術帶來的高效和便捷，時間人力成本大大降低；而另一方面，人臉識別收集的面部特征信息屬于個人敏感信息，一旦泄露、非法提供或者濫用，將極易危害人身和財產安全。人臉識別的泛濫也為用戶面部信息泄露留下了安全隱患，近幾年來，人臉信息在電商平臺上打包出售的消息被曝光，不少網絡從業者以此批量倒賣非法獲取的人臉等身份信息，從事虛假注冊、電信網絡詐騙等違法犯罪活動。這對于公民的人格權造成的傷害是難以估量的，更可怕的是這樣的違法犯罪活動很難找到源頭。

可以明確的是，人臉識別的廣泛應用，能夠很好地建立一種全國范圍內相對規范的秩序。無論是對人們的日常活動，還是對于我國數字經濟的整體運行，對于整個社會的治理，都是一種高效的創新發展模式。例如，杭州市某場駕照考試中，雙胞胎替考就被“人臉識別”一眼看穿。在疫情防控的特殊時期，人臉識別技術對人權造成了一定限制，但是能夠有效地記錄公民的行程軌跡，這種手段對穩控疫情、加強人群動態管理是極為必要的。

反觀本案，園方短信通知中的規定內容對于消費者是否公平而合理，是否遵循了最小傷害限度的原則？消費者不應當反對商家人臉識別技術的運用，但商家也有義務承擔公民隱私泄露的風險。人工智能技術的運用可以對社會的發展進程起到推動作用，但一味地濫用，究竟是為了整體社會效益的提升還是只是商業利益推動下一種盲目的跟風，筆者認為應當認真審視。2022年天津的一起人臉識別案件中，法院在充分考慮到個人信息處理應當遵循合法、正當、必要的原則的情況下，最終將小區物業以人臉識別作為進出唯一通行證的行為判定為違法，這也可看作是對于信息使用主體的一次強有力警醒。

（三）生物信息泄露的不可救濟性

個人信息具有人格尊嚴和自由、商業、公共管理等價值，［4］信息帶來價值的同時也造成了極大的風險——其極易以不恰當的方式被獲得和非法使用。近年來，全國各地警方破獲的盜用公民個人信息案中，犯罪嫌疑人均使用了“AI換臉技術”。不法分子非法獲取市民照片后，通過技術手段生成視頻，成功騙過人臉檢測機構，為犯罪組織提供一系列黑產服務。當這些被非法買賣的人臉信息與身份證、手機號、銀行卡號等隱私信息相匹配，極大可能被用于犯罪活動。這些面部數據存儲在面部識別應用的運營者或技術提供者的數據中，在缺乏安全措施的前提下很容易泄露，而一旦泄露，就無法挽回。

事實上，包括住址、手機號等在內的個人信息是可以更改的，而人臉信息作為人體生物體征的重要一部分，在某種意義上來看是唯一的、不可更改逆轉的。隨著3D打印技術的發展，花費低廉的成本就可以制作一張3D人臉頭套，根據測試，這樣的3D面具，通過人臉識別系統的概率可達三成。生物信息泄露的不可救濟性，使人格權的保護又被蒙上一層陰影。

四、困境下的新出路

（一）國內相關法律規制

人臉識別技術在缺乏監管的情況下極易造成個人隱私泄露，影響個人信息保護等直接現實利益，成為當下亟需解決的問題。

近幾年來，國家陸續開始出臺相關法律，對平臺應當如何履行信息處理者的義務做了一定限制。2017年6月起施行的《網絡安全法》第四十一條規定，網絡運營者收集、使用個人信息，應當遵循合法、正當、必要的原則，公開收集、使用規則，明示收集、使用信息的目的、方式和范圍，并經被收集者同意。針對人臉這項個人生物特征信息，2020版《信息安全技術個人信息安全規范》明確了其屬敏感信息的性質，要求個人生物識別信息與個人身份信息分開存儲；原則上不應存儲原始個人生物識別信息，可采取的措施包括但不限于僅存儲摘要信息等。2021年起施行的《民法典》，將處理個人信息應當遵循合法、正當、必要原則寫入“人格權編”。

針對公共領域的信息使用主體，2021年11月起施行的《個人信息保護法》第二十六條明確提出，在公共場所安裝圖像采集、個人身份識別設備，應當為維護公共安全所必需，遵守國家有關規定，并設置顯著的提示標識。所收集的個人圖像、身份識別信息只能用于維護公共安全的目的，不得用于其他目的；取得個人單獨同意的除外。值得一提的是，2022年3月起正式實施的《杭州市物業管理條例》增加了不得強制業主、非業主通過刷臉、指紋等生物信息方式進入小區，不得泄露業主個人信息等內容。這種輻射性的影響未來將在全國范圍內逐漸鋪開。

個人信息安全面臨著日益嚴峻的考驗，法律對個人信息的保護也存在不足。人工智能對隱私、個人信息、肖像權等人格權的保護提出了新挑戰。［5］技術的發展和應用有待相關法律的同步。在現有相關法律的基礎上，有必要進一步對不同主體收集人臉信息的正當性、必要性邊界進行規范，使得信息采集尺度、技術使用邊界、信息保護監管、信息安全責任等規范更為明確、具體、科學，從而形成一整套符合國情的個人信息保護模式。

（二）加強行業監管

人臉識別技術不同于一般的技術，面部特征信息也具有高敏感性，如何進行行業監管更成為一大難題。各大商家及營利性主體應當加強行業監管的監督制度，充分征求消費者或客戶的意見和建議，定期抽查檢查平臺的使用情況，征求反饋意見。對于經信息主體授權而獲得的個人數據，要確保數據采集來源合法合規，并保障數據的傳輸安全，做到全程規范化使用。對信息主體因被數據采集方泄露個人數據而造成的權益損害，應當追究數據責任主體故意或過失的責任。

我國各級政府部門也應當建立更嚴格的標準和規范，進一步明確具備采集資格的主體范圍，加強對人臉信息的采集和存儲的監管。在更趨嚴格的行業規范、監管機制下，技術開發方和運營方采集、使用、存儲人臉信息數據的過程才能更加公正、透明。

（三）完善救濟途徑

大數據背景下，個人信息資源具有財產權和人格權的雙重屬性，個人信息的泄露、扭曲和不當使用，會對個人財產造成直接的財產損失和無形的精神損害。而一般此類案件較為隱秘，權利人難以證明自己的財產或精神遭受到了實質性損害，也很難獲得損害賠償方面的支持，最終往往只能請求停止侵害、消除影響等。未來，有必要增加對個人信息數據相對獨立的救濟路徑追訴方式。類似于人臉信息這樣的個人信息數據，更不應當僅僅劃為隱私權的范疇，從而影響司法救濟的力度。

五、結語

人臉識別作為一項新興技術，貫穿于信息的采集、流通、儲存等各個環節，組織機構和技術公司在采集人臉信息時，應當遵循比例原則，既兼顧社會運行秩序和效率又充分考慮到人權，在征求被采集人意見的基礎上，落實行業主體責任，公開信息使用規則，保障信息使用安全。此外，也可進一步開發替代性的身份識別手段，在信息安全流程尚不成熟的階段，加強把控人臉識別技術風險。與此同時，在公民提高個人信息安全意識之外，政府也要落實監管主體責任，管控過度信息采集行為，監管信息的使用流通安全，建立組織機構的普適性安全責任底線，為公民搭建一張值得信賴的個人信息安全保護網絡。在更加嚴格的法律邊界下慎重運用人工智能技術，如此前提下產生的社會經濟效益才是真正值得期待的。