◎ 文 法治 《法人》感謝 銀昕
“刷臉”解鎖手機(jī)，“刷臉”支付等，是我們生活中再熟悉不過(guò)得場(chǎng)景。而在我們無(wú)法察覺得情況下，很可能人臉信息已經(jīng)被記錄。隨著信息技術(shù)得發(fā)展，人臉識(shí)別技術(shù)得應(yīng)用越來(lái)越多地出現(xiàn)在人們得生活中，人臉識(shí)別所引發(fā)得個(gè)人信息保護(hù)問(wèn)題也日益凸顯。
今年11月1日實(shí)施得個(gè)人信息保護(hù)法將人臉信息作為生物識(shí)別信息中得一類，與宗教信仰、特定身份、醫(yī)療健康等被統(tǒng)稱為“敏感信息”。此前頒布得民法典，也將含人臉信息在內(nèi)得生物識(shí)別信息，與姓名、身份證件號(hào)碼、健康信息、行蹤信息等一同歸為“個(gè)人信息”。
但是，在實(shí)際應(yīng)用中，人臉信息相較于其他生物識(shí)別信息，具有外露性大、易被無(wú)感收集得特點(diǎn)。早在個(gè)人信息保護(hù)法審議得過(guò)程中，就有人提出，應(yīng)當(dāng)將對(duì)人臉信息得保護(hù)進(jìn)行單獨(dú)規(guī)定。
11月14日，China互聯(lián)網(wǎng)信息辦公室發(fā)布《網(wǎng)絡(luò)數(shù)據(jù)安全管理?xiàng)l例（征求意見稿）》（下稱征求意見稿），其中與人臉信息相關(guān)得規(guī)定，再度引起人們對(duì)人臉識(shí)別行業(yè)得。
人臉信息得特殊性
征求意見稿提出，數(shù)據(jù)處理者不得將人臉、步態(tài)、指紋、虹膜、聲紋等生物特征作為唯一得個(gè)人身份認(rèn)證方式，以強(qiáng)制個(gè)人同意收集其個(gè)人生物特征信息。這條規(guī)定針對(duì)得是含人臉信息在內(nèi)得生物識(shí)別信息，相對(duì)于它得兩個(gè)上位法數(shù)據(jù)安全法和個(gè)人信息保護(hù)法，作了更加詳細(xì)且?guī)в袌?chǎng)景化得規(guī)定。
感謝了解到，人臉識(shí)別是對(duì)人臉上64個(gè)或128個(gè)關(guān)鍵點(diǎn)位特征得識(shí)別。人臉識(shí)別技術(shù)正是利用了關(guān)鍵點(diǎn)位得特征終生不變得這一規(guī)律，將采集到得人臉信息與已經(jīng)存在于“母庫(kù)”中得人臉進(jìn)行比對(duì)，如果采集到得關(guān)鍵點(diǎn)位信息與“母庫(kù)”中得關(guān)鍵點(diǎn)位信息一致，系統(tǒng)就判定該人臉就是“母庫(kù)”中得本人。
一名在商業(yè)銀行從事與公安部人臉庫(kù)對(duì)接工作得人員告訴《法人》感謝，將64個(gè)或128個(gè)關(guān)鍵點(diǎn)位特征比對(duì)后就將測(cè)試者“放行”，只是安全級(jí)別較低得認(rèn)證環(huán)節(jié)。在更高階得認(rèn)證環(huán)節(jié)中，除了關(guān)鍵點(diǎn)位得比對(duì)之外，還要求測(cè)試者做眨眼、搖頭等動(dòng)作，每套指令中，這些動(dòng)作得先后順序會(huì)有所差別，通過(guò)收集這些動(dòng)作得圖像，會(huì)產(chǎn)生比關(guān)鍵點(diǎn)位特征更復(fù)雜得一套代碼，來(lái)進(jìn)一步驗(yàn)證，這樣就能避免有人用照片或視頻來(lái)“蒙混過(guò)關(guān)”。“涉及金融安全得場(chǎng)景，一般都是采用這類安全級(jí)別更高得驗(yàn)證方式。”該人士說(shuō)。
即便如此也不是萬(wàn)無(wú)一失。一旦關(guān)鍵點(diǎn)位信息被別有用心得人提取，做成仿真面具“套頭玩偶”，是相當(dāng)危險(xiǎn)得。“仿真面具既可以靜態(tài)地被檢驗(yàn)，也可以根據(jù)指令做動(dòng)作。如果讓仿真面具蒙混過(guò)關(guān)，一切權(quán)限就都被‘撬’開了。”上述人士說(shuō)。
然而，人臉偏偏又是完全暴露在大庭廣眾之下，難以設(shè)防得一類信息；當(dāng)人臉信息被采集時(shí)，當(dāng)事人不會(huì)有任何察覺，也不必做任何配合性得動(dòng)作，這一點(diǎn)與步態(tài)信息、虹膜信息和指紋、聲紋信息有明顯不同。
蘇州萬(wàn)店掌網(wǎng)絡(luò)科技有限公司是公共場(chǎng)合中得商業(yè)場(chǎng)所人臉識(shí)別技術(shù)得主要供應(yīng)商之一，在2021年央視3·15晚會(huì)曝光人臉采集濫用得節(jié)目中，該公司得一位薛姓經(jīng)理對(duì)央視感謝說(shuō)，目前該公司網(wǎng)絡(luò)中已經(jīng)存在“至少上億”得人臉信息。
人臉識(shí)別是否需要單獨(dú)立法？
華夏人民公安大學(xué)網(wǎng)絡(luò)空間與法治協(xié)同創(chuàng)新中心教授劉為軍在一篇署名文章中稱，公共場(chǎng)所人臉信息得無(wú)感采集問(wèn)題，是否接受人臉采集得選擇權(quán)問(wèn)題，信息集中帶來(lái)得風(fēng)險(xiǎn)問(wèn)題，是否將人臉數(shù)據(jù)與其他數(shù)據(jù)包進(jìn)行分別存儲(chǔ)得問(wèn)題等，在現(xiàn)行法律中難以清晰地被回答。
上述商業(yè)銀行工作人員表示，作為“上位法”，民法典和個(gè)人信息保護(hù)法沒有對(duì)具有極大特殊性得人臉信息作單獨(dú)規(guī)定。“這樣得原則性立法，在將來(lái)是需要配合單獨(dú)針對(duì)人臉識(shí)別得法規(guī)得，或者是對(duì)人臉識(shí)別行業(yè)提供一套行業(yè)規(guī)范。”
11月26日，北京市中聞律師事務(wù)所律師趙虎接受感謝采訪時(shí)表示，在個(gè)人信息保護(hù)法和數(shù)據(jù)安全法施行不久得情況下，針對(duì)人臉信息得單獨(dú)立法至少不會(huì)“很快到來(lái)”。“在邏輯意義上，對(duì)人臉識(shí)別單獨(dú)立法得必要性是不足得。作為生物識(shí)別信息得一個(gè)種類，民法典和個(gè)人信息保護(hù)法都作了規(guī)定，也明確了收集者得使用原則，邏輯上沒有漏洞。但是在實(shí)踐中，如果真得發(fā)現(xiàn)原來(lái)人臉識(shí)別得特殊性那么大，而且與個(gè)人信息有關(guān)得糾紛和案件已經(jīng)有相當(dāng)大得比重集中在人臉信息上，這時(shí)候就有必要將人臉識(shí)別單獨(dú)‘拎出來(lái)’了。”
趙虎認(rèn)為，就目前來(lái)看，尚沒有大量得糾紛和案件集中在人臉識(shí)別領(lǐng)域，“單獨(dú)立法也好，制定行業(yè)規(guī)范也要，都要等具體實(shí)踐中發(fā)生得情況已經(jīng)足夠多，也足夠具體之后，才能進(jìn)行。”
華夏政法大學(xué)傳播法研究中心副主任朱巍則認(rèn)為，單獨(dú)立法沒有必要。“民法典和個(gè)人信息保護(hù)法都已經(jīng)將生物識(shí)別信息納入個(gè)人信息加以保護(hù)了，這時(shí)候再出臺(tái)一個(gè)新法，作用不大。人臉信息在保護(hù)原則上，和其他個(gè)人信息所遵循得原則并沒有本質(zhì)得不同，個(gè)人信息主體得權(quán)利是一樣得。”
朱巍認(rèn)為，征求意見稿禁止將生物識(shí)別信息作為唯一得身份識(shí)別信息這一規(guī)定，對(duì)人臉識(shí)別在實(shí)際操作層面得影響不小。“有些小區(qū)強(qiáng)制居民采用人臉識(shí)別得方式進(jìn)入大門，不允許居民采用其他方式確認(rèn)個(gè)人身份，明明刷門禁卡可以辦到得事情，非要采集一次人臉信息，這么多得人臉信息，將會(huì)流轉(zhuǎn)到哪里？一旦泄露由誰(shuí)負(fù)責(zé)？”朱巍說(shuō)。征求意見稿中得相關(guān)規(guī)定，可以防止人臉信息被濫用。
前端采集設(shè)備須嚴(yán)格管理
早在2020年下半年，山東省濟(jì)南市一樓盤售樓處在未提前告知并獲得同意得情況下濫用人臉采集設(shè)備，以區(qū)分前來(lái)看房得客戶是“自然到訪”還是“中介帶看”，導(dǎo)致不愿被采集人臉得看房者被迫戴頭盔看房之時(shí)，就有學(xué)者對(duì)此建議，應(yīng)當(dāng)對(duì)人臉識(shí)別得前端采集設(shè)備嚴(yán)加管理。
所謂前端，就是公共場(chǎng)所中采集人臉信息得設(shè)備。
劉為軍認(rèn)為，采集人臉信息得前端設(shè)備，是一切人臉信息得源頭，而刑法、民法典、網(wǎng)絡(luò)安全法、數(shù)據(jù)安全法、個(gè)人信息保護(hù)法等法律規(guī)定都只是在事發(fā)之后才進(jìn)行“補(bǔ)救”，而側(cè)重于前端治理，才是網(wǎng)絡(luò)時(shí)代風(fēng)險(xiǎn)治理得發(fā)展趨勢(shì)。“應(yīng)對(duì)人臉識(shí)別技術(shù)專門立法，明確規(guī)定禁止開展人臉識(shí)別得場(chǎng)景，建立人臉識(shí)別技術(shù)應(yīng)用備案和年度評(píng)估制度，設(shè)定主要應(yīng)用場(chǎng)景得安全要求，并加強(qiáng)對(duì)特殊主體得人臉信息保護(hù)（比如未成年人和殘障人士）。”劉為軍說(shuō)。
朱巍在此前接受感謝采訪時(shí)就明確表示，鑒于目前使用人臉識(shí)別得單位過(guò)于泛濫，應(yīng)由有關(guān)部門制定出詳細(xì)清單，規(guī)定哪類單位有權(quán)進(jìn)行人臉采集和識(shí)別，在何種場(chǎng)景下有權(quán)采集人臉。“與單獨(dú)立法相比，我認(rèn)為現(xiàn)在離對(duì)所有人臉信息得前端采集設(shè)備進(jìn)行重新登記、備案和審批得工作，已經(jīng)不遠(yuǎn)了。”朱巍說(shuō)。
對(duì)前端采集設(shè)備得規(guī)定并非空白。早在2016年，公安部曾發(fā)布《公共安全視頻圖像信息系統(tǒng)管理?xiàng)l例（征求意見稿）》，征求意見稿共35條，對(duì)視頻采集設(shè)備得設(shè)置，明示標(biāo)識(shí)，以及傳輸網(wǎng)絡(luò)得要求等都作了詳細(xì)規(guī)定。但是，該條例至今未頒行。
如果有了這樣一份條例，那么由公安機(jī)關(guān)布置得公共場(chǎng)所視頻監(jiān)控就有規(guī)可依，而其他基于商業(yè)目得得人臉采集系統(tǒng)，同樣也有了可供參考得管理規(guī)定和標(biāo)準(zhǔn)。哪些單位有資格布置人臉采集設(shè)備，在哪些場(chǎng)景和環(huán)境下才有權(quán)布置，有權(quán)布置得單位又該如何保障被采集人得知情權(quán)和同意權(quán)，這些問(wèn)題也就有了答案。
