國外人臉識別技術應用管理及啟示

魏書音 劉玉琢

摘 ? 要：近年來，人臉識別技術應用在社會的方方面面，“刷臉時代”正在到來。同時，AI換臉應用“ZAO”收集人臉信息等一些應用場景也引發了各方熱議，人臉識別技術的進化和快速應用，利弊共存，給監管提出更多挑戰。如何對其進行適度監管和規范是一個重要課題。我國應制定人臉識別技術應用相關法規規范，開展人臉識別技術應用安全影響評估，通過標準體系明確不同場景下的應用規范。

關鍵詞：人臉識別技術;個人信息保護;技術應用監管

中圖分類號： DF92 ? ? ? ? ?文獻標識碼：A

Abstract： In recent years， face recognition technology is applied in all aspects of society， and the "face brushing era" is coming.At the same time， some application scenarios such as AI face changing application "ZAO" to collect face information have aroused heated discussions among all parties. The evolution and rapid application of face recognition technology have both advantages and disadvantages， posing more challenges to the supervision.How to regulate and regulate it is an important issue.In this paper， it is suggested that China should formulate laws and regulations related to the application of face recognition technology， carry out safety impact assessment on the application of face recognition technology， and clarify the application specifications in different scenarios through the standard system.

Key words： face recognition technology;personal information protection;technology application supervision

1 引言

近年來，人臉識別技術應用在社會的方方面面，“刷臉時代”已經到來。同時，一些應用場景也引發了各方熱議，如AI換臉應用“ZAO”收集人臉信息、人臉識別技術進課堂、北京地鐵擬利用人臉識別技術對乘客進行分類安檢等。杭州動物園強制要求對年卡持有者進行人臉識別認證，已引發出“中國人臉識別第一案”。人臉識別技術的進化和快速應用，利弊共存，給監管提出了更多的挑戰。如何對其進行適度監管和規范，在人臉識別技術的發展上，尋求科技創新與隱私保護的“最大公約數”是一個重要的課題。

2 人臉識別技術濫用已侵害公民合法權益

侵犯公民個人信息權益。近年來，人臉識別技術悄然應用在商場、公共衛生間、交通等公共場所各種基礎設施服務中，大多數人進入攝像頭范圍后已被刷臉，如用于衛生間廁紙機以統計每人取廁紙的數據。該技術在行為分析領域也有應用，如浙江省杭州十一中和中國藥科大學等學校利用人臉識別技術進行點名，通過采集學生坐姿、表情等分析課堂行為。公民人臉信息被肆意收集，歐洲人權法院指出，人的面部圖像構成了人格的關鍵屬性之一，揭示了個人的獨有特征，保護人臉圖像的權利是個人發展的重要組成部分之一。

引發歧視問題。人臉識別軟件需基于預先訓練的模型，根據面部圖像數據庫開發用于識別面部的規則，而使用哪些數據集來構建人臉識別軟件會影響軟件的準確率。例如，若使用白人男子的面部圖像進行訓練，識別婦女和其他種族人的錯誤率將會更高，這樣可能導致某些人群犯罪行為被“技術性”忽視。麻省理工大學研究人員發現，亞馬遜的人臉識別軟件Rekognition對有色人種的誤認率高于白人，對深色皮膚女性的識別錯誤尤為突出。有測試表明，在警方使用的Rekognition系統中，有近40%的錯誤匹配涉及有色人種，加劇了現實世界的“群體歧視”。美國國家標準技術研究院承認其研究的人臉識別算法中，存在人種差異。2019年6月，美國警用穿戴式攝像頭制造商Axon宣布，在技術改進之前，不會在其警用穿戴式攝像頭中使用人臉識別技術。

造成個人信息泄露問題。目前，人臉識別信息主要按照個人敏感信息安全要求進行保護，多數企業對所收集的人臉識別信息還未建立系統的保護體系。人臉識別信息是唯一且終身不變的，一旦泄露將使得個人財產和隱私等被公開，容易引發人身和財產損失。例如，荷蘭非盈利組織GDI基金會近期發現，一個包含數千名中國學生和兒童信息的人臉識別數據庫未被保護，可以在互聯網上公開訪問，造成嚴重安全隱患。

3 國外人臉識別信息保護制度

對收集信息主體進行限制。對于政府部門，美國加利福尼亞州舊金山市制定的《停止秘密監控條款》，原則上禁止政府收集、存儲、使用公民生物識別數據，如果是政府非主動獲取的，則應及時披露獲取使用情況。馬薩諸塞州眾議院第1538號/參議院第1358號法案，原則上禁止政府使用面部識別技術，并且禁止在司法程序中采用人臉識別軟件系統產生的數據或證據，除非有法律明確授權。2020年2月，美國議員向參議院提出《人臉識別道德使用法案》，要求在出臺政府使用準則和限制條件前，暫時禁止政府機構使用人臉識別技術，防止侵犯公民隱私權和影響公民自由。對于私人主體，美國伊利諾伊州發布的《生物識別信息隱私法案》規定，私人實體收集生物識別信息，應向信息主體書面通知，說明收集使用的目的和期限，并獲得信息主體書面同意。澳大利亞的《隱私法》規定，原則上實體不能收集個人敏感信息，除非獲得法律或法院授權，或執法機關為執行任務合理收集，或者非營利組織收集與其工作相關的人員信息。

對于被收集主體、使用場所或目的進行限制。由于缺乏技術適用的法律依據，目前在德國、法國等無法合法使用實時人臉識別技術，德法僅針對志愿者開展了實時人臉識別技術測試，同時在未來實際部署中還需要進一步限定被實時收集人臉信息的群體類型，例如與恐怖主義有關人員、性犯罪者、逃獄犯人或失蹤孩子。近期，歐盟考慮在人臉識別技術影響評估方法和風險管理措施研究出來之前，可能會暫時（3～5年）禁止在公共場所使用該項技術。美國德克薩斯州發布的《生物標識符的獲取及使用》規定，原則上禁止基于商業目的獲取生物標識符，除非獲取前取得信息主體同意。2019年臉書就因未經用戶同意使用照片自動標記功能而引發人臉識別集體訴訟，向原告支付5.5億美元和解費。

對人臉識別信息的收集使用行為進行限制。美國伊利諾伊州發布的《生物識別信息隱私法案》規定，私人實體應采取合理且更安全的措施存儲生物識別信息。德克薩斯州發布的《生物標識符的獲取及使用》規定，禁止信息獲取主體通過出售、出租等方式披露生物標識符，除非是法律規定的例外情況;信息獲取主體應采取合理的與存儲、傳輸保密信息同等或更安全的措施保護生物識別信息;生物識別信息的存儲時間應當合理，原則上不應晚于收集目的完成后或法律規定時間到期后一年內。澳大利亞的《隱私法》規定，如果實體披露的是生物識別信息或生物特征模板，則只能在特定收集目的范圍內進行披露，不得以直接營銷為目的使用或披露個人敏感信息，除非已獲得信息主體同意。

要求符合正當、合比例原則。關于新技術的使用，歐洲人權法院在S.and Marper訴英國政府一案中表示，應在保護基本權利與開發新技術之間“達到適當的平衡”。人臉識別技術也是如此，必須收集目的必須正當，且在最小必要范圍之內使用。瑞典數據保護機構針對當地一所高中利用人臉識別記錄學生出勤的行為，開出了GDPR生效以來的第一張人臉識別罰單，認為學校的數據收集行為違反必要性原則且缺乏正當性依據。英國高等法院在“Edward Bridges訴南威爾士警察局長等人案”中，判決英國警察使用自動人臉識別技術不違反《人權法案》和相關的數據保護法案，而這一判決的前提是收集的人臉識別信息僅在有限時間、為特定有限目的使用，并在對獲得的成像與監控清單中的成像進行比對等合理使用后，立即刪除所有獲得的數據和個人信息。

4 結束語

制定人臉識別技術應用相關法規規范。明確人臉識別技術可以應用的場景，收集信息主體應承擔的責任和義務，在個人信息保護規范的基礎上采取更嚴格的保護措施。建議履行更嚴格的收集使用說明義務，不僅要求對使用目的、方式、范圍進行具體說明，還要確保信息主體完全知情，提供盡可能詳細的選擇空間，如目的、時間和處理方式的選項。同時，要確保該技術的使用是以無其他可替代技術為前提的，并嚴格限制基于商業目的使用。目的實現后，收集信息主體應自覺立即刪除個人信息。

開展人臉識別技術應用安全影響評估。將人臉識別技術進行新技術新應用安全風險評估，全面評估此項技術目前的發展和應用狀況、適用領域和范圍、對公民個人權益的損害等。將國家個人信息保護部門作為人臉識別技術應用審查單位，明確準許應用人臉識別的具體領域和場景，如政府部門和組織機構認為確有必要使用該技術且無其他替代技術的，應向審查機構進行申請，審查機構對其適用的合法目的、必要性和合比例性要求、算法系統是否存在歧視和偏見等進行評估，通過評估后才可適用。

通過標準體系明確不同場景下的應用規范。目前，人臉識別技術有計數、識別、認證、監控、偽造和窺探等多種應用方式。應針對不同的應用場景設置不同的監管要求，明確人臉識別技術應用的合法性依據和具體適用要求。同時，建議針對政府和公共部門、商業領域建立不同的監管制度，對于公共場所的大規模應用制定更為嚴格的限制規范。通過制定系列標準解決技術精度等性能標準缺乏導致的仿冒身份問題、用戶授權被盜用等使用安全問題，明確對人臉信息收集、存儲、處理等使用規范，規范倫理責任、增強透明度、建立隱私保障。

參考文獻

[1] 苗爭鳴.美國聯邦調查局生物識別技術的應用及反思[J].網絡空間安全，2019，10（12）：103-109.

[2] 楊建.人臉識別技術應用的法律規制[N].中國社會科學報， 2020-03-25（006）.

[3] 洪延青.人臉識別技術的法律規制研究初探[J].中國信息安全，2019（08）：85-87.

[4] 李慶峰.人臉識別技術的法律規制：價值、主體與抓手[J].人民論壇，2020（11）：108-109.

[5] 李懷瑾.人臉識別技術風險的法律防范[N].中國社會科學報，2019-03-06（005）.