個人信息不再“裸奔”

◎ 文 《法人》全媒體記者 銀昕

資料圖片

從個人隱私權與信息權被列入民法典“人格權編”，到個人信息保護法（草案）出爐，從抖音與微信讀書的侵犯用戶信息權，到曠視科技等人臉識別公司被推至輿論焦點，再到“戴頭盔看房”行為被推上熱搜個人信息保護在2020年受到的關注和取得的進步，值得被我們深深記住。

個人信息侵權案頻發

民法典從2021年1月1日正式生效，但其治理理念，已在2020年的一些個案中體現。

2020年7月30日，北京互聯網法院宣判，抖音APP所屬公司北京微播視界侵犯用戶個人信息權，必須刪除2019年2月9日之前通過抖音收集并存儲的原告姓名和涉案手機號碼等信息，以及未經原告同意，通過抖音收集并存儲的地理位置信息。就在這一天，騰訊旗下手機APP“微信讀書”也在一起侵權案件中敗訴，北京互聯網法院在判決中適用的概念同樣是“侵犯個人信息權”。

案件中，抖音未經原告同意，將從其他用戶手機中收集到的原告手機號碼與原告進行了匹配，將原告的前女友當作“可能認識的人”推薦給原告；微信讀書則將原告的讀書記錄開放給了其他用戶。兩公司都被判“侵犯個人信息權”。

這兩個涉及知名互聯網公司的判例，對今后業內其他公司采集和使用用戶個人信息應把握什么尺度，有重要的參考意義。

緊接著，李開復也卷入了個人信息保護事件。2020年9月12日，身為創新工場創始人兼董事長的李開復在HICOOL全球創業者峰會上表示：“我們早期曾幫助曠視科技對接美圖和螞蟻金服等合作伙伴，讓他們拿到了大量人臉數據。”此語一出，激起千層浪。

美圖和螞蟻金服均表示在人臉問題上并未與曠視科技有任何合作。曠視科技也否認李開復的發言，稱“我們不掌握，也不會主動收集終端用戶的任何個人信息”。李開復本人隨后以“口誤”為自己辯解。

一位知情的產業人士告訴記者：“在人工智能技術早期階段，很多技術公司在人臉來源上肯定有漏洞，那時正是技術野蠻發展的階段，保護個人信息的意識跟不上。”

事實上，曠視科技的確存在“不掌握人臉數據，只利用接口進入服務器與庫中人臉進行比對”這一技術操作的可能性，但是，早期訓練人工智能所需要的大量人臉在獲取前是否已經被用戶知曉并獲得授權？能為曠視正名的，只有該公司自己。

形成個人信息保護法律體系

千呼萬喚的個人信息保護法草案出爐，并于2020年10月13日提請十三屆全國人大常委會第二十二次會議審議。該草案以“合法”“正當”為處理個人信息的總原則，還確立了以“告知—同意”為核心的一系列個人信息處理規則。

最引人矚目的是域外管轄權和對企業及相關責任人的罰款上限額度。鑒于歐盟國家已經在2018年出臺了被認為是“史上最嚴”的《通用數據保護條例》(GDPR)，很多人將我國法律與國際其他法律進行對比，而最先對比的往往是對域外管轄權和罰款額度上限兩個指標。

草案規定，以向境內自然人提供產品或者服務為目的,或者為分析、評估境內自然人的行為等發生在我國境外的個人信息處理活動,適用該法；草案還要求境外個人信息處理者在境內設立專門機構或者指定代表，負責個人信息保護相關事務。在罰款上，草案規定以人民幣5000萬元和上一年度營業額的5%二者中較高者為頂格處罰。

較之于以2000萬歐元和上一年度營業額5%二者較高者為最高罰款額度的《通用數據保護條例》，中國個人信息保護法（草案）的要求并不算嚴苛。但鑒于中國目前人均收入水平和科技企業現有發展情況，5%或5000萬元依然意味著“讓渡隱私權換取便捷”的時代即將走進歷史。

其實，在個人信息保護法缺席之時，信息安全領域已經有了一系列國家標準和司法解釋，業內公司也在一些問題上形成了行業慣例。比如2017年開始實施的《個人信息安全規范》以及同一年“兩高一部”《關于辦理侵犯公民個人信息刑事案件適用法律若干問題的解釋》。而縱觀個人信息保護法（草案），鮮有超出目前已經形成的行業標準和行業慣例的內容。于是，不少人認為，該草案與此前的期待有一定差距，新意欠奉。

然而，也有人認為，個人信息保護法的角色是行業“憲法”，不作具體規定，只規定框架性總體原則，“憲法”之后還會有各管理部門單獨制定細則和法規，對具體情況進一步規定。也就是說，在個人信息保護領域，不是一部個人信息保護法就意味著萬事大吉，而將形成一套法律體系。

資料圖片

“而且，就目前日新月異的技術發展速度來說，規定得太詳細了也不好，將來變動會比較大。”中國政法大學傳播法研究中心副主任朱巍說。

值得注意的是，但凡涉及新技術與新行業的立法工作，背后都伴隨著各利益相關方的激烈博弈。2019年1月1日開始實施的電子商務法就是如此。在征求意見的過程中，電子商務企業與實體企業就收取電商稅問題展開了激烈交鋒，最終定稿規定電子商務企業“依法納稅，并依法享受稅收優惠”。

針對人臉識別我們該怎么做？

2020年底，山東濟南一則“戴頭盔看房，以保護人臉信息不被售樓處提取”的事件引發了個人信息保護業界的強烈關注。

《法人》記者了解到，售樓處收集看房者人臉信息的意圖，是查清看房者第一次是通過何種渠道而來。如果是自然到訪，第一次接待他的銷售代表就是該看房者的銷售顧問，直到交易完成；如果是渠道商（如房產中介）帶領到訪，看房者就是渠道客戶。

然而，“是誰的客戶”對最終成交價格的影響并不是特別大。“房屋中介也好，售樓處的銷售顧問也好，都會盡可能地給自己的客戶最劃算的價格，以及規劃最合理也最方便的戶型，最終的差價不能說沒有，但‘相差幾十萬元’的情況，我是從沒聽說過。”一位海淀區清河地區某樓盤售樓處的銷售顧問如此說。

相比于售樓處“分清是誰的客戶”的現實需求，常年暴露在外的人臉信息在事先毫無告知的情況下被肆意采集的現象，令人細思極恐。

與指紋相比，采集人臉不需要接觸；與可隨時更換的密碼相比，人臉的關鍵點位信息一生之中都不會有較大變化。這些都使人臉信息被非法采集和使用的風險遠高于其他形式的個人信息。

我們是否需要制定一套單獨針對人臉信息的管理辦法？對于這樣的提問，記者聽到最多的建議是，由公安部門出面對人臉信息的采集權和比對權建立準入制度。人臉識別的技術原理是，采集者將人臉信息采集后，與存在公安部門數據系統中的人臉庫相比對，以確認該人臉是否是庫中所對應的特定個人。解決問題的關鍵，在于不使“比對權”失控。

有研究者建議，今后公安部門應對從事人臉識別的機構或單位采取資格準入制度，售樓處、超市等公共場所若想從事人臉識別，不可擅自行事，而是必須與擁有該資質的機構建立合作關系，委托其采集人臉信息方可。只有將“比對權”管起來，才不會使人臉識別失控。

有關部門是否會出臺人臉識別的針對性法規？這是留給2021年的又新課題。