人臉識別技術中的個人隱私權問題實證分析研究

繆孝武

（青海民族大學,青海 西寧 810000）

1 人臉識別技術的應用現狀

現有的生物識別技術主要分為兩類，一類是基于靜態生理特征進行識別，如指紋識別、虹膜識別、人臉識別等；另一類是基于動態行為特征進行識別，如筆跡識別、步頻識別、聲紋識別等[1]。近年來，人工智能的進步帶動人臉識別技術取得了飛速發展，并被廣泛使用于身份認證等實際應用中，它既可以用于手機解鎖、刷臉支付，也可以用于安防準入等場景，在越來越多的場所，人臉識別技術日益普及。相關報告顯示，2015—2020年，人臉識別市場份額的漲幅達166.6%，位居眾多生物特征識別的首位[2]。

自從2001年人臉識別查詢技術被列為國家“十五”重點攻關項目以來，人臉識別技術在公安機關、安全部門開始被廣泛應用。目前運用人臉識別技術已成為軍方、警方識別身份的重要手段，多地公安機關結合自身的工作特點開創了多項人臉識別技術應用的先例[3]，同時人臉識別技術在防止人口販賣、追捕逃犯、建設智慧城市、完善城市治理等方面發揮著重要的作用，但是人臉識別技術在不斷造福社會的同時，也面臨著個人隱私被侵犯的風險。

人臉信息精確指向到具體個人信息，包括性別、年齡、表情等，直接標記了人的身份，可以非常快捷精準地進行身份識別，具有不可復制性，如今的人臉識別技術在世界已經被廣泛應用。南方都市報人工智能倫理課題組APP專項治理工作組2020年10月發布的《人臉識別應用公眾調研報告（2020）》[4]顯示，在2萬多名受訪者中，94.07%的受訪者用過該技術，64.39%的受訪者認為該技術有被濫用的趨勢，30.86%的受訪者表示已因人臉信息泄露遭受了財產損失。隨著人臉識別技術的逐漸成熟，公眾的焦慮程度越來越高，于是加強人臉信息保護的呼聲也越來越高。

在很多場景下，采集人臉數據是件容易的事，被采集的人往往選擇忽視冗長的相關條款，快速點擊“確定”以獲得軟件的相關權限。如某些企業在推廣人臉識別技術的應用場景時，往往忽視用戶的知情權風險，用戶往往在不知情的情況下被動同意相關條款。

事實上，對人臉識別技術濫用的警惕，已經在國家立法層面、輿論層面、特定受眾層面達成共識。包括《中華人民共和國民法典》在內的多部法律都明確規定，相關產品或者服務應當明確征得消費者的同意。相關條款意味著立法對此的強制性態度，包括人臉識別等諸多生物信息的收集和使用，都無法突破現實生活應用場景中主動知情同意這一最基本的底線。

2 人臉識別技術應用相關案例分析

2015年，美國一名律師起訴Facebook，在沒有事先通知或征得用戶同意的情況下，Facebook擅自收集和存儲了個人用戶的面部數字掃描信息，此舉違反了伊利諾伊州的《生物識別信息隱私法》(BIPA)。美國聯邦法官正式批準了該案的和解協議，同意Facebook支付6.5億美元解決集體訴訟糾紛。

2017年5月，南威爾士警方開始引入人臉識別技術（AFR）。該設備通過掃描人臉信息，獲得相關人臉數據，再將收集到的人臉數據放入數據庫中進行比對，以此來捕捉罪犯。但布里奇斯仍認為該系統侵犯了他的隱私，并根據相關法律提起訴訟。2020年8月11日，英國上訴法院裁定，被告南威爾士警方違反數據保護法，侵犯了原告愛德·布里奇斯的隱私權等合法權利。

2019年10月，杭州小學生實驗發現某品牌快遞柜用照片就能替代刷臉取件，再度引發輿論對人臉識別技術導致的個人信息安全隱患，以及部分商家過度采集或濫用人臉信息的擔憂。

據媒體報道，一些商鋪利用“無感”人臉識別技術，未經同意對進入門店的消費者進行面部信息采集，通過分析系統中相關消費者的樣貌、年齡、性別等特征，進而對其采取不同的營銷方式。一些物業公司使用人臉識別系統，要求業主錄入其人臉信息并捆綁相關個人信息。還有一些APP強制獲取用戶的面部信息，可能導致由于人臉信息泄露，個人的身份信息也隨之落入不法分子之手，之后如名下出現貸款、親戚朋友被冒充的“自己”騙取錢財、收到詐騙電話等問題可能會接踵而至。甚至有不法分子利用相關技術手段將個人照片制作成動態圖，破解人臉識別支付程序，實施盜竊人臉信息綁定的財物等相關違法犯罪活動。這樣的行為嚴重損害了公民的隱私權，使公民人身、財產等權益遭受侵害，不利于社會秩序的穩定，增加了社會風險。

3 域外有關人臉識別技術應用的經驗借鑒

3.1 歐盟模式

1995年，歐盟通過《歐盟數據保護指令》，直接適用于歐盟各國，旨在保護自然人的數據，并統一之前歐盟零散的個人數據保護規則。2018年5月25日，歐盟《通用數據保護條例》（GDPR）生效。該條例覆蓋范圍十分廣泛，包含了生物識別數據在私人和公共領域的相關應用。2019年8月21日，瑞典數據監管機構處罰了瑞典一所高中，原因是該校使用人臉識別系統記錄學生的出勤率，并且無法判定學生的同意是否為學生的獨立意志，以此判定該中學處理個人信息不符合GDPR的要求，違背了必要性原則。2020年6月19日，法國最高行政法院認可了法國數據保護監管機構對谷歌處以5 000萬歐元的罰款，原因是谷歌在安卓系統上沒有遵循GDPR規定的信息、透明性和同意等要求。上述兩個案件充分說明GDPR對促進企業的合規與保護公民私人數據發揮著重要的作用。

GDPR還特別注重對敏感數據的相關保護。敏感個人數據是指如果被泄露或被不法分子濫用，可能危及人身和財產安全，導致個人名譽、身心健康受損或增加歧視性可能的數據。具體包括與種族和民族起源相關的信息，與自身的政治觀點、哲學和宗教信仰有關的個人信息。由于生物特征數據和基因數據具有明顯的指向性，可以精確地識別到具體個人，所以敏感信息還包括此類信息。GDPR第一章第四條規定，不能夠收集和處理涉及個人隱私的敏感信息，例如宗教信仰、政治信仰、反映個人種族或民族起源、犯罪記錄、指紋信息、人臉識別等。

2021年6月21日，歐盟數據保護委員會和歐盟數據保護監管局針對歐盟在當年4月發布的人工智能法規草案，再次重申禁止使用能夠自動識別公共場所的個人特征的人工智能設備，識別的信息包括人臉數據、指紋等生物信息。該法規草案將當前人工智能的應用風險劃分為四個等級：低級、有限、高級和不可接受，同時強調評估公民的社會風險的必要性。

3.2 美國模式

在美國，政府機構和學校的人臉識別禁止令已經開始實施。以伊利諾伊州為代表，該州發布的《生物識別信息隱私法案》（BIPA）[5]，是美國的第一部旨在規范處理和使用個人生物信息的法律。2017年，華盛頓州通過了《SB 6280法案》，它規制了政府對個人生物信息的收集和使用。舊金山市于2019年5月通過了《停止秘密監視條例》。2019年7月，奧克蘭市通過了《監視和社區安全法》。得克薩斯州現行的統一商法典規定，未經同意不得獲取信息主體的個人生物信息數據，除滿足一定條件外，不得向他人出售或披露生物識別信息。

在這種背景下，2020年2月12日，美國民主黨兩位參議員在參議院提出了《道德使用人臉識別法案》，該法案意在保護消費者避免因人臉識別技術的使用讓其隱私遭受過度監管或者泄露的風險，將無限期暫停政府使用人臉識別，直到國家出臺相關正式法律。

4 人臉識別技術應用相關事件給我國的啟示

4.1 完善人臉識別相關法律法規

在我國，濫用人臉識別技術導致個人隱私泄露的新聞屢見不鮮，如被媒體曝光的房地產售樓處擅自抓拍、濫用客戶的人臉數據，又如某健身中心未履行個人信息保護義務，肆意收集會員相關個人信息，特別是人臉照片、指紋等個人生物特征信息。這意味著完善相關法律已迫在眉睫。2021年8月20日《中華人民共和國個人信息保護法》通過，其第二十六條要求，在公共場所安裝圖像采集、個人身份識別設備，應當為維護公共安全所必需，遵守國家有關規定，并設置顯著的提示標識。人臉識別國家標準征求意見稿也指出，在收集人臉數據時，需要被收集主體明示同意，避免出現人臉數據在用戶不知情的情況下被收集。

如今，大部分關于人臉識別技術使用的法律法規都集中在公共服務領域，不同的公共服務領域有不同的規定。位階越低的規范越關注人臉識別技術的應用，法律層級的文本更能體現對包括人臉識別在內的個人信息的尊重與保護[6]。但無論是低位階的規范，還是高位階的法律層級文本，都缺乏對人臉識別技術運用全面且細致的規定，也缺乏對人臉識別技術侵權的救濟措施。人臉識別技術應用場景的多樣性和復雜性，使收集、存儲、處理和使用個人信息的過程可能涉及侵犯個人隱私的問題。

首先，需要明確的法規制度來監管人臉識別技術的使用，形成可操作的嚴格規程[7]。南京、杭州、天津、深圳等地方政府也陸續出臺了相關管理條例，以此來監管人臉識別。以杭州為例，《杭州市物業管理條例（草案）》中明確規定了對人臉識別系統的使用，規定物業公司不得強制業主通過指紋或人臉等方式使用共用設施設備。

其次，必須構建人臉數據收集和使用的知情同意原則。知情同意原則旨在維護個人自主性，體現了對公民個人信息自決的尊重[8]。由于人臉信息屬于敏感個人信息，在收集人臉信息前必須清楚地告知相關信息和風險，以確保被收集人的知情同意權得到保障。只有落實好這些要求，才能保障人們使用技術和保障隱私之間的平衡。

最后，必須明晰相關主體的責任。第一，明確收集者的相關權利和義務。相關企業如需在經營中使用人臉識別技術，應向有關部門申報。經過批準后，商戶和公司有權在不侵犯客戶權益的情況下對客戶使用人臉識別技術，同時也應負責妥善保管客戶的人臉信息，并承諾不會將收集到的人臉信息用于其他目的。第二，明確規定對商家與企業違規的處罰標準，以此提高相關違法成本。如GDPR在第83條定義了兩類處罰標準，分別是：上限一千萬歐元，或全球年營業額的2%，取較大者；上限兩千萬歐元，或全球年營業額的42%，取較大者。懲罰的目的在于督促相關收集者妥善保管用戶隱私信息。

4.2 完善人臉識別監督保護機制

4.2.1 設立專門的監管機構

如隱私保護委員會，隱私保護委員會可以發揮橋梁紐帶作用，通過開展宣傳教育和咨詢服務，提高社會的隱私保護意識，促使相關政府部門和機構進一步完善管理機制，提高個人隱私保護水平；還可以推動隱私保護領域的法律制度建設，提高管理水平，更好地維護人民群眾切身利益、社會穩定和國家安全。

4.2.2 提高政府信息監管能力和水平

一是建立健全人臉識別技術市場準入制度。人臉識別技術屬于高新技術領域，因此，當企業涉足人臉識別技術領域時，監管機構必須采取嚴格的審查措施。二是建立相關備案審查制度。相關企業在征得用戶同意的同時，按照法定程序披露風險信息及采取其他相關措施的記錄，以驗證該企業在風險發生時是否已采取合理的謹慎措施，便于問責，也有利于監管機構對企業進行監督管理。三是構建合理的評價體系。人臉識別領域是一個不斷發展的高新技術領域，同時也處處充滿著風險。因此，有必要對相關的人臉識別技術進行定期和不定期的評估，以此保證科技向善。

5 結語

在鼓勵新技術運用時，借鑒國外法律監管經驗、探究與中國國情相適應的對策很有必要。在實現技術便利和隱私保護的雙重條件下，需要完善與個人隱私保護相關的法律法規體系，并同時完善人臉識別監控監管保護機制，只有這樣才能平衡人臉識別技術應用與隱私權保護的關系，讓人們在享受科技的同時，規避人臉識別技術帶來的風險。