維護信息安全拒絕做“透明人”

段永利

“這騷擾電話一天七八個，真是夠心煩的，啥時候信息泄露出去的都不知道”，家住西城區力學胡同的張阿姨對記者說。生活中像這樣的例子比比皆是，筆者所在小區的王女士，就遭遇了在注冊微博進行人臉驗證時，被提示自己的身份信息已被注冊，這讓一向比較注重個人信息保護的她有點懵，此前并未下載和使用過微博怎么就提示被注冊過了呢？

在今年央視的3·15晚會上，也曝光了科勒衛浴、寶馬、Max Mara等多家商店安裝人臉識別攝像頭的事件?？梢源_定的是，人臉數據的泄露，所帶來的潛在風險，遠比手機號與賬戶信息的泄露更為嚴重。

有專家稱，中國人每天要暴露在各種攝像頭下超過500次。在商超、景區、小區、醫院、學校以及政務機構，“刷臉”進入已經成為城市生活中的常見場景，公眾在不知不覺中就被采集了信息，人人皆成為“透明人”一樣的存在。

其實，關于個人信息安全問題，國家也出臺了一系列政策促進行業健康發展。

信息安全政策解讀

早在2016年11月7日，中華人民共和國第十二屆全國人民代表大會常務委員會第二十四次會議通過了《中華人民共和國網絡安全法》。其中，第四十一條規定，網絡運營者收集、使用個人信息，應當遵循合法、正當、必要的原則，公開收集、使用規則，明示收集、使用信息的目的、方式和范圍，并經被收集者同意。網絡運營者不得收集與其提供的服務無關的個人信息，不得違反法律、行政法規的規定和雙方的約定收集、使用個人信息，并應當依照法律、行政法規的規定和與用戶的約定，處理其保存的個人信息;第四十四條規定，任何個人和組織不得竊取或者以其他非法方式獲取個人信息，不得非法出售或者非法向他人提供個人信息。

2020年7月2日，中國人大網發布《中華人民共和國數據安全法 （草案） 》并公開征求意見，內容涉及7章51條。草案說明，制定個人信息保護法是維護網絡空間良好生態的現實需要。網絡空間是億萬民眾共同的家園，必須在法治軌道上運行。違法收集、使用個人信息等行為不僅損害人民群眾的切身利益，而且危害交易安全，擾亂市場競爭，破壞網絡空間秩序。制定個人信息保護法是促進數字經濟健康發展的重要舉措。當前，以數據為新生產要素的數字經濟蓬勃發展，數據的競爭已成為國際競爭的重要領域，而個人信息數據是大數據的核心和基礎。黨的十九大報告提出了建設網絡強國、數字中國、智慧社會的任務要求。按照這一要求，應當統籌個人信息保護與利用，通過立法建立權責明確、保護有效、利用規范的制度規則，在保障個人信息權益的基礎上，促進信息數據依法合理有效利用，推動數字經濟持續健康發展。

長期以來，我國雖在不斷出臺有關個人信息保護的立法文件，但在社會實踐中，這些法律的適用大多規定的較為原則性，同時也存在著一定的滯后性，并不能滿足人民群眾對個人信息保護的各類迫切需求。終于，2020年10月21日，全國人大法工委公開就《中華人民共和國個人信息保護法（草案）》征求意見，第十三屆全國人大常委會第二十二次會議對《中華人民共和國個人信息保護法（草案）》進行了審議并在中國人大網公布。這部法律的出臺可謂意義重大，甚至將2020年稱之為我國個人信息保護立法“元年”都不為過。

草案明確規定了本法的適用范圍、個人信息處理規則，強調處理個人信息應當采用合法、正當的方式，具有明確、合理的目的，限于實現處理目的的最小范圍;確立以“告知—同意”為核心的個人信息處理一系列規則，要求處理個人信息應當在事先充分告知的前提下征得個人同意，并且個人有權撤回同意。

雖然近年來我國個人信息保護力度不斷加大，但在現實生活中，一些企業、機構甚至個人，從商業利益出發，隨意收集、違法獲取、過度使用、非法買賣個人信息，利用個人信息侵擾人民群眾生活安寧、危害人民群眾生命健康和財產安全等問題仍十分突出。

代表委員建言獻策

隨著人工智能技術水平的迅速發展，人工智能與深度學習的范疇逐步增加，大數據應用場景在智慧城市、安防市場等行業得到了廣泛應用，但同時安全隱患也隨之而來。最新的人臉識別技術，不僅能抓取個人的面部生物信息，識別性別與預估年齡，還能進一步追蹤到個人的身份信息、日常的行蹤軌跡、親屬關系的匹配等。

“刷臉”時代，如何確保不被“盜臉”？在今年的全國“兩會”期間，人臉識別技術帶來的個人信息保護問題，是多位全國人大代表和政協委員熱議的話題。

今年兩會上，全國政協委員、民革廣東省委會副主委、民革廣州市委會主委于欣偉表示，目前很多小區、公共場所都需要刷臉進入，刷臉支付也被廣泛運用，現實生活中通過“刷臉”可解決的事情越來越多。人臉識別信息與一般個人信息相比，具有唯一性、不可更改性等特殊屬性，且人臉信息采集極其便利，在被采集者完全不知情的情況下，就能獲得其人臉信息。一旦泄露，即便維權成功也難以恢復原狀，由此帶來的安全風險越來越大。

民革中央提出，根據實際情況，研究推進專項立法對人臉識別大數據進行管控，制定商業機構對人臉識別信息數據的攝制、采集、儲存、傳播、使用、銷毀等程序，明確界定人臉識別設備主管部門職責、數據使用范圍、程序管理權限、人員資質要求等，在把握底限的條件下促進人工智能行業穩健成長。民革中央還建議，為人臉識別技術在社會生活場景應用層面設立行政管理職責。明確專門部門統一承擔人臉識別系統的審批與監管職能，設立人臉識別項目審批程序。除公共區域安防監控設備以外，涉及對特定對象進行人臉識別信息數據采集使用的處所，如公園、銀行、學校、市場及企業、商場等單位都應按程序自主申報，由專門部門審核技術應用必要性，并對安全使用進行積極監控。

對于強制“刷臉”現象，全國人大代表、德力西集團董事局主席胡成中建議：人臉識別參照身份證管理。一是要明確必要性原則，在有替代方式的情況下不得采集生物識別信息;二是歸口管理，在公安或網信系統增設專門的數據保護部門;三是設置必要門檻，杜絕任何企業都可染指公民生物識別信息的現狀，乃至參照身份證管理辦法，原始數據應統一由國家掌控。

“人臉數據的違規采集與數據泄露、非法交易與使用等問題，是人臉識別技術應用面臨的主要風險?！比珖f委員、佳都科技集團董事長劉偉建議，規范人臉識別應用，加強人臉識別技術的監管。對此，他建議：一是為技術應用設立行政管理職能，寫字樓、商場、企業等應用人臉識別技術前都應申報審批，由公安部門依法審核其合法、正當和必要性;二是對于如小區管理等特定人群人臉識別應用，須以自愿為原則由個人信息主體進行必要性審查;三是對不合規安裝、使用人臉識別技術的定期整改，依法打擊非法濫用;四是組織專項立法，明確數據所有、使用與收益權限;五是引導相關行業協會和中介組織制定人工智能產業技術標準、行業自律規范。

監管刻不容緩

“刷臉”要便捷，“護臉”也要更規范。

人臉識別技術作為一項新興的人工智能技術，其產生時間尚短，立法層面的規定仍然不夠細致。另外，人臉識別系統雖能對攝像頭采集的人臉圖像進行辨認，卻無法識別采集的人臉圖像是來自真人還是一張圖片，盜用合法用戶人臉照片、盜用人臉視頻及盜用三維人臉面具均可被機器識別。

目前，很多場所“掃臉”或者抓取對方面部信息時，并未告知當事人其目的、方式和范圍以及儲存時間，且不少人臉識別技術由小企業提供服務，沒有正規機構的背書，其信息存儲安全性存疑。在部分社交平臺和網站上，我們會發現不少賣家將人臉識別視頻明碼標價，甚至還出現了克隆假面技術和產品，一個頭套就可解鎖被掃描人的各種人臉操作解碼，賣家還承諾所售驗證視頻均能通過大多數APP平臺驗證流程。

據民法典規定，公民對個人信息享有民事權利，未經本人同意非法收集買賣他人信息會構成民事侵權。另外《刑法修正案（九）》規定了侵犯公民個人信息罪。買賣高度敏感的個人信息達到一定數量，符合司法解釋中所規定的立案標準的行為就涉嫌刑事犯罪。在這個過程中，無論買方還是賣方都涉嫌構成侵犯公民個人信息罪。

為減少個人信息泄露帶來的安全隱患，立法監管刻不容緩。

中國法學會案例法學研究會副會長、中國政法大學公共決策中心執行主任李軒表示，由于人臉識別涉及人體生物信息，《個人信息保護法（草案）》對此只是原則和總體上的規定，并未對采集主體資格、數據儲存、使用范圍、相關方的權利義務等作具體闡釋，因此，針對人臉識別生物信息這一領域進行專項立法很有必要。

他還明確指出，人臉識別信息采集不僅僅是事關個人安全和社會公共安全，甚至事關一個國家國民生物信息及相關信息數據的總體安全。需進一步明確“誰可以安裝圖像采集和個人身份識別設備、需要什么樣的批準程序、由誰來批準”等問題。同時，要切實維護個人信息主體權益，部署圖像采集、個人身份識別設備時，須以自愿為原則，經審批的人臉識別應用，須以顯著標識告知相對人。

此外，地方集中整治也不失為良策。比如開展專項整治活動，集中整治不規范和非法安裝人臉識別攝錄采集，清理電子政務平臺安全漏洞。規范單位自查、主管部門核查、市民舉報和公安核查等程序，對未經過主管部門審批擅自安裝人臉識別信息數據采集設備的，依法進行行政處罰，設備拆除及數據銷毀。目前，已有地方政府在這方面先行一步。如天津通過的《天津市社會信用條例》中明確，市場信用信息提供單位不得采集自然人的宗教信仰、血型、疾病和病史、生物識別信息等;杭州也在《杭州市物業管理條例（修訂草案）》中規定，物業服務人不得強制業主通過指紋、人臉識別等生物信息方式使用公用設施設備。

除了以上行政監管辦法外，技術突破也是關鍵的因素。鼓勵信息加密技術的研發，比如數據加密管理、敏感內容識別等，推出更多有效的數據安全解決方案。同時，對電子政務平臺過度依賴人臉識別數據的安全漏洞進行排查清理，提升通過人臉識別登錄系統和辦理業務的安全性能，讓不法分子無可乘之機。