人臉識別的法律規制
——以告知同意規則為視角

張俊雄

(西南民族大學法學院，四川成都 610041)

隨著社會發展進入數字時代，人臉識別等新興技術帶來的挑戰不斷走進大眾視線。2021年有關人臉識別技術的新聞頻出，前有央視3·15晚會曝出多個商家未經消費者同意非法采集面部數據信息，并將采集到的信息用作營銷數據分析；后有全國首例人臉識別案在杭州市中級人民法院二審宣判，在原判決的基礎上增判被告信息處理方刪除原告的相關生物識別信息。種種事件都指向人臉識別技術應用門檻過低、信息處理者為自身利益未經面部數據主體同意濫用人臉識別技術等諸多問題。

人臉識別的本質是利用拍攝系統和計算機技術在三維體系中根據人臉的不同構造將人臉轉換為一組數據，當人臉再次展現在鏡頭前時，通過相關算法即能快速地匹配到其身份[1]。相比于其他視頻監控，人臉識別技術最大的特征在于其“識別”功能，即通過算法，與數據庫中的人臉數據進行比對，從而識別出相應的個人信息[2]。人臉識別技術與面部數據主體權益息息相關，而該技術非接觸性、易于流轉的特征使得面部數據主體對其個人信息的控制力進一步降低。為了兼顧人臉識別技術的合理利用和個人信息保護，廣大學者一致主張貫徹和發展傳統告知同意規則。因此，本文在大數據時代背景下，以告知同意規則為視角，為完善人臉識別的法律規制提供參考路徑。

一、告知同意規則的法律依據與現實困境

(一)告知同意規則在我國法律體系中的依據

對于人臉識別中面部數據保護問題，本質上是關于個人信息中個人敏感信息的保護問題。縱觀我國現行法律規范，其中涉及個人信息保護的條文散見各處。首先，從我國法律體系頂端《中華人民共和國憲法》(以下簡稱《憲法》)中可找到依據。《憲法》第40條明確了國家對公民個人隱私權的保護，自然包含對個人信息的保護。其次，作為我國基本法律，《民法典》總則編和人格權編的有關規范構建了未來個人信息保護法的制度框架與基礎。從民法解釋學的角度分析，根據文義解釋《民法典》中未明確規定個人信息權[3]，但是依據體系解釋《民法典》則是將個人信息當作一種人格利益在保護。此外，在諸多現行法律中，例如《網絡安全法》《消費者權益保護法》中對于不同主體的個人信息保護義務均有涉及。近年來，保障公民個人信息安全一直是黨和國家高度關注的問題。為穩步推進個人信息保護立法工作，全國人大常委會于2020年底發布了《個人信息保護法(草案)》，擬制定專門法律來規制個人信息保護。

告知同意規則主要適用于個人信息保護領域，因此筆者以告知同意規則為研究對象，在所有涉及個人信息保護的條文中選取了最具代表性的《民法典》和《個人信息保護法(草案)》中的相關法律規定加以分析。

1.《民法典》中的告知同意規則

《民法典》第1034條中對個人信息的內涵和外延作出了明確界定。依據該條款，人臉識別的面部數據從性質上講可以歸入生物識別信息中，屬于《民法典》的保護范疇。《民法典》第1035條則強調了信息處理方在處理個人信息時應當遵循的“合法、正當、必要”等基本原則。此外，《民法典》提出了處理個人信息的相關條件，其中包含需要告知的相關內容和須征得同意的對象。由此《民法典》人格權編描繪了處理個人信息的告知同意規則。

2.《個人信息保護法(草案)》中的告知同意規則

“同意”二字在《個人信息保護法(草案)》(以下簡稱“草案”)中的70個條款中出現了26次，其重要性不言而明。就內部的邏輯體系分析，“草案”中關于個人信息處理主要分為三個層次來進行規制：首先，對于普通個人信息的處理作出了一般規定；其次，針對處理個人信息中一類較為特殊的客體即“個人敏感信息”作出了更為嚴苛的規定；最后，針對處理個人信息中一類特殊的主體即“國家機關”處理個人信息作出了特殊規定。總體來看，“草案”多角度、多路徑、全方位地構建了我國個人信息保護體系，值得肯定。具體而言：

首先，在處理個人信息的一般規定中，第13條被認為是處理個人信息的合法性基礎。該條文一共給出了五種處理個人信息的合法情形和一個兜底條款，其中第一種即為取得個人的同意。同時，第18條對于“告知—同意”規則中的告知作出了若干要求，尤其強調告知的方式、內容和范圍等。

其次，在敏感個人信息的處理規則中，第30條可以被認為是對第13條的補充，要求當處理個人信息的客體為個人敏感信息時，須取得個人的單獨同意，增設了“單獨同意”制度。同時對一部分處理個人敏感信息的情形中同意的形式作出了要求，即“有法律法規規定的應當取得書面同意的”。上述規定均為告知同意規則在“草案”中的體現。

(二)告知同意規則的現實困境

1.告知不充分，信息獲取不對等

《民法典》人格權編第1035條和《網絡安全法》第41條對于信息主體的告知范圍作出了要求，并在此基礎上取得被收集者的同意。基于該條款，面部數據主體在決定是否處分自己的信息前，能夠清楚地了解本人哪些面部數據被收集、收集以后去向何方，以及在信息被收集后自身可能遭遇的風險，但在面部數據收集的現實情境中往往并非如此。

首先，現實中收集方并不會將相關信息完全告知面部數據主體。在締約信息使用協議中，進行面部數據收集的一方清楚地了解數據收集、利用和市場價值的具體情況，能準確判斷面部數據信息在自己手中是如何運作的，因此對于風險的認知也總是更全面一些[4]。而被收集者，往往只是淺顯、抽象地知道數據用途，他們更關心的是自身對于某項服務能否正常使用，進而忽略了對有關風險的認知。其次，從數據采集與利用的運營模式來分析，數據收集方還會進一步變相地強制、敦促面部數據主體盡快同意：比如當被收集方打開注冊頁面時，系統已經默認勾選同意相關隱私政策和免責條款，大大降低了面部數據主體的重視度。在上述種種背景下，同意規則無法起到預設的對面部數據主體的保護作用，反而為收集者的責任轉移提供了制度框架內的“合法路徑”[5]。

2.隱私條款冗雜，導致同意形式化

私法領域常常強調意思自治原則的重要性，因為它充分反映了公民對私權利的支配性。意思自治原則不能簡單地理解為按照當事人自己的想法作出意思表示，尤其是在涉及人臉識別這種個人信息泄露的高危場合，應當要求面部數據主體在充分知曉并理解后自己作出意思表示方為合理、正當。因此，同意的有效性不僅取決于數據收集者是否合法地履行了告知義務，同時歸因于數據主體能否正確接收、理解前者所傳遞的信息。

現實生活中，面部數據收集方給出的數據采集協議紛繁復雜，被收集者難以準確理解其相關含義。即使通過立法的形式給面部數據收集方增加充分告知相關事項的義務，但復雜、專業、冗長的條款也無法真正發揮它的效用[6]，反而會大大消耗面部數據主體的耐心，用戶多半會為了盡快完成注冊流程而選擇性地將部分或全部條款予以忽略，直接點擊“同意”按鈕。這種形式化的同意后果就是用戶根本沒有按照原有的制度設計去閱讀隱私條款和免責聲明，反倒有可能成為面部數據收集方轉移責任的一個前置流程。即使有用戶確實閱讀了隱私政策和免責條款，能否讀懂又是一個值得思考的問題，且我國公民長久以來對個人信息保護不夠重視，往往非常信任收集方的保護能力和重視程度。如此一來，即便是“明示的免責條款”，也會因為相對人的忽略導致法律所欲的“知情基礎上的同意”大打折扣。

3.多樣的網絡交互行為削弱了同意的有效性

大數據時代，包括面部數據在內的各種數據廣泛流通和在不同場景下進行統計利用是發展趨勢。該趨勢反映到個人信息傳播領域依托的是網絡交互行為。例如，隨著互聯網技術的發展和人們的需求，微信從最初的具有聊天功能的通訊軟件，逐步發展到今天的集公眾號、小程序、視頻號等多個功能為一體的社交軟件，已然成為國內人們工作、生活必備的手機軟件。為了方便使用，人們一般將包含本人身份證號、銀行卡號、電話號碼、收貨地址、發票抬頭等多個個人信息與微信賬戶相關聯。當在使用微信附帶的一些二級功能時，即可將與微信賬號相關聯的個人信息授權給二級功能平臺使用。這種個人信息的二次授予或直接準用行為即所謂的網絡交互行為。抽象到法律中的行為模式即面部數據收集方可能與其他二級平臺訂立合同，在交互性使用過程中共享其采集的數據信息，甚至直接將數據的流通外包給大數據公司處理。因此，面部數據收集方與二級平臺之間的此類協議使得個人要想實現對自身信息的控制變得非常困難。

實踐中，當面部數據主體的信息經收集方流轉到相應的二級平臺或外包給專業大數據計算公司后，信息的去向和用途一般不會再次通知面部數據主體，更不會刻意經過其授權同意。面部數據主體在這種潛在且無休止的信息分享與對信息的二次利用面前，不僅難以實現對當前及未來信息分析、處理、利用行為的把控，而且往往對信息的二次利用行為全然不知[7]。

二、歐盟個人信息保護中的告知同意規則

歐盟《一般數據保護條例》(以下簡稱GDPR)和德國《聯邦個人資料保護法》(以下簡稱BDSG)均將告知同意規則居于核心位置[8]。本文將從上述內容中抽象出同意的表示方式、同意的生效要件，試圖為國內個人信息保護立法提供參考路徑。

(一)同意的表示方式

關于同意的表示方式，歐盟和德國的法律均規定了明示同意和默示同意[9]。依據BDSG第4a條規定，同意的表示方式分為兩個層次：第一層的適用最為普遍，要求以書面形式表達；第二層則是在特殊情況下，允許授權其他形式。該條款表明當事人表達同意的意思表示方式為書面形式，是一種積極肯定的方式，表明對方可以處理本人的面部數據信息，只有在特殊情況下才能通過其他形式表達。此外，在GDPR第9條中將面部數據作為特殊類別的個人數據處理，而對于這種特殊類別的個人數據，GDPR采取的是“原則—例外”的立法模式，即原則上規定為禁止處理，僅在法條羅列的例外情況下才可以處理，其中例外情況之一就包含了面部數據在采用明示同意后可以處理。此外，歐盟GDPR中關于同意的形式要求必須是“自愿”作出、“知情”后作出和“明確”作出的同意，對于面部數據則是適用更為嚴苛的“明示同意”模式。總之，無論是默示同意還是明示同意，德國BDSG和歐盟GDPR都要求面部數據主體通過一個積極肯定的行為來完成。

(二)同意的生效要件

為了促進GDPR的實施，2018年4月歐盟“第29條”工作組發布新修訂的GDPR實施指南[10]。該指南的核心內容顯示，自然人應當能夠以透明的方式了解與其有關的個人數據收集、使用、訪問以及其他處理的樣態和程度，進而對此作出同意。指南中關于同意的生效要件包括以下四點：

1.當事人同意必須為自主同意

BDSG和GDPR中均將個人數據主體的自主決定性作為同意的首要生效要件。此外，新修訂的GDPR實施指南對于該種自主決定性從多個方面作出了規定，盡可能地保護同意的自主性。例如在雙方地位不對等的情況下盡可能保護信息主體方；限制信息控制者處理信息的范圍為經過當事人同意授權的范圍；需要對多條個人信息進行處理，不能取得籠統的同意，而須分別取得同意等，否則同意是無效的。

2.當事人同意必須為具體特定的同意

在BDSG和GDPR的語境下，“具體特定的同意”是指個人信息主體對于數據控制方收集、處理、利用的目的和范圍有特定的同意。具體特定的同意是相對于概括的同意而言的。BDSG和GDPR的語境下這種同意必須是前者，即明確表達對于某一條或某幾條個人信息允許被處理以及允許在何種范圍內處理。在該種模式下，個人信息主體是采取主動同意的方式對數據處理的范圍作出了許可，相比以往被動同意的模式能有效避免同意的擴張。

3.當事人同意必須為告知后同意

告知后同意實際上是對同意的時間限制，即必須在數據處理方告知相關信息后，信息主體表示的同意才是有效的。該模式進一步明晰了“告知—同意”的實踐邏輯，即只有在充分的告知以后，個人信息主體才能根據被告知的內容衡量利弊，并據此作出同意與否的決定。告知的充分一方面取決于告知的內容是否完善，另一方面取決于告知的方式。對此歐盟“第29條”工作小組創新了告知方法，要求依據告知內容的重要程度等因素采用分層次告知方法[11]。

4.當事人同意必須清楚且明確地表達

所謂清楚且明確地表達是對同意形式的實質要求。GDPR第7條詳細規定了同意的條件。一方面，一般情況下要求數據控制者能夠證明數據主體已經同意其處理個人數據；另一方面，若數據主體的同意是基于數據控制主體已經給出了書面聲明的情況下所表示的，那么除此之外，還要求數據主體針對其信息被特定處理還需要一個積極的行為或者聲明同意。如果缺少二次明確的同意，則當事人的同意是無效的。在該模式下，實際上是保護數據主體，通過增加二次同意、提高同意的清晰度讓數據主體不受數據控制方的掣肘。

三、完善我國個人信息保護領域告知同意規則的建議

為解決因告知不充分、隱私條款冗雜、多樣的網絡交互行為導致告知同意不真實的情況，參考上述域外告知同意規則的制度框架，結合我國目前《民法典》中關于告知同意規則的頂層設計和“草案”中的相關規定，提出下列建議：

(一)明確同意的主體須為完全民事行為能力人

“草案”中關于處理個人信息的合法基礎規定在第13條，其中第一項即明確要求取得個人同意。這里的同意作為一種意思表示應當是具有民事行為能力的人所作出的表意行為。換句話來說，放置在告知同意規則中，要求當事人具有民事行為能力即要求具備同意能力，否則信息控制者征得的同意是無效的[12]。若貿然許可未成年人對自己的個人信息進行支配，可能會造成不當后果，侵犯其人格權益。因此，應當要求其監護人代為表示同意。此外，對于成年但因為某種原因喪失或部分喪失行為能力的人均應當參照對未成年人的保護，采取監護人代為表示同意的規定。

《民法典》中對于自然人的民事行為能力采取的是三分法。考慮到我國長久以來對個人信息保護的忽視，個人信息泄露的嚴重性不一定受到全部百姓的關注，尤其是年邁的老年人和未成年人。因此，只有完全民事行為能力人才有同意的能力，而不滿18周歲的未成年人和雖已成年但因為某種原因喪失或部分喪失行為能力的人均應征得其監護人的明示同意，如此才能更好地保護他們的信息自決權。綜上，建議將“草案”中第13條第1款1句的表述方式修改為“只有取得自然人或者其監護人的同意，個人信息處理者方可處理個人信息”。

(二)限縮處理信息的合法性基礎

關于處理個人信息的合法性基礎，“草案”中除了告知同意規則還規定了其他合法性基礎，其中第13條第二項即將一方為訂立或者履行合同所必需的這種情形作為處理個人信息的合法性基礎之一。該項一定程度上是對于告知同意規則的例外，雖然有原則就有例外，且該例外也不影響告知同意規則的主流適用地位，但是這里規定的為訂立合同或者履行合同這個時間段是否過長有待商榷。例如，網絡平臺在向自然人提供網絡服務過程中，如果網絡公司都以是訂立合同所必需為由來處理個人信息，那么就會使得自然人對個人信息處理的決定權受到極大的限制，甚至是變性地被排除。

從GDPR的規定來看，其第6條第1款(b)的表述是“處理是數據主體作為合同主體履行合同之必要，或者處理是因數據主體在簽訂合同前的請求而采取的必要措施”，即必須是數據主體即自然人在簽訂合同前主動提出請求(相當于提前同意)處理者處理其個人信息，如某自然人要求旅行社提供滿足其個性化要求的旅游套餐服務而主動將個人信息提供給處理者。目前“草案”中第13條第二項的規定沒有注意到這一點，直接規定“為訂立或者履行”顯然不妥，應該刪除“為訂立”的情形。

(三)明確告知同意的形式為書面形式

草案第30條明示了處理敏感個人信息的單獨同意規則，并且在同意的形式上要求部分經法律、行政法規規定的應當取得書面同意。從形式上限制告知同意，可以有效地落實同意主體對數據信息重要性的認知，在一定程度上避免信息不對稱和信息過載帶來的同意不真實現象。在有些學者看來，告知同意中的同意不必過于強調表達的形式，無論是采取明示或是默示，書面或是口頭形式，都不能認為是同意的生效要件。同意關鍵在于信息主體的意愿真實、表達清晰，而同意形式在所不問[13]。筆者認為這種觀點是片面的。因為內容與形式二者是辯證統一的，不能分別割裂開來看，如若僅僅注重同意的內容而忽略同意的形式，就會打破這一規律。且面部數據作為個人信息中能反映生物特征的信息，其重要性不言而喻，若對同意的形式不加以限制，則近似于沒有規定，不利于規范處理個人信息的行為。

為了促使面部數據主體能謹慎地作出同意表示，建議人臉識別中面部數據的當事人同意應以書面形式較為妥當。“草案”中有相關趨勢，但對適用范圍有嚴格限制，僅僅強調在法律法規有規定的情況下“單獨同意”要求敏感信息主體出示書面同意，具體范圍尚不明確。且對于單獨同意的概念與形式，立法沒有給出明確界定，筆者認為應當進一步優化“單獨同意”的表述，因為“單獨同意”和“書面同意”似乎不是并列關系，立法將兩者并列的做法有待商榷。

(四)精煉告知內容，豐富告知方法

關于精煉告知同意的內容，正確理解應當是在對面部數據主體的告知達到一定的充分程度后，盡量以簡潔、明了、易懂的語句呈現給面部數據主體同意。通過對信息控制者告知的充分程度的要求進行提煉，再簡明扼要地表達出來，能直接解決同意趨于形式化的弊端，從而保障面部數據主體的權利。

首先，精煉告知內容。《民法典》和“草案”中均規定了信息處理方在獲得信息主體的同意以前需要告知的內容，在充分告知的前提下，應當精煉告知內容，讓面部數據主體有耐心讀下去,有能力讀懂，增強同意的有效性[14]。如果申訴渠道暢通，信息控制方若不正當地將數據轉移給他者，基于數據流通所導致的侵害則有了更便利的救濟途徑。其次，豐富告知方法。我國個人信息保護立法可以借鑒歐盟的做法，根據本國的國情采用分層次告知方法。分層次告知法，即人為地將隱私政策中的告知內容根據其重要性進行分層，例如將個人信息的使用范圍和使用方法作為基礎信息排列在前，將法律風險和法律責任等重要信息緊跟在后，最后附帶其他相關信息；且不同層次的信息，分別采取放大、標粗、下劃線等方式提醒個人信息主體關注相關內容。通過上述途徑，想必可以極大緩解由于告知不充分和隱私政策冗雜導致的錯誤同意。

四、結語

大數據時代的個人信息保護具有鮮明的時代特征，人臉識別技術即為時代的新興產物，傳統的告知同意規則在解決面部數據被泄露的問題時有所失靈。黨的十九大以來，以習近平同志為核心的黨中央高度重視網絡空間法治建設，對個人信息保護立法工作作出部署，是貫徹習近平法治思想以人民為中心的體現。本文在對比歐盟、德國相關法律中關于知情同意規則制度設計的基礎上，建議進一步完善同意的主體、限縮處理信息的合法性基礎、明確告知同意的形式、精煉告知同意的內容，讓知情同意規則真正在大數據時代發揮應有的作用。

此外，我國個人信息保護尚處在起步階段，其中仍然存在許多值得討論的地方。例如《民法典》中關于個人信息的分類與《個人信息保護法(草案)》中關于個人信息的分類不同，二者關系為何，又應當如何協調；關于面部數據信息，“草案”中規定了單獨同意制度，如何認定所謂的單獨同意；“草案”中還規定了信息主體的撤回權，撤回權的性質是什么、法律效果是什么等等，這些都值得廣大學者去努力探討。希望在眾多學者的共同努力下，大家能為建設法治中國作出更大的貢獻。