人臉識別技術應用的規范探討
——美國立法的啟示

楊 俊，張曉云

(安徽科技學院 人文學院，安徽 鳳陽 233100)

David Collinggridge 在1980年提出“科林格里奇困境”理論。他指出前瞻技術可能出現的負面影響在技術發展前期往往難以預測。在無法獲得其所產生影響的必要信息下，我們可以控制卻不知道該控制什么；當創新技術已在市場上占有穩固地位，在其對技術的發展產生的影響逐漸明朗時，我們知道該控制什么卻已陷入難以控制的困境。[1]隨著人工智能的發展，人臉識別技術在公共安全認證、智慧校園、考勤系統、門禁系統、在線支付、訪客登記等場景廣泛運用。在享受信息技術飛速發展帶來便利的同時，人臉識別技術帶來的信息安全、隱私、個人信息保護、消費者保護、公平交易等問題日益凸顯。2021年“3·15”晚會曝光了科勒(中國)投資有限公司違規抓取人臉數據。該公司門店的攝像設備會自動抓取到店人員的人臉信息，并通過軟件系統將收集到的人臉信息圖片上傳到萬店掌租用的阿里云服務器，再經過算法計算篩除門店員工及重復進店的顧客，達到去重目的。商家據此來精準統計客流，方便制定銷售政策。但商家在利用上述攝像設備收集消費者人臉信息時，并未取得消費者的明示或授權同意。截至2021年3月15日，當事人共抓取了2 202 264條人臉信息。

人臉識別技術應用伴隨而生的相關風險迫使監管機構開始思考適度的管制。“3·15”之后，各地行政機關加大了對于人臉識別技術使用以及數據合規的處罰力度。2021年4月，寧波市場監督管理局先后對20家房地產企業進行立案查處，合計罰款203萬元。2021年4月9日，人臉識別第一案二審宣判，在司法裁判領域不斷探索對自然人人臉信息等生物識別信息的保護規則。2021年7月27日，最高人民法院發布《最高人民法院關于審理使用人臉識別技術處理個人信息相關民事案件適用法律若干問題的規定》(以下簡稱《規定》)。2021年8月，《個人信息保護法》正式頒布。《規定》以16個條文對使用人臉識別技術和處理人臉信息的案件，在侵權行為、合同規則、舉證責任等方面，做出了明確回應。人臉識別司法解釋的發布，意味著企業在使用人臉識別技術時，應更充分的評估相關業務場景的合規性。尤其對于主營業務涉及運營App的企業而言，嵌入人臉識別功能，進而采集用戶人臉信息的場景越來越廣泛。

一、問題的提出——我國人臉識別第一案

2019年4月，郭兵購買了野生動物世界的雙人年卡，留下個人身份信息，并錄入指紋和拍照。其后，野生動物世界為了提高游客檢票入園的通行效率等原因，決定將入園方式從指紋識別調整為人臉識別，未注冊人臉識別的用戶將無法正常入園。郭兵提出其妻子不同意人臉識別，并咨詢在不注冊識別的情況下能否退卡費，雙方未能就退卡方案達成一致，于是提起了訴訟。

一、二審法院均支持刪除人臉信息的請求，但裁判思路有所區別。一審法院認為：(1)當事人在辦卡時簽訂的是“指紋識別方式入園的服務合同”，野生動物世界收集原告的人臉識別信息缺乏必要性和正當性；(2)野生動物世界在涉指紋識別的“年卡辦理流程”中規定流程包含“至年卡中心拍照”，但并未告知原告拍照即完成對人臉信息的收集及其收集目的，原告同意拍照的行為，不應視為對收集原告人臉識別信息的同意。二審法院認定：(1)原告提供照片僅為配合指紋卡的使用，不應視為其已授權同意將照片用于人臉識別，即并沒有獲得原告的同意。(2)野生動物世界雖自述其并未將收集的照片激活處理為人臉識別信息，但其欲利用收集的照片擴大信息處理范圍，超出實際收集目的，違反了正當性原則。(3)鑒于收集照片與人臉識別利用的特定關系，野生動物世界以短信通知的方式要求原告激活人臉識別，表明其存在侵害原告面部特征信息的人格利益的可能與危險。

我們可以看到二審法院判決區分了“照片”“面部特征”“人臉識別信息”，很詳細的還原了整個業務的流程。即野生動物世界在指紋無法識別等特殊情況下，需要核對照片，用于驗證年卡消費者的身份。在這種情況下需要采集原告的面部特征，對于面部特征在激活之后才能進行技術處理，從而變成人臉識別的信息。二審的判決其實是把整個所謂的使用人臉識別技術或者是處理人臉信息結合到具體的業務場景去做了一個技術的還原。

這個案件當中我們其實可以進一步去探討很多的問題：圖像信息是不是等同于人臉識別信息？具體場景是否具有處理人臉識別信息的必要性？收集人臉識別信息如何獲取有效的知情同意？

二、人臉識別信息技術的定義與應用

人臉識別技術所取得的臉部識別資料，在個人資料保護規范的界定中都屬于特種個人資料，且屬于生物識別信息的一環，其資料的收集、處理與利用應受到更嚴格的保護與檢視。

(一)圖像信息與人臉識別信息

人臉識別信息除了敏感個人信息的屬性外，還有個特點就在于它可能同時具備肖像權和隱私權的屬性。所以，人臉信息和圖像信息既有聯系也有區別。

1.人臉識別信息的定義與應用

(1)生物識別

《規定》并沒有對人臉識別做出具體的定義，但是明確將人臉信息歸屬于《民法典》所規定的生物識別信息。生物識別是指針對個人特定身體或行為特征的量測與分析，用于識別身份、生物識別的個人資料包括：指紋、DNA、心跳、臉部特征等。[2]結合個人信息相關的法律法規和國家標準，人臉信息可以理解為一種人臉識別特征或者是人臉識別的數據。人臉識別技術通常的步驟是指由影像監測辨識個人臉部，通過軟件分析臉部特征，再由程式利用數位模板測量節點，例如，測量鼻梁距離，依此會有不同的端點，這些節點可用來判斷不同個人臉部上的特征，系統描繪出臉部紋理，可和既有的臉部資料庫進行對比。人臉識別技術與人工智能技術的結合，使得人臉識別技術應用更為廣泛且提升判斷的精準度。例如，現階段新型冠狀病毒疫情肆虐全球，基于疫情地避免與防止擴散，佩戴口罩已成為必備防疫措施，而為使戴上口罩后的人臉識別技術進一步提升，已有科研團隊針對戴上口罩后未被遮蔽部位的臉部特征截取分析。

將人臉識別技術取得的資料進一步與資料庫對比進行識別，可用于身份驗證。其次，將所有資料庫的資料進行分類并加值應用。其相關的應用層面，可略分為公共用途利用，位于公共場所架設使用，例如，裝設于十字路口、車站、或機場等公共區域，另一用途是作為商業利用，分別為：零售商店、體育場館或旅店等。如果成為公共用途的利用，所取得的資料部分則可用于犯罪偵查維護公共安全，但相對地引起的隱私與人權爭議，合憲性與否受到挑戰。另一部分，作為商業用途時，有助于加速服務流程、廣告投注或識別不同客戶以量身打造不同的服務人群。同時，這些收集的資料成為大數據的一部分，有助于未來政府信息公開以及企業進一步研發的基礎。

(2)人臉識別應用的爭議

人臉識別所取得的生物識別信息所面臨的問題在于安全性維護以及身份信息遭竊取的風險，而且由于生物辨別信息具有個人獨特性，并且無法取代的特征，在此等具有高度安全性疑慮下，一旦資料遭竊取，所造成的影響與其他一般資料，如電話號碼、地址或密碼設計等相比較下，生物識別的信息受侵害所造成的損害程度更為嚴重。①歧視與偏見。首先，人臉識別系統受算法設計者自身的偏見，使用人臉識別算法通過標簽化的判斷方式增加了作出歧視性決策的風險。例如，在求職領域，通過對求職者人臉圖像的分析，系統可以運用其強大豐富的數據分析處理能力，評價求職者的性格、情緒、能力等，從而協助雇主作出是否聘用的決策；[3]其次，人臉識別系統也面臨技術應用的失誤將造成各種歧視問題。例如，亞馬遜在2016年研發臉部識別系統，提供美國佛羅里達州警方使用，但后續研究統計顯示，系統針對有色人種的識別產生許多錯誤，引起種族歧視問題，進而在2019年先行暫停美國警方使用該系統。[4]②隱私與信息保護。識別錯誤所衍生的歧視問題多半是因為人臉識別系統涉及自動化技術產生誤差的因素包含數據本身可能具有偏差，或信息本身不足以代表某些特定的人而造成演算法運作過程產生錯誤。進一步，若將此用于自動化決策，則又衍生自動化決策對信息主體的保護問題。如歐盟《一般信息保護規則(GDPR)》第22條所規定，信息主體應有權不受基于自動化處理所作成而對其產生法律效果或類似的重大影響的決策所拘束。

2.圖像信息與人臉識別信息的區別

在人臉識別案中，法院在判決書中指出：野生動物世界通過拍照行為采集了原告的“面部特征”，但該“面部特征”只有在激活后，進行技術處理才變成人臉識別信息。即人臉信息它和照片、面部特征既有聯系也有區別。并非只要出現肖像、人臉圖像就屬于人臉識別信息，應區分具體的處理技術和應用場景。歐盟《關于個人數據自行處理過程中的個人保護公約》解釋性報告第59條規定:只有當圖像通過特定的技術手段處理，允許對個人進行唯一性識別或驗證時，才屬于生物識別數據的定義范圍。我國司法解釋《規定》第1條：因信息處理者違反法律、行政法規的規定或者雙方的約定使人臉識別技術處理人臉信息、處理基于人臉識別技術生成的人臉信息所引起的民事案件，適用本規定。即對于未使用人臉識別技術，而僅通過監控或錄像等行為收集肖像，屬于侵犯了用戶或消費者的肖像權、隱私權。如果使用人臉識別技術辨識、驗證、分析用戶或消費者的人臉信息，因為人臉識別技術及人臉信息具有唯一性和敏感性，應根據人臉識別司法解釋的規定，取得單獨同意或書面同意。

綜上，人臉信息它是肖像最為重要的組成部分，并且有時候它會構成個人隱私，即它同時具備肖像權和隱私權的屬性。人臉識別信息不僅屬于生物識別信息，也屬于敏感個人信息。敏感個人信息一旦泄露或者是非法使用，可能導致個人受到歧視。因此，人臉信息屬于需要按照敏感個人信息和生物識別信息的特殊規則來進行保護和處理的一種信息類型。

(二)收集人臉信息的必要性要求

按照個人信息安全的最小必要原則，企業在使用人臉識別技術、收集人臉信息之前，必須要先明確人臉信息對于其產品功能或者是服務功能實現的一個必要性。如在人臉識別第一案當中，野生動物世界以指紋信息來履行服務合同之后，又單方變更為人臉識別，這個方式就缺少必要性。因為對于游客入園而言，可以采用的方式有很多，如可以采用人工方式，可以刷指紋，可以有其他很多的方式，而不用說要全部升級為人臉識別這一種唯一的方式，而不給用戶其他的選擇，這個就是一個必要性的衡量。

收集人臉信息的具體用途包括計數、識別、認證、監控、偽造和窺探等，需要根據應用場景具體分析必要性程度。對此，企業在設計產品或服務的功能時，應事先厘清預期功能和人臉信息之間的因果關系，如果明顯可以通過其他方式代替人臉識別，那么收集的必要性存疑。

(三)收集人臉信息的告知同意

告知和同意作為個人信息處理最主要的一個合法性的基礎，它對于同意的質量是有要求的。即同意是在什么場景下建立一種什么樣的規則，滿足什么樣的具體要求，這是有明確規定的。按照《個人信息安全規范》附件B的標準，人臉信息被判定為個人敏感信息，信息收集企業在收集前需要征得個人信息主體的明示同意。根據第5.4條的要求，這一“明示同意”必須滿足以下三個條件：用戶完全知情，由用戶自主給出，是具體的、清晰明確的意愿表示。以具有人臉識別功能的App為例：(1)單獨告知、完全知情：用戶首次開啟人臉識別功能時，通過彈窗形式同步告知人臉識別功能的信息處理規則；(2)不捆綁、具體清晰：該規則僅描述人臉識別功能及其信息處理規則，不包括對其他不相關事項的描述；(3)明確同意、自主給出：用戶通過點擊“同意”等主動性動作清楚地表達自己的意愿；(4)不強迫：如果人臉信息不屬于該App的必要個人信息，用戶在閱讀信息處理規則后，也可以選擇不開啟該功能，而且仍可以繼續使用App的其他功能。

三、美國人臉識別技術的立法監管

美國尚未有具體聯邦法律直接規范人臉識別技術，然而，為適應科技發展，從2019年開始已有部分法案提出，以處理人類識別技術應用帶來的爭議。美國聯邦貿易委員會在美國的隱私監管層面向來積極，各種新興科技所衍生的隱私保護問題，都可以看到聯邦貿易委員會的裁罰案件，聯邦貿易委員會也是生物識別信息問題的主要管制機關。

(一)FTC不公平或欺騙消費者的規范

美國聯邦貿易委員會(Federal Trade Commission,以下簡稱FTC)針對信息隱私的違反具有相當的管制權限，通常是以《聯邦貿易委員會法》第約條的解釋，即以是否為不公平與欺騙消費者的情形判斷有無違反消費者保護的情形。FTC在2012年10月針對企業使用人臉識別技術的隱私風險提出建議原則，包括：(1)企業應在將產品進入市場的每個步驟中加入設計階段保護隱私的概念；(2)企業應就取得的信息建構合理的安全保護措施，并確認信息的保存方式、期間和處理方法等，當中包含消費者對于信息資料有選擇是否退出的權利；(3)開發人臉識別產品時應考慮特種個人信息資料，如不應在兒童聚集的地方設置人臉識別裝置收集信息。除此之外，企業應與消費者建立信任、安全機制，以及維持透明性。例如，應使消費者事先知道企業將利用人臉識別技術收集信息。當公司利用電子看板來計算人流量的性別或年齡等特征時，應在消費者接觸這些人臉識別偵測工具前向其明確告知正在利用該辨識系統。或者在社交媒體使用人臉識別技術時，應向消費者提供相關技術的運作流程，并讓消費者選擇關閉辨識功能以及刪除所取得的生物特征資料。上述FTC所提出的原則，旨在貫徹設計隱私、簡化消費者選擇以及透明度等概念。最后，FTC提及當資料為目的外的利用，以及利用人臉識別技術來辨別未知消費者的身份時，則應該事先取得當事人的明確表示同意。如消費者不知道該資料用于廣告投放，或者利用辨識繼續攝影不特定多數人，而后與資料庫對比，這些情形都應該具備當事人的明確表示同意。

同時，聯邦貿易委員會依《聯邦貿易委員會法》第5條的解釋，還被賦予執行隱私政策的權力。就隱私政策通知的內容，FTC曾在起訴案件中明確主張，其內容至少應包括：何種個人信息被收集、收集的用途及消費者控制該用途的能力或選擇退出的能力、將泄露給何種第三人、消費者接觸其個人信息資料的可能與方式、消費者從信息收集者資料庫刪除其個人信息資料的可能與方式，及資料收集者維護所收集個人信息資料的安全步驟。對于實際操作中，多數隱私政策的內容過于冗長、難以理解及缺乏一致性，導致無法有效地告知消費者關于個人資料保護的實際政策，FTC還進一步建議，隱私權政策或隱私通知應更加清楚、簡短及標準化，以利于消費者更了解及比較各個隱私權政策通知。在此基礎上，FTC還明確主張，隱私權政策的提供應以清楚、顯著通知為標準。所謂“清楚且顯著”是指在文字大小與位置方面，不應使用令人分心的元素而隱晦不明，應該使用一般消費者能充分注意而加以閱讀并理解；在字體方面，其呈現方式應與背景形成強烈對比。隱私權政策內容應出現在網站首頁或個人信息資料會被進行收集所在的每一個網頁之中。如果經營者未能以清楚、顯著的方式提供隱私權政策，并違反了隱私權政策而收集個人信息資料，將會面臨FTC追訴。

(二)《人臉識別倫理使用法(Ethical Use of Facial Recongnition Act)》草案

該法案中規定政府利用人臉識別技術時，在尚未建議提出適當的規范和使用權限之前，先暫停適用此項技術。即該法案禁止聯邦的任何官員、員工或承包商等，在沒有授權的情況下從事與人臉識別技術相關的特定活動，直到該法案所規范應設立的國會委員會已提出使用建議和商業用途的規則。該法同時禁止各州或當地政府利用聯邦經費投資或購買相關技術。另外，該法的另一項重點為成立委員會，用于審視與提出建議以確保未來聯邦的任何一項人臉識別技術應用屬于合理利用以維護公眾安全與市民的隱私。

(三)《商業人臉識別隱私權法(Commercial Facial Recognition Privacy Act of 2019)》草案

該草案針對人臉識別資料的收集、存儲與利用等規范，強調必須取得明確同意，以及禁止在未經過當事人同意下分享該資料。該法案強調人臉識別技術的商業應用方式，而政府若使用人臉識別技術，則非本法的范圍。

(四)伊利諾伊州《生物識別信息隱私法(Biometric Information Privacy Act)》

該法于2008年10月通過，明確規范了生物識別信息的收集、儲存與利用。該法規定出具備專業知識或技術可以協助雇主評估求職者職位合適的人外，雇主不得與任何人共享求職者的人臉信息資料；同時，人工智能視頻采訪法賦予求職者要求刪除有關其個人人臉視頻資料的權利，如果求職者向雇主提出前述請求，雇主及可能保存人臉信息副本的利害關系人均必須在接收請求后三十天內完成相關信息的刪除。

四、啟示

通過上述論述，可見美國人臉識別技術的規范及草案的精神，主要都是為避免產生偏見或不正當的結果，避免種族或其他受保護的個人產生差別影響。同時，人臉識別技術面臨的疑慮在于通過該技術所收集、處理、利用以及后續的資料銷毀或保存等是否符合個人信息保護法的規定。事實上，許多企業可能使用人臉識別技術進行員工管理，但為避免爭議發生，大部分都按個人信息法的規范事先取得書面同意。因此，對于企業利用該技術的建議，應參考美國的相關規定。

(一)遵守合法、正當和必要原則

人臉識別技術應遵守所有應適用的法律和法規。根據我國《民法典》第1 035條規定個人信息處理的基本原則和個人信息安全的最小必要原則，企業在對相關技術進行部署和應用時，應持續遵守合法、正當與必要的原則，在部署前開展必要的個人信息安全影響評估，以確保人臉信息識別的處理嚴格遵從法律法規和監管要求。如果明顯可以通過其他方式代替人臉識別，那么收集的必要性存疑。

(二)列入企業的隱私權保護政策

人臉識別技術應用同時應遵循透明度原則，即資料、系統及人臉識別運營模式應保持透明、追溯機制可幫助達成此要求。另外，人臉識別系統的利害關系人必須能清楚解釋人臉識別系統及其所下的決定，同時清楚告知人臉識別的功能與限制。參考美國FTC在2012年提出的建議準則，以及聯邦相關的草案，可思考要求企業在使用人臉識別技術時，應在隱私權政策中告知，并且事先告知以及取得個人書面同意，建立資料保存與揭露限制標準等。網絡提供服務或產品的網站(公司)有強烈動機收集個人資料，而使用網絡或網站的消費者則以各種方式提供個人資料，如為接受電子報而提供電子郵件帳戶，為進行交易而提供信用卡資料及郵寄地址、或為免費瀏覽網頁而允許網站收集瀏覽行為相關個人資料并進行行銷。隱私權政策是企業確權明責的書面依據。按美國統計，1998年僅2%網站有某種形式的隱私政策，1999年最受歡迎100個網站中18個未建立隱私權政策，2001年幾乎所有受歡迎的商業網站都有隱私權政策。[4]具體而言，隱私政策中應當包含：人臉信息的收集目的，實現的具體功能、收集和使用方式、加工處理情況、儲存期限、存儲方式、共享情況、刪除撤銷方式，收集目的以外的利用或揭露的限制及當事人因此讓渡個人信息資料的利益等。同時，如果隱私權政策內容有變更、資料收集者也應通知當事人，以利于當事人是否繼續同意個人資料被收集、處理、利用或分享的決策。企業對隱私權政策當中說明材料的收集取得以及處理利用情形，可以成為合同的一部分，如果未能成為合同的一部分，可以依《消費者權益保護法》的規定要求企業對此負責。同時，單獨列出人臉信息的相關條款，并以醒目、明顯的方式提示用戶閱讀，避免晦澀難懂的措辭。

(三)提供具體意義的告知同意

按消費者主權(consumer sovereignty)理論，消費者應有充足、正確的信息，以作出適當的決定。因為關于如何收集、處理、利用及分享個人資料，當事人與資料收集者之間存在信息不對稱，因此，應有告知后同意、告知后選擇或通知與選擇機制的適用。即當事人決策或同意權行使應以“被告知”或“被通知”為前提，否則，無真正自由的選擇。落實告知義務除了企業公開陳述之外，消費者可能有未閱讀通知或是通知難以取得或理解等形成困難。但不論如何，以告知為前提才具有正當性，如果缺少告知，消費者無從了解資料未來將受到何種利用以及保留時間應為多長。因此企業收集信息以及使用人臉識別技術行為必須明確落實告知義務。關于有意義的同意方面，首先應使用簡短、通俗易懂的語句；其次可采用分層次說明方法。歐盟信息保護工作小組在2004年提出的《更加協調的信息規定意見書(Opinnion on More Harmonised Information Provisions)》中，支持以多層次告知(multi-layered notice)概念取代過長的告知內容。該方式能使信息主體在短時間內快速地初步理解信息被誰、基于何種目的的收集、使用。分層次告知法分為三種層次：簡短告知、濃縮告知和完整告知。[5]

(四)承擔更高的數據安全保護義務

企業應持續提升對人臉識別信息的安全防護義務：首先，原則上企業不應當存儲原始人臉信息，《個人信息安全規范》建議個人信息控制者通過存儲摘要信息、終端直接識別或使用后及時刪除的方式避免存儲。如果必須存儲原始人臉信息，在信息傳輸和存儲過程中需要采用加密等安全措施，密碼技術需要遵循密碼管理的相關國家標準。參考歐洲數據保護委員會頒布的《關于通過視頻設備處理個人數據的3/2019指引》，要求在必須保存的情況下采取添加干擾的保護方法。其次，人臉信息應當與個人信息分開存儲。為了避免人臉信息和個人身份信息組合、匯集而形成信息組合體，控制信息泄露導致的個人風險，應將二者分離存儲。最后，共享、轉讓人臉信息前必須披露數據接收方情況。對于人臉信息等個人敏感信息，信息控制者在共享或轉讓前，除了需要向個人信息主體告知共享、轉讓的目的和可能后果外，還應當向個人信息主體告知數據接收方和數據安全能力，并事先征得個人信息主體的明示同意。

(五)明確保護形式和邊界

人臉識別信息兼具肖像權和隱私權的屬性，對于侵犯隱私權的可依《民法典》人格權侵害請求規范，請求民事賠償。對于違反隱私保護政策的可依《消費者權益保護法》中有關廣告宣傳的相關規定追究法律責任。人臉識別技術的應用如果存在不公平或欺騙消費者的行為，有礙交易秩序的可依《反不正當競爭法》的追究法律責任。