權利框架下的面部識別技術：風險與規制的學理分析*

孫 康

(山東大學 法學院，山東 青島 266237)

習近平總書記指出：“要加快科技安全預警監測體系建設，圍繞人工智能、基因編輯、醫療診斷、自動駕駛、無人機、服務機器人等領域，加快推進相關立法工作。”[1](P221)這啟示我們，對于面部識別技術(Face Recognition Technology，簡稱“FRT”)，也必須及時通過立法加以有效規制，以符合數字法治的要求。目前，面部識別技術尚未劃分統一的技術標準，業內水準參差不齊。技術的成熟與否與其濫用沒有必然關系，對于面部識別風險的探討時機，不僅包括技術尚不成熟時，也包括技術成熟以后。技術應是按照人類的設想發展的，有鑒于此，須從權利的角度思考面部識別技術帶來的風險，及時予以預先規制。目前學界針對面部識別法律風險及其規制的研究，起始于近五年，興盛于近三年。其中比較常見的是以權利視角進行分析，(1)此類主題論文，例如：李婕.人臉識別信息自決權的證立與法律保護[J].南通大學學報(社會科學版)，2021，(5):106-115.該文認為：“人臉識別信息的權利屬性是信息自決權這一新型權利?！痹偃纾喝~濤.公共場所人臉識別技術應用的利益衡量與類型構造[J].浙江社會科學，2022，(7):41-49.該文認為：“禁止應用場景是通過限定公共場所人臉識別的適用邊界，以防范對公共利益或個人人格利益造成不公正損害?！边@種研究提到涉及面部識別的諸多權利，但對于權利的體系化論證往往不夠充分。也有很多研究把規制原則作為重點，其中多數是針對單一原則尤其是比例原則應用于涉面部識別技術案件的研究，(2)此類主題論文，例如：馮愷，楊潤宇.人臉識別信息處理中“合法、正當、必要”原則的區分審查[J].東南法學，2022，(1):18-35.該文認為：“‘合法、正當、必要’原則是人臉識別信息處理的重要審查依據。三原則內涵關系上存在混淆性，故區分其界限作出區分審查符合立法本旨?！痹偃纾航?由靜態到動態:人臉識別信息保護中的“同意”重構[J].河北法學，2022，(8):126-144.該文認為：“有必要在人臉識別信息保護同意規則構建中引入場景理論。”再如：湯建華.人臉識別技術不合理擴散的倫理風險與法律規制——兼論動態同意規制模式的建構[J].新疆社會科學，2022，(3):135-144.該文認為：“我國采取了‘隱私權+個人信息’雙重保護模式，體現了寬松同意模式?！钡鄙賹σ幹泼娌孔R別技術各個有效原則間互動關系的分析。在某些研究所涉及的法律部門中，多數是單一涉及公法部門(如刑法、行政法)或私法部門(民商事法)，且往往把典型案例作為切入點進行分析，(3)此類主題論文，例如：勞東燕.“人臉識別第一案”判決的法理分析[J].環球法律評論，2022，(1):146-161.該文認為：“技術中立是個偽命題且具有誤導性，因為技術不只處于科技系統之內，它也作用于現實社會并對之加以塑造。”再如：王德政.針對生物識別信息的刑法保護:現實境遇與完善路徑——以四川“人臉識別案”為切入點[J].重慶大學學報(社會科學版)，2021，(2):133-143.該文認為：“生物識別信息具備本體特殊性和社會特殊性,這決定了其具備與普通公民個人信息不同的重要性,應受到刑法的特殊保護。”一般難以突破公私法之間的藩籬，也未能展示公私法之間的互補耦合?？偠灾?，缺乏從法哲學尤其是從權利哲學進行思考的相關研究，且不能提出將面部識別所涉及權利、風險與規制整體考慮的權利-義務分析框架。本文對面部識別技術進行權利視角的分析，可發現其對公民權利的可能侵犯，其構造主要表現在人權、人格權和個人信息(權)三個層次，分別對應基本權利、傳統權利與新興權利三種屬性。對面部識別風險的綜合判斷與個性規制，為其提供政策與制度的及時更新與支撐，也有利于這項技術的進一步完善與發展。為此，本文將主要立足于憲法與相關法律進行學理探討。

一、面部信息的基本權利屬性

(一)作為權利的面部信息與傳統權利的相關性

美國法學家龐德認為：“權利這個詞被用來指法律上得到承認和被劃定界限的利益，加上用來保障它的法律工具，這可以稱為廣義的法律權利。”[2](P47)在面部識別技術未出現以前，人臉一般不會被認為是具有相當特殊性的“權利”，它尚未能完全抽象成一種信息，而是由肖像權、隱私權等傳統權利即可涵括。隨著面部識別技術的產生和發展，人臉特征被賦予以信息為基礎拓展出的含義，面部的信息性為其帶來新的保障價值，也就需要以新型權利名稱加以保護，由此出現“權利泛化”這一現象，這是一個隨著技術發展應然產生的現象。面部信息權利是一種新興權利，面部信息是其權利客體(載體)。有學者認為，“新興”權利特指權利的“新”現象與樣態，即權利在主體、客體、內容方面的伸、縮或擴展、限制等變化情況。[3]面部信息是權利客體方面的延伸，傳統權利顯然無法涵括這一新興權利。目前，國家已經充分關注到面部信息這一新興權利，并逐漸將其納入立法計劃，使之具備法律化的權利形式。但是在正式立法之前，這些新興權利往往會借助已被承認的傳統權利之外殼，率先進入司法實踐和學理研究的舞臺。這說明新興權利和傳統權利既不是相互割裂，也不可相互替代，而是“聯系中有差異，共相中顯殊相”。

(二)面部信息權利作為新興權利的獨特性

面部信息及其權利分別是新型生物信息以及新興權利，與指紋、虹膜等生物信息相比，面部信息更有顯著的獨特性。

第一，除了具有自然性和非侵入性外，面部信息最重要的優點是可以遠距離、隱蔽地被捕獲，從而更容易獲取。相比于指紋識別必須要采集指紋信息，面部識別具有非強制性。它不需要被測者主動提供任何信息，在便利性和隱蔽性方面更具優勢，無需接觸設備也使其在安全性和衛生方面更有保障。

第二，面部識別誤判率更高。生物識別技術種類多樣，比如指紋識別、虹膜識別、靜脈識別、聲紋識別以及步態識別等等，其中指紋識別應用最為成熟，虹膜識別安全系數則最高。技術發展不夠完善，就容易導致誤判。依賴可見光獲取面部圖像信息，容易受環境影響。另外，面部自然衰老以及化妝、整容等改變面部特征的行為，均可能改變識別的后果：發展“年齡不變”的面部識別就被認為是極度困難的事。[4](P13)人一生無法改變自己的指紋，但是可能(且有權)改變自己的容貌。而人的指紋和虹膜具有終身不變性和唯一性。

第三，面部信息更多帶有人格或人文屬性，與肖像權、隱私權、人格尊嚴等權利聯系密切。面部信息具有文化涵義，尤其在我國傳統文化中，面部(face)可引申出“臉面” “面子”等豐富的含義，美國學者明恩溥在《中國人的氣質》第一章《臉》中即指出：“在中國，‘face’是一個語義甚多的復合詞，其內涵之豐富，超出了我輩的描述能力甚至理解能力?！盵5](P16)抓拍面部的行為，既侵犯人的人格權，又可能傷害在特定文化傳統背景上的個人尊嚴。

個人信息(權)算作人格權的廣義延伸，但是用人格權定義個人信息(權)，顯然并不合適。同時，與傳統個人信息不同，面部信息也是一種生物資源(生物識別信息)，這就決定了對面部信息權利的保護與傳統個人信息相比，具有一定的特殊性。采集生物信息，通常比采集傳統個人信息需要更高的技術手段，保護難度更高，規制的細致程度也更高。

二、三重權利框架下面部識別技術的風險分析

鑒于人權、人格權和個人信息(權)是緊密聯系的，且面部識別技術在權力-權利體系中的位置需要明確，所以筆者擬創設三重框架。憲法是人權理念的最高規范載體，是確認個人基本權利的基礎手段。人權是主要被公法上強調的具有一般宣示性的權利，其外延也更廣，它的保護手段主要通過民法等具體部門法實現。人格權則更加具體，操作性也更強，所以從某種程度上說，人格權是人權的核心。人權和人格權雖有部分重合，但是人權概念更包含著個人向國家主張的部分。換言之，人權概念描述的是國家與人民之間的關系，可以聯結國家的“權力”以及個人的“權利”，是橫跨公私法領域的概念。關于中國國家與人權的關系，根據《中華人民共和國憲法》第33條第3款的規定，國家在消極不侵害人權以外，還有積極提供保護的義務。對于來自其他人民的侵害，國家應該建立包括公法和私法的制度讓人民也有經由民事途徑自我保護的可能。[6](P63)人權和人格權的框架便由此搭建，二者關系亦由此彰顯。

但是框架的搭建不能至此結束，對于面部識別技術的分析需求來說，它仍是不完整的。人格權本來就和財產權聯系較為緊密，它們有共同的理念基礎，即人性尊嚴和人格的自由發展。此外，當人格權受到侵害時，可能隨之引發財產權的糾紛問題。但是，人格權和財產權畢竟具有天然的界限。個人信息(權)則既可能包含人格尊嚴，也可能包含財產性權利，個人信息(權)比傳統意義上的人格權更直觀地包含財產屬性。盡管財產權是否屬于人權尚存一定的爭議，“保護私有財產”和“保障人權”卻具有內在統一性。作為人權之新興下位概念的“個人信息權”的出現，統合了人格權和財產權的基本特征，集中涵攝于人權保護的框架之下，暫時消弭了上述爭議。人格權框架是溝通人權和個人信息(權)框架的橋梁。人權中體現的“國家與個人的關系”又指向個人信息(權)乃至人格權(一般是隱私權和肖像權等具體表現形式，而不涉及最核心的人格尊嚴)，因為在緊急狀態下，國家公權力有可能侵入個人信息(權)的保護范圍內，但這種侵入是必須加以嚴格規制的。

綜上所述，人權—人格權—個人信息(權)的三重框架是互通且立體的。三種權利分析子框架也并無優劣之分。從人權到人格權，再到個人信息(權)，是一個逐漸具象化呈現人的尊嚴與財產性的過程，它們逐步遞進，互相彌合，共同構成了對面部識別技術之權利分析的基本內容。與面部信息最切近的框架雖然是個人信息(權)分析框架，但倘若脫離了人權及人格權分析框架，也無法將面部識別技術準確定位。所以，任何一個子框架也無法單獨完成對面部識別的分析，故而需要整合成為逐層嵌套、層層遞進的三重框架。三種復合疊加的向量共同指向面部信息的本質及其面臨的風險，有利于我們更深刻和更全面地了解作為權利的面部信息的前世今生和來龍去脈，從而確定權利保護的基礎構造，擬定相應的規制手段。以下在具體分析時，將分別以三個子框架分析面部信息所承載的權利內容、應用場景及其面臨的風險。

(一)人權分析框架

人權又稱為“基本人權”，它是一種由國家憲法規定的、高度概括的權利，應當從人權的高度審視面部識別技術的合理使用。人工智能系統集犯罪趨勢分析、案件特征分析等功能于一體，能自動采集各種信息，智能分析相關數據，使案件偵辦工作更加高效、智能。面部圖像采集是自發的、隱秘的，面部識別比面部驗證更可能侵害人權，這因為它事先假設每一個被識別者都有嫌疑。以美國為例，1791年其憲法《第四修正案》規定通信秘密與人身自由、住宅權、財產權一道作為憲法基本權利被予以保護?！兜谒男拚浮穼﹄[私的保護作用直到1967年才在“卡茨訴美國案”(Katz v. United States)中定義，該案判定聯邦調查局竊聽公共電話亭是違反憲法的搜查行為?！兜谒男拚浮匪峁┑谋Ｗo在范圍上應更廣泛，無論行為以什么方式做出，必須把政府所有不合理的侵犯個人隱私的行為認定為違反修正案的行為。[7](P48)隨著美國越來越多地使用面部識別技術(FRT)進行監控，《第四修正案》的困境也逐漸顯露，因為基于監控視頻進行匹配時，FRT算法的平均錯誤率估計為40%，包括錯誤識別和未進行任何識別。由于誤判率必然會使無辜平民受到無端的警察審查，法院和行政機構須通過《第四修正案》規定FRT系統的精確度。[8]法院要求FRT的準確度要高于緝毒犬和清醒測試的準確度，因為《第四修正案》只允許在已經合法的警察攔停的前提下進行緝毒犬和清醒測試。FRT監視使每個人的臉都要服從其算法的識別協議，而無需個別懷疑，所以即便程序的錯誤率優于犬類或清醒測試標準，系統每天執行數千個身份識別可能導致幾十個無辜的行人將被錯誤地搜查或拘留。與面部識別軟件相比，數字指紋識別軟件的估計故障率很低(約2%)，不致由算法錯誤引起社會困擾。只有當FRT也可以做到這一點，它才能通過廣泛使用于社會的審查。此外，囿于供給它學習的面部數據庫不夠龐大及多樣這一技術限制，FRT還可能在對黑人識別方面自然會出現更多錯誤，導致種族偏見問題。要想糾正偏見，就必須完善背后的數據庫建設。

在一國之中，憲法是最高法律秩序的體現：“憲法在法律技術意義上扮演著某種中心角色，尤其是它超越特定部門法領域、作為一種最高秩序的特性，這種角色定位就更要求在現實生活中，憲法能夠在普通公民的情感和期待中找到自己的支撐點?！盵9](P37)《中華人民共和國憲法》第33條明確規定:“國家尊重和保障人權?！碑斍靶屡d領域的公民基本權利就是互聯網時代人類追求自我價值的集中體現，所以也應當納入憲法保障的范疇。[10]而《中華人民共和國憲法》對面部信息的保護是宣示性及超然性的，不是通過直接被法院引用的方式來保護。(4)最高人民法院于2016年6月28日發布了《人民法院民事裁判文書制作規范》(法[2016]221號)，指出：“裁判文書不得引用憲法和各級人民法院關于審判工作的指導性文件、會議紀要、各審判業務庭的答復意見以及人民法院與有關部門聯合下發的文件作為裁判依據，但其體現的原則和精神可以在說理部分予以闡述?！眳⒄盏聡淖龇ǎ兜聡痉ā返?條和第2條及其他基本權利規范，不僅使國家有義務避免對個人權利施加限制，還要求國家保證個人免受他人的侵害，并采取積極措施維護人權，所以必須制定有針對性的法律規范，例如數據保護法及信息技術安全法。處理人工智能及確保與之相關的創新責任，也應受此觀念約束。[11](P9-10)因此，我國依法保障面部識別技術，不侵犯我國公民的人權，在《中華人民共和國憲法》宣示和強調保障人權之余，也要有相關具體法律法規的配套落實?！吨腥A人民共和國憲法》為保障公民面部信息安全提供了最高位階的保障。

(二)傳統人格權分析框架

人權與人格權關系的本質是憲法、民法之間的關系，人格權是民事法律中對憲法規定的人權的具體化。面部識別技術對人格權的侵犯，主要體現在人格尊嚴、隱私權、肖像權等具體方面的權利?！吨腥A人民共和國民法典》把人格權獨立成編，就是為了彌補傳統的大陸法系“重物輕人”的體系缺陷，體現了《中華人民共和國民法典》對公民人格權利的特殊關懷。而面部信息可以橫跨人格尊嚴、肖像權以及隱私權這三類傳統人格權，面部識別技術可能對上述三種權利從不同角度分別予以侵犯。

1、人格尊嚴

《中華人民共和國憲法》第38條規定：“中華人民共和國公民的人格尊嚴不受侵犯。禁止用任何方法對公民進行侮辱、誹謗和誣告陷害。”一些不必要的面部識別會導致對人格權的侵害，違反法律法規對人格權的保障目的。例如，浙江省杭州第十一中學因在校園啟用智慧課堂行為管理系統引起廣泛關注，該系統旨在利用大數據進行精準化教育，通過記錄學生的面部表情和行為，來分析學生在課堂上的學習狀態，從而提高教學效果。[12]但是，《中華人民共和國未成年人保護法》第5條明確規定保護未成年人的工作，遵循尊重未成年人的人格尊嚴、適應未成年人身心發展的規律和特點、教育與保護相結合的原則。故這一行為可能侵犯學生的心理健康和人格尊嚴，違背教育宗旨。

面部識別用于娛樂等產業也可能損害人格尊嚴。深偽技術(Deep Fakes)是指人工智能通過深度學習可以依靠面部交換技術在圖像或視頻中把一張臉替換成另一張臉，它需要很少質料即可引發“信任危機”，且技術的快速迭代很可能會加深低門檻化和大眾化，低級趣味的泛娛樂化，甚至利用算法制作目標婦女淫穢視頻的行為，會導致對人格尊嚴的嚴重踐踏與損害。

綜上所述，由于人臉的易捕捉性及與尊嚴的高度相關性，生活中常見用途的面部識別活動都可能有意或無意侵犯人格尊嚴，其侵害程度視受害人的感知力、信息的傳播力、信息記錄與傳播目的等因素而異。一般來說，引起當事人情志上的不適感和羞恥感即可認為侵犯了人格尊嚴。非必要的面部識別，特別是以娛樂為目的的面部識別更容易侵犯人格尊嚴，甚至引發犯罪行為。

2、肖像權

肖像權是一種典型的私權，具有高度的可識別性與人身屬性。法律規定，未經本人同意不得以營利為目的(且未經肖像權人同意)使用公民肖像或對肖像進行損害、玷污。面部識別技術對肖像權的侵害風險具體表現在兩方面。一方面，在未經被拍攝人同意的前提下，用于商業用途而拍攝面部照片自然侵犯被拍攝人的肖像權。工作考勤等面部識別的一般應用，雖一般不會侵犯肖像權，但也不能保證搜集到的面部不會用于商業用途。從這點上說，面部識別的拍攝和普通手機、照相機等設備的拍攝并無本質區別。另一方面，面部識別技術搜集使用信息可能誘發侵權乃至犯罪，如網絡詐騙等違法犯罪事項。2019年，名為“ZAO”的AI換臉App之所以引發公眾關注和質疑，是因為它的操作門檻很低，只需要驗證面部后即可上載面部照片以合成視頻，存在不經用戶明示同意即收集生物識別信息、過度索要且不以清晰規則處理個人信息、泄露或濫用數據、侵犯著作權等風險。

3、隱私權

隱私是自然人的私人生活安寧和不愿為他人知曉的私密空間、活動及信息。私人生活安寧是隱私權的重要內涵。作為生活安寧的基礎，首先必須保障有個人隱私的法律權利。布蘭代斯和沃倫斷言，正確對待隱私權的基石是他們所描述的當時存在的普通法權利，即一個人有權決定是否、何時以及在多大程度上將他的“思想、情感傳達給他人”。[13]人類對隱私權的認識有一個微妙的歷史進程。個人隱私的形成，即使是嘗試性的，不論是作為一種權利，還是作為一種確定的價值，都須等到不斷增長的公共輿論把它變成一種活的問題時才能實現。[14](P262-263)面部雖然是公開在視覺范圍的，但是對面部的記錄顯然是另一回事。被記錄下來的面部信息，就是一種隱私權。防被偷拍權也是一項人身權利，目前不少國家或地區(如韓國、日本)出臺了防止偷拍的法律法規。面部識別的特性決定了它的規制需要采取更高級別的保護措施。在英國，圖像是個人數據(雖然到目前為止還不是)，盡管法院可能會爭辯說，個人對其圖像本身沒有權利，但他們確實擁有需要保護的信息隱私權，尤其是當圖像越來越多地在面部識別模式中獲得個人數據的地位時。[15](P101)《中華人民共和國民法典》第1032條亦規定：“自然人享有隱私權。任何組織或者個人不得以刺探、侵擾、泄露、公開等方式侵害他人的隱私權?！碑斪匀蝗说拿娌啃畔⒃诓恢椴⑼獾那闆r下被記錄下來以后，他的隱私權已經受到了最低程度的侵害，如果進一步將這些信息處理為數據，并加以不合理的使用，勢必將造成對隱私權的進一步侵害。作為個人生活安寧的起點和基礎，具有私密性的住宅，不但對于維護人格尊嚴和人格自由至關重要，并且面部識別技術的使用同時也可能侵犯隱私權。即使在住宅上使用自動化裝置進行非人格化識別，由于可視門鈴能通過面部識別、后臺操控雙重模式啟動拍攝，并可長期錄制視頻并存儲，加之居民們長期近距離相處，都為辨認影像提供了可能，以此獲取住宅內的私密信息和行為便現實可行，故可能使居民的生活安寧受到實際侵擾。

(三)個人信息(權)分析框架

面部信息本質上屬于個人信息(權)的范疇。個人信息(權)的關鍵詞是“安全”，首先是個人信息自主權，人工智能通常被視為對信息自主的一種威脅，智能視頻監控的各種應用就是一個例子。[16](P280)個人信息(權)是一種新興權利，如有學者抽象出“個人信息權”并指出：“侵犯公民個人信息罪，本罪具體保護的個人法益，不是以隱私權為代表的傳統個人權利而是在網絡信息時代作為新型權利的個人信息(權)。個人信息(權)是一項含有隱私權內容但又超越隱私權的權利，它是兼有精神性權利與物質性權利的綜合權利。”[17]面部信息與人格緊密相關，因此它是一種精神性權利，不能隨意侵犯。與人格權的人身權屬性相比，個人信息(權)還包含了人的財產性權利。面部信息可以作為一種密碼支付方式或信用支付方式，當面部信息被盜用時，可能造成財產的損失。網絡環境中信息安全威脅有：假冒、身份竊取、數據竊取、非授權訪問、算法歧視等。“面部信息權利”是一種新興的、泛化的權利，面部信息屬于個人信息的一部分，因此“面部信息權利”可以歸為個人信息(權)的一種表現形式。也就是說，與面部信息權利親緣關系最近的是個人信息(權)，個人信息(權)是對面部信息的權利保護體系中最核心、最具體、最本質的一種權利。

個人信息(權)的分析框架比傳統人格權分析框架更容易包含財產性權利，比人格權對財產性權利的落實也更為具體。但傳統人格權更強調個人的尊嚴，這一點也非常重要。權利是因時乘變地被“發現”出來的。德國《民法典》一般而言保護的只是人格的個別方面。[18]P424)科技的進步使法律規定中的漏洞顯而易見，此時通過類推適用個別人格權規范。[18](P426)伴隨時代發展出現的新興權利逐漸充實完善了權利的邏輯鏈條。與不可轉讓的人格權相比，個人信息(權)可以為主體有條件地處理，因而也更加靈活?？梢?，個人信息(權)分析框架是對傳統人格權分析框架的有益補充。

《中華人民共和國民法典》第四編第六章將“隱私權和個人信息保護”并稱。目前，《中華人民共和國民法典》對于個人信息作為一種權利采取審慎的看法，并未直接采用“個人信息權”的稱謂。由于權利的保障需要付出相應的成本，在權利界定尚不明晰之時，如此處理可以削弱該“權利”的對抗性，從而減低社會成本，促進相關事業高效發展。個人信息(權)是指個人信息本人依法對其個人信息所享有的支配、控制并排除他人侵害的權利。筆者認為，《中華人民共和國民法典》的具體規定其實在事實上已經變相明確“個人信息”的民事權利屬性。

此外，面部信息本質上也是一種生物信息，無論面部信息還是其他生物信息，都是不可再生的，并具有獨特性、專有性和敏感性，對于國家戰略層面意義重大。面部識別的濫用、大數據的泄露，勢必會對國家安全尤其是國家生物信息安全帶來重大隱患，這就勢必將成為公法規制的對象。

三、不同主體的視角下面部識別技術的規制原則

有效規制面部識別技術帶來的風險，正確引導面部識別技術邁向健康、成熟、穩定和高質量的發展模式，離不開包括傳統公法和私法在內的法律介入。在面對一個法律調整的社會關系時，應當從不偏執于某一部門法的視角切入進行思考，因此，筆者提出可以溝通公私法以規制面部識別技術應用的三個原則：針對公權機關的比例原則(Principle of proportionality)、針對科技企業的誠信原則(Principle of good faith)以及針對用戶個人的自愿原則(Voluntary principle)。為落實“三原則”，有必要提出成體系、可操作、有針對性的因應之策，以便為具體實踐賦能。

(一)公權機關：依據比例原則

法律中的比例原則要求行政措施的強度不得超過為達到追求的目標所必需的程度，至少在整個公法體系內比例原則都有施展空間，除此之外，還有向行政法外其他部門法滲透以及從行政向立法等領域滲透之趨勢。比例原則的精神實質在于“利益衡量”，因為公共利益在很多情況下未必有高于私人利益的絕對優越性。[19]關于面部識別技術使用中行使公共權力的機關(行文簡稱“公權機關”，如立法、司法、執法機關)的責任，可以分為被動和主動兩個方面，前者是公權機關自身的施為規范，必須是授權性規范；后者是公權機關對于社會上某些主體施為面部識別技術的監管、規制乃至懲罰。以下本文將對這兩點作具體分析。

第一，公權機關針對公民使用面部識別等無差別識別技術應特別審慎，不但要防止信息泄露，而且非合理必要和經合法授權不得使用，這是消極性義務。為防止信息泄露，《中華人民共和國民法典》第1039條已經規定國家機關、承擔行政職能的法定機構及其工作人員的保密義務是“對于履行職責過程中知悉的自然人的隱私和個人信息，應當予以保密，不得泄露或者向他人非法提供”。對于公權機關如何使用采集到的面部信息的問題，運用比例原則可以有效限制公權機關濫用技術，這在司法界也是合憲性審查的一種運作方式。放眼世界，比例原則在西方國家已經被廣泛應用。就涉及英國1998年《人權法》的案件，在“四階理論”下，決策者必須要處理遞進式的四個問題：1、立法目標是否足夠重要，從而能夠為限制某項基本權利提供正當性(目的正當性)；2、用來實現立法目標的措施與該目標之間是否有合理的聯系(適當性)；3、限制權利或自由的措施是否并未超越實現相應立法目標所必需的限度(必要性)；4、在相對人的權利和寓于整個《歐洲人權公約》中的共同體利益之間是否實現了合理的平衡(狹義的比例性/均衡性)。[20](P281)英國比例原則理論比受“形式法治國”觀念(德意志第二帝國時期即1871—1918年間)影響的德國傳統比例原則理論多出“目的正當性原則”，并且把它放在四個比例原則子原則之首，它是指如果人的尊嚴、基本權利遭受國家活動的侵犯，公民基本權利有約束一切國家活動的效力?！斑m當性原則”是指行政主體實施行政行為的方式要適當，能夠促進行政目的的實現。“必要性原則”確保了限制權利或自由的程度。“均衡性原則”指行政手段對相對人權益的損害必須小于該行政目的所實現的社會公共利益的限度，且該公共利益需要細化。這四個子原則要介入公民權利的保護，有個前提是該公民權利事實上能被限制，是事實上的“相對權利”。傳統民法認為人格權是絕對權，這只是指應然層面，實際上包括肖像權、隱私權在內的人格權都是在法律保留原則的限度內可以被行政行為所限制。個人信息(權)也不例外?！吨腥A人民共和國憲法》第37條明確規定：“禁止非法拘禁和以其他方法非法剝奪或者限制公民的人身自由，禁止非法搜查公民的身體?！比魧Α八巡楣竦纳眢w”作擴大解釋，也能涵攝對公民面部信息的監控識別行為。生物學數據的個人指向性更為明確，而且對個人而言，也顯然比一般的個人信息更為重要。對于基于面部識別技術而研發的疲勞駕駛檢測系統等涉及公共利益的應用，在肯定其初衷的基礎上，針對在什么情況下可以對公民面部進行監控識別、所得數據如何處理等問題，可以在某些特殊場景下考慮設立禁用“黑名單”制度，更可以通過立法手段對收集的主體、目的、方法、范圍、程序以及違規收集或使用的行為后果等問題，進行詳細規定，做到權利與義務、權力與職責相統一，用制度的剛性來確保“科技向善”。

西方國家已就規制面部識別展開行動。以美國為例，在地方層面，2019年5月舊金山城市監督委員會通過一項法令，禁止政府機構購買和使用面部識別技術，并限制商家使用攝像頭監控消費者行為，但對于手機刷臉支付等商業上的應用則暫未禁止。在聯邦層面，2020年2月已有議員提議《道德使用面部識別法案》，要求在制定政府使用準則和限制條件前，暫時禁止政府機構使用面部識別技術，以防止其違反美國憲法《第一修正案》中規定的公民言論自由權利?？偟膩砜?，美國以禁令形式實施的面部識別監管正在上升階段。由此可見，美國對公權力使用面部識別技術相當敏感，很大程度上是基于憲法上的考量。比例原則是對基于公共利益需要而限制公民權利的國家權力的限制，在政府未能說明使用面部識別技術的正當性、合理性、適當性之前，公權力被暫時限制使用該技術，但商業用途可以在政府監管的前提下被允許，因為商業公司和公民作為私主體之間可以進行協商溝通和意思自治。不過總的來說，西方發達國家其實并沒有基于人權的保護價值而冒犧牲國家安全的風險，而是調整了尋求合理平衡的規則，將國家安全居于優先考慮的因素，采取嚴格的限制性措施，靈活地采用比例原則。[21]

第二，在具備強大技術能力的互聯網及軟件企業面前，用戶個人處于相對弱勢地位，無法也無力對抗其強大的技術與經濟實力，需寄希望于公權機關的有效介入。公權機關對企業推廣FRT的行為也要依據比例原則規制，但同時也不能一味限制，簡單粗暴地阻遏該技術的發展空間。《中華人民共和國刑法修正案(九)》即第253條之一對“違反國家有關規定，向他人出售或者提供公民個人信息”這一行為予以了規定。最高人民法院、最高人民檢察院在2017年6月1日正式實施的《關于辦理侵犯公民個人信息刑事案件適用法律若干問題的解釋》中也明確了侵害公民隱私犯罪行為的具體標準和類型，將公民個人信息安全置于法律保護的最高位階，在刑事法律上對侵害公民數據權的行為標清了底線。刑法規制的是具有嚴重社會危害性的侵犯個人信息的行為，故在劃定“個人信息”的范圍時，必須著重考慮其與個人最基本的人身權利、財產權利的關系。[22]所以，也有人認為：“對生物識別信息采取與普通公民個人信息相同的刑法保護方式明顯欠妥。”[23]不過，目前我國為避免刑事立法過度入罪化，通常會首先發揮行政法規的緩沖效力，可見依法通過行政法規建立個人信息合理使用制度是當務之急。

需要指出的是，在目前人工智能領域的監管方面，“泛安全化”現象較為突出。人們談“臉”色變，這證明警惕意識很高，雖值得肯定，但不容忽視的是每個行業都或多或少存在安全問題，安全問題不是否定或阻礙科技創新的借口。(5)例如，在中國打火機以維護飛行安全的理由不被允許帶上飛機，但沒有詳細說明打火機到底在哪些層面、有多大可能性足以危害飛行安全，反觀歐美很多航空公司就沒有禁止攜帶打火機上飛機的規定?！叭藱嗤ㄘ浥蛎洝爆F象，既可能造成對人權的法律權利性的疑問，削弱其規范性，又會使人們的生活過度依靠權利概念，使人的價值實現或糾紛解決過度依存法律機制。[24](P327)這就需要公權力部門進行適度性監管，它的實質是監管機構要保持權力的謙遜，對于市場的創新，更多應該交由市場規律來處理。目前，國家層面也正在積極制定相關規則，做好制度銜接。(6)《中華人民共和國個人信息保護法》第62條第(二)款明確規定：“針對小型個人信息處理者、處理敏感個人信息以及人臉識別、人工智能等新技術、新應用，制定專門的個人信息保護規則、標準?！薄吨腥A人民共和國數據安全法》第32條規定：“任何組織、個人收集數據，應當采取合法、正當的方式，不得竊取或者以其他非法方式獲取數據。法律、行政法規對收集、使用數據的目的、范圍有規定的，應當在法律、行政法規規定的目的和范圍內收集、使用數據。”這些規定對于面部信息管理權責界限的劃分提供了制度指引。2017年6月1日實施的《中華人民共和國網絡安全法》明確將個人生物識別信息納入個人信息范圍，要求遵循“合法、正當、必要”原則。進行數據安全的相關立法工作，正是要把數據安全監管責任落到實處，這種監管同樣也是以“合法、正當、必要”為原則。由于每個國家存有各自的情況與路徑，數據保護很難遵循全球通用的一種模式，[25]我國完全可以充分參照社會治理需求及技術發展情況，制定符合國情的法律法規，以有效地避免立法趨同。立法部門應建章立制，明晰各方權利義務，通過立法賦予公民救濟權，立法允許公眾成員在“面部監控數據被非法收集和/或使用”的情況下提起訴訟。對于政府等部門而言，具體的規制進路是，為應對面部識別技術帶來的機遇和挑戰，相關公權力部門在使用面部識別時理應做到自我限制。在公權力部門就面部識別行使監管職能時，特別許可使用制度及禁用“黑名單”制度是較為理性的制度安排。面部識別是“合法的偷拍權”，所有商業類用途的面部識別必須就數據的收集、管理、使用等事項，向政府請求權限，做出保證，并自覺接受政府監督。行業監管部門應當監督科技企業的準入門檻、規則條款，明確平臺對算法管理的詳細責任。還要尊重市場規律，強化激勵，硬化約束，健全考評機制，必要時發揮制度彈性，形成遵規守法的競爭機制，為面部識別技術的進步提質增效。

(二)科技企業：遵循誠信原則

誠實信用原則，簡稱“誠信原則”，它源于亞里士多德主義的公平概念塑造的、產生于羅馬法時代的“善意與公平”(aequumetbonum)和“誠實信用”(aequitasandbonafides)?！斗▽W階梯》指出：“法律的基本原則是為人誠實，不損害別人，給予每個人他應得的部分?！盵26]從20世紀初開始，誠信原則逐步被吸收為公法的基本原則，這也表明統治關系的民主化進程。誠信原則要求一切市場參與主體在不損害他人利益和社會公益的前提下，追求自己的利益。誠信原則要求公益增進與私益保護的平衡，所以科技企業必須處理好服務和管理的關系，誠實履行主體責任。

誠信原則主要用以規制科技企業，從廣義上說，誠信原則也可以規制公權機關，但這里主要還是規制科技企業，因為企業直接掌握了面部識別所需的科學技術?？萍计髽I端的風險較大，責任較重。由于部分科技企業技術的不完善等因素，用于保存面部信息的電子計算機系統存在被黑客入侵、病毒入侵的風險，可能導致信息泄露。此外，內部員工的作案也可能導致信息泄露?？萍计髽I必須合理使用和處理面部信息，并承諾不將信息用于非約定用途，且必須盡到保密義務，采取一切必要的技術手段，保護用戶數據安全。

從技術層面講，面部識別對于采集到的照片、視頻流以及讀取的證件信息等數據存儲，其存儲形式不是影像存儲，而是代碼存儲，并加強對這些數據的管理，是落實誠信規則的基本要求。在這一點上，英國《2018年數據保護法》(DPA)規定了對在世個人數據的處理，處理包括持有、獲取、記錄、使用和披露信息。該法要求數據控制員必須通知信息專員持有哪些信息，并致力于保護數據質量和信息安全，具體包含六項數據保護原則，描述了數據可靠性和安全性的標準，適用于收集和存儲數據的所有人?！吨腥A人民共和國民法典》第1038條第一款前半段簡明扼要地規定：“信息處理者不得泄露或者篡改其收集、存儲的個人信息?！薄吨腥A人民共和國網絡安全法》第44條也規定：“任何個人和組織不得竊取或者以其他非法方式獲取個人信息，不得非法出售或者非法向他人提供個人信息?！薄吨腥A人民共和國民法典》第1038條第二款規定，信息處理者還負有技術保障的義務：“防止信息泄露、篡改、丟失；發生或者可能發生個人信息泄露、篡改、丟失的，應當及時采取補救措施，按照規定告知自然人并向有關主管部門報告?！毙陆贫ǖ摹吨腥A人民共和國數據安全法》第四章規定了“數據安全保護義務”。

以上法律規定集中指向科技企業應當加強對面部識別應用的倫理及法律審查，并積極推動技術更新，充分保障面部識別技術的安全性，還強調需要有專業的安保人員或者安全負責人員對所收集信息進行管理、保管，任何人的調取和使用必須有嚴格的控制和記錄。在多數情況下，為一時權宜而暫時保存的面部信息，不應該永久或長期保存，而是需要有定期刪除的機制，數據主體和數據控制者事先約定好數據存儲期限，期限屆滿數據即失效，以保障用戶充分行使刪除權和被遺忘權。

同時，還必須克服“算法黑箱”，杜絕算法歧視，防止算法獨裁，把關閉面部識別算法的權利牢牢掌握在用戶的手里，以對抗算法不被約束的權力性?？萍计髽I有義務發展提高技術水平，增加算法透明度，識別閥值設置。人類愈加數據化、模塊化，也需要加強對數據庫的維護與保障，例如通過數據加密技術防止數據被第三方濫用，通過傳輸層安全協議對所有的數據傳輸進行加密，甚至采用端到端加密技術對內容進行額外保護，不計成本維護用戶數據安全。以上這些硬性或軟性規定保障了從內部規制企業踐行誠信原則。

誠信原則的貫徹也不能離開政府外部的監管與幫助。作為主導方，科技公司雖擁有具有優勢的智識資源及對風險的預見、防范、判斷、控制與處理能力，但其作為直接利益攸關方，天然地難以承擔中立的監管者角色。一言以蔽之，誠實守信的價值追求不能僅僅依靠具有天然逐利性的企業自律達致。公共政策的制定部門在深入了解現有的人工智能技術及風險的前提下，積極參與相關規則的研究制定，克服技術的復雜性、高門檻以及外部監管的遲延與無力，方能有效紓解多元治理的困境。國家對企業中特定行業及用途的面部識別業務，需要視情況頒發行政許可，實行市場準入和退出機制。在政府的有力監督下進行適度且必要的面部識別活動，且必須嚴格向政府備案。一旦出現問題，將第一時間追溯問題來源并進行危機處理與問責處罰，切實打造“負責任的面部識別”。同時，引入獨立的、兼具科技與法律專業素養的第三方，也可以起到“看門狗”的外部監督作用，堅決抵制面部信息的“商品化”。

(三)用戶個人：落實自愿原則

科技倫理治理致力于維護人格尊嚴，需要自愿原則的有效落實。與公權力主體不同，科技企業和用戶個人均是私主體，科技企業所遵循的誠信原則以及用戶個人所踐行的自愿原則本身是一個硬幣之兩面。此處之所以強調屬于用戶個人的自愿原則，是為了突出用戶不可讓渡的意思自治權利，這也是用戶提出救濟的權利來源。自愿原則(知情同意原則)是中國民法的基本原則之一，指公民、法人等民事主體在民事活動中都必須遵守自愿協商的原則，尊重對方的意愿和社會公共利益，不得強加自己意志于他人。面部信息最終只能歸個人所有，具有強烈的排他性和專屬性，任何組織或個人不得隨意侵犯，這是人權保護的必然要求。面部識別也是一項非強制性的技術，科技企業必須經過用戶同意，確保用戶對面部識別活動的知情和同意以獲得授權，不能存在誘導用戶同意商家的條款。在非必要理由下，更不得擅自采集面部信息。

對用戶個人處理自身面部信息的自愿原則的確立，在國外有如下標志性的事件。一般認為，它首先來自于英國醫學界對病人隱私的保護。在英國普通醫學委員會(GMC)指南中提到了負責任的專業實踐標準：同意臨床攝影的必要性是為了防止未經授權的攝制、儲存和披露臨床圖像。自1986年以來，臨床醫生被要求向患者解釋攝影目的，并且臨床攝影師有義務在拍照前確認同意，這一做法的基礎是保密義務、遵守數據保護法和隱私權。2010年英國雷丁大學(University of Reading)建議有必要在拍攝前獲得該人的書面同意，確保當收集人收集圖像時不僅要獲得被收集人的同意，還要告訴其正在收集的內容、原因、處理限制(包括使用、披露和處置)。除了數據保護指南之外，該大學的指導規定也表明了“公平實踐”原則，它與版權公約和法律相關聯，允許使用有限的版權材料進行研究或審查。到2018年5月，經多年討論的、被稱為人類史上第一部“數據憲法”的歐盟《一般數據保護條例》(GDPR)開始生效，規定包括面部信息在內的生物信息屬于其所有者，使用這些新圖像信息需要征得本人同意。美國2019年頒布的《商業面部識別隱私法》則規定，企業必須征得消費者同意，才能收集和共享識別數據。美國一些州甚至以為用戶提供訴權的形式保障知情同意權，如伊利諾伊州的一項法律規定，企業在收集生物計量數據時必須征得用戶同意，這導致該州用戶對Facebook進行集體訴訟，Facebook在2020年1月底花費高達5.5億美元和解一項面部識別爭議，(7)該爭議即Facebook在未經用戶許可情況下將其通過用戶照片獲取的面部數據用于標簽建議。Facebook最終允許會員可以隨時通過刪除其內容或帳戶來終止此許可，該許可授予Facebook消除托管、使用、分發、修改、運行、復制、公開執行或顯示、翻譯和創建用戶內容的衍生作品廣泛權利。使得自愿原則成為救濟面部識別風險的一條“鐵律”。這也表明自愿原則和比例以及誠信原則是相互協作、密不可分的。自愿原則還要求科技公司自我克制，限制面部識別作商業用途，禁止全部AI化，以保障用戶自由選擇或不選擇人工識別服務的權利。

《中華人民共和國民法典》充分保障個人意思自治，多處強調了權利人的同意原則。第1019條有明確規定除法律另有規定外，肖像權人同意才能制作、使用、公開肖像權人的肖像。第999條特別規定了一種豁免情形，第1038條第一款后半段、第1035條規定了個人信息處理的原則和條件是必須經過自然人或監護人同意。(8)《中華人民共和國民法典》第1019條有明確規定：“任何組織或者個人不得以丑化、污損，或者利用信息技術手段偽造等方式侵害他人的肖像權。未經肖像權人同意，不得制作、使用、公開肖像權人的肖像，但是法律另有規定的除外?！薄吨腥A人民共和國民法典》第999條特別規定了一種豁免情形：“為公共利益實施新聞報道、輿論監督等行為的，可以合理使用民事主體的姓名、名稱、肖像、個人信息等；使用不合理侵害民事主體人格權的，應當依法承擔民事責任?！薄吨腥A人民共和國民法典》第1038條第一款后半段規定：“未經自然人同意，不得向他人非法提供個人信息，但是經過加工無法識別特定個人且不能復原的除外?！薄吨腥A人民共和國民法典》第1035條規定了個人信息處理的原則和條件：“處理個人信息的，應當遵循合法、正當、必要原則，不得過度處理，并符合下列條件：(一)征得該自然人或者其監護人同意，但是法律、行政法規另有規定的除外?！币陨贤猓潜容^抽象的同意。而在我國臺灣地區，公務機關對個人資料搜集或處理，還需要“經當事人書面同意”，[27](P817)這是更具象的、形式化的同意。以上規定充分表明，我國對于公民處理個人信息的自愿權利是予以充分尊重并保護的，這道屏障以意思自治為根基，以引導、規制潛在侵權方(如企業)為輔助手段，將知情同意權的絕大多數情形限制在獨立、自主、排他行使的范圍以內，是用戶對個人自身最直接的救濟手段?？萍计髽I應當明確，除非用戶自愿明確選擇，否則刪除其使用用戶上傳的照片和視頻開發的模型和算法。

當然，強調用戶個人的自愿原則，并不是主張對面部信息的在任何極端情形下的絕對自主支配，而是倡導一種可刪除的有序共享，才可能促進有價值的信息流通，并促進社會整體福祉。從實踐角度講，互聯網時代的數據權相比隱私權而言，更加突出用戶對自己數據的“控制權”。除了用戶知情權等倫理性權利之外，我國《中華人民共和國網絡安全法》第43條特別明確了用戶對自己數據的“自我決定權”。近日表決通過的《天津市社會信用條例》第16條規定：“市場信用信息提供單位采集自然人信息的，應當經本人同意并約定用途，法律、行政法規另有規定的除外。”[28]這些法律法規說明我國相關部門對于用戶知情同意原則的規定也在結合具體情況予以適度調適，不是絕對化傾向。不過作為一種涉及公民個人隱私的具體權利，以面部信息為代表的個人信息(權)究竟在哪些情形、以哪種形式、到哪種程度才可以或然性地超越個人自愿原則，無疑還存在進一步審慎細化的空間，這需要視面部識別發展的具體階段和具體情境而定，相信不久后會有更加細密、科學的法律規范出臺。

(四)“三原則”之間的關系

之所以將面部識別技術應用場景按主體劃分為三部分，是因為在我國新實行的《中華人民共和國民法典》《中華人民共和國個人信息保護法》等法律中，比較密集地從國家、企業、個人等主體角度全方位保護了面部識別信息安全，切實反映了國家對公權機關適用比例原則的要求、對科技企業貫徹誠信原則的倡導以及對個人用戶落實自愿原則的支持。三個原則彼此之間并非彼此割裂，而是交叉融合，相互補充，多向度、有梯度地構筑保護公民面部信息等個人信息的有效屏障。在權利框架下，面部識別規制“三原則”的關系可以通過圖1所示。

圖1 權利框架下面部識別規制三原則關系圖

“三原則”協調發揮作用，在本質上的共同追求是限制公權力、捍衛私權利，但又要防止監管失效與權利泛化等次生風險。如果公權機關不能嚴格依據比例原則行事，則會打擊科技企業遵循誠信原則的積極性，并直接剝奪用戶個人的自愿原則；若不能保證用戶個人落實自愿原則，那么另外兩個原則也將從根本上淪為具文。依照現代法治的基本精神，公權機關以法定方式管理國家事務，需履行忠實義務；作為私主體的科技企業及用戶個人，應當依法履行信義義務。故此，誠信原則乃是三個主體共同的價值追求，在比例原則和自愿原則之間，誠信原則可以起到居間平衡的作用，通過促進相互信任減少社會總體成本。其奧秘在于，誠信原則既可以糾正政府監管部門因奉行比例原則而過于克制，在制度上僅重視事后懲戒和嚴厲責罰，卻忽視了激勵性監管與企業自我合規的應有作用，進而誘發科技企業失范行為；也能夠禁止自愿原則下個體濫用其在信息處理活動中的權利(以個人信息自決權為代表)，以至損害他人、集體乃至整個社會的合法權益。因此，誠信原則不僅是科技企業應當奉行的原則，同時也是公權機關和用戶個人同應遵循的原則。誠信原則既能促進“三原則”的有效銜接，亦能有效融入其他兩個原則之中。如此，方可在最大程度上避免面部識別技術可能引發的公地悲劇。

四、結語

總體來看，面部識別是一項通用技術，所以不可能簡單地說面部識別必然與某些機會和風險有關，但是面部識別的風險必須也可以得到預判?？偟膩碚f，面部信息理應屬于它的所有人單獨所有。不過，它既屬于個人私權，也不可避免地涉及國家的權利(力)，這構成了處理面部信息的復雜性特征。作為一種算法，面部識別技術體現的是效率與公平的矛盾。除技術困境、倫理道德困境以外，目前更亟需明確的是法律問題，更易見成效的也是法律手段，需要出臺具有拘束力的法律法規，及時有效地規制面部識別技術的應用。相關立法既要產生規制的作用，也應達到促進的效果，但是當前規制具有優先性。法律規制與科技進步并不矛盾，在個人權利保護方面，法律完全可以搶占先機，并走得更遠，積極做出制度設計、回應與安排，而不能一味地保守、滯后與被動。這歸根結蒂是因為科學技術在本質上應服務于人，而非統治甚至奴役人。