人臉識別技術引發的個人信息保護問題研究

沈 磊 邢恩銘

(1.北京大學法學院，北京 100871；2.中國地質大學(武漢)公共管理學院法學系，湖北 武漢 430000)

一、問題的提出

近年來，人臉識別技術得到了很大的發展，這項技術正廣泛運用于日常生活中。我國的人臉識別技術正從“身份識別”走向“分析識別”，目前人臉識別算法主要應用于安防、公共、商業和私人四大場景，[1]使用的主體分別是公權力部門、謀取社會公共福利的公共組織、營利性商業機構與個人。人臉使用技術在上述多領域、全方面的廣泛應用使其產生了“公私混合”的特點，各主體通過與科技公司達成協作，自我賦能，完成使用目的。

不少網絡平臺將人臉信息作為登錄密鑰，比如支付寶近年來推出了刷臉支付。2019年8月底9月初，一款名為ZAO的手機APP面世，只要用戶上傳自己的高清照片，它就可將影視劇中人物形象的人臉換成用戶的人臉。由于新冠肺炎疫情的影響，2020年秋季學期開始，全國很多高校都推行了人臉識別的門禁系統，比如北京大學的各個校門都安裝了人臉識別系統，只有北大師生才能刷臉進出校門。人臉識別技術的廣泛滲透已然是全球化的趨勢，而這些廣泛的應用場景背后是法律風險的暗涌激增。隨著人臉識別技術的不斷發展和廣泛運用，人臉識別技術引發的法律問題開始進入公眾視野。2019年10月，浙江理工大學特聘教授郭兵對杭州市野生動物園提起了訴訟，原因是郭兵購買了杭州市野生動物園的雙人暢游年卡，但是杭州市野生動物園擅自將合同中規定的刷指紋入園方式改變為刷臉入園；2020年疫情期間，清華大學法學院勞東燕教授所居住的小區推行了人臉識別，但是她認為該技術對個人信息的威脅遠大于其帶來的便利，因此她用行動進行了反對。

由此可見，作為一項新型技術，人臉識別在給社會發展帶來便利的同時，也引發了一系列的個人信息侵害風險，因此我們有必要關注由人臉識別技術引發的個人信息保護問題。

二、人臉識別技術的民法界定

人臉信息在物理性質上屬于個人的生物識別信息。根據《民法典》第1034條第2款對個人信息的列舉，個人信息包括“生物識別信息”，因此人臉信息屬于個人信息的范疇。

我國多部法律對個人信息都進行保護。《網絡安全法》第76條第5款對“個人信息”的范疇進行了界定。《刑法修正案(九)》新增的第253條之一設立了侵犯公民個人信息罪，對侵犯公民個人信息的犯罪行為進行了規制。《個人信息保護法(草案)》更是對個人信息做出了全面詳盡的規定和保護。2020年5月28日通過、2021年1月1日生效的民法典對個人信息的保護也做出了相當詳細的規定。首先，民法典在總則部分的第111條對個人信息的保護做出了概括式的規定。其次，人格權編的第999條的“一般規定”規定了對個人信息的合理使用。再次，人格權編第五章“名譽權和榮譽權”這一部分的第1030條規定了處理信用信息時的法律適用。最后，人格權編第六章“隱私權和個人信息保護”中，對個人信息的含義、自然人對其個人信息享有的各項權利、其他主體對公民個人信息的安全保護義務等各方面，使用了6個條文進行了詳盡規定。

對于個人信息的法律性質，法學界存在著一定爭議。有學者認為，個人信息是隨著上個世紀后半葉計算機技術發展而出現的一項新興權利，個人信息權是不同于傳統人格權的一種新型公法權利，個人信息保護應當是一項獨立的法律制度。[2]但是，又有學者指出，與擁有個人信息權益的主體相對的個人信息處理者，可以分為國家機關和非國家機關的其他民事主體。作為非國家機關的民事主體在處理公民個人信息時，當然與公民處于平等地位，需要保護公民個人權利；但是在私權利保護問題上，國家機關并不比公民個人處于更優越的地位，若侵犯公民個人信息仍然需要承擔法律責任。因此，在公民個人信息的處理和利用問題上，個人信息權益的擁有者與個人信息的處理者屬于平等主體之間的民事關系。[3]就整體而言，筆者更贊同后一種觀點。個人信息的本質是一種人格利益，所以將個人信息視為公法權益的前一種觀點難以成立；但是后一種觀點也有一定的偏頗之處。由于對個人信息的處理，既可能涉及國家機關，又可能涉及民事主體，所以筆者認為，在體現私主體利益的情境下，更適宜通過民法來保護；但是如果在體現公共利益的情境下，則更適合通過公法來保護。[4]本文主要從民事權益的維度對人臉信息進行探討。

人臉信息作為一種個人信息，具有一些與其他個人信息相區別的特性。首先，人臉信息具有出現的新興性。與自然人的姓名、身份證件號碼、住址等傳統個人信息相比，人臉信息是隨著近年來人臉識別技術的迅速發展和廣泛應用而進入公眾視野的。無論是支付寶刷臉支付、ZAO這一APP的換臉技術，抑或是“人臉識別第一案”的動物園人臉識別、疫情期間小區的人臉識別門禁，都是近幾年才出現的。其次，人臉信息具有內容的豐富性。人臉信息與以往的指紋信息相比，所包含的人的生物信息更為豐富。根據人臉信息可以解析出人的很多其他信息，人臉識別可以判斷出人的年齡、性別等信息，還能辨別人的面部表情。據有關研究，根據人臉信息可以解析出人的性傾向，而且預測結果大部分正確。①最后，人臉信息具有泄露后果的嚴重性。比如，人臉識別技術被用于支付寶的刷臉支付，如果技術足夠成熟可能導致用戶財產的大量受損，這種侵害結果的危害性可想而知。而這種人臉信息泄露事件屢屢發生，一家提供人臉信息檢測的科技公司，由于系統沒有設置有效的密碼保護，二百多萬用戶的人臉信息遭到泄露。②

三、人臉識別技術對個人信息的侵害風險

人臉識別技術作為一項新興技術，對自然人的個人信息有著極大的侵害風險。

首先，人臉識別技術在人們對其侵害性無意識的情況下被廣泛使用。由于人臉識別具有非接觸性，這項技術可以在被識別者無意識的情況下被廣泛使用。人們每天都不斷地在攝像頭之下被拍攝和記錄。目前，人臉識別技術在安保、門禁、支付與認證等場合都得到了非常普遍的使用。除此之外，該技術還被越來越廣泛地應用于商場人流量的統計、社區管理、養老金領取、辦稅認證、物品保管、景區檢票、演出場所、地鐵安檢的進出等場合。在課堂教學中，甚至出現了通過視頻監控獲取的人臉表情，來觀察學生是否認真聽課的做法。在疫情期間，高校的校園門禁使用了人臉識別技術管理學生的進出，食堂也用人臉識別檢測就餐人員是否佩戴了口罩。如果對人臉信息不經告知而大量使用，有可能涉嫌違法犯罪。即使在告知的情形下，也存在告知不充分的風險。比如收集者有可能沒有將自己的身份、收集之后的用途、可能帶來的風險告知被收集者。另一方面，由于人臉識別的非接觸性和被收集者的無意識性，以及公眾對人臉識別技術的風險的漠視，收集人臉信息的行為往往暢行無阻。

其次，人臉信息的保管中存在信息泄露的高度風險。比如，在某網絡購物平臺就有商家公然銷售人臉信息的數據，這一數量接近20萬條。③再如，由于疫情期間支付寶健康碼需要采集人臉信息，而該系統設計存在一些漏洞，只要輸入用戶的身份證等信息就能查到用戶照片，因此有不法分子利用非法獲取的明星身份證號碼對很多明星的健康碼照片進行查詢，并在網絡平臺上大批量公開售賣。由于人臉信息內容的豐富性，其一旦泄露，造成的風險將遠遠超過手機號信息與網絡賬號信息被泄露的風險。再如，根據人臉信息可以解析出人的性傾向，這有可能對識別者造成一定的歧視。

最后，人臉信息一旦被采集之后可能被長久保存下來，這會帶來更多的不可控風險。比如，換臉軟件ZAO的用戶條款④中就規定，用戶在該平臺上上傳或發布的內容該平臺將對其永久保存，用戶不可撤銷，并且該平臺還聲稱對利用用戶照片制作的視頻享有著作權等法律權利。這種條款一般是格式條款，用戶出于好奇和從眾的心理在使用該軟件時往往都不會仔細閱讀，而該條款對用戶造成的風險將有可能是不可挽回的。再如，疫情期間高校為了便于管理，對學生收集了大量的人臉信息，但是對于該人臉信息將使用多久往往沒有規定和告知。日常生活中，我們手機中經常收到垃圾信息和騷擾電話，給生活帶來了很大的煩擾，這說明我們在各大網絡平臺上的注冊信息沒有被及時刪除，而是被大規模販賣和利用。而人臉信息一旦被長久保存，就有同樣存在被非法泄露和惡意利用的高度可能性。并且人臉信息是比手機號信息更為重要的信息，其一旦被泄露和惡意利用，造成的風險將會更加嚴重。

四、對于人臉信息的法律保護

第一，收集人臉信息要遵循知情同意的原則。就屬性而言，人臉信息屬于人格利益的范疇，如果未經其同意而進行采集利用原則上來說是違法的。“人臉”的變化性決定了人臉信息的特征，亦導向了人臉識別技術的復雜性，是故人臉信息在采集后能否被安全合理地使用，是收集主體應當依照法律法規對被收集人作出承諾、使被收集人知情的義務之舉。收集主體在收集個人信息之前，應當對被收集人充分告知收集信息的內容和范圍、收集信息的用途以及可能造成的風險，尤其是對免除或者限制其責任的格式條款，收集主體應當負有提示和說明義務。比如，在疫情期間許多高校收集學生的人臉信息，而某高校只需刷紫荊碼而無需刷臉的做法更有利于保障師生的個人信息權益。

第二，收集人臉信息的主體要盡到妥善保管的義務。人臉信息收集后，產生的收益不可小覷，因而更要在保管中注意其風險。收集主體在收集人臉信息之后，應當嚴格按照其所承諾的范圍和符合法律規定的方式來使用人臉信息。收集主體一旦泄露人臉信息，將按照合同約定或者法律規定承擔相應的法律責任，如果涉嫌犯罪還可能承擔刑事責任。例如，支付寶健康碼對明星照片的泄露，理應承擔一定的法律責任。各方主體所收集的人臉信息，一般只有在涉及犯罪等少數場合，才能例外地提供給國家有關部門。

第三，在使用人臉信息時進行隱匿化處理。在匿名與否的選擇上，我國個人信息保護法第51條第3項已然明確地將去標識化規定為一種安全技術措施。人臉信息包含的生物信息極為豐富，有的場合對該信息的利用僅涉及一個方面，因此在必要的時候應當進行隱匿化處理。隱匿化處理的具體內涵是，對人臉信息這種可識別性極高的信息去除其可識別性，使其無法定位到具體的個人，無法確定其人身或財產信息。比如，在校園入口進行人臉識別的時候，應當盡量避免透露個人信息。就筆者觀察，北京大學校門早期的刷臉會顯示被識別者的姓名和學號等信息，后來這些相關信息不再顯示，這是一種注意保護個人信息的實操方法。

第四，法律應當規定和保障刪除權和被遺忘權。[5]由于人臉信息是極為重要的個人信息，其一旦泄露并被不法利用會造成不可估量的后果，所以在特定情形下應當及時刪除或銷毀該信息。人臉信息領域的被遺忘權則是能突破傳統隱私信息一經公開則無利益可言的狀態，給予人臉信息在使用后退回個人的隱私領域內的可能性，在出口處把好最后一道防線。在出現法定或者約定情形時，信息收集主體應當刪除其所收集的人臉信息，銷毀人臉信息的副本或復制件。比如，疫情期間支付寶健康碼平臺收集的人臉信息，在疫情結束之后就不應當作其他用途，而應當徹底刪除。

第五，在涉及公共安全的情形下，以比例原則作信息采集必要之檢驗。比例原則檢驗是一個利益衡量的過程。追求的是信息處理者的利益、個人的權利和社會的公共利益之間的平衡。[4]在上文中已然提到人臉信息采集的“風險性”，那么在個人信息保護的層面，應當以比例原則的最小必要為行為起點；當涉及個人隱私的人臉信息并非是唯一實現目標的途徑，那么應以對個人的隱私領域侵犯最輕微的方式來合法地實現各主體的管理需求。在實踐中，有執法主體以“涉及公共安全”為由發布通緝犯的人臉信息以期犯罪分子落網，此為合理；而在部分應用情景中，若以“提高效率”為由來規避登記、檢驗等其他驗證個人信息的方式，則有其必要依比例原則對這一行為的風險與收益進行評估和審視。

第六，對人臉信息，在必要的時候通過國家公權力來進行保護。雖然人臉信息屬于公民的人格利益，從意思自治和理性經濟人的角度出發，公民的民事權益應當由其自身來維護；但是在侵犯公共利益的情況下，仍然有必要通過國家權力來對這一方面的人格利益進行保護。正如瓦格納所說的“大規模的微型侵害”中，被收集主體的個人往往訴訟力量不夠、訴訟動力不足，這時需要國家機關承擔起維護公共利益的職責。[4]對于前文所說的二百多萬用戶的人臉信息遭到泄露的情形，國家機關應當介入，建立個人人臉信息保護架構，通過執法手段對這些被侵害者的個人信息予以保護。

注釋:

①②③參見勞東燕：《人臉識別技術運用中的認知誤區》，載微信公眾號“勞燕東飛”，2019年11月4日，https://mp.weixin.qq.com/s/Mk8vQUI0vQeN3yNsVBXB0w。

④參見https://www.sohu.com/a/337862209_483391。