人臉識別技術的法律規制

楊崳

近年來，隨著數據經濟的不斷發展，人們的生活方式也發生了很大變化。人們運用手機進行快捷支付時會使用密碼支付、指紋支付和虹膜支付，甚至更為方便快捷的人臉識別支付。除了快捷支付外，越來越多的領域也開始收集人臉這類生物信息進行商用。那么，人臉識別技術為什么會出現侵權問題？人臉識別技術侵權的現存問題到底有哪些？對于這種侵權問題，究竟該如何規制？

一、人臉識別技術在法律領域的現存問題

（一）人臉識別技術侵權的前提和范圍難以界定

人臉識別技術在不斷發展進步的同時，也給社會帶來了諸多問題。人臉識別技術侵權中主要問題之一就是其前提和范圍難以界定。人臉數據的收集并不是很難，一個簡單的攝像頭就能在復雜的環境中捕捉到各種各樣的人臉。還有更為簡單的方式，就是在電影電視劇中直接截取演員的臉部特征，然后上網查詢這些演員的照片就知道他們是誰。這樣的操作能否構成人臉識別技術的侵權問題呢？還有一種情況是遠程識別，通過攝像儀遠程識別照片里的人臉，從而進行相關的支付和登錄等操作。這是否要納入侵權范圍內也是亟待考慮的。

在大數據時代，人臉識別技術不單單應用在商業上，還應用在安保等領域。如果采集人臉這樣的個人生物信息是為了更好地維護社會秩序和國家安全，那要不要將這種類型的應用歸人人臉識別技術侵權內也頗有爭議。明確界定人臉識別技術侵權的前提和范圍，類似的侵權問題會迎刃而解。

（二）個人生物信息采集者的主體繁雜

個人生物信息采集者主要包括政府及其他社會公共管理部門，還有企業及某些個人。日常生活中存在很多無權采集、過度采集以及違法采集的現象。當前，企業收集了越來越多消費者的數據，這些數據往往是基于消費者和企業提供的產品之間的互動，以及這些產品的內含輔助功能而產生的。這可能會損害不同的數字平臺在隱私與數據保護領域的潛在競爭，還可能會抑制使用其他商業模式的競爭性服務供應商進入相關市場。

此外，一些沒有經過授權的商家或者個人也存在非法收集公民個人生物信息的行為，有的人甚至以轉賣公民的個人生物信息為業。在我們自己都沒有注意的情況下，如在商場中，可能會被角落里不起眼的攝像頭收集到自己的人臉數據；又或者在下載App注冊賬戶后登錄時，系統會默認選擇使用手機攝像頭，允許運用人臉來登錄賬號，進行人臉解鎖，使我們的人臉信息在不知不覺中遭到泄露。

（三）對侵犯人臉信息的懲處規定不明

當前，我國有關人臉等個人生物信息保護的法律法規還沒有形成完整的體系，對人臉信息侵權的懲處沒有很具體的規定。有關執法部門并不明確該以哪部法律法規為依據進行懲處，相關的監管部門也不確定采用何種方式進行監管，加上目前對人臉識別技術的侵權問題的規定不具體，可能會出現監管層次比較低、執法綿軟、權責不明等問題。近年來，國內已經發生了數起較大規模因人臉識別造成的安全事件，公眾擔憂情緒日益加劇。

二、人臉識別技術存在侵權問題的原因

（一）現行法律對人臉識別侵權問題的立法不夠清晰

到目前為止，我國仍然沒有正式出臺關于保護個人生物信息安全的專門法律，相關立法也沒有形成完整體系。盡管近年來關于個人生物信息的法律法規的數量在不斷增加，但都是零散地分布在各部門法中，而各部門法對個人生物信息的規定與其他部門法之間相互獨立，每個部門法都是從自己的角度來考慮如何保護個人生物信息，這就導致了法律保護體制的不完整，給司法實務操作帶來很大的困擾。

司法部門遇到具體的侵權案件時，在選擇適用法律時會出現指向不明、適用混亂的情況，導致同案不同判。商業機構或個人在利用個人生物信息的過程中不明確應該選擇哪一部法律法規來規范自己的行為，面對多部法律多項規定無所適從。目前，這些法律法規的條文規定也比較籠統，比較側重對個人生物信息的保護，很少涉及個人生物信息的使用、流轉等環節。

（二）個人生物信息采集者的權力限定較為模糊

為便于人們的生產生活，個人生物信息采集者的范圍也從最初的政府部分擴大到企業甚至個人。政府采集個人生物信息是出于維護國家安全和正常秩序的需要。當個人生物信息被某些企業、組織或個人進行商用時，法律對這些主體權力的限定比較模糊。我國現今的法律法規并未明確個人生物信息被商用時需要注意哪些問題，如企業需具備何種資質，進行商用時哪些個人生物信息可以采集，哪些不能采集，可以采集的個人生物信息哪些可以直接采集，哪些需經過本人授權才可以采集，采集后的個人生物信息應該怎樣處理，可以處理到何種程度，個人生物信息采集者是否有權對這些信息進行流轉……隨著社會的不斷發展，這些問題迫切需要立法進行明確的解答。

（三）公民對個人生物信息的保護意識不強

公民的個人生物信息被侵犯與公民對個人生物信息的保護意識不強有著很大的聯系。隨著我國經濟的高質量發展，信息交換也變得愈發頻繁，尤其是網絡介質的發展使信息交換的速度變快，信息交換的范圍也隨之擴大，個人生物信息被未授權人不當利用和非法牟利的情況也越來越多。人們通過個人手機等工具隨時刷臉支付、刷臉登錄和查詢信息，頻繁的信息交換更會給一些犯罪分子可乘之機，稍有不慎就會造成不可彌補的損失。

但是，人們轉變傳統的觀念需要較長的過程，很多人未重視個人生物信息的保護，大多在自己的切身利益確實遭到損害時才意識到保護個人生物信息的重要性。同時，作為個人生物信息收集者的某些商家或個人信息保護意識也不強，錯誤地認為處理和泄露公民個人生物信息的行為并未違法，直接導致侵權行為的發生。

三、規制人臉識別技術的立法建議

（一）明確公民個人生物信息的定性

個人生物信息保護權可被定性為基本人格權。雖然新頒布的《中華人民共和國個人信息保護法》已把個人特征納入敏感個人信息目錄，但仍應明確將公民的個人生物信息歸人基本人格權范疇，以更好地規范侵犯個人生物信息的行為。部分學者認為，個人生物信息權是一項兼具人格和財產雙重屬性的新型民事權利。個人生物信息權天然具有個人和財產的雙重混合屬性，只有將個人生物信息權定性為大數據時代的新型民事權利，才能達到個人生物信息的保護和社會信息共享之間的平衡。因此，盡快對公民個人生物信息權進行明確精準的定性才是當務之急。

（二）運用人臉識別技術的主體

伴隨人臉識別技術而來的是人臉數據使用與算法運作的諸多風險。相關部門應高效整合行業領域內部的核心力量，圍繞“科技向善”這一理念建立健全行業自律機制，強化人臉識別技術整個生命周期的監督與管理，通過安全且可信的產業鏈推動行業的穩定健康發展。企業應公開采集、處理和保護人臉信息，表明勇于承擔相應的法律法規和社會責任的態度，給出大眾滿意的補償救濟方案，提升公民參與的信心與熱情，才可能實現人臉識別技術的使用需求與法律法規及社會倫理的良性耦合。同時，企業應建立內部檢查的有效機制，加強對企業決策的規范性審查，實現趨利性和規范性之間的平衡。

（三）運用人臉識別技術的前提和范圍

當運用人臉識別技術的主體對公民的個人生物信息進行不當使用會侵犯公民的權利時，運用人臉識別技術的主體就扮演了侵權人的角色。法律應明確運用人臉識別技術的前提和范圍，使運用技術的主體明確自身行為是否符合法律規定。

第一，在政府部門以外的其他的運用人臉識別技術的主體搜集或者處理人臉信息之前，需向相關管理部門進行登記后再獲得行政許可。第二，這些主體在搜集和使用公民人臉信息之前必須取得本人的同意（法律另有規定的除外），同時不得在超出合法目的范圍外進行搜集、使用和處理。第三，運用人臉識別技術的主體應該采取必要的保密措施確保主體所持有的人臉信息的安全，防止人臉信息的泄漏、丟失和損毀，或因其他安全事故而使得公民本人遭受損失。人臉信息使用者及相關工作人員對任職期間因為工作需要所獲得的人臉信息負有保密的職業義務，不得擅自透露或以其他方式披露，或進行非法牟利。若運用人臉識別技術的主體不遵守這樣的前提和范圍，或不完全遵守，應承擔相應的法律責任。

伴隨網絡用戶的爆發式增長，達到一定安全標準的人臉識別技術陸續滲透安保、金融、商業、教育等領域。人臉識別技術應用的初衷大多并非是采集和流轉違法違規的信息資源，有的企業在實際運作中將之異化為侵害公眾人權、威脅金融安全與國家安全的重要工具。面部信息所對應的身份資料一旦被別有用心的企業或個人掌握，公眾的本真感與獨占意識就會遭遇重大的危機。公眾在社交活動中往往會通過面部的表情來傳遞與解讀信任、敵意、欺詐等感情信號，人臉也是人們情感交流與建立社會關系的基礎，人臉的信息特征一直被人們視為個人自保的最后一道屏障，亟待通過改進技術、法律保障、政府監督、企業自律與個人自助等措施確保人臉識別技術應用的合法性、合德性及合理性。

（作者單位：哈爾濱商業大學法學院）