人臉識別中個人信息保護的困境與進路

劉丹丹

泰國格樂大學，泰國 曼谷

隨著互聯網科技的發展，人臉識別技術被廣泛應用于各個領域。自“人臉識別第一案”之后，人臉識別個人信息領域的法律問題也層出不窮。那么，在人臉信息適用與日俱增的情況下，人臉信息保護還存在哪些風險、如何有效防范等均成為當前研究中需要直面回應的問題。基于此，本文通過梳理人臉信息背后的邏輯、問題、成因，尋求突破思路，進行法理上的考察分析，并提出相應的優化進路。

一、人臉識別中個人信息保護概述

（一）人臉識別個人信息的法律屬性

1．人臉信息具有人格利益屬性

《中華人民共和國民法典》（以下簡稱《民法典》）人格權編第六章中僅規定“私密信息”適用隱私權，對于其他個人信息用“等權利”“人格權益”等表述，表明民法體系中人格權益保護的開放性。最高人民法院2021 年7 月發布的《最高人民法院關于審理使用人臉識別技術處理個人信息相關民事案件適用法律若干問題的規定》第二條通過“列舉+兜底”的方式，將非法處理人臉信息行為界定為侵害自然人人格權益的行為。同時，在第二條至第九條中規定了非法處理人臉信息的權責義務［1］。

2．人臉信息屬于個人生物識別信息

人臉信息屬于“數字人權”，通過大數據、新型智能技術獲取和處理，與自然人的面部特征高度相關，可以此直接識別或者判斷自然人身份。

（二）人臉識別個人信息的模式及特征

從人臉識別技術獲取個人信息的運行原理看，根據應用場景可分為“人臉驗證”與“人臉監控”兩種模式。“人臉驗證”模式主要是進行人臉比對確定是否是同一人員，即將攝像頭抓取的現場人臉信息與先前數據庫中已有的照片或圖像進行比對，通過程序驗證識別是否為同一人員。在實踐中，該模式被應用于交通行業的通行、取票，企業中的簽到打卡、門禁通行以及移動“刷臉”支付等需要人臉識別驗證的場景［2］。“人臉監控”模式主要是進行人臉比對判斷是否有特定人員存在，即將攝像頭抓取的現場人臉信息與先前數據庫中已有的照片或圖像進行比對，通過程序驗證識別判斷是否有特定人員存在。在實踐中，該模式被應用于政府數據開放、公安機關抓捕犯罪嫌疑人或尋找失蹤人員等特殊場景。兩種模式的人臉信息均具有如下特征。

1．人臉信息的唯一性

一般個人信息包括姓名、居民身份證信息、指紋、虹膜、瞳孔識別以及掌紋等其他相關個人信息。而人臉信息屬于公民獨有的個人信息，對于個人信息主體公民或者消費者個人具有不可替代性，具有唯一性［3］。

2．程序的驗證識別性

一般個人信息不需要涉及計算機技術的鑒定和識別，更鮮少用及算法技術進行信息驗證、鑒別。而人臉識別信息自身的信息復雜性決定了程序驗證比一般個人信息更為復雜，人臉信息采集時通常需要進行計算機的驗證識別。

3．信息損害的不可逆性

人臉信息是公民的一種身份，具有唯一的代表性，與其他信息之間的關聯較為密切。因此，一旦人臉信息泄露或者被非法使用，對于公民、消費者或其他相關自然人將造成不可逆的損害［4］。

4．與其他個人信息的高度關聯性

人臉信息的敏感性特征，表明人臉識別信息和其他個人信息之間具有的較強的關聯性。人臉信息通常與其他個人信息綁定作為識別個人的驗證方式。一旦人臉識別數據信息發生泄漏或者被非法使用，則容易侵犯公民隱私權、財產權以及性別平權等權益。

二、人臉信息保護的域外實踐

（一）美國

美國將人臉識別信息認定為敏感個人信息，并且將其與公民或者消費者自然人的人格、尊嚴等人身權益和財產權益聯系起來。目前，美國在聯邦層面對于人臉識別技術的規制，尚未制定統一的法律規范，由各州獨立管理。現階段制定生物識別信息相關法案的州已多達七個，其中伊利諾伊州2008 年頒布的《生物識別信息隱私法案》是美國第一部關于收集、使用“生物識別信息”和虹膜掃描、聲紋等信息的專門法律文件［5］。同時，美國以《加州消費者隱私法》的確立原則為基礎，形成了相對統一的個人信息保護標準，人臉識別中個人信息保護也適用上述標準，賦予了個人對企業違反義務行為提起相應的民事訴訟的權利，明確企業在人臉信息使用中的義務和責任。此外，美國對于政府機構和非政府機構使用人臉信息采取不同的規制方式。對政府部門機構的法律規制主要存在以下三種制度：禁止使用制度，任意使用制度，特別許可使用制度［6］。

（二）歐盟

判斷人臉識別中個人信息數據的處理是否合法合理合規，應當從數據處理者的處理目的以及追求目標出發。自2016 年以來，歐盟關于數據保護方面采用目的針對性使用方法，只有通過特定技術處理、能夠識別特定的公民的圖片才能被認為是生物識別數據。歐盟在立法中采取了集中監管、統一立法的治理模式，將人臉信息權上升為公民人格權的一部分，形成相對統一的人臉識別信息保護機制。歐盟2018 年出臺的《通用數據保護條例》（以下簡稱“GDPR”）中將人臉識別信息數據歸類于特殊種類的信息數據，適用“原則禁止，特殊例外”原則，即對生物特征識別信息進行數據處理原則上是被禁止的，只有在特殊目的、特殊情形之下，才能評估關于處理的人臉信息數據是否相關、安全并合乎既定比例等。在GDPR 中，對于包括人臉識別信息數據在內的生物數據，適用主動明確、直接且具體的同意，否則任何超出個人信息主體的主觀意愿之外的被動同意都是違反GDPR 的違法行為［7］。

（三）法國

人臉識別信息是個人信息主體特有的生物特征，具有永久性與數據主體密不可分性。法國將人臉信息視為生物特征識別信息、敏感信息，并對其進行特殊保護，且適用較為嚴格的法律規制。2018 年法國頒布的《法國數據保護法》對其先前的數據保護立法進行了修訂，與歐盟的GDPR基本保持一致，并暢通了公民關于信息權利的救濟途徑。即在未經法律授權和個人信息主體同意的情況下，無論是政府行政部門主體還是非政府行政部門如商業部門，均不得實施生物特征識別數據的處理行為。

三、人臉識別中個人信息保護的現實困境

（一）“知情—同意”規則下個人信息保護力度不強

我國《民法典》在第一千零三十五條中對個人信息的處理僅作出了原則性規定，并未明確規定是否可以適用新型智能技術進行共享、收集和分析私密信息和非私密信息。若同意收集，關于信息收集主體、收集程序、收集信息事后監管措施、收集信息是否需要不同級別的保存措施以及是否有權委托第三方進行保存等問題，尚未作出細化規定。目前，對于個人信息普遍采用“知情—同意”規則，針對人臉識別中個人信息的“同意”范圍是否界定清楚，是對“局部信息的同意”還是對“整體信息的同意”，是否包含“同意人臉信息實際控制者再次或多次共享和檢索該信息”，均需具體明確［8］。

在實踐中，人臉識別技術既被廣泛地應用到金融支付、信息保管等重要領域，也被應用于簽到打卡、門禁通過等一般生活性場景。針對上述不同適用場景中人臉識別技術實際控制者的權責是否一致，當前立法也缺乏相應規定。在立法上關于人臉信息的保護力度不強、在行政監管方面對消費場所或者企業、平臺終端適用人臉識別技術未發揮作用，監管機制失靈，不利于人臉信息在消費場所或者公司、平臺終端以及其他領域的保護以及公民相關合法權益的保護。

（二）人臉信息實際控制者行業自律管理機制缺位

當前，人臉識別技術實際控制者行業自律管理機制缺失，對于平臺終端、消費場所等營利性機構適用人臉識別技術的標準、條件以及獲取其他信息的程度未作出具體化規定，導致營利性機構未經公民同意使用人臉識別技術采集、共享人臉信息，過度獲取公民其他方面信息的情形日益增多。在實踐中，行業自律管理機制失靈，行政監管力度有限，行業協會內部也無相關行業細則約束消費場所或者公司、平臺終端適用人臉識別技術，極易致使公民的人臉信息泄露、收集、共享以及被過度獲取，難以發揮行業內部監督的作用。

（三）單一處罰性事后行政監管機制效用尚有不足

當前由于對企業、平臺終端以及營利性機構適用人臉識別技術缺乏事前以及事中行政監管，存在人臉識別技術行政監管主體缺失以及行政監管措施不明等問題，導致人臉信息侵權案件頻出。我國當前關于人臉識別行政監管主要體現在《中華人民共和國個人信息保護法》《中華人民共和國數據安全法》《中華人民共和國網絡安全法》以及《中華人民共和國消費者權益保護法》（以下簡稱《消費者權益保護法》）等四部法律中。監管方式較為單一，多數案件為“責令改正”和“罰款”的形式，而“警告”的方式占比較低。整體的行政監管機制體現為處罰性監管機制，對于事前監管機制以及事中監管機制并未覆蓋提及，行政監管機制效用尚有不足［9］。

四、人臉識別中個人信息保護的優化進路

（一）明確“知情—同意”規則具體適用標準

在2013 年第二次修正的《消費者權益保護法》中，僅對經營者采取措施保護消費者個人信息作出籠統性規定，但是對于采取措施的種類、級別并未作出細化規定。因此，應當根據“知情—同意”規則，明確備案制、核準制和審批制的具體適用標準。規定備案制適用于僅擁有非私密信息的機構，即應用一般生活場景的人臉信息；核準制適用于僅擁有私密信息的機構或者同時擁有雙重信息的集合單位；審批制適用于第三方專業存儲機構，考慮巨大的數據存儲規模，應對其設置準入門檻，定期進行風險評估。此外，對于既擁有私密信息又擁有雙重信息的集合單位，在征得當事人同意的情況下，可以將信息存儲于第三方專業存儲機構。在這個階段，應當設置第三方平臺的“知情—同意”條款，提前告知人臉信息當事人存儲風險以及權限。

（二）設置專門外部行政監管機構

在人工智能時代，隨著人臉識別技術的應用，人臉信息保護越來越重要。實踐中關于人臉識別技術持有者自律性不足和人臉識別技術持有行業自律管理機制缺失等問題，除了對人臉技術持有者的規范進行行政監管，還需要人臉識別技術持有者行業協會內部設立相應的自律管理機制。為了減輕司法負擔，可以在行政監管階段設置專門的外部行政監管機構，定期對于第三方專業信息儲存機構進行風險評估，以期對消費場所、平臺或者后臺終端適用人臉識別技術獲取人臉信息進行外部監督。同時也有利于實現當前關于人臉識別技術對于公民或者消費者自然人人臉識別信息的平衡。通過外部行政監管機構的監管，有利于增加人臉識別技術持有者相關市場主體進入該行業的準入門檻，將有效降低人臉識別信息領域中權益損害情形的出現。

（三）建立“事前機制+事中機制+事后機制”全責任機制

實踐中，人臉識別技術的應用也給監管部門帶來相應的行政負擔。在行政機關依法監管過程中，單一的處罰性事后監管機制對人臉識別信息的保護和一般民商事案件一樣，具有事后救濟的特征，無法起到“事前監管+事中監管+事后監管”的全監管機制的效用。因此，應當在當前單一處罰性事后監管機制的基礎上進行改進，建立“事前機制+事中機制+事后機制”全責任機制。此外，還應當加強對人臉信息保護的監管，引入信用機制，以期構建“行政監管+行業監管”的雙監管模式。

五、結語

隨著人工智能以及大數據的快速發展，人臉識別技術被廣泛應用于多個領域。關于人臉信息的保護，無論是理論層面還是實踐層面均具有較大的研究價值。人臉信息保護只有通過明確“知情同意”規則具體適用標準、設置專門外部行政監管機構以及建立“事前機制+事中機制+事后機制”全責任機制，才能有效保護人民群眾的人臉識別信息合法權益。