人臉識別技術應用中公共利益的法律規制

童 心

（安徽大學 法學院,安徽 合肥 230031）

人臉識別技術是現代人工智能應用的新興產物，是通過捕捉自然人的面部特征信息進行身份驗證的生物識別技術。大數據時代人臉識別技術的應用場景更加多元。在刑事案件偵查中，人臉識別系統能夠迅速、精準識別犯罪嫌疑人。在新冠肺炎疫情防控中，人臉識別技術在預防疾病傳染，維護公眾安全中作用顯著。商業化場景中“刷臉支付”，日常管理中“刷臉打卡”，人臉識別以技術創新帶動產業升級，給企業和個人帶來巨大收益。然而，大規模運用人臉識別將帶來個人隱私泄露與人格貶損風險，嚴重侵害個人隱私權益，威脅個人財產安全。

2021年，最高人民法院公布了《最高人民法院關于審理使用人臉識別技術處理個人信息相關民事案件適用法律若干問題的規定》[1]，該司法解釋規定了信息處理者基于公共利益需要處理人臉信息的可免于承擔民事責任。目前，使用人臉識別的場景越來越多，人臉識別漸呈泛濫之勢，有些使用目的已超出公共利益范疇卻缺乏有效監管。生活中公共利益范圍劃定較為寬泛，“保障公眾生命安全、維護公共秩序穩定”都是其應有之義。基于商業動機或以營利為目的，一般被排除在公共利益范疇之外。在杭州市民郭某訴杭州野生動物世界有限公司一案中，被告作為營利性的私人企業，其收集用戶人臉信息的理由難以被擴大解釋為“公共利益”。源于對公共利益的敬畏，實踐中以公共利益為目的使用人臉識別的情形遭受的質疑很少，但公共利益不應成為無節制使用人臉識別的理由。公共利益應用存在虛弱化、寬泛化的主要緣由在于其概念的抽象性以及內涵的開放性。從維護個人信息安全、平衡公共利益與個人利益的角度出發，準確界定公共利益范圍，設定適當限度，對公共利益加以規制是當務之需[2]。

1 基于公共利益使用人臉識別的法理基礎

基于公共利益限制個人信息權有其理論合理性，然而，客觀上造成了兩者的潛在沖突，有效緩解矛盾的方法在于承認公共利益具有相對優先性。

1.1 個人信息控制權被削弱

個人信息權是一項積極性的人格權，但不是絕對的、無邊界的、不受控制的權利。權利和義務是對立統一的，公民可以自由支配、控制其個人信息，不受他人侵害，同時也背負一定的義務，需要適當接受其他主體對個人信息進行利用，當然這種利用不得以侵害信息主體的合法利益為前提。換言之，侵害個人信息權是不合法的，但個人信息權損害社會公德、妨害集體利益時被規制是合理的。個人信息流動、傳播、共享的態勢無法人為、有計劃地加以抑制。數字經濟的活躍增強了個人信息的公共產品屬性，包容性凸顯，排他性降低，自然人對其信息權益的控制與支配進一步弱化[3]。

1.2 個人利益與公共利益的平衡

1.2.1 公共利益和個人信息權保護具有根本一致性

個人信息所涵蓋的利益類型豐富多樣，集信息主體個人利益、公共利益、信息處理者商業利益于一體[4]。公共利益相較于個人利益，無強烈排他性與獨自專享性。公共利益和個人信息權不一定互斥，公共利益在一定條件下可能包含個人信息保護目的，成為個人信息權實現的有力保障。基于公共利益使用公民人臉信息，盡管事先沒有征得個人同意，公民在多數情況下并無反對與不滿，不認為個人信息權遭受嚴重侵犯。從理論上解釋，公共利益由個人利益發展而來并蘊涵在個人利益之中，公共利益體現了最大化、綜合性的個人利益，兩者目的具有本源性，可以相互轉化、相互促進，所產生的沖突只是表象。

1.2.2 公共利益相對優先于個人利益

在利益價值位階中，經過排序，位置在先的價值優于在后的價值，公共利益優先于個人利益[5]。相較于個人利益只滿足單個自然人的自身需要，公共利益滿足了人類更高級別與層次的本質需求。信息化時代，大面積的數據交易與合作增強了個人信息的社會經濟效用，個人私益讓渡于公共利益是大勢所趨[6]。以疫情防控為例，進入超市、火車站等公共場所需要進行人臉識別，這里的公共利益直接指向就是公共安全。眾多人民群眾的生命安全集合形成了公共安全。公眾的生命權是最重要的法益，應盡可能維護多數人的生命健康，公共利益優于個人信息權益。維護公共利益最終會造福于個人，在公共安全得以落實的背景下，公民才有可能自由行使個人信息權。單純追求個人信息私益實現而違背公共利益價值導向的行為缺乏正當性。個人信息權行使邊界在于同等尊重他人的合法利益[7]。以損害他人利益、公共利益為代價的個人信息權并非法律保護的客體。

2 目的限制原則與“公共利益”的濫用

出于公共利益的現實需要，限制個人信息權利有其合理性。這里的公共利益需要進行限縮解釋，只能是基于“正當的公共利益”需要。這是目的限制原則應用于公共利益的規范表達。倘若個人信息處理目的表述得十分抽象與模糊，信息處理活動將會缺乏正確引導。與此同時，個人將無法形成合理的信息預期，深陷“信息焦灼”困境。生活中不少企業采用指向不明確的詞匯表達信息采集目的，比如“改善用戶消費服務體驗、提高產品質量、促進公共利益”等，其根本目的在于擴大信息收集使用范圍，規避法律風險。過多寬泛的目的表述滋生了架空目的限制原則的風險。

目的限制原則一方面要求信息收集目的應當“具體、明確、合法”，多提供細節支撐；另一方面禁止采取“與初始收集目的背離”的手段進一步處理個人信息，即為特定目的收集的個人信息在日后的管理使用中，不可脫離最初目的進行轉化性利用，應與原始目的相融通。但是，目的限制原則在人臉識別技術應用中并沒有發揮實際效用，因為，該原則亦十分抽象，對該原則的細化解釋并不足以準確指導實踐。比如人臉識別用于學校的場景，目前在中國許多學校使用人臉識別系統進行管理，提高學生的入校效率，預防無關人員入校，“刷臉進校”受到的質問很少。然而，西歐和美國卻嚴格限制人臉識別的使用[8]。2019年瑞典數據保護局對當地一所高中開出罰單，因為該校使用人臉識別系統統計學生的出勤率。盡管學校董事會辯稱使用人臉識別系統的目的在于方便學生，促進學生學習，保障安全，有關部門已審查批準通過，完全遵守目的規范要求，此外也無關聯證據證實所收集的個人信息超出兼容性使用的必要目的。但數據保護局認為“人臉識別進入校園”風險性和侵入性過高，不符合比例原則所要求的造成損害最低，學生這個有限群體的利益不能簡單歸入公共利益范疇，對于該目的的概括解釋不足以構成基于公共利益使用人臉識別的正當理由。

單純依靠目的限制原則無法劃清人臉識別中公共利益邊界。信息化時代人機交往頻繁且密切，各式各樣的人臉識別使用目的最終都可以通過擴大解釋演變成“維護公共利益需要”。總而言之，需要將目的限制原則與比例原則、必要原則等其他理論銜接[9]，科學劃清人臉識別中公共利益范圍。

3 人臉識別中“公共利益”規則適用困境

3.1 公共利益代表主體雜亂

誰有權代表、主張公共利益，事關公共利益的精準實現。行政機關和人民群眾聯系最為密切，天然被認定為公共利益的代表者。然而，行政機關在實現公共利益過程中可能會“變異”，追求自身利益最大化[10]，常見的有部門利益和地方利益。在行政機關利用人臉識別技術收集人臉信息的過程中，會顯現出一種形似公共利益但又與公共利益截然不同的利益形態——政府利益，兩者獨立存在、互不隸屬且相沖突，一味追求政府利益會阻礙公共利益實現[11]。行政機關的權力如果不加約束、監管，必然會滋生腐敗。具體到個人信息保護領域，公共利益范圍不清，加劇了公權力的無序擴張，導致政府部門、社會組織乃至民營企業爭先恐后充當公共利益代表者，借維護公共利益名義恣意收集使用人臉信息。信息收集主體多且雜，人民群眾難以辨別真偽。

在實踐中，我國個人信息保護工作有市場監督管理總局、公安部、工業和信息化部、互聯網信息辦公室等多個政府部門參與其中。《個人信息保護法》在中央層面上并未將國家網信部門認定為獨立的數據保護機構，其僅發揮統籌協調和監管執法的作用，國務院有關部門在各自職責范圍內也同樣擁有執法權[12]。

3.2 公共利益范圍模糊不清

公共利益的內涵猶如普羅透斯的面孔讓人看不真切。從文義解釋的角度出發，公共利益由“公共”和“利益”兩部分組成。然而，學術界不僅對“公共”的認識爭議不小，對什么是“利益”也眾說紛紜。我國法律明文規定了為實現公共利益限制私權利的具體情形，但對公共利益內涵缺乏充分的說明。立法部門給出的理由是：公共利益在不同領域、不同時代背景下存在細微差異，內容復雜，對各種公共利益作出統一規定無法保證概念科學性[13]。可是，界定公共利益是必要的且意義重大。民法之所以強調合理劃定公共利益范圍，是因為其理論根基在于最大限度地保護公民個人利益，防止公權力不當入侵私人領域。法律放棄界定公共利益范圍，無異于縱容公權力借助規則漏洞損害個人利益。

3.3 公共利益識別的程序性標準缺失

公共利益的認定體現了民主決策的過程，決策結果的實質正義需要決策過程滲透科學與民主，而這需要借助程序規則加以保障。從現實情況看，行政機關使用人臉識別技術采集公民人臉信息時，往往沒有事先告知公眾，也無意尋求公眾的認可與同意。《個人信息保護法》規定了基于公共利益需要收集個人信息無須獲得公眾同意，然而，是否需要告知公眾并未明確；還規定在公共場所安裝人臉識別系統，需要設置顯著的提示標識，不過，設立顯著的提示標識的法律效果不等同于“告知”。公眾對行政機關采集以及后續使用人臉信息的目的、方式、途徑等一概不知，這里的公共利益既可能是現實存在的，也可能是披著公共利益外衣的商業利益或者政府利益。公眾的知情權沒有實質性實現。

法律對人臉識別技術運用到行政管理中沒有公告和聽取意見的規定。事實上，行政機關出于維護公共利益目的使用人臉識別技術只是一個形式化的先申請后審批的過程，是只要提出申請就能被批準實行的程序性規定，并沒有對收集目的是否真正符合公共利益需要進行實質性審查的過程。

4 人臉識別中“公共利益”規則完善建議

因公共利益需要克減個人信息權益的正當性毋庸贅述。但是，目的正當性和手段任意性絕非一脈相通的。相反，應該通過限定主體、厘清范圍、完善程序等措施保障公益性使用人臉信息合法合理。

4.1 明確個人信息領域公共利益的代表主體

行政機關在現代國家組織架構中地位突出，實踐中公共利益的具體劃定和落實都需要行政機關負責到底。對政府而言，需要盡快確定公共利益的代表主體，構建保護個人信息權益的主體制度和行政執法機制。針對目前個人信息保護領域多頭分散執法、權責錯位等問題，亟須建立獨立且結構分離的個人信息監管機構[14]，明確問責機制，糾正政府失靈，樹立監管權威性。

行政機關還要保障公民參與權的實現以及監督權的行使。設立獨立的個人信息保護機構可為公民提供權利救濟渠道，當公民個人信息權益遭受損害時能夠向該機構表達訴求，要求其規范處理并給出妥善解決方案。同時賦予個人信息保護機構一定的規則制定權，經過國家有關立法授權，發布一些實用的有關個人信息保護的文件、方案等，例如針對信息處理中的“公共利益”作出正當的令人信服的限縮解釋。

4.2 合理限定公共利益范圍

社會意識形態、政治生態、道德與文化會影響公共利益的立法表達，公共利益概念理解的差異化折射出多元價值取向。公共利益本質上是行政管理者平衡利益沖突，進行利益取舍的工具，選擇最優利益才是終極目標。從公共利益特征出發能夠準確把握其核心。其一，公共利益是相對于個人利益、局部利益而言的，是經過權衡比較的優勝利益。其二，公共利益是關乎人類長遠發展的理性、綜合性利益。個體利益在數量上相加減不等同于公共利益，公共利益的價值衡量遠在孤立的個體利益之上，它不是短視的、封閉的利益，而是一定范圍內人民普遍贊同，服務于個體價值實現的利益。其三，公共利益是抽象與具體的結合，既是利益衡量所追求的未來目標也是現實結果[15]。

4.2.1 公共利益范圍類型化

立法中采取逐條列舉的方式界定公共利益范圍的實踐性最強。《公益事業捐贈法》第三條和《土地管理法》第四十五條都采用舉例的方法分別對公益事業和公共利益范圍進行了規定，兩者關于公共利益內容的表述有相同成分。宏觀層面上，國家安全與利益、公共管理與秩序、公眾安全等都屬于公共利益的范疇；微觀層面上，科教文衛體事業、環境能源保護、基礎設施建設等也是維護公共利益的體現。個人信息保護工作中的公共利益具體化表達還應該包括：信息網絡安全、未成年人個人信息的特殊保護、跨境信息提供等。

公共利益類型化為實踐中判定公共利益提供了方向指引，有助于正確識別公共利益。不過公共利益的范圍界定工作并非一勞永逸，公共利益法律化處在一個兼容并蓄、吐故納新、不斷完備的發展進程中，而且它并非抽象到不可窺探全貌的程度，實踐中需要對公共利益進行具體的法律解釋和價值判斷。

4.2.2 否定式列舉排除公共利益的假冒情形

立法上正面羅列的方式存在一些弊端，無法窮盡列舉，極大地增加了公權力機關的判定成本。經濟實用的方法是從公共利益的反面著手，剔除假冒形態，劃清公共利益邊界。首先，共同利益與公共利益互不相容。某個區域共同體的利益不一定指向不特定多數人的公共利益，對于特定范圍內的部分人的共同利益，不排除其具有公共性質但其也具有私益本性。歷史證實形式上簡單的多數人利益會引發多數人的暴政。其次，政府利益不是公共利益。中央和地方政府職能部門都客觀存在著權力核心集團，權力尋租現象不可避免。最后，含有公益性質的商業利益也不屬于公共利益范疇。公共利益不追求營利結果的實現，而商業利益的動機在于賺取利潤，可能部分商業利益的實現過程會帶來良好的社會效益，提供就業崗位和增加財政稅收，潛在地增進了公共利益。然而，追本溯源商業利益仍然是經營主體的私人目的[16]。

4.3 完善公共利益識別的程序性標準

公共利益識別應當融入正當程序規則。通過程序公正推動權力行使規范化。公共利益實質上具有社會共享性，在對私人利益進行限制時，需要給予每一個私人利益主體充分表達自身利益訴求的通道，確保公共利益真正得到貫徹。實現公共利益的各階段全過程都應該直面大眾，充分鋪陳[17]，公開以保證透明。在使用人臉識別技術采集公民人臉信息時，政府應當自覺履行信息公開職責，事先向民眾詳細闡述人臉信息收集使用所涉及的公共利益緣由和內容，以此增強公共利益目的妥當性，提高可接受度。“無需個人同意”的內涵并非否決個人信息知情權，公權力機關有責任以一種簡潔明了的方法向民眾公開信息采集處理的法律依據和正當理由，并向信息主體闡明關聯的信息控制主體、存儲路徑、利用范圍等，廣泛接受人民群眾監督。

當認定公共利益范圍存在較大分歧時，可以建立一個以實現公共利益為價值導向的聽證機制，廣泛聽取利害關系人的意見。對于識別公共利益的聽證，具體做法可以規定為：在行政機關或者一些私人主體主張基于公共利益需要，利用人臉識別技術收集公民人臉信息前，政府應當舉行聽證會，邀請各界代表參與，就人臉信息收集使用目的是否符合“公共利益”說明理由，允許質證和辯駁。此外，舉辦聽證會的時間地點、討論內容等各項事務需要行政機關事先安排妥當。聽證不能形式化，需要明確聽證效力，把聽證落到實處。公共利益決策的最終形成離不開聽證筆錄，應高度重視聽證筆錄記載的民眾訴求與磋商意見。

5 結語

人臉識別技術的更新升級給予人臉信息更多的意義，人臉信息作為敏感個人信息需要受到更嚴格更全面的保護，但是，社會生活中以公共利益為借口濫用人臉識別的問題突出。我們需要正確對待人臉識別技術帶來的價值和風險，遵循個人信息保護路徑對公共利益進行科學合理的規制。在個人信息保護中不斷探索有效的公共利益界定模式，明確個人信息領域公共利益的代表主體，進一步明確公共利益的概念和特征，此外，在程序上需要充分吸納人民群眾參與公共利益的認定過程，保持一定的透明度，保障信息主體的知情權。