如今，人脸识别的应用已经渗透到社会生活的方方面面。在工商、人社、交通、金融等政务领域编织了一张大网之后。，它已经“进军”到门禁、会员识别、员工考勤等商业领域。

人们在享受“刷脸”带来的便利的同时，也担心“侵犯隐私”和“信息泄露”的隐性风险。

从“中国人脸识别第一案”到清华大学劳东彦教授维权，从5000多张人脸打包卖给售楼处偷偷使用人脸识别，“人脸识别技术侵犯个人信息安全”的案例屡屡被披露，总能引起人们的警惕。

因此，如何让个人信息在不被非法获取或使用的同时发挥其价值？如何厘清人脸识别技术的应用边界？如何通过立法和监管更有效地保护我们的脸，让广大民众不再担心“脸在哪里”？这些都是急需关注和解决的问题。

民法典提出了合法性、正义性和必要性三大原则

大数据时代，个人信息被誉为“新时代的石油”。人脸信息是高度敏感的个人信息，人脸识别技术是基于面部特征信息及其不可改变的特征进行身份验证的生物识别技术。该技术还具有非接触、交互性强、高效快速、符合人类识别习惯等优点。

目前人脸识别技术越来越成熟，应用场景越来越广泛，成本也在降低。有生命体征的人被转化成一串代码，面临被替换或被冒用的风险。

中国社会科学院大学互联网法治研究中心执行主任刘晓春指出，个人信息泄露的风险不容忽视。现阶段人脸识别技术还不成熟。很多人脸采集的主体没有严格的安全措施和技术测试。有时他们可以通过使用照片或视频来识别，并且存在密码泄露和帐户被盗的风险。

今年3月，清华大学教授劳东彦在园区门禁上绷紧了谨慎的弦。因为所在小区实施人脸识别门禁计划，她特意写了一封法律函，发给物业公司和居委会，提请他们注意“人脸识别的潜在风险”。最后，除了“刷脸”进出的方式，社区增加了刷门禁卡、手机等方式。

此前，保护个人信息的专门立法一直没有出台，以至于“强制刷脸是否合法合规”的问题进入了一个相对尴尬的境地。今年生效的民法典在一定程度上填补了这一领域的空白。

一方面规定了个人信息的处理原则和条件。需要处理个人信息的，应当遵循合法、正当、必要的原则，不得过度处理。另一方面也明确了个人信息主体的权利，即自然人可以从信息处理者处查阅或者复制其个人信息，有权提出异议并请求及时更正等必要措施，发现信息处理者违反法律、行政法规的规定或者双方约定的，有权请求信息处理者及时删除其个人信息。

但是，在民法典相应条文的适用上，仍然存在很多问题。劳东彦认为，保护个人信息不仅仅是“同意”的问题。除了个人授权，个人信息也要明确保管和使用。“民法典只能做概括性的规定，未来还需要一些详细的规范。”

中国信息安全研究院副院长左晓东表示，由于人脸识别技术的应用场景很多，需要专门的文件来规范。“比如人脸识别技术应用的‘正当必要性’是什么？这需要特别的规定。”

中国电子技术标准化研究院网安中心评测实验室副主任何延哲也指出，人脸识别的特殊场景需要在法律法规上进行细化。虽然“合法、正当、必要”三原则可以涵盖所有的个人信息保护，但这样的原则通常是笼统的，所以一些企业在应用人脸识别时可能会钻一些空的空子，变得更倾向于商业利益而非个人消费者。

人脸识别的不同场景仍需标准化

2020年10月13日，十三届全国人大常委会第二十二次会议对《个人信息保护法(草案)》进行了初次审议。9天后，中国全国人大公布了《中华人民共和国个人信息保护法(草案)》，并就此公开征求意见。

与民法典相比，《个人信息保护法(草案)》深刻总结了民法典、网络安全法等法律法规和《个人信息安全标准》等国家标准的实施经验，更加具体地规定了个人信息保护的原则，并将个人信息保护实践中的有效做法和措施上升为法律规范。同时，后者做好了与前者的衔接，针对实践中个人信息保护的新问题、新场景，做了必要的规定，留下了灵活空的空隙。

但是，有些规定还需要进一步探索和调整。对此，刘晓春表示，目前民法典、网络安全法、消费者权益保护法以及即将出台的个人信息保护法所建立的法律体系已经比较完备，但还需要针对具体领域的不同场景进行修正，比如金融、生物特征信息识别、人脸识别等，以便明确指导具体实践。

同时，她也认为，人们对于人脸信息被采集后会因保护不力而被泄露的担忧，目前更多的是一种猜测，到目前为止也没有证据表明人脸的滥用和泄露已经形成了明显的趋势。因此，在风险可控的情况下，信息采集、处理和保护得当，人脸识别作为身份验证手段，不能视为“洪水猛兽”。

在她看来，个人信息贩卖的黑色产业链是个人信息威胁最大的部分，以黑客犯罪活动为代表的个人信息买卖已经成为一条产业链。暗网出售个人信息的行为被称为黑货、灰货。不法分子会在侵犯个人信息的基础上，欺骗或传播非法内容。

2019年以来，在人脸识别技术不断更新迭代的同时，人脸信息的泄露和非法售卖也日益增多。近日，上海检方提起公诉的一起涉案金额超过5亿元的假发票案，牵出了一起非法人脸识别案。

本案中，犯罪嫌疑人先以每张30元的价格从外地购买他人高清头像和身份证信息，然后用“现场拍照”APP处理高清头像，使照片“动”起来，形成包括点头、摇头、眨眼、张嘴等动作视频，再用经过特殊处理的手机“劫持”摄像头。在人脸认证过程中，摄像头不会启动，系统会获取之前已经制作好的视频。系统会认为我是在镜头前，最终通过认证，完成为他人开具增值税普通发票的“箱包公司”注册。据犯罪嫌疑人交代，被破解的APP类别非常广泛，涉及政务、安防、金融、支付、生活消费等用户量巨大的APP。每单的破解价格从25元到300元不等。

由此看来，人们在APP的使用中也面临着个人信息泄露的风险。何延哲指出，一是APP的应用存在保护意识不强的问题，安全措施不到位，该加密的不加密，该做的权限设置不做；另一方面是APP本身过度收集个人信息的问题。

因此，需要对摄像头、手机等硬件设备，以及配备的征管软件进行依法检查，防止信息泄露、财产损失、身份诈骗等问题。

何延哲表示，在APP治理方面，需要检测、评估、整改等一系列措施来弥补“规则尚不明确”的缺陷。“但这是全球范围内数据治理的共同挑战，考验的是监管部门的智慧。”

国外的案例是否能适应中国国情还需要讨论

2020年2月，谷歌公司遭遇集体诉讼，称谷歌照片服务中使用的面部识别技术未经许可收集了用户的面部印记数据。同年，微软公司也因类似原因遭遇集体诉讼。很快，谷歌、微软和亚马逊被指控违反了美国伊利诺伊州的生物识别信息隐私法。

《生物特征信息隐私法案》早在2008年10月3日就在伊利诺伊州诞生了。该州是美国第一个规范生物特征信息收集的州。这项法律禁止私人公司收集生物特征数据，除非以书面形式告知用户正在收集或存储哪些数据，数据收集和使用的具体目的和存储时间，并征得用户同意。

自2019年以来，包括旧金山、萨默维尔和奥克兰在内的美国十几个城市通过地方法规禁止政府机构使用人脸识别技术。

除了美国，人脸识别案例还分布在加拿大、瑞典、印度等地。各国也为此制定或颁布了专门的法律法规。比如加拿大的《2020年数字宪章实施法案》包含了《消费者隐私保护法》和《个人信息和数据保护法院法》，瑞典的《犯罪数据法》，印度的《个人数据保护法(草案)》等等。

外国法律在中国能有效实施吗？左晓东表示，相对而言，美国一些州颁布的法律非常严格，这代表了一种对生物识别技术应用的立法态度。但是，这种规定过于严格。至于是否适合中国国情，需要在实践中讨论，不宜对人脸识别技术“一刀切”。

专家建议:用行政监管引导技术向善

刘晓春指出，在美国很多个人信息泄露的诉讼案件中，受害者可以采取集体诉讼的方式起诉企业，而中国目前还没有集体诉讼制度，个人诉讼还存在很大障碍。其中，最关键的因素是，在证据收集上，主体需要证明网站、平台、社区收集了人脸数据并造成了损害。取证的过程难度大，成本高，技术性强，普通人可能不具备取证所需的专业能力。所以人脸信息被盗，损害个人利益。在没有实际损害的基础上，个人很难有起诉的动力。

刘晓春提到，在杭“人脸识别第一案”中，检察官的起诉目的具有公益性质，对社会责任感的提升起到了示范作用，超越了个案的意义。但是，这种案例是不能大量复制的。如果人们想要发起集体诉讼，诉讼制度本身无法提供匹配的支持。

“虽然个人不能提起集体诉讼，但是可以通过公益诉讼提起诉讼，比如消费者保护协会、检察院等，实现司法保护的积极作用，推动实践的发展。”刘晓春说。

此外，在国内外法律中，法律赔偿制度很难证明损害的数额。人脸识别技术造成的伤害无法确定。就我国的具体情况而言，民法典的内容是主要的补偿依据，但法律上并没有更有针对性的相关规定。刘晓春认为，从长远来看，仍需继续推进人脸信息相关立法，弥补生物识别监管合规要求的空缺口，推动技术标准的制定，构建完善的侵权认定司法规则。

总而言之，针对国内外讨论如何保护我们面子的案例和法案，不少专家建议，除了立法之外，还应该根据个人信息泄露的实际情况，在执法层面进行有针对性的执法。

此外，在企业层面，需要加强企业自律，在获取和使用个人信息时遵循合法、正当、必要三原则。同时，提高企业在大数据环境下的网络安全防护技术；并规范隐私条款的适用，为用户提供删除数据和注销账号的渠道，明确告知用户争议解决机制。

最后，在个人层面。一方面要注意保留大数据杀熟、动态定价、价格操纵、个人信息泄露的相关证据；另一方面，要了解我国个人信息保护的相关法律，一旦发现个人信息被泄露和非法使用，可以立即向相关监管部门举报或向法院起诉，依法维护自身权益。

何延哲说，总体来说，我们还在摸着石头过河，但我们希望技术的应用有利于经济发展和社会进步，所以需要通过行政监管引导技术向善，坚持安全发展相统一的原则。

新京报记者薄启宇实习生陈宇阳谢宇文穆王鸿举袁

编辑刘谦

校对杨

来源:新京报