人脸识别与个人信息保护:如何解决人脸焦虑？

元旦前后，北京市启动实名制经常性旅客快停服务试点。速停试点站一期包括天通苑等5个站点。虽然地铁方面强调此举是为了让乘客在高峰时段快速进站，但还是引起了轩然大波。事实上，多个城市的地铁系统已经试点开通了人脸识别的安全通道，但与此同时，公众对人脸识别在公共交通中的必要性以及人脸信息能否合法使用和有效保护提出了质疑。

如何解决面子焦虑？在采访中，专家们一致认为，我们应该划一条红线，单独立法。

人脸识别具有特殊性

清华大学法学院教授劳东燕告诉记者，在国外，人脸识别技术受到了一定程度的压制，而在中国则相对宽容，尤其是在一定时期，为了获得更高程度的安全性和便利性，公众愿意牺牲包括人脸信息在内的一些隐私权。不过，劳东燕也指出：“如果允许无限制收集人脸信息等个人信息，公众最终可能会失去隐私权，并没有相应的其他保障。”

劳东燕解释，人脸识别技术的本质是采集用户的生物信息，其最常见的目的和场景是身份认证。从技术上讲，一次人脸识别将涉及近一两百个个人生物识别信息，这就是为什么在一些安检口，即使是戴口罩的乘客也能被识别。因为这些人脸信息——，比如额头骨骼、瞳孔距离等。无法修改，采集到的个人生物特征数据将被累积和分析，为锁定的特定个人绘制个人肖像，类似于个人文件。

“身份认证本身没有太大风险。人脸识别的风险主要在于，通过人脸唯一可识别的生物信息，锁定特定个体后，可以识别和跟踪该特定个体的所有行踪。对于商家来说，有可能在此基础上影响主体的行为选择，比如个性化推荐。”老严说。

人脸焦虑逐渐被关注

这几天，家住北京增光路的吴女士担心小区会让居民设置人脸识别门禁卡。她不愿意交出个人信息进出房子。

为什么人们对人脸识别技术的使用更加敏感？劳东燕认为，这是由人脸识别本身的特点决定的。一个是无意识。大城市的人一天可能会被识别上百次。很多时候，人脸信息都是在我完全不知情的情况下提取出来的。第二，非接触，就像指纹信息一样，虽然也是生物识别信息，但是在使用指纹的时候，用户既知道又需要接触。三是入侵性强，即人脸识别侵犯个人隐私的风险往往更大。

“人们对人脸识别技术的困扰，并不是隐私和公共安全的争议。”面对城市里密集的摄像头，劳东燕指出，人脸识别技术当然有很多好处，但对于个人来说，他们必须意识到滥用带来的巨大危害。例如，黑市交易中泄露的人脸信息可能被用于淫秽视频制作、开设诈骗账户、诈骗贷款、精准电信诈骗等犯罪活动。也可以用于基于人脸识别数据的人像“杀人”等。个人信息过度暴露会让个人觉得自己是透明人，会威胁到人身和财产安全。目前，随着人脸识别应用的普及，个人信息的泄露也带来了严重的公共安全问题，甚至在某种程度上带来了更多的犯罪。“人脸识别技术就像打开了潘多拉的盒子。你不知道会有什么结果。”她说。

中国人民大学法学院教授、民商法学研究中心执行主任史家友告诉记者，每个人都有来回走动的自由。为了实现这种行动自由，保持匿名是非常重要的。然而，人脸识别的广泛应用将对人们的bas构成严重威胁。

使用合法性须重视

我国《个人信息保护法》规定，在公共场所安装图像采集和个人身份识别设备时，需要设置明显的维护公共安全的标志，无需个人同意。

劳东燕认为，地铁安检刷脸的反映，恰恰是如何界定相关使用场景是否为公共场所，是否为公共安全所必需。

施嘉友认为，在我国的立法框架内，人脸是敏感信息。根据《个人信息保护法》，人脸识别需要特定的目的、充分的必要性和特殊的安全措施。地铁安检的必要性在于识别乘客是否携带危害公共安全的危险品，而不是通过人脸识别技术识别乘坐地铁的每个人的具体身份。所以在地铁等场景进行人脸识别安检的同时，普通安检通道也要预留给不想使用人脸识别的乘客。

“《个人信息保护法》第26条特别强调，要在公共场所使用人脸识别技术，必须基于维护公共安全的必要性，不得挪作他用。”施嘉友认为，从这个意义上讲，基于商业目的的收藏和使用是违法的。

对外经济贸易大学数字经济与法律创新研究中心主任经允许告诉记者：“监控，尤其是大规模远程监控，显然很难证明其合法性和正当性。”

专家建议应单独立法

“2021年7月，最高人民法院颁布了《关于审理使用人脸识别技术处理个人信息相关民事案件适用法律若干问题的规定》号法律，明确规定信息处理者不得对信息主体采取禁止强制同意、约束同意等措施。这一司法解释具有里程碑意义。”施佳友说，“比如你刷脸进社区，用户可以选择同意，也可以选择刷身份证等其他方式。总之，不能强迫你刷脸，至少给信息主体一个选择。”

“无论是基于国家公共安全还是企业的经营目标，知道是必不可少的。”许可认为，没有知情权，后续权利难以保障。“尤其是对于公共场所的各种监控摄像头，用户根本不知道哪一个是合法的，哪一个是合法的。

“自主选择理应建立在充分知情的基础之上。”劳东燕说，“很多时候，公众对收集与处理人脸信息的相应风险并不知情，知情同意是否真正体现个人的自主选择，就要打上一个大大的问号。”因此她认为，目前关于人脸识别的法律层级和权威性都还不够，《个人信息保护法》对人脸信息的保护还不够有力，因此，对于包括人脸信息在内的生物识别信息，非常有必要专项立法。她认为，行政法或许会起到更大的作用。因此她建议采用一般禁止、特别许可的方式来保护人脸信息。“在专项立法中采取特别许可制度，无论是企业还是政府部门收集人脸信息，都需要法律的特别授权。”她说。

许可对此表示赞同：“我非常同意人脸识别应该单独立法。”他认为，未来的人脸识别制度设计首先需要划出“红线”，比如禁止无差别地远程监控、禁止无差别地对人群进行分类和决策等。另外，无论是政府还是企业，对于人脸识别的高风险情景都应做充分性论证，“是不是非使用人脸识别不可？”然后就是赋权，让用户决定交不交出去，这是很重要的。

许可认为，在《个人信息保护法》中，绝大部分情况下，告知基本上是没有什么豁免的。除非为了侦查犯罪需要进行的收集不需要告知，大部分情况下都需要告知。此外，保障收集到的个人信息的安全，是一个重大的基础性权利。