人脸识别该如何监管？

◎ 文 法治日报 《法人》全媒体记者 银昕

“刷脸”解锁手机，“刷脸”支付等，是我们生活中再熟悉不过的场景。而在我们无法察觉的情况下，很可能人脸信息已经被记录。随着信息技术的发展，人脸识别技术的应用越来越多地出现在人们的生活中，人脸识别所引发的个人信息保护问题也日益凸显。

今年11月1日实施的个人信息保护法将人脸信息作为生物识别信息中的一类，与宗教信仰、特定身份、医疗健康等被统称为“敏感信息”。此前颁布的民法典，也将含人脸信息在内的生物识别信息，与姓名、身份证件号码、健康信息、行踪信息等一同归为“个人信息”。

但是，在实际应用中，人脸信息相较于其他生物识别信息，具有外露性大、易被无感收集的特点。早在个人信息保护法审议的过程中，就有人提出，应当将对人脸信息的保护进行单独规定。

11月14日，国家互联网信息办公室发布《网络数据安全管理条例（征求意见稿）》（下称征求意见稿），其中与人脸信息相关的规定，再度引起人们对人脸识别行业的关注。

人脸信息的特殊性

征求意见稿提出，数据处理者不得将人脸、步态、指纹、虹膜、声纹等生物特征作为唯一的个人身份认证方式，以强制个人同意收集其个人生物特征信息。这条规定针对的是含人脸信息在内的生物识别信息，相对于它的两个上位法数据安全法和个人信息保护法，作了更加详细且带有场景化的规定。

记者了解到，人脸识别是对人脸上64个或128个关键点位特征的识别。人脸识别技术正是利用了关键点位的特征终生不变的这一规律，将采集到的人脸信息与已经存在于“母库”中的人脸进行比对，如果采集到的关键点位信息与“母库”中的关键点位信息一致，系统就判定该人脸就是“母库”中的本人。

一名在商业银行从事与公安部人脸库对接工作的人员告诉《法人》记者，将64个或128个关键点位特征比对后就将测试者“放行”，只是安全级别较低的认证环节。在更高阶的认证环节中，除了关键点位的比对之外，还要求测试者做眨眼、摇头等动作，每套指令中，这些动作的先后顺序会有所差别，通过收集这些动作的图像，会产生比关键点位特征更复杂的一套代码，来进一步验证，这样就能避免有人用照片或视频来“蒙混过关”。“涉及金融安全的场景，一般都是采用这类安全级别更高的验证方式。”该人士说。

即便如此也不是万无一失。一旦关键点位信息被别有用心的人提取，做成仿真面具“套头玩偶”，是相当危险的。“仿真面具既可以静态地被检验，也可以根据指令做动作。如果让仿真面具蒙混过关，一切权限就都被‘撬’开了。”上述人士说。

然而，人脸偏偏又是完全暴露在大庭广众之下，难以设防的一类信息；当人脸信息被采集时，当事人不会有任何察觉，也不必做任何配合性的动作，这一点与步态信息、虹膜信息和指纹、声纹信息有明显不同。

苏州万店掌网络科技有限公司是公共场合中的商业场所人脸识别技术的主要供应商之一，在2021年央视3·15晚会曝光人脸采集滥用的节目中，该公司的一位薛姓经理对央视记者说，目前该公司网络中已经存在“至少上亿”的人脸信息。

人脸识别是否需要单独立法？

中国人民公安大学网络空间与法治协同创新中心教授刘为军在一篇署名文章中称，公共场所人脸信息的无感采集问题，是否接受人脸采集的选择权问题，信息集中带来的风险问题，是否将人脸数据与其他数据包进行分别存储的问题等，在现行法律中难以清晰地被回答。

上述商业银行工作人员表示，作为“上位法”，民法典和个人信息保护法没有对具有极大特殊性的人脸信息作单独规定。“这样的原则性立法，在将来是需要配合单独针对人脸识别的法规的，或者是对人脸识别行业提供一套行业规范。”

11月26日，北京市中闻律师事务所律师赵虎接受记者采访时表示，在个人信息保护法和数据安全法施行不久的情况下，针对人脸信息的单独立法至少不会“很快到来”。“在逻辑意义上，对人脸识别单独立法的必要性是不足的。作为生物识别信息的一个种类，民法典和个人信息保护法都作了规定，也明确了收集者的使用原则，逻辑上没有漏洞。但是在实践中，如果真的发现原来人脸识别的特殊性那么大，而且与个人信息有关的纠纷和案件已经有相当大的比重集中在人脸信息上，这时候就有必要将人脸识别单独‘拎出来’了。”

赵虎认为，就目前来看，尚没有大量的纠纷和案件集中在人脸识别领域，“单独立法也好，制定行业规范也要，都要等具体实践中发生的情况已经足够多，也足够具体之后，才能进行。”

中国政法大学传播法研究中心副主任朱巍则认为，单独立法没有必要。“民法典和个人信息保护法都已经将生物识别信息纳入个人信息加以保护了，这时候再出台一个新法，作用不大。人脸信息在保护原则上，和其他个人信息所遵循的原则并没有本质的不同，个人信息主体的权利是一样的。”

朱巍认为，征求意见稿禁止将生物识别信息作为唯一的身份识别信息这一规定，对人脸识别在实际操作层面的影响不小。“有些小区强制居民采用人脸识别的方式进入大门，不允许居民采用其他方式确认个人身份，明明刷门禁卡可以办到的事情，非要采集一次人脸信息，这么多的人脸信息，将会流转到哪里？一旦泄露由谁负责？”朱巍说。征求意见稿中的相关规定，可以防止人脸信息被滥用。

前端采集设备须严格管理

早在2020年下半年，山东省济南市一楼盘售楼处在未提前告知并获得同意的情况下滥用人脸采集设备，以区分前来看房的客户是“自然到访”还是“中介带看”，导致不愿被采集人脸的看房者被迫戴头盔看房之时，就有学者对此建议，应当对人脸识别的前端采集设备严加管理。

所谓前端，就是公共场所中采集人脸信息的设备。

刘为军认为，采集人脸信息的前端设备，是一切人脸信息的源头，而刑法、民法典、网络安全法、数据安全法、个人信息保护法等法律规定都只是在事发之后才进行“补救”，而侧重于前端治理，才是网络时代风险治理的发展趋势。“应对人脸识别技术专门立法，明确规定禁止开展人脸识别的场景，建立人脸识别技术应用备案和年度评估制度，设定主要应用场景的安全要求，并加强对特殊主体的人脸信息保护（比如未成年人和残障人士）。”刘为军说。

朱巍在此前接受记者采访时就明确表示，鉴于目前使用人脸识别的单位过于泛滥，应由有关部门制定出详细清单，规定哪类单位有权进行人脸采集和识别，在何种场景下有权采集人脸。“与单独立法相比，我认为现在离对所有人脸信息的前端采集设备进行重新登记、备案和审批的工作，已经不远了。”朱巍说。

对前端采集设备的规定并非空白。早在2016年，公安部曾发布《公共安全视频图像信息系统管理条例（征求意见稿）》，征求意见稿共35条，对视频采集设备的设置，明示标识，以及传输网络的要求等都作了详细规定。但是，该条例至今未颁行。

如果有了这样一份条例，那么由公安机关布置的公共场所视频监控就有规可依，而其他基于商业目的的人脸采集系统，同样也有了可供参考的管理规定和标准。哪些单位有资格布置人脸采集设备，在哪些场景和环境下才有权布置，有权布置的单位又该如何保障被采集人的知情权和同意权，这些问题也就有了答案。

END

|编审：崔晓林 |责编：惠宁宁 

|编辑：张 波 |校对：张雪慧 赵 青 张 波

欢迎提供新闻线索，邮箱[e-mail]

约访、合作、转载事宜联系邮箱[e-mail]

👇您可能对以下文章感兴趣：🔥警惕电影众筹骗局🔥北大法宝：探寻“智慧法治”🔥央企法治建设突围之路🔥外卖骑手劳动保障现状调查🔥那一方山水 中国国家公园追求人与自然和谐共生

分享、在看与点赞

只要你点，我们就是胖友