M姐评时事系列
【时事二】Facebook’s Push for Facial Recognition Prompts Privacy Alarms
（来源：
https://www.nytimes.com/2018/07/09/technology/facebook-facial-recognition-privacy.html?nytmobile=0）
【时事摘要】Facebook今年在欧盟推出了面部识别工具，并号称这项技术的推广可以帮助人们保护其线上身份，即防止别人用你的照片冒充你。早在六年前这项技术就遭到过执法者的质疑，但现在Facebook又引进了该服务。
如今美国与欧洲关于数据的审查都很严格，因此少部分官员针对此事提出，面部识别技术并未征得用户同意、侵犯了用户的隐私；现在已经有一些机构在对Facebook进行调查了。
面部识别的工作原理是在照片或视频中扫描未命名人物的面部，然后将他们的面部图案的代码与指定人员的数据库中代码进行匹配。虽然Facebook表示这个过程是由用户控制的，但批评人士却说人们实际上并不能控制这项技术，因为即使面部识别设置被关闭，Facebook也会在照片中扫描他们的脸部，而且事实上它也扫描着每一张照片。
其实问题的核心在于Facebook是否征得了用户的同意以及获取用户同意的方式，然而Facebook以保护用户身份信息之由来推广这项服务却有操纵用户同意之嫌。早在2010年Facebook就引进了类似的照片标记能“TagSuggestion”，而且当时是为用户将这项功能设置为了默认选项，虽然用户可以将其关闭，但是既未获得用户“选择加入”之同意也未明确告知用户他们可能从扫描用户照片中获利。
此外Facebook今年4月份遭受了伊利诺伊州居民提起的集体诉讼，称其面部识别举措违反了伊利诺伊州的隐私法，如果Facebook辩护失败的话，将可能给Facebook带来数十亿美元的损失。另外，隐私和消费者团体也在4月份向FTC提出申诉，称Facebook增加了面部识别服务，例如帮助识别模仿者的功能，未经事先获得人们的同意。
【M姐评论：】大家都知道，GDPR其实并非以”同意“为唯一合法性要件，只要企业可以证明其有履行合同之目的，或者有法定义务，有需要满足公共利益要求或者其他正当性目的的情况下，是可以处理个人信息的。但是，GDPR对一些特殊类型个人数据的处理，采取的则是原则上禁止[1]，但以用户明确同意作为例外和补充[2]。
对于做出同意的方法，GDPR第7条也做了明确规定：1.该同意是由数据主体做出的声明，或者做出清晰的肯定性动作，同意被认为才有效。个人沉默、提前勾选的选项、静止等状态，不足以认定个人表达了同意【explicit要件】。2.GDPR还明确了同意是由数据主体自由地做出的【freely given要件】。3.数据控制方还应当告知数据主体撤回同意的权利【fully informed要件】。4.如果数据主体是通过书面声明的方式表示同意的，而该声明还涉及其他事项，则同意在形式上应当明显区分于其他事项，以明了且易获取的形式,使用清楚简单的语言【clearly distinguishable+accessible要件】。
在欧盟法域内，Facebook在未经过用户明确同意的情况下，利用面部识别技术扫描用户照片的脸部与其底层数据库进行比对确实侵犯了用户隐私，即使在收集用户照片的时候已经获取了用户的同意，但是脸部扫描与分析技术的目的并没有在收集照片那会儿进行批露，超出了目的限定的范畴。那么在美国法域内，究竟这么做，是否需要用户明确授权同意呢？
根据最新颁布的美国第一部隐私法案《加州消费者隐私法案》（“CCPA”）来看，全文确实没有规定“同意”，但是在个别情况下（如企业故意忽视儿童年龄的情况下）会采取opt-in的机制，而一般情况下都采用了opt-out为原则辅以例外的模式。这也是与美国人喜欢自由和推崇企业自治为先的立法理念密切相关的。并且，CCPA中的“个人信息”概念并没有将哪些属于敏感信息做完全区分。
但是从伊利诺伊州的集体诉讼与隐私和消费者团体向FTC提出的申诉诉由来看，对敏感信息要求“事先同意”的诉求似乎又与GDPR的规定产生了趋同性。让我们拭目以待，美国接下来各州对于隐私保护立法还会有什么样新的变革与发展。
注: 感谢洪延青博士对时事素材的提供和赵小琳女士对时事摘要部分的翻译与整理。
[1]GDPR第9条第1款：”禁止在个人数据处理中泄露种族或民族起源、政治观点宗教信仰、哲学信仰、工会成员资格等个人信息,禁止以识别自然人身份为目的对个人基因数据、生物特征数据的处理,禁止对健康数据、性生活、性取向等相关数据进行处理。
[2]GDPR第9条第2款：上述第1款的规定不适用于以下情况:(A) 数据主体明确同意数据控制者出于一个或多个特定目的对其个人数据进行处理,但按照欧盟或成员国法律的规定第1款的禁止性规定可能不取决于数据主体同意的除外；