基于场景一致性原则的人脸识别技术应用权限研究

项一晴 杨启中

1(华东政法大学国际法学院 上海 200042)

2(华东政法大学知识产权学院 上海 200042)

1 问题的提出

1.1 人脸识别技术应用方式不正当

从20世纪60年代初研究开始,人脸识别技术作为一项生物识别技术登上历史舞台,其发展至今已经在移动支付、身份比对、考勤、门禁等多个场景得到大量应用.而在人脸识别的应用过程中,由于各主体不加限制地使用甚至强制性地使用,不正当的强制使用人脸信息现象频频发生.人脸识别出现在各种场合中,虽然提供了便捷的人工智能服务,但也带来“强制使用人脸识别”“未经个人同意采集人脸”等现象.

人脸信息作为特殊的个人信息,在推广运用的过程中应当对其权利本身进行保护.不同场景下人脸信息运用的方式不相同,诸多未经许可对人脸信息进行采集的场合并不能由“合同违约”一概而论.故服务提供方的人脸信息处理强制性授权条件需要得到明确和完善.

1.2 人脸识别应用的法律规制较为模糊

2021年8月,《中华人民共和国个人信息保护法》(以下简称《个人信息保护法》)在第十三届人大常委会第30次会议上获得通过.关注个人资料的《个人信息保护法》解答了个人信息处理的法律规制问题,其中第16条对信息强制处理问题作出了规范.而如何规制并合理进行个人信息的收集、存储、使用、传输、提供、公开等处理活动的强制性授权,进而在有效保障个人信息的同时最大化地便利服务的供需双方,仍有待进一步研究.

人脸识别技术的法律规制较为模糊,使强制性使用人脸识别技术的2个主要方面暗含法律风险.强制性使用人脸识别技术表现为:一方面是具有格式条款性质的授权协议可能侵害广大服务对象的权益;另一方面则是人脸信息收取被用于非主要合同目的,使合同实际履行的内容超出合同内容[1].

2 人脸信息性质认定

2.1 人脸信息具有人格权性质

隐私权是人格权的重要组成部分,而个人信息与隐私权内涵有所重合.美国法律关于隐私权的相关规定把隐私权分为3个部分:信息隐私权、自主隐私权和隐私领域.而个人信息的隐私权属于“信息隐私”的范畴,即自然人通过秘密、公开和支配的方式所享有的隐私权.由此可以看出,在一定程度上,个人信息和隐私在内容上存在着重叠,人脸信息也不例外.与此同时,人脸信息还与自然人就其人格所享有的精神性权利密切相关[2].与其他个人信息相比,脸部图片具有更多的个性特征,更能反映出人的人格利益和精神价值,因而,相关的使用行为更容易引起对自然人人格权利的侵害.但是,对不涉及自然人人格特征的使用,比如只利用脸部信息进行计算机模拟训练,就很难从人格权中得到法律的保障.

2.2 人脸信息具有财产权性质

随着社会经济的扩大、科技的发展,特定人格权既已进入市场而商业化,具有一定经济利益的内涵,应肯定其兼具有财产权的性质.当下人脸识别技术已有普及之势,人脸信息不仅仅是自然人的肖像、名誉等人格利益的体现,还代表门禁的钥匙、银行卡的支付密码.基于人脸信息的商业化应用以及人脸信息与支付功能绑定的普及,人脸信息所蕴含的财产价值得到了更大地挖掘.

综上所述,个人信息具有2种不同的权利属性:人格权和财产权.近年来,人格权和财产权的差距逐渐缩小,有些权利现象不能完全归入财产权范畴或人格权范畴.就财产权与人格权交换发展的趋势,近年来还产生了“作为财产权的人格权”“经济人格权”“商事人格权”等概念及理论[3].而人脸信息作为一项特殊的个人信息,对其遭受的侵权行为的法律规制也应兼顾人脸信息人格权与财产权的双重保护.

3 国内外人脸识别技术法律规制路径

3.1 国内人脸识别技术法律规制模式

目前,生物识别信息包括面部特征,是国家特殊保护的对象,具有“软法先行”的特征.首先,在金融方面,《个人金融信息保护技术规范》将生物识别信息列为C3级,即敏感性最高的信息类别.其次,在信息安全领域,2020年3月修订的《信息安全技术 个人信息安全规范》也将其列为敏感的个人信息,并给予特别的保护[4].

3.2 域外人脸识别技术法律规制模式

3.2.1 美国“分别规制”方式

美国主要使用3种方法对政府部门使用人脸识别技术进行法律规制:第1种是禁止使用制度如《停止秘密监控条例》(Stop Secret Surveillance Ordinance);第2种则是特别许可使用制度,如乔治敦法律隐私与技术中心(Georgetown Legal Privacy and Technology Center)起草的《人脸识别示范法》(Model Law on Face Recognition);第3种是“随意利用”,也就是在政府没有专门针对人脸识别的情况下,政府可以随意地使用面部识别技术[5].

3.2.2 欧盟“通用保护”方式

欧盟采用公私部门一体化的方法,出台《通用数据保护条例》(GDPR)对人脸技术的使用进行规范.只要使用人脸识别技术,不论是政府还是非政府主体,必须严格接受统一的规范的规制.“原则禁止,特殊例外”的原则被有机融入在GDPR关于生物数据的处理之中,数据实际操控者可以援引“数据主体的同意”条款作为个人生物数据处理限制的例外,但该同意必须是“自由给予(free to give)、明确(clear)、具体(specific)、不含混(unmixed)”的[6].所以,数据实际操控者的任何表示同意或不表示同意,都需要与GDPR的规则相符.

4 人脸识别场景化规制合理性

4.1 场景一致规则的构成与规范模式

场景理论由传播学引申而来.场景一致是指保持同一场景下使用人脸识别技术的主体,其获得人脸信息权利的条件或者无需条件、获得人脸信息的资格具有一致性.场景一致规则的构成要素主要为参与主体、参与信息、信息传输规则3大要素.

参与主体是指信息提供方、信息直接获取方、信息间接获取方.信息直接获取方是与信息提供方达成合意或具有强制获取信息权利的主体;信息间接提供方是与信息提供方、信息直接获取方达成合意或有权利从信息直接获取方获得信息的主体[7].

参与信息即场景中流通的实际信息.在人脸识别应用领域即“人脸”被采集的不同功能.在实际应用场景中,虽然采集对象都为“人脸”,但是可以根据采集后的信息处理方式对参与流通的实际信息进行再次划分[8].具体包括抓取——采集人脸数量,如人流量统计;控制——对不同人脸进行记忆和存储,具备一次性区分不同“人脸”信息的功能,如ZAO等娱乐性APP对人脸的改造;处理——结合多功能,具备重复区分不同个人信息的功能,如移动支付中的扫脸支付功能、小区扫脸进出的识别功能.

信息传输规则即信息授权方式.在主体信息具备流通传输能力,需要经过信息传输的许可,即合意许可和强制许可,强制许可又包括真正强制许可和不真正强制许可.真正强制许可即主体处于正常社会场景中时必须无条件许可信息的采集,多出现于政府行为中[9];不真正强制许可多出现于移动设备APP“使用即授权”的条款中.

场景一致性理论的观点是个人信息暴露的风险和成因并不归因于本身的隐私性或秘密的特征,而在于技术的利用适当性.场景一致性通过对参与主体、参与信息、信息传输规则的定义形成不同于传统隐私权划分的规范方式,形成信息规范的新模式[10].

4.2 场景一致规则与人脸技术动态应用相契合

结合场景一致理论的合理性,“人脸”信息作为流动的数据信息,可以依据社会公益和个人私益中的应用情形进行划分,再根据特定场景划分将不同情景的人脸识别技术权限进行具体划分,从而使自然人的“人脸”信息在正常社会活动中被合理采集.在对个人信息的权利“借用”中,只有超过限制的部分构成不适当的信息流通,即违反特定场景的信息流通[11].而超过限制的部分则体现在强制性适用人脸识别技术、无限制地抓取或采集人脸等行为上.根据以上理论,总结人脸识别场景论可视化如图1所示:

图1 人脸识别场景论可视化

5 场景论下的人脸识别技术应用权限构想

基于公共利益与私人利益,将人脸识别场景分为公共利益场景和私人利益场景2大类别,再对不同场景下的不同主体对人脸信息的抓取、控制和处理3种行为模式分别进行讨论.

5.1 公权力机关场景

按照我国规定,公安机关可以进行个人信息的采集,且公安机关在公权力体系中承担维护社会治安和身份查验的直接角色.因此对人脸识别的应用权限可以借鉴相关规定,如《公安机关指纹信息工作规定》,制定《公安机关人脸识别工作规定》,授权(地)市级以上公安机关人脸信息的控制和处理功能,并与市级政府个人信息处理部门共同授权信息抓取功能.除此之外,其他公权力机关在需要进行人脸识别信息的抓取、控制、处理时,应向同级被授权机关提出申请,以此形成公权力机关内部审核模式[12].

由此,形成(地)市级以上公安机关、市级政府个人信息处理部门直接授权,其他公权力机关同级申请的公权力机关人脸识别权限体系,如图2所示:

图2 公权力机关人脸识别权限体系

上述权限划分的合理性在于:现有的管理模式,正在以实现有效社会管理为要求,以维护社会安全为目标,实践着公私利益平衡原则.同时,由于公权力机关之间的协作关系,设定其他公权力机关以申请的方式获得人脸识别应用权限,也符合公权力机关高效协同运作以及公权力机关内部监管的要求[13].

5.2 营利场景

5.2.1 商业场景

商业场景是人脸识别场域下以营利为目的的主体参与的线下场景.无论识别目的如何,人脸识别应用方在商业场景下,一律不得强制性使用或未经许可使用人脸识别技术的控制、处理2大功能.抓取功能的许可可以用《民法典》中对格式合同中的说明责任的诠释,可以在商业场景中单独使用,即商业场景中的人脸识别技术只能用于人流量统计,达到排除重复人数的使用目的.但应用抓取功能时,需要通过标识等方式明示进入商业场景的个人[14].

5.2.2 金融支付场景

在金融支付场景的抓取、控制、处理共同完成金融支付行为,无法分割处理.因此,金融支付场景中,金融支付平台或软件必须提供人脸识别以外的其他金融支付方式,只有个人同意“开通协议”,知晓人脸信息应用用途后,方能开通人脸支付的金融支付方式.即通过协议的方式平衡提高效率的自愿与个人权益的自愿.

对于金融支付场景的人脸识别应用限制,主要通过以下2种“越界”行为的禁止性规定明确电子网络场景的场景边界:一是不得将场景中的人脸信息上传人脸识别技术提供方;二是禁止同一软件设计方的不同软件产品之间共享“人脸”信息数据,即不同产品重新授权原则[15].

5.3 事业单位、非营利组织

事业单位、非营利组织对人脸识别的技术需求较少,因此对人脸识别应用权限可基于对使用目的的列举进行确定.事业单位、非营利组织的使用目的大致可分为2大类:一类是身份认证,另一类是提供服务.以养老服务组织为例,人脸识别应用于老人面部状态的抓取和分析生理、心理状况,并投入老年食堂的入场打卡.非营利组织对人脸识别的使用目的与“营利场景”有重合,加之独有的公益性,令事业单位、非营利组织应用人脸识别实现抓取、控制、处理功能具有可能性[16].

5.4 其他场景——入场场景

入场场景是指以建筑为单位,进入特定场景时将人脸识别作为入场方式的场景,如图书馆人脸识别入馆、小区门闸设置人脸识别系统.入场场景既不属于公权力机关在公共场所的专属场景,也不专属于以营利为主要目的的人脸识别应用场景,因此需要作为涉及多种模式的第3大类人脸识别应用场景.

由于入场场景的设置本身的目的在于提高效率,因此应当允许符合条件下的入场场景的使用.若强制变更,全部更改为人脸识别方式,则缺乏个人自愿的使用条件[17].社会场景下的管理主体缺乏公权力机关独有的公权力,不应在未获取完全自愿授权的情况下使用“人脸”信息[18].因此,应提供多种技术如密码、指纹等其他身份识别方式供选择,不得提供单一的人脸识别方式.

6 结 语

本文在场景一致理论的基础上,平衡公共领域和私人领域的授权和强制性使用“人脸”信息的范围,在场景一致性中提出以参与主体、参与信息、信息传输规则3大要素为分类依据,在对场景分类后,明确不同场景下的权限分类方式.未来,场景分类的标准和合理性思路可推广、应用至更多人工智能相关的法律规范中,形成一套能够随智能生活方式的进步而随机应变、逻辑自洽的现代个人信息保护体系.

而在场景的具体划分中,尚存在一些不属于本文分类的几大类场景的场景模型,继续研究如何更全面地设置可以涵盖所有社会生活的线上、线下场景,为人脸识别技术的全面规范提供更准确的方案具有潜在空间和现实意义.