人脸识别的法律风险与规制路径

[摘要]随着时代的发展，大数据、人工智能等科技进步突飞猛进。人脸识别作为不可缺少的密钥在日常生活中被广泛应用，应用于多种场景的“刷脸”的确能提高社会运作效率、安定社会秩序、节约社会资源，但也会带来不可忽视和难以衡量的风险。目前，我们难以比较其产生的效益和风险隐患孰大孰小，而且我国尚未制定具体的法律和行政法规，也没有明确各类主体在人脸识别使用上的权限，使得其在法律风险规制方面存有漏洞。综合考量，应对人脸识别分析机制潜在的法律风险进行讨论，提出场景化区分、删除权保障实现、动态知情同意、建立一体化保障机制体系等规制建议，以期实现个人利益与社会利益的协调统一。

[关键词]人脸识别；个人信息权益；风险预防；法律规制

[中图分类号]D924.3      [文献标识码]A

[DOI]：10.20122/j.cnki.2097-0536.2024.04.011

引言

人脸识别是指以收集过的人脸信息作为参照，运用算法、数据等相关技术，将拍摄、扫描到的实时人脸与参照相对比，从而识别、确认身份的新兴技术。[1]人脸信息属敏感个人信息，亦属个人生物信息，与上位概念个人信息既有联系又存在区别。[2]从共性的角度上看，人脸识别具有以电子方式作为载体、可传输、可单独或结合其他信息发挥作用等特征；而从个性的角度上看，人脸识别具有难以篡改、难以复制、非接触性、可远程采集、技术复杂性、高效性、知情同意动态性等特征。[3]故其不仅要遵循《个人信息保护法》所要求的合法、正当、必要、诚信四项原则约束，需要以处理目的充分必要性最小化收集，以当事人明示、单独的知情同意为前提条件等大规则，还应该制定具体的保障规制机制，以针对其特殊性所带来的风险。

例如，郭兵诉杭州野生动物世界有限公司一案作为我国“人脸识别第一案”引起广泛关注。[4]原告郭兵购买动物世界年卡，园区将原本指纹验证入园的方式升级为人脸识别，原告不接受此做法，双方协商无果后原告起诉。又如，美国一家人工智能公司用一个特质的3D面具，成功欺騙了支付宝和微信等诸多人脸识别支付系统，完成了购物支付程序。从以上案例可以看出，人脸信息保护受产业化发展影响，人脸识别技术精确性有待提升，面部信息深度分析超出传统知情同意规则，种种潜在风险成为亟待解决的问题。

近年来，越来越多的学者开始探讨其中蕴含的原理，借鉴国外立法来补足国内之空白、寻找风险预防的途径。本文认为，我们应该对人脸信息识别采用一定的标准来划分，从而分门别类、对症下药，寻求具体有效、现实可行的规制方法。

一、人脸识别存在的风险隐患

（一）人脸信息泄露、贩卖多发，规制缺乏针对性

人脸识别作为新产业、新业态受到广泛关注，众多大数据公司以及各大软件平台看到商机纷纷加入并收集了大量的人脸信息，但是目前真正拥有核心算法技术知识产权的很少；而信息保管制度不健全，加之外部不法分子利用网络爬虫等手段入侵数据库，泄露问题时有发生，更有甚者以低价贩卖大量人脸信息。公安部发布的数据显示，2020年全国公安机关共破获窃取、贩卖人脸数据案件22起，抓获犯罪嫌疑人60名。此外，根据最高人民法院发布的典型民事案例，公民个人作为民事主体的一部分，也有可能通过安装人脸识别门铃构成对他人隐私的侵权，其行为虽然不易造成广泛的影响，但由于群体庞大，也不可小觑。

在责任承担方面，《个人信息保护法》主要体现在第七章“法律责任”部分，以责令改正、警告、没收违法所得、罚款等手段来规制，其主要针对的对象是信息的收集者、处理者；《数据安全法》中规定了国家机关、相关组织及个人的法律责任，而对窃取者的规制则是引入其他有关法律、行政法规；《网络安全法》对窃取者法律责任有所补充，同时也强调了运营者、国家机关部门等各方的责任承担问题；《刑法》主要以非法获取计算机信息系统数据罪、破坏计算机信息系统罪、侵犯公民个人信息罪等进行规制；在众多行政法规中，个人信息保护大约只有一两条，且为概括性规定。从上述分析来看，法律规制存在层级化、概括性强而针对性具体性弱、前置性法律法规有所缺失等不足，其完备性仍有待提升。

（二）识别技术精确性差、易破解，造成连锁反应

近年来，人脸识别技术虽然得到了广泛运用，但各平台软件参差不齐，其成熟度有所差异。2020年，在警方破获的两起盗用公民个人信息案中，犯罪嫌疑人均用“AI换脸技术”非法获取公民照片，经过一定预处理、再通过“照片活化”软件生成动态视频，成功骗过了人脸核验机制。周光权教授曾在2022年两会期间表示，“2021年2月，清华大学Real AI研究团队利用对抗样本干扰技术，在15分钟时间内就成功破解了19款国内主流手机的人脸识别系统。”[5]部分人脸识别装置精确性差，易造成误判，如美国新泽西州一公民曾因人脸识别系统问题被错误关押十天。[6]这些风险难题往往比普通的个人信息遭到侵犯更难应对。

泄露的个人信息大多为普通的个人信息，泄露后可以及时更换，并且在各平台也可以设置不同的密钥，不易导致连锁反应；但是人脸作为身体不可分割的一部分，具有运用上的同一性、连锁性，难以更改。人脸信息一旦泄露，各处保护屏障均在一刻瓦解；而部分只有人脸识别作为唯一密钥的地方，也难以即刻停用且无法在后续进行更改，会造成更多人身、财产损失，如若不易及时制止后果将难以估量。

（三）收集过程难以发觉，过度分析侵犯人格尊严

人脸作为长期暴露在外的个人信息难以藏匿，其保护性较弱，而随着摄像头的密集分布、拍摄技术的高清化使得人脸信息收集防不胜防、极具隐秘性。例如人脸识别在“大数据杀熟”中已有所表现，多家售楼部已经通过人脸识别系统分析消费者购买次数并为其匹配不同的优惠方案，导致部分消费者被迫戴上头盔看房。

《华盛顿邮报》报道指出，目前的脸部辨识系统对亚裔、非裔美国人的误判机率比白人高出100倍左右，隐射出美国社会种族歧视、错误执法等更加深层的问题。美国多州已经出台立法，以此禁止或限制警用人脸识别技术。[6]而按照我国《个人信息保护法》在个人信息处理中要遵循的四项原则，处理目的充分必要性最小化收集，以当事人明示、单独的知情同意为前提，无处不在的人脸信息处理显然没有征得公民明示的单独同意，[7]其目的非正当且充分必要，滥用人脸信息，过度分析种族、经济状况甚至性取向等个人隐私的行为严重侵害了人格尊严。[8]这种风险隐藏时间和延续性较长，难以做好事前预防，一旦爆发易形成一系列密钥的失效，不仅会致使当事人自身的人身、财产损失，严重的甚至可能会导致社会秩序的混乱。

（四）传统知情同意规则失灵，用户一次性妥协且难以撤回

人脸识别的初衷是节约社会资源，以更加高效便捷的方式来进行社会公共管理，而基于传统知情同意规则的要求，需要当事人知情、做出明示、单独同意，这无疑与提高效率相背离。在现实生活中，许多隐藏性较强的人脸识别没有经过当事人的同意就收集、储存、传输他人的人脸信息，甚至过度分析，以企业营利最大化作为唯一标准，导致知情同意机制在无形中被架空。[9]即便有部分主体关注到这一点，但在协议中无限扩大人脸识别适用范围的情形屡见不鲜，这些协议排除了对方合法权利、减轻了自身责任；在后续实施服务协议的过程中，人们即使不同意在特定场景适用人脸识别、希望通过合法方式解除协议，但人脸信息以数据形式储存在对方手中，在监管不力的情况下很难做到完全撤回，即使删除权难以真正落实到位。[10]例如，在“人脸识别第一案”中，原告郭兵最开始与野生动物园签署的协议中并无人脸识别相关内容，而后续园区又以其不愿人脸识别为由拒绝提供入园服务，排除了原告的合法权益；这种一次性妥协并不足以支撑身份识别方式的转变这一动态过程，而动物园短信通知的方式仅仅陈述了识别方式的变化并未告知其相对应的风险问题，也未充分履行告知义务。

二、人脸识别的法律因应与规制路径

（一）提升相关规定位阶，厘清界线范围

在法律规制上，我们要注重法律位阶上的协调衔接和内容的具体化、针对性。在层级协调衔接上，应该针对不同的违法行为有所划分，尤其注重《刑法》前置法的制定，因为《刑法》具有谦抑性，在涉及个人信息相关的犯罪中避免出现类似“违反国家有关规定”的用语，[11]这就要求相关机构及行业组织制定对应的内容，对个人信息进行分类分层，针对不同层级的违法行为适用不同的法律条文进行规制。由于许多行业规范缺乏法律效力支撑，经实践检验成熟的做法与规则可及时上升为法律。

此外，要注重法律解释的协调，区分好部门法之间的边界。适用《民法》要尽量保障双方之间的平等地位，照顾意思自治，发挥其矫正正义作用；适用《行政法》要注重公权力的控制，守好权力边界，不得借公务执法之名滥用人脸信息收集分析权力、过度干涉私权；适用《刑法》要强调谦抑性，把握出、入罪之间的界线，做到罪责刑相适应。在具体要求上，重点把握人脸识别的特殊性，针对其难以篡改和复制、非接触性、知情同意动态性阶段性等特征，[12]严格把控人脸识别使用场景范围，细化知情权、删除权、撤回权等相关规定，考量落地实施的可操作性。

（二）公权主体和私权主体场景化差别化使用

由于公权力主体和私权利主体在适用人脸识别时所要达到的目的、面对的对象、使用的方式手段以及相关技术水平等方面都有所差异，对人脸识别法律风险的规制可区分使用主体。[13]

对公权主体而言，其使用人脸识别技术是为了提高管理效率、稳定社会秩序，主要应用于国防国安、惩治犯罪、追踪流调等方面。[12]而超出公共管理方面滥用公权妨碍私权则是对公共社会秩序的破坏，应进行规制，具体而言可以从立法、执法、司法、守法四个方面完善：立法方面，坚持宪法的母法地位，强调控权保民内涵，强化备案审查制度，保证下位法不超越宪法意志；执法方面，在市场或其他主体可以自行应对时，“有形之手”应保持一定谦抑性，保持社会制度的平稳运行；司法方面，法院要独立行使审判权，平等对待当事人，平衡双方利益，不可畸轻畸重；守法方面，公权力主体也要遵循权力行使范围，只有在法律有明文规定时才能收集、使用相对人的人脸信息。

对私权主体而言，其使用人脸识别主要表现为签署服务协议、出入公共场所等场景，在这些场景设定中主要起到节约资源、降低成本的作用。但是在现实中存在大量非必要处理以及为企业营利而过度分析的现象，这类行为严重侵犯个人隐私和人格尊严，且各私权主体人脸识别方面的技术参差不齐，泄露可能性较大，为后续删除权行使不到位埋下隐患。所以可采取有效的授权许可方式，为其设置一定门槛，通过相关资质申请及检测的合格主体才能使用人脸识别，具体而言：在企业注册登记时，有必要对其人脸信息数据收集、保管、储存、删除等技术以及专利进行专项考量，各方面检测均达到标准才准许颁发许可证书；各主体应该透明公开使用人脸识别相关信息，给予公民一定的参考和衡量。[14]

（三）严格监督删除权实现，落实删除机制

删除权作为一种消极防御类权利，是在个人信息使用完毕、缺乏再继续使用的必要性基础或者是在个人信息遭受侵犯、造成人身和财产损失时的一种请求权，其与欧盟《通用数据保护条例》中强调的“被遗忘权”相类似。然而在现实生活中，是否真正删除应该要以最终效果作为考察的依据，即是否能达到使信息处于不被检索、不被访问和浏览的状态。[15]

基于人脸信息难以更改、具有使用上的连锁性，当人脸信息使用完毕、无继续使用必要、已经或者即将造成损害、当事人请求删除相关信息时，其最终效果是非常重要的。为严格实现删除权，不仅需要有一定的监督，还需要相关科学技术的支撑。监督主体可以是国家公权力机关、相关部门，也可以是具有检查监督资质的第三方专业机构：[16]国家公权机关应当在相关诉讼判决中点明删除权，具体规范期限，由公权力保障删除权有效实施；相关监管部门应当设立统一标准，配备专门人员和检测设施，监督删除权的实施效果；如果相关部门建设尚不完备，可以寻求具有相关资质的第三方专业机构的帮助，作为中间人公平公正参与结果评估，一方面可以使删除权行使更加规范、起到监督作用，另一方面可以及时有效地派出专业人员解决删除权行使过程中所遇到的困难、更好地保障当事人的合法权益。如果最终期限届满删除工作仍未落地实施，也应该及时通过强制执行、惩罚性赔偿等措施，守好最后的权利底线。

（四）建立动态同意规则

因人脸识别具有独一无二、延续性等特征，故在服务协议中出现“包括但不限于”等无限扩大的适用场景词汇时，公民个人往往处于弱势地位。基于目前人脸识别的广泛应用、传统知情同意框架内的人群基数庞大、众多服务协议随时更改，如果严格遵循传统“知情--同意”模式，不仅告知充分性不足，而且还要耗费大量成本来回应，对被获取信息的个人来说，如果不同意服务方单方修改的内容，其维权艰难且难以彻底消除或挽回某些影响；对市场主体來说，其注意义务和信义义务繁重；针对整个市场经济来说，仅因为某一次特定环境的“不同意”就要推翻合同约定，而解除合同得到支持的可能性有待商榷，并且众多的变动会使市场经济秩序发展不稳定，进而影响营商大环境。

针对此类现象，可以合理应用场景化规制理论、建立动态同意规则给予被获取信息方灵活的进退机制，以避免大量全盘推翻的状况，使双方的权利义务保持相对平衡，以此来纠正双方在地位上的悬殊差距以及双方在信息差等方面的不对等，更好地实现场景正义，营造良好的市场环境，保障宏观经济的平稳运行。首先，需要对动态告知中的“充分告知”做出严格合理的界定，保证各场景告知的明确性、准确性、充分性；其次，针对不同场景告知内容的级别和重要性，需要划分不同等级，以相应标准来评价告知有效性，针对与人脸信息相关的敏感信息需要特别标注说明并以示警告，充分保障被收集主体的知情权；[15]然次，还需提高场景兼容性，对于例外场景情况下特殊的知情同意规则要注重制度设置的前瞻性，充分考虑各种情形，及时完善修改；最后，针对坚持退出的群体，需要告知其后果，充分确认其意思表示，区分其退出范围款项，落实后续操作流程，保障信息安全。[16]

（五）设立专门机构，统筹打造一体化保障体制

在人脸识别相关法律风险的规制中，国家机关固然不能缺位，但是基于人脸识别技术所具有的复杂性以及技术上的专业性，更需要专门机构、行业协会等诸多社会力量的帮助。[15]

在行政管理上，各级政府可以设立专门机构，聘请专家组成督导小组，强化对行业许可准入监督，严格审查市场主体人脸识别技术，全面检验市场主体在人脸信息收集、储存、删除等各环节的能力，切实保障准入门槛在实践中落实。行业协会可以制定详细具体的行业规范，对人脸识别中的专业问题进行引导规制，按照分类分层的模式制定相关机制，例如将人脸识别按照应用场景分为人脸检测、关键点检测、人脸比对、人脸属性检测四类，针对每一类应用的具体特征来制定对应层级的行业规范，通过发挥行业自治优势引导人脸识别行业向好发展。

各企业运用人脸识别技术的私权主体要承担好相应的社会责任，一方面要注重自身相关专利技术的打磨提升，提交相关资质申请，为大众打造更为安全舒适的服务体验；另一方面要严格遵守四项原则、诚实守信，将知情同意作为必要前提，开发线上质询和维权渠道并接受各方的监督。公民个人要提升个人信息保护意识，加强维权意识，通过诉讼等一系列救济途径倒逼人脸识别风险规制的发展进程；同时运用好线上线下方式及时反馈，促进相关风险隐患得到解决。

唯有统筹建立全面的机制体系，应对人脸识别所带来的风险隐患，才能实现个人利益、社会利益、国家利益的协调统一。

三、结语

在大数据时代下，人们习惯享受科技发展带来的良好效益，却时常忽视其所带来的风险挑战。人脸识别同其他事物一样具有两面性，其在发挥节约资源、管理有序、提高效率等优势的同时，也带来了诸多挑战，从立法层面上看，应当具有前瞻性，及时补充针对人脸识别问题的法律规制；从司法层面上看，应当注重相关判例的引领作用，做好当事人双方利益衡量，强化机制保护作用，为各项权利提供现实可行的保障；从执法层面上看，不仅需要对执法过程中收集到的必要人脸信息做好保管、删除等一系列措施，防止公权力的滥用，还需做好预防工作；从守法层面上看，各类市场主体必须严格遵守申请准入制度，强化自身人脸识别专利技术承担社会责任。综上所述，有效规制人脸识别及分析机制存在的法律风险，需要提前做好各法律部门及法律法规间的协调、强化场景化治理、严格监督、动态同意规则建设等工作，建立各方协助、统筹发展的一体化机制，切实维护个人信息权益，实现各方利益的协调统一。

参考文献：

[1]李希，译，欧洲理事会，张建文，胡代芳校.关于个人数据自动化处理的个人保护公约[J].北外法学，2022（1）：213-228.

[2]于洋.论个人生物识别信息应用风险的监管构造[J].行政法学研究，2021（6）：101-114.

[3]邢会强.人脸识别的法律规制[J].比较法研究，2020（5）：51-63.

[4]劳东燕.“人脸识别第一案”判决的法理分析[J].环球法律评论，2022，44（1）：146-161.

[5]周光权.涉人脸识别犯罪的关键问题[J].比较法研究，2021（6）：13-29.

[6]程莹.人脸识别技术风险法律规制问题研究[J].中国信息安全，2021（10）：62-65.

[7]姜野.由静态到动态：人脸识别信息保护中的“同意”重构[J].河北法学，2022，40（8）：126-144.

[8]韩旭志.刷脸的法律治理：由身份识别到识别分析[J].東方法学，2021（5）：69-79.

[9]杜嘉雯，皮勇.人工智能时代生物识别信息刑法保护的国际视野与中国立场——从“人脸识别技术”应用下滥用信息问题切入[J].河北法学，2022，40（1）：144-167.

[10]文铭，刘博.人脸识别技术应用中的法律规制研究[J].科技与法律，2020（4）：77-85.

[11]张勇.敏感个人信息的公私法一体化保护[J].东方法学，2022（1）：66-78.

[12]江海洋.论疫情背景下个人信息保护——以比例原则为视角[J].中国政法大学学报，2020（4）：183-194+209.

[13]胡凌.刷脸：身份制度、个人信息与法律规制[J].法学家，2021（2）：41-55+192.

[14]王利明.论个人信息删除权[J].东方法学，2022（1）：38-52.

[15]石佳友，刘思齐.人脸识别技术中的个人信息保护——兼论动态同意模式的建构[J].财经法学，2021（2）：60-78.

[16]郭春镇.数字人权时代人脸识别技术应用的治理[J].现代法学，2020，42（4）：19-36.

作者简介：谭雅文（2003.3-），女，汉族，湖北武汉人，本科，研究方向：法学。