《個人信息保護法》實施后，人臉識別不能再任性

近年來，人臉識別技術得到了廣泛的應用。但與此同時，安全隱患也隨之產生。人臉識別技術濫用問題受到了各界的關注。2021年以來，隨著《個人信息保護法》等法律出臺以及相應技術標準實施，人臉識別技術的規范使用問題再次引發關注。

過去一年多時間里，人臉識別技術使用有哪些變化？相關法律法規的出臺意味著什么？就此，新京智庫和中國法學交流基金會新興產業發展專項基金聯合舉辦“《個人信息保護法》實施后，如何遏制刷臉技術濫用”主題研討會，來自中國政法大學、北京航空航天大學、中央財經大學、上海交通大學等多所學校和機構的學者參加了本次研討會，就上述相關問題展開討論。

人臉識別技術使用存在三種風險

在不同的應用場景，人臉識別技術帶來的風險并不一樣。上海交通大學數據法律研究中心執行主任何淵表示，人臉識別技術存在三種類型的技術場景。第一種是基于移動終端的單向存儲的人臉識別技術。由于單向存儲和終端存儲，因此泄露的可能性最低。第二種是基于“云端”生物介質的人臉識別技術。相對來說風險會高一些。不過，隨著技術進步，云端人臉識別技術的安全性也會變得更高。第三種則是風險性比較大的，就是隨機獲取的人臉母版和靜態人臉識別系統，如將大街上行走的路人人臉數據記錄下來作為母版存儲起來,存在缺乏個人同意的合法性基礎和人臉識別數據流向不清晰等問題及風險，人一旦丟“臉”了，就再也要不回來了。

中央財經大學數字經濟融合創新發展中心主任陳端則認為，人臉識別的應用不僅是法理問題，也是倫理問題。我們需要從倫理層面去認識，從法理層面去規范。由于人臉識別技術使用的場景很多、潛力很大，因此需要很精細的制度設計。

針對人臉識別濫用問題，技術維度的規制也受到關注。北京航空航天大學機械工程與自動化學院副教授袁培江認為，當前人臉識別技術還在發展階段，所以出現的濫用、數據泄露等問題該怎樣解決，可能還需要時間去探索解決，這是個漸進式的過程。解決技術問題，可能只能從技術本身發展來解決。

隱私數據保護、人臉識別對抗技術出現新發展

何淵表示，從隱私科技及其產業發展角度來看，目前數據安全和隱私保護領域的技術已然形成了一個龐大的產業。何淵將其稱為隱私科技，主要包括隱私計算技術、隱私合規技術、數據分級分類等數據治理技術。“目前國內隱私科技領域已經有了數百家企業，其中頭部公司估值已超過100億元人民幣。而根據美國IAPP作的一個報告，全球隱私科技公司已經達到了數千家的規模，隱私計算還被評為2021年最值得期待的十大硬核科技。隨著我國《個人信息保護法》《數據安全法》的實施，隱私科技的未來發展將不可限量?！?/p>

袁培江指出，近年來人臉識別干擾技術也有新的發展，比如現在已經可以根據個體的面部特征進行有針對性的“打碼”，從而干擾機器進行人臉識別。如果一個人將這個碼佩帶在身上，機器將無法準確識別其身份。但是技術攻防的不斷發展，就如同病毒和殺病毒技術的此消彼長，它的存在并不意味著我們就更安全了，甚至有可能會產生更多的隱患。

陳端表示，根據數據安全技術的發展現狀，目前完全可以實現數據脫敏處理，即做到數據可用不可見、不可存。這些技術的應用，能夠有效減少因為人臉信息和后臺個人隱私數據高度關聯而形成的負面效應。

對生物識別信息的立法需有前瞻性

何淵認為，對人臉識別等生物信息的規范使用，需要從規制走向合作治理。這不僅僅是政府的事情，平臺、個人也要參與到治理過程當中來，走向多元共治、合作治理及企業合規等。在這個過程中，需要特別重視規章、制度、政策這些細則性的、實施性的要素。

生物特征信息的存儲、流轉、使用，同樣值得注意。陳端表示，未來生物信息可以是在多場景下，也可能在被采集方完全無意識的情況下、未經授權就被掃描，并且可能不是針對某一個人，而是針對某一個商業性的大型活動或者某個大型集會。個人的相關生物特征信息被采集之后，這些數據流怎么樣存儲、流轉、使用，也會存在群體性傳輸和個體權益保護之間的不對稱問題。立法需要高度關注技術的正向進步，以及這些技術的發展、變動，可能會給個人信息保護和公共安全帶來什么樣的潛在隱患。

陳端還提醒，人臉識別方面，未來可能的漏洞會出現在基于人臉識別技術的產業生態中，可能會有一些特別小的點。這些點可能是一些規模相對較小的主體在運營。在這樣的領域引入技術專家是非常重要的，可以更好去研判技術上的可能趨勢、方向以及相關的風險點。

近年，國內多個地方出臺地方性法規，對人臉識別使用進行限制。對此，袁培江判斷，未來可能會有更多的地方會對個人隱私信息的商業使用進行限制。

企業在人臉信息的采集范圍上或許可以做一些改變。在陳端看來，在采集范圍上，把人臉信息的識別可區分成不同的維度。比如僅僅采集面部關鍵特征信息就可以完成的場景化需求，就不用采集全部面部特征的信息。這其實也可以在更大程度上保護個人的隱私。

應推動多元共治形成合力

對于人臉識別技術應用的監管，中國政法大學區塊鏈金融法治研究中心主任胡繼曄認為，一方面我們要在立法和執法上進一步完善，另一方面也可以通過技術手段限制其應用范圍。此外，個人也要提高維權意識，在人臉識別可用可不用的應用場景中，勇敢選擇不識別，通過更多的人選擇保護個人信息來形成社會合力。

何淵則表示，人臉識別技術的合理、合法應用，要通過法律、技術、管理三個層面共同努力來實現。法律做出要求和規定，相應的規則和標準也將細化，企業通過技術應用將法律的要求落到實處。在管理層面上，需要企業主動投入人力、物力、財力來進行隱私管理。上海的一些監管機構已經提出，相關企業8%的凈利潤要投到網絡安全和個人信息保護當中去。在隱私管理方面，相比獨角獸或者平臺性企業，我國的中小企業做得還不夠好，仍待完善。怎樣讓所有的企業定期進行隱私管理評估，及時向政府報告相關數據，是實現政府、企業和社會多元共治的重點。

除了采取技術手段以外，陳端認為，對于人臉識別技術應用的治理，還可以從行業自律、強化公眾防范和維權意識等方面進行：通過建立專項公共維權平臺，在特定的時間點強勢聚焦有關方面的公共維權，形成對違規違法行為的有力震懾；頭部企業通過強化自身的社會主體責任，加強自律，利用其行業生態影響力的外溢來強化行業標準制定與方向引領，推動行業建立完善規范化體系；通過媒體宣傳和引導，加強公眾對自身的人臉信息安全的防范意識和維權意識。

關鍵詞：