人脸识别技术滥用困境破解探讨

案例导读
（一）全国首例人脸识别案例
原告购买被告野生动物世界的年卡，提供了姓名、身份证号码、电话号码等信息，同时录入指纹并进行拍照，确认指纹识别入园方式。后被告未经原告事先同意，将指纹识别变更为人脸识别，并更换店堂告示。被告在2019年7月与10月两次向原告发送短信，通知年卡入园识别系统更换事宜，要求激活人脸识别系统，否则将无法正常入园。[i]
（二）94岁老人被抱起做人脸识别
办理激活社保卡金融功能的业务需经视频认证，腿脚不便的94岁老人不仅必须亲自前往网点，还因身材矮小，在大庭广众之下被家人抱起才能勉强完成人脸识别。[ii]
（三）看房者戴头盔前往售楼处
近日，南方都市报报道，在记者调查中，多家售楼处承认为帮助房企判断某个购房者是什么类型、是谁的客户，佣金应该发给谁等问题安装了人脸识别系统，更有房地产业内人士称，“类似的系统每一个公司都有”。与传统的安防视频不同，该类系统可识别并预测看房者的行动路径，框选其必经路线，设置摄像头进行抓拍。拍完后，系统还会自动选出一到两张“最优照片”。但据记者调查，无论是在售楼处门口还是楼内，摄像头处均无人脸识别提示，销售人员也未提及人脸识别。[iii]
一、案例简评
（一）个人信息主体不拥有拒绝选项
“个人信息主体（以下简称“信息主体”）不拥有拒绝选项”是前述案例的共同特点之一。“不拥有拒绝选项”主要分为两种情形，一种是不能拒绝，一种是不知拒绝。
比如在前述第二个案例中，办理激活社保卡金融功能的业务必须经过视频认证，是银行内部操作规程中所明确规定的，未通过视频认证即无法激活相应功能，在此种情况下，信息主体并无法拒绝。而在第三个案例中，售楼处安装人脸识别系统未明确告知消费者，消费者对其面部数据的收集毫不知情，就更谈不上主动拒绝了。
（二）人脸识别技术的应用不具有必要性
在前述案例中，人脸识别技术的应用并不是达成个人信息处理者（以下简称“信息处理者”）业务目的的唯一方式。
比如在第一个案例中，原指纹识别方式入园即可满足野生动物世界识别持卡人身份，避免他人冒用的目的。而在第二个案例中，视频认证的目的是为了确认持卡人的真实身份，但为达到这一目的并非只有人脸识别一种手段。在造假风险可控的情况下，柜台办理、手机验证等都是可考虑的方式。
二、应对探讨
（一）告知同意规则在面部数据处理中的重要性
人脸识别是基于人的脸部特征信息进行身份识别的一种生物识别技术。具体而言，就是计算机通过视频采集设备获取识别对象的面部图像，再利用核心的算法对其脸部的五官位置、脸型和角度等特征信息进行计算分析，进而和自身数据库里已有的范本进行比对，最终判断出用户的真实身份。[iv]
其与单纯的监控录像不同，人脸识别技术除保存面部数据外，更重要的是将采集的面部数据与其数据库内存储的数据进行对比，进而达到“识别”的效果。
非接触性是人脸识别技术相较于其他识别技术的最大特点。比如指纹识别需信息主体伸出手指接触传感器，“伸出”“接触”等行为表明信息主体明知并同意提供自身的指纹信息。但在人脸识别场景中，信息主体无需将人脸和某种设备直接接触，虽然会带来一定便利，但这也为信息主体在不知情的情况下被收集面部数据埋下隐患。
一般认为，面部数据属于生物识别信息，是可单独识别自然人的个人信息。《信息安全技术个人信息安全规范》（GB/T 35273-2020）将其列举为个人敏感信息。2020年发布的《个人信息保护法（草案）》第二十九条亦将其认定为敏感个人信息。其一旦泄露、非法提供或滥用，将可能危害人身和财产安全，极易导致个人名誉、身心健康受到损害或歧视性待遇。在【（2019）浙08刑终333号】一案中，从2018年7月份开始，被告人张富、余杭飞等人以牟利为目的，利用已非法获取的公民个人信息，通过使用软件将相关公民头像照片制作成公民3D头像，从而通过支付宝人脸识别认证，并使用上述公民个人信息注册支付宝账户。张富、余杭飞等人通过该方式获取支付宝提供的邀请注册新支付宝用户的相应红包奖励（包括邀请新人红包、通用消费红包、花呗红包等）。案发后，从张富处查扣近2千万条公民个人信息，从余杭飞工作室查扣其从张富处非法获取的公民个人信息287773条。
因此，面部数据与信息主体权益息息相关，而人脸识别技术的非接触性特征使得信息主体对其面部数据的控制力进一步降低。虽然告知同意规则因存在可能不合理限制个人信息正当处理效率的缺陷而遭受批评，但在处理无法更改，一旦被非法处理将导致严重损害的面部数据时，告知同意规则还是有其存在的重要意义的。
信息处理者在收集、使用、向他人提供面部数据时，必须对信息主体进行清晰的告知，并获得明示同意。比如售楼处、商场等场所安装人脸识别系统需在入口处及场所内部设置明显提示，告知消费者其将进入人脸识别区域，由其自主判断是否继续进入，而售楼处在第三个案例中的行为则明显违反《网络安全法》第四十一条及《消费者权益保护法》第二十九条。
（二）必要原则在个人信息保护中的贯彻
《网络安全法》第四十一条规定，网络运营者收集、使用个人信息，应遵循合法、正当、必要的原则。《民法典》第一千零三十五条亦要求，处理个人信息的，应遵循合法、正当、必要原则。在《信息安全技术个人信息安全规范》（GB/T 35273-2020）中，必要原则体现为“目的明确”与“最小必要”两个侧面。
个人信息保护中的必要原则一般理解为只处理满足明确目的所需的最少个人信息类型和数量，即为达成某一信息主体同意的目的所处理的个人信息具有必要性。但必要原则不仅意味着“信息处理”的必要性，还意味着“处理方式”的必要性。
目前我国应用人脸识别技术的最主要目的为身份核对，应用人脸识别技术处理面部数据确能实现该目的，但要实现该目的并不意味着只能使用这一方式。或者说，在某些场景中应用该技术是一种“杀鸡焉用牛刀”的表现。比如在小区中安装人脸识别系统，但传统的门禁卡或钥匙亦能满足判断业主身份的目的。传统方式确实存在门禁卡、钥匙丢失或他人冒用的情形，但这一问题可通过加强安保力量等其他方式解决，强制所有人进行人脸识别并非“最优解”。在存在可替代方式的情况下，应优先考虑对信息主体权益损害风险最小的方案，而不应将信息主体的同意异化为“看似自愿的变相强制[v]”。
在实践中，信息处理者应用人脸识别技术不一定是为了保障信息主体权益，可能更多地是为了节约自身经营成本。比如在前述第三个案例中，应用人脸识别技术是为了帮助房企判断某个购房者是什么类型、是谁的客户，佣金应该发给谁等问题，而非以提升信息主体服务体验为目的。这实际上暴露出信息主体与信息处理者之间的利益冲突问题，该技术的应用或许对信息处理者而言具有必要性，但信息主体可能并无使用需求。在具体场景中，应衡量处理者的使用目的与信息主体的保护需求以确定技术应用的必要性。
（三）人脸识别技术的应用门槛
在全国首例人脸识别案中，一审判决指出，野生动物世界在经营活动中使用指纹识别、人脸识别等生物识别技术，其行为本身并未违反法律规定的原则要求。可见，目前人脸识别技术的使用门槛极低，不具备足够安全保障能力的信息处理者亦能随意应用该技术。虽然目前《网络安全法》《消费者权益保护法》，以及即将生效的《民法典》等法律法规规定了违法处理个人信息所应承担的法律责任，《刑法》亦明确侵犯公民个人信息罪等罚则，但事后的追责与维权对处于弱势地位的信息主体而言是异常困难的。
在设置更具威慑力的法律责任的同时，立法者亦需考虑对人脸识别技术的应用场景进行一定限制并推动人脸识别技术应用安全标准的制定，比如要求部署人脸识别系统需以足够的安全保障能力为前提，在使用过程中需定期评估等等。相关监管部门可参考全国信息安全标准化技术委员会发布《网络安全实践指南》的形式，事先建立人脸识别技术可应用场景清单，或事先明确排除某些场景对该技术的使用。从事前约束、事中监督、事后追责等方面全面保障个人信息处理安全，破解滥用困局。
但在另一方面，仅仅依靠人脸识别技术也是存在巨大风险的。比如在金融类App中，为防止身份盗用造成用户财产损失，应用人脸识别技术保障交易安全具备正当性。但目前人脸识别技术并不完善，例如前述【（2019）浙08刑终333号】一案中，被告人利用非法获取的个人信息所制作的3D头像亦能通过支付宝的人脸识别认证，可见在高安全级别业务中应更为审慎，需考虑采用包括人脸识别在内的双因素甚至多因素认证来提升身份核查的安全性。[vi]
结语
近期人脸识别技术相关新闻频出，前有全国首例人脸识别案一审宣判，后有“94岁老人被抱起做人脸识别”引发热议。种种事件都指向人脸识别技术应用门槛过低，信息处理者为自身利益未经信息主体同意滥用人脸识别技术等诸多问题。法律在事实领域应求真，在价值领域则需求善[vii]。我们不能否认技术应用带来的便利，但技术进步不能失却人文温度，我们更应通过法律和道德引领技术的向善发展。
[i]参见富阳法院：《【富法发布】原告郭兵与被告杭州野生动物世界有限公司服务合同纠纷案一审宣判》(2020-11-20)[2020-11-24].https://mp.weixin.qq.com/s/7nO39TwqawOFzBMyco9cg?scene=25#wechatredirect.
[ii]参见李慧琪：《如何解决老人人脸识别难问题？北京健康宝新增老幼助查询功能》(2020-11-23)[2020-11-24]. https://m.mp.oeeee.com/a/BAAFRD000020201123383108.html.
[iii]参见潘颖欣 冯群星张弛：《被售楼处人脸识别拍到，买房多花30万？有人被迫戴头盔看房》(2020-11-22)[2020-11-24].https://mp.weixin.qq.com/s/fWbQ3SD9vB-QdB51T097hw.
[iv]中国信息通信研究院安全研究所、北京百度网讯科技有限公司：《人脸识别技术在app应用中的隐私安全研究报告（2020年）》，第1页。
[v]张灿灿：《人脸识别使用，不能如此任性！》，《检察日报》2020年11月23日。
[vi]参见中国信息通信研究院安全研究所、北京百度网讯科技有限公司：《人脸识别技术在app应用中的隐私安全研究报告（2020年）》，第9页。
[vii]参见郭忠：《法理中的正当性和必然性》，《人民法院报》2015年9月4日。