就政府部門使用人臉識別的法律規(guī)制,特別許可使用制度既發(fā)揮人臉識別技術(shù)之利,又防范人臉識別技術(shù)之弊,是一種更加理性的制度安排。就非政府部門使用人臉識別的法律規(guī)制,對人臉信息作出比一般個(gè)人信息更為嚴(yán)格的特別保護(hù)和特別規(guī)制,更有利于保護(hù)個(gè)人的人臉信息。
在無競爭性的服務(wù)領(lǐng)域(如民航、鐵路、學(xué)校、社區(qū)等)使用人臉識別技術(shù),當(dāng)人們拒絕“刷臉”時(shí),應(yīng)提供其他替代性的驗(yàn)證機(jī)制,而不能不“刷臉”就不能使用或進(jìn)入。即使不全面叫停政府部門安裝、使用人臉識別技術(shù),也應(yīng)該對其進(jìn)行嚴(yán)格的法律規(guī)制,防范安全風(fēng)險(xiǎn),防止被濫用。
隨著技術(shù)的發(fā)展,人臉識別(俗稱 “刷臉”)在我國逐漸盛行。我國目前對人臉識別技術(shù)尚無專門的法律規(guī)定,無論是政府、社區(qū)、事業(yè)單位還是商家,均可以任意安裝人臉識別技術(shù),強(qiáng)制人們“刷臉”驗(yàn)證。而人們?nèi)艟芙^“刷臉”,則基本上無法使用相關(guān)服務(wù)。如若不服,則投訴無門,只能對簿公堂,但訴訟成本高昂?;诖?,有必要對人臉識別的法律規(guī)制予以深入研究,厘定人臉識別技術(shù)應(yīng)遵循的法律底線,明晰人臉識別技術(shù)法律規(guī)制的基本要點(diǎn)。
人臉識別技術(shù)的特征、收益與風(fēng)險(xiǎn)
人臉識別可簡單地概括為:機(jī)器對靜態(tài)或視頻中的人臉圖像進(jìn)行特征提取、分類識別,以達(dá)到身份鑒別的目的。人臉識別技術(shù)的應(yīng)用場景日漸豐富,其功能歸納起來主要是身份驗(yàn)證和監(jiān)控。這又可以分為政府機(jī)構(gòu)的公共應(yīng)用和非政府機(jī)構(gòu)的商業(yè)應(yīng)用與慈善應(yīng)用等。
人臉具有如下的特征:獨(dú)特性和直接識別性,方便性,不可更改性,變化性,易采集性,不可匿名性,多維性。人臉的上述特征直接決定了人臉識別技術(shù)具有復(fù)雜性特征,而現(xiàn)實(shí)中很多收集人臉的機(jī)構(gòu)并不具備相應(yīng)的風(fēng)險(xiǎn)防控、安全保障能力、組織和機(jī)制。
人臉識別技術(shù)的收益是世所公認(rèn)的,人臉識別技術(shù)可以應(yīng)用于諸多場景。
但是,另一方面,人臉識別技術(shù)的風(fēng)險(xiǎn)也是不可小覷的。其風(fēng)險(xiǎn)主要有:一是誤差風(fēng)險(xiǎn)。如果人臉識別技術(shù)不夠成熟,可能出現(xiàn)混淆。此外,由于人臉為非剛體性,人臉之間的相似性以及各種變化因素的影響,準(zhǔn)確的人臉識別仍較困難。二是身份認(rèn)證被破解的風(fēng)險(xiǎn)。密碼是秘密保存的,但人臉卻是公之于眾的。最新的人臉驗(yàn)證技術(shù),結(jié)合了3D圖片進(jìn)行登錄與驗(yàn)證,這比以前的技術(shù)更難破解,但破解并非完全不可能。三是信息泄露風(fēng)險(xiǎn)。用于保存人臉信息的電子計(jì)算機(jī)系統(tǒng)存在被黑客入侵、病毒入侵的風(fēng)險(xiǎn),這可能導(dǎo)致信息泄露。此外,內(nèi)部員工的作案也可能導(dǎo)致信息泄露。生物信息具有100%的可識別性,一旦被泄露或是被不當(dāng)利用,后果無法估量。
國外人臉識別法律規(guī)制的經(jīng)驗(yàn)
從美國有限的既有立法或立法草案、建議來看,美國對政府部門使用人臉識別的法律規(guī)制,有別于對非政府機(jī)構(gòu)使用人臉識別的法律規(guī)制,二者是分別立法、分別規(guī)制的,規(guī)制的具體方法和價(jià)值取向截然不同。對政府部門使用人臉識別的法律規(guī)制主要分為三種:第一種是禁止使用制度,第二種是特別許可使用制度,第三種是任意使用制度。禁止使用制度為美國舊金山市所首創(chuàng),目前備受關(guān)注。特別許可使用制度目前尚處于民間建議階段。任意使用制度即對政府使用人臉識別尚未特別立法,政府部門可以任意使用人臉識別。而美國對非政府機(jī)構(gòu)使用人臉識別的法律規(guī)制,主要是將人臉信息作為生物信息之一加以規(guī)制,它也可以分為兩種路徑:一種是比對一般個(gè)人信息的保護(hù)更為嚴(yán)格的高強(qiáng)度規(guī)制路徑或特別規(guī)制路徑,另一種是與對一般個(gè)人信息的保護(hù)沒有區(qū)分的、同等程度保護(hù)的普通規(guī)制路徑。
歐盟與美國對政府部門和商業(yè)部門使用人臉識別技術(shù)分別進(jìn)行立法不同,歐盟《通用數(shù)據(jù)保護(hù)條例》(以下簡稱GDPR)是對公私部門一體適用的。這就意味著,無論是政府部門還是非政府部門,只要使用人臉識別技術(shù),就必須遵守相同的規(guī)范。
GDPR第4條定義條款對“生物數(shù)據(jù)”(biometric data)進(jìn)行的界定包括“面部圖像”(facial images)。GDPR第9條規(guī)定了特殊種類的個(gè)人數(shù)據(jù)處理,其中就包括生物數(shù)據(jù)。GDPR對生物數(shù)據(jù)的處理,遵循“原則禁止,特殊例外”的原則。數(shù)據(jù)控制者可援引“數(shù)據(jù)主體的同意”作為個(gè)人生物數(shù)據(jù)處理的例外,但該同意必須是“自由給予、明確、具體、不含混”的,數(shù)據(jù)主體的任何被動同意均不符合GDPR的規(guī)定。
2019年7月,歐洲數(shù)據(jù)保護(hù)委員會(EDPB)頒布了《關(guān)于通過視頻設(shè)備處理個(gè)人數(shù)據(jù)的3/2019指引》提供了盡量降低風(fēng)險(xiǎn)的措施,例如,對原始數(shù)據(jù)進(jìn)行分離存儲和傳輸;對生物識別數(shù)據(jù)尤其是分離出的片段數(shù)據(jù)進(jìn)行加密并制定加密和秘鑰管理政策;整合關(guān)于反欺詐的組織性和技術(shù)性措施;為數(shù)據(jù)分配整合代碼;禁止外部訪問生物識別數(shù)據(jù);及時(shí)刪除原始數(shù)據(jù),如果必須保存則采取添加干擾(noise-additive)的保護(hù)方法。
就政府部門使用人臉識別的法律規(guī)制,目前國外雖然三種制度并存,但任意使用制度顯然是大數(shù)據(jù)時(shí)代之前的做法,未認(rèn)識到人臉識別技術(shù)給人們帶來的風(fēng)險(xiǎn);禁止使用制度也太過于激進(jìn),不利于發(fā)揮人臉識別技術(shù)的優(yōu)勢,扼殺了技術(shù)的發(fā)展。相比較而言,特別許可使用制度既發(fā)揮人臉識別技術(shù)之利,又防范人臉識別技術(shù)之弊,是一種更加理性的制度安排,值得我國借鑒。
就非政府部門使用人臉識別的法律規(guī)制,目前國外雖然兩種制度并存,但將人臉信息作為一般個(gè)人信息對待的普通規(guī)制路徑顯然是沒有認(rèn)識到人臉信息及人臉識別技術(shù)的特殊性,將個(gè)人置于極大的風(fēng)險(xiǎn)之中。而對人臉信息作出比對一般個(gè)人信息更為嚴(yán)格的特別保護(hù)和特別規(guī)制,更有利于保護(hù)個(gè)人的人臉信息,更值得我國借鑒。
但是,各國的政治、社會和技術(shù)背景存在各自的特殊性,這就決定了國外對于人臉識別技術(shù)的相關(guān)制度未必適合于我國,我國在引進(jìn)相關(guān)制度時(shí)需要審慎甄別。
完善我國人臉識別法律規(guī)制的建議
我國2020年5月頒布的民法典第1034條第1款規(guī)定,“自然人的個(gè)人信息受法律保護(hù)”,并在該條第2款個(gè)人信息的定義中,明確將生物識別信息列舉為個(gè)人信息,但也未對個(gè)人生物識別信息作特別保護(hù)。個(gè)人信息保護(hù)法(草案)第27條規(guī)定:“在公共場所安裝圖像采集、個(gè)人身份識別設(shè)備,應(yīng)當(dāng)為維護(hù)公共安全所必需,遵守國家有關(guān)規(guī)定,并設(shè)置顯著的提示標(biāo)識。所收集的個(gè)人圖像、個(gè)人身份特征信息只能用于維護(hù)公共安全的目的,不得公開或者向他人提供;取得個(gè)人單獨(dú)同意或者法律、行政法規(guī)另有規(guī)定的除外。”這里“圖像采集”包括人臉識別。個(gè)人信息保護(hù)法(草案)第29條將個(gè)人生物信息作為敏感個(gè)人信息加以保護(hù),并規(guī)定了“充分必要”原則。但總體而言,個(gè)人信息保護(hù)法(草案)對人臉識別技術(shù)的規(guī)制仍較為簡略。
我國目前對包括人臉信息在內(nèi)的生物識別信息的特別保護(hù)呈現(xiàn)出軟法先行的特點(diǎn)。2020年2月,全國金融標(biāo)準(zhǔn)化技術(shù)委員會審查通過的《個(gè)人金融信息保護(hù)技術(shù)規(guī)范》(JR/T 0171-2020)(以下簡稱《規(guī)范》)將生物識別信息列為敏感性最高的C3類信息,并要求金融機(jī)構(gòu)不應(yīng)委托或授權(quán)無金融業(yè)相關(guān)資質(zhì)的機(jī)構(gòu)收集C3類信息,金融機(jī)構(gòu)及其受托人收集、通過公共網(wǎng)絡(luò)傳輸、存儲C3類信息時(shí),應(yīng)使用加密措施。2020年3月新修訂的我國國家標(biāo)準(zhǔn)GB/T 35273-2020《信息安全技術(shù)個(gè)人信息安全規(guī)范》明確規(guī)定個(gè)人生物識別信息屬于個(gè)人敏感信息,并對個(gè)人敏感信息進(jìn)行了特殊保護(hù)。2020年11月27日,工信部組織發(fā)布了電信終端產(chǎn)業(yè)協(xié)會團(tuán)體標(biāo)準(zhǔn)《APP收集使用個(gè)人信息最小必要評估規(guī)范 人臉信息》,規(guī)定了移動應(yīng)用軟件對人臉信息的收集、使用、存儲、銷毀等活動中的最小必要規(guī)范和評估方法,并通過個(gè)人信息處理活動中的典型應(yīng)用場景來說明如何落實(shí)最小必要原則。
數(shù)據(jù)治理的普遍性、技術(shù)性、復(fù)雜性、應(yīng)時(shí)性等特點(diǎn)決定了數(shù)據(jù)治理具有一定的軟法空間,但軟法欠缺強(qiáng)制力的特點(diǎn)決定了對包括人臉信息在內(nèi)的個(gè)人生物識別信息的特別保護(hù)離不開硬法的托底。因此,有必要從硬法的角度系統(tǒng)思考對包括人臉信息在內(nèi)的個(gè)人生物識別信息的特別法律保護(hù)、對人臉識別的特別法律規(guī)制問題。
1、建立健全一體適用的安全與責(zé)任底線
法律規(guī)制人臉識別技術(shù)的目的,不是一味地叫停該項(xiàng)技術(shù)的使用,而是要在確保安全的前提下,倡導(dǎo)一種負(fù)責(zé)任的使用。為此,筆者建議建立如下公私部門一體適用的安全與責(zé)任底線。如果不符合這些安全與底線原則,則為違法收集個(gè)人信息。
其一,無論誰使用人臉識別技術(shù),人臉識別系統(tǒng)要經(jīng)第三方獨(dú)立機(jī)構(gòu)定期檢測,以檢測其準(zhǔn)確性與非歧視性。必要時(shí),人臉識別系統(tǒng)及其定期檢測結(jié)果應(yīng)向監(jiān)管部門備案。
其二,無論誰通過公共網(wǎng)絡(luò)收集、傳輸、存儲人臉信息,都應(yīng)使用加密措施,并對收集到的人臉信息進(jìn)行分片段單獨(dú)存儲,并不得公開披露人臉信息。
其三,無論誰使用人臉識別技術(shù),都應(yīng)該建立可追蹤的技術(shù)體系。誰在何時(shí)何地查詢、使用、修改、下載了人臉信息,事后都可查證,以便發(fā)生侵權(quán)時(shí),人臉識別技術(shù)使用主體對侵權(quán)人進(jìn)行查證和追責(zé)。
其四,法律應(yīng)該規(guī)定,無論是誰使用人臉識別技術(shù),如果其收集的信息被證明出現(xiàn)被盜竊、泄露、非法使用、非法出售、非法提供等情形,從而給信息主體造成損失的,收集者對受害人受到的實(shí)際損失承擔(dān)連帶賠償責(zé)任;如果受害人的實(shí)際損失難以證明,則應(yīng)對每個(gè)受害人至少賠償一定數(shù)額(如2000元人民幣)的法定定額賠償金。受害人受到的實(shí)際損失小于該法定定額賠償金的,受害人可直接主張法定定額賠償金。
其五,無論是誰使用人臉識別技術(shù),人們均有權(quán)拒絕“刷臉”。如果是在無競爭性的服務(wù)領(lǐng)域(如民航、鐵路、學(xué)校、社區(qū)等)使用人臉識別技術(shù),當(dāng)人們拒絕“刷臉”時(shí),應(yīng)提供其他替代性的驗(yàn)證機(jī)制,而不能不“刷臉”就不能使用或進(jìn)入。畢竟,每個(gè)人的風(fēng)險(xiǎn)偏好是不盡相同的,法律規(guī)則的設(shè)置應(yīng)容忍和尊重那些低風(fēng)險(xiǎn)偏好的人,尤其是在當(dāng)前不能做到人臉識別系統(tǒng)百分之百安全的情況下。
2、區(qū)分公私部門配置不同的規(guī)制重心
對政府部門使用人臉識別技術(shù)應(yīng)以事前事中規(guī)制為主,對非政府部門使用人臉識別技術(shù)應(yīng)以事中事后規(guī)制為主。
政府部門執(zhí)行公務(wù)過程中構(gòu)成侵權(quán),因有國家賠償法的限額賠償而使當(dāng)事人難以獲得充分賠償,且一旦政府部門涉嫌侵權(quán)對政府部門的聲譽(yù)將造成重大不良影響,因此,應(yīng)著重從事前進(jìn)行風(fēng)險(xiǎn)防范,即對政府部門安裝、使用人臉識別技術(shù)應(yīng)堅(jiān)持有權(quán)機(jī)構(gòu)批準(zhǔn)同意原則,未經(jīng)有權(quán)機(jī)構(gòu)批準(zhǔn)同意,政府任何部門不得安裝、使用人臉識別技術(shù)。有權(quán)機(jī)構(gòu)在批準(zhǔn)時(shí),應(yīng)考慮到安裝、使用人臉識別技術(shù)的必要性、正當(dāng)性,且應(yīng)通過一定的法律正當(dāng)程序,遵循公開、透明、民主參與等原則予以批準(zhǔn)。
如果對商業(yè)部門安裝、使用人臉識別技術(shù)堅(jiān)持事前批準(zhǔn)的話,因政府部門在技術(shù)上往往落后于商業(yè)部門,這可能發(fā)展不出來一種有效的審批,更為重要的是,還可能遏制商業(yè)創(chuàng)新和技術(shù)創(chuàng)新。但是,如果商業(yè)部門的人臉識別給消費(fèi)者造成損害的話,受害人可以通過事后的民事訴訟來進(jìn)行追責(zé),執(zhí)法部門也可以通過事中或事后的執(zhí)法進(jìn)行監(jiān)管和追責(zé)。當(dāng)然,這需要我們健全法律框架,使執(zhí)法部門有法可依,使受害人可以依法維權(quán)。
至于我國是否需要全面禁止政府部門安裝、使用人臉識別系統(tǒng),這屬于政治過程決定的結(jié)果。我國公安機(jī)關(guān)布控的天眼系統(tǒng),通過安裝在城市公共場合的攝像頭對人臉進(jìn)行實(shí)時(shí)、精準(zhǔn)且快速的甄別,讓犯罪分子無處可逃。但通過人臉識別技術(shù)所進(jìn)行的監(jiān)控對個(gè)人自由的威脅也越來越引起人們的重視。人們對全面監(jiān)控感到壓迫和焦慮。即使不全面叫停政府部門安裝、使用人臉識別技術(shù),也應(yīng)該對其進(jìn)行嚴(yán)格的法律規(guī)制,防范安全風(fēng)險(xiǎn),防止被濫用。
3、對人臉信息的采集施加比對一般個(gè)人信息的采集更強(qiáng)的規(guī)制力度
人臉信息不同于一般個(gè)人信息,甚至人臉信息作為生物信息也與其他生物信息(如指紋)也有較大區(qū)別。因此,人臉信息的采集應(yīng)堅(jiān)持特別規(guī)制即差異化規(guī)制,即應(yīng)堅(jiān)持更強(qiáng)的知情同意原則。
采集一般個(gè)人信息,除了法定例外情形,一般都需要征得數(shù)據(jù)主體的知情同意。但人臉信息具有特殊性,除了法定例外情形,其所適用的知情同意原則,應(yīng)比一般的個(gè)人信息所適用的知情同意原則更嚴(yán)格,即應(yīng)堅(jiān)持書面(written)知情同意原則。此外,法律應(yīng)規(guī)定采集人臉信息之前,采集者應(yīng)告知被采集者其采集的信息具體類型、目的、保存時(shí)間、被采集者的風(fēng)險(xiǎn)與權(quán)利,告知的方式必須是書面的。
(作者為中央財(cái)經(jīng)大學(xué)法學(xué)院教授)
關(guān)鍵詞: 人臉識別
網(wǎng)站首頁 |網(wǎng)站簡介 | 關(guān)于我們 | 廣告業(yè)務(wù) | 投稿信箱
Copyright © 2000-2020 m.netfop.cn All Rights Reserved.
中國網(wǎng)絡(luò)消費(fèi)網(wǎng) 版權(quán)所有 未經(jīng)書面授權(quán) 不得復(fù)制或建立鏡像
聯(lián)系郵箱:920 891 263@qq.com