就政府部門使用人臉識別的法律規(guī)制，特別許可使用制度既發(fā)揮人臉識別技術(shù)之利，又防范人臉識別技術(shù)之弊，是一種更加理性的制度安排。就非政府部門使用人臉識別的法律規(guī)制，對人臉信息作出比一般個人信息更為嚴格的特別保護和特別規(guī)制，更有利于保護個人的人臉信息。

在無競爭性的服務(wù)領(lǐng)域（如民航、鐵路、學(xué)校、社區(qū)等）使用人臉識別技術(shù)，當人們拒絕“刷臉”時，應(yīng)提供其他替代性的驗證機制，而不能不“刷臉”就不能使用或進入。即使不全面叫停政府部門安裝、使用人臉識別技術(shù)，也應(yīng)該對其進行嚴格的法律規(guī)制，防范安全風險，防止被濫用。

隨著技術(shù)的發(fā)展，人臉識別（俗稱 “刷臉”）在我國逐漸盛行。我國目前對人臉識別技術(shù)尚無專門的法律規(guī)定，無論是政府、社區(qū)、事業(yè)單位還是商家，均可以任意安裝人臉識別技術(shù)，強制人們“刷臉”驗證。而人們?nèi)艟芙^“刷臉”，則基本上無法使用相關(guān)服務(wù)。如若不服，則投訴無門，只能對簿公堂，但訴訟成本高昂?；诖?，有必要對人臉識別的法律規(guī)制予以深入研究，厘定人臉識別技術(shù)應(yīng)遵循的法律底線，明晰人臉識別技術(shù)法律規(guī)制的基本要點。

人臉識別技術(shù)的特征、收益與風險

人臉識別可簡單地概括為：機器對靜態(tài)或視頻中的人臉圖像進行特征提取、分類識別，以達到身份鑒別的目的。人臉識別技術(shù)的應(yīng)用場景日漸豐富，其功能歸納起來主要是身份驗證和監(jiān)控。這又可以分為政府機構(gòu)的公共應(yīng)用和非政府機構(gòu)的商業(yè)應(yīng)用與慈善應(yīng)用等。

人臉具有如下的特征：獨特性和直接識別性，方便性，不可更改性，變化性，易采集性，不可匿名性，多維性。人臉的上述特征直接決定了人臉識別技術(shù)具有復(fù)雜性特征，而現(xiàn)實中很多收集人臉的機構(gòu)并不具備相應(yīng)的風險防控、安全保障能力、組織和機制。

人臉識別技術(shù)的收益是世所公認的，人臉識別技術(shù)可以應(yīng)用于諸多場景。

但是，另一方面，人臉識別技術(shù)的風險也是不可小覷的。其風險主要有：一是誤差風險。如果人臉識別技術(shù)不夠成熟，可能出現(xiàn)混淆。此外，由于人臉為非剛體性，人臉之間的相似性以及各種變化因素的影響，準確的人臉識別仍較困難。二是身份認證被破解的風險。密碼是秘密保存的，但人臉卻是公之于眾的。最新的人臉驗證技術(shù)，結(jié)合了3D圖片進行登錄與驗證，這比以前的技術(shù)更難破解，但破解并非完全不可能。三是信息泄露風險。用于保存人臉信息的電子計算機系統(tǒng)存在被黑客入侵、病毒入侵的風險，這可能導(dǎo)致信息泄露。此外，內(nèi)部員工的作案也可能導(dǎo)致信息泄露。生物信息具有100%的可識別性，一旦被泄露或是被不當利用，后果無法估量。

國外人臉識別法律規(guī)制的經(jīng)驗

從美國有限的既有立法或立法草案、建議來看，美國對政府部門使用人臉識別的法律規(guī)制，有別于對非政府機構(gòu)使用人臉識別的法律規(guī)制，二者是分別立法、分別規(guī)制的，規(guī)制的具體方法和價值取向截然不同。對政府部門使用人臉識別的法律規(guī)制主要分為三種：第一種是禁止使用制度，第二種是特別許可使用制度，第三種是任意使用制度。禁止使用制度為美國舊金山市所首創(chuàng)，目前備受關(guān)注。特別許可使用制度目前尚處于民間建議階段。任意使用制度即對政府使用人臉識別尚未特別立法，政府部門可以任意使用人臉識別。而美國對非政府機構(gòu)使用人臉識別的法律規(guī)制，主要是將人臉信息作為生物信息之一加以規(guī)制，它也可以分為兩種路徑：一種是比對一般個人信息的保護更為嚴格的高強度規(guī)制路徑或特別規(guī)制路徑，另一種是與對一般個人信息的保護沒有區(qū)分的、同等程度保護的普通規(guī)制路徑。

歐盟與美國對政府部門和商業(yè)部門使用人臉識別技術(shù)分別進行立法不同，歐盟《通用數(shù)據(jù)保護條例》（以下簡稱GDPR）是對公私部門一體適用的。這就意味著，無論是政府部門還是非政府部門，只要使用人臉識別技術(shù)，就必須遵守相同的規(guī)范。

GDPR第4條定義條款對“生物數(shù)據(jù)”（biometric data）進行的界定包括“面部圖像”（facial images）。GDPR第9條規(guī)定了特殊種類的個人數(shù)據(jù)處理，其中就包括生物數(shù)據(jù)。GDPR對生物數(shù)據(jù)的處理，遵循“原則禁止，特殊例外”的原則。數(shù)據(jù)控制者可援引“數(shù)據(jù)主體的同意”作為個人生物數(shù)據(jù)處理的例外，但該同意必須是“自由給予、明確、具體、不含混”的，數(shù)據(jù)主體的任何被動同意均不符合GDPR的規(guī)定。

2019年7月，歐洲數(shù)據(jù)保護委員會（EDPB）頒布了《關(guān)于通過視頻設(shè)備處理個人數(shù)據(jù)的3/2019指引》提供了盡量降低風險的措施，例如，對原始數(shù)據(jù)進行分離存儲和傳輸；對生物識別數(shù)據(jù)尤其是分離出的片段數(shù)據(jù)進行加密并制定加密和秘鑰管理政策；整合關(guān)于反欺詐的組織性和技術(shù)性措施；為數(shù)據(jù)分配整合代碼；禁止外部訪問生物識別數(shù)據(jù)；及時刪除原始數(shù)據(jù)，如果必須保存則采取添加干擾（noise-additive）的保護方法。

就政府部門使用人臉識別的法律規(guī)制，目前國外雖然三種制度并存，但任意使用制度顯然是大數(shù)據(jù)時代之前的做法，未認識到人臉識別技術(shù)給人們帶來的風險；禁止使用制度也太過于激進，不利于發(fā)揮人臉識別技術(shù)的優(yōu)勢，扼殺了技術(shù)的發(fā)展。相比較而言，特別許可使用制度既發(fā)揮人臉識別技術(shù)之利，又防范人臉識別技術(shù)之弊，是一種更加理性的制度安排，值得我國借鑒。

就非政府部門使用人臉識別的法律規(guī)制，目前國外雖然兩種制度并存，但將人臉信息作為一般個人信息對待的普通規(guī)制路徑顯然是沒有認識到人臉信息及人臉識別技術(shù)的特殊性，將個人置于極大的風險之中。而對人臉信息作出比對一般個人信息更為嚴格的特別保護和特別規(guī)制，更有利于保護個人的人臉信息，更值得我國借鑒。

但是，各國的政治、社會和技術(shù)背景存在各自的特殊性，這就決定了國外對于人臉識別技術(shù)的相關(guān)制度未必適合于我國，我國在引進相關(guān)制度時需要審慎甄別。

完善我國人臉識別法律規(guī)制的建議

我國2020年5月頒布的民法典第1034條第1款規(guī)定，“自然人的個人信息受法律保護”，并在該條第2款個人信息的定義中，明確將生物識別信息列舉為個人信息，但也未對個人生物識別信息作特別保護。個人信息保護法（草案）第27條規(guī)定：“在公共場所安裝圖像采集、個人身份識別設(shè)備，應(yīng)當為維護公共安全所必需，遵守國家有關(guān)規(guī)定，并設(shè)置顯著的提示標識。所收集的個人圖像、個人身份特征信息只能用于維護公共安全的目的，不得公開或者向他人提供；取得個人單獨同意或者法律、行政法規(guī)另有規(guī)定的除外。”這里“圖像采集”包括人臉識別。個人信息保護法（草案）第29條將個人生物信息作為敏感個人信息加以保護，并規(guī)定了“充分必要”原則。但總體而言，個人信息保護法（草案）對人臉識別技術(shù)的規(guī)制仍較為簡略。

我國目前對包括人臉信息在內(nèi)的生物識別信息的特別保護呈現(xiàn)出軟法先行的特點。2020年2月，全國金融標準化技術(shù)委員會審查通過的《個人金融信息保護技術(shù)規(guī)范》（JR/T 0171-2020）（以下簡稱《規(guī)范》）將生物識別信息列為敏感性最高的C3類信息，并要求金融機構(gòu)不應(yīng)委托或授權(quán)無金融業(yè)相關(guān)資質(zhì)的機構(gòu)收集C3類信息，金融機構(gòu)及其受托人收集、通過公共網(wǎng)絡(luò)傳輸、存儲C3類信息時，應(yīng)使用加密措施。2020年3月新修訂的我國國家標準GB/T 35273-2020《信息安全技術(shù)個人信息安全規(guī)范》明確規(guī)定個人生物識別信息屬于個人敏感信息，并對個人敏感信息進行了特殊保護。2020年11月27日，工信部組織發(fā)布了電信終端產(chǎn)業(yè)協(xié)會團體標準《APP收集使用個人信息最小必要評估規(guī)范 人臉信息》，規(guī)定了移動應(yīng)用軟件對人臉信息的收集、使用、存儲、銷毀等活動中的最小必要規(guī)范和評估方法，并通過個人信息處理活動中的典型應(yīng)用場景來說明如何落實最小必要原則。

數(shù)據(jù)治理的普遍性、技術(shù)性、復(fù)雜性、應(yīng)時性等特點決定了數(shù)據(jù)治理具有一定的軟法空間，但軟法欠缺強制力的特點決定了對包括人臉信息在內(nèi)的個人生物識別信息的特別保護離不開硬法的托底。因此，有必要從硬法的角度系統(tǒng)思考對包括人臉信息在內(nèi)的個人生物識別信息的特別法律保護、對人臉識別的特別法律規(guī)制問題。

1、建立健全一體適用的安全與責任底線

法律規(guī)制人臉識別技術(shù)的目的，不是一味地叫停該項技術(shù)的使用，而是要在確保安全的前提下，倡導(dǎo)一種負責任的使用。為此，筆者建議建立如下公私部門一體適用的安全與責任底線。如果不符合這些安全與底線原則，則為違法收集個人信息。

其一，無論誰使用人臉識別技術(shù)，人臉識別系統(tǒng)要經(jīng)第三方獨立機構(gòu)定期檢測，以檢測其準確性與非歧視性。必要時，人臉識別系統(tǒng)及其定期檢測結(jié)果應(yīng)向監(jiān)管部門備案。

其二，無論誰通過公共網(wǎng)絡(luò)收集、傳輸、存儲人臉信息，都應(yīng)使用加密措施，并對收集到的人臉信息進行分片段單獨存儲，并不得公開披露人臉信息。

其三，無論誰使用人臉識別技術(shù)，都應(yīng)該建立可追蹤的技術(shù)體系。誰在何時何地查詢、使用、修改、下載了人臉信息，事后都可查證，以便發(fā)生侵權(quán)時，人臉識別技術(shù)使用主體對侵權(quán)人進行查證和追責。

其四，法律應(yīng)該規(guī)定，無論是誰使用人臉識別技術(shù)，如果其收集的信息被證明出現(xiàn)被盜竊、泄露、非法使用、非法出售、非法提供等情形，從而給信息主體造成損失的，收集者對受害人受到的實際損失承擔連帶賠償責任；如果受害人的實際損失難以證明，則應(yīng)對每個受害人至少賠償一定數(shù)額（如2000元人民幣）的法定定額賠償金。受害人受到的實際損失小于該法定定額賠償金的，受害人可直接主張法定定額賠償金。

其五，無論是誰使用人臉識別技術(shù)，人們均有權(quán)拒絕“刷臉”。如果是在無競爭性的服務(wù)領(lǐng)域（如民航、鐵路、學(xué)校、社區(qū)等）使用人臉識別技術(shù)，當人們拒絕“刷臉”時，應(yīng)提供其他替代性的驗證機制，而不能不“刷臉”就不能使用或進入。畢竟，每個人的風險偏好是不盡相同的，法律規(guī)則的設(shè)置應(yīng)容忍和尊重那些低風險偏好的人，尤其是在當前不能做到人臉識別系統(tǒng)百分之百安全的情況下。

2、區(qū)分公私部門配置不同的規(guī)制重心

對政府部門使用人臉識別技術(shù)應(yīng)以事前事中規(guī)制為主，對非政府部門使用人臉識別技術(shù)應(yīng)以事中事后規(guī)制為主。

政府部門執(zhí)行公務(wù)過程中構(gòu)成侵權(quán)，因有國家賠償法的限額賠償而使當事人難以獲得充分賠償，且一旦政府部門涉嫌侵權(quán)對政府部門的聲譽將造成重大不良影響，因此，應(yīng)著重從事前進行風險防范，即對政府部門安裝、使用人臉識別技術(shù)應(yīng)堅持有權(quán)機構(gòu)批準同意原則，未經(jīng)有權(quán)機構(gòu)批準同意，政府任何部門不得安裝、使用人臉識別技術(shù)。有權(quán)機構(gòu)在批準時，應(yīng)考慮到安裝、使用人臉識別技術(shù)的必要性、正當性，且應(yīng)通過一定的法律正當程序，遵循公開、透明、民主參與等原則予以批準。

如果對商業(yè)部門安裝、使用人臉識別技術(shù)堅持事前批準的話，因政府部門在技術(shù)上往往落后于商業(yè)部門，這可能發(fā)展不出來一種有效的審批，更為重要的是，還可能遏制商業(yè)創(chuàng)新和技術(shù)創(chuàng)新。但是，如果商業(yè)部門的人臉識別給消費者造成損害的話，受害人可以通過事后的民事訴訟來進行追責，執(zhí)法部門也可以通過事中或事后的執(zhí)法進行監(jiān)管和追責。當然，這需要我們健全法律框架，使執(zhí)法部門有法可依，使受害人可以依法維權(quán)。

至于我國是否需要全面禁止政府部門安裝、使用人臉識別系統(tǒng)，這屬于政治過程決定的結(jié)果。我國公安機關(guān)布控的天眼系統(tǒng)，通過安裝在城市公共場合的攝像頭對人臉進行實時、精準且快速的甄別，讓犯罪分子無處可逃。但通過人臉識別技術(shù)所進行的監(jiān)控對個人自由的威脅也越來越引起人們的重視。人們對全面監(jiān)控感到壓迫和焦慮。即使不全面叫停政府部門安裝、使用人臉識別技術(shù)，也應(yīng)該對其進行嚴格的法律規(guī)制，防范安全風險，防止被濫用。

3、對人臉信息的采集施加比對一般個人信息的采集更強的規(guī)制力度

人臉信息不同于一般個人信息，甚至人臉信息作為生物信息也與其他生物信息（如指紋）也有較大區(qū)別。因此，人臉信息的采集應(yīng)堅持特別規(guī)制即差異化規(guī)制，即應(yīng)堅持更強的知情同意原則。

采集一般個人信息，除了法定例外情形，一般都需要征得數(shù)據(jù)主體的知情同意。但人臉信息具有特殊性，除了法定例外情形，其所適用的知情同意原則，應(yīng)比一般的個人信息所適用的知情同意原則更嚴格，即應(yīng)堅持書面（written）知情同意原則。此外，法律應(yīng)規(guī)定采集人臉信息之前，采集者應(yīng)告知被采集者其采集的信息具體類型、目的、保存時間、被采集者的風險與權(quán)利，告知的方式必須是書面的。
責編AJX