武丹/制图
2021年11月25日，汪某某购买一张从贵阳东站至贵阳北站的C6368次高铁二等座客票，于贵阳东站进站乘车时，车站广播提示乘客需要手持身份证、摘掉口罩刷脸进站，汪某某购票后通过自助闸机刷脸验票后进站乘车。她认为，铁路部门在采集其人脸信息时，未依法作出明确告知，也未取得其授权或同意，侵害其合法权益，遂向法院提起诉讼。2023年4月27日，成都铁路运输中级法院依法在线开庭审理汪某某与中国铁路成都局集团有限公司个人信息保护纠纷案。法院经审理认为，处理乘客人脸信息，符合个人信息保护法不需取得乘客个人同意，但应对采集乘客人脸信息的目的、方式、信息处理等事项履行告知义务。该案被称为全国首例公共交通领域使用人脸识别技术引发的个人信息侵权案件，其确立的审判规则对进一步完善我国人脸识别的法律规制具有重要的启示意义。
人脸识别技术因其缩短了身份验证的烦冗环节，在公共安全保障、身份验证等领域具有明显的技术创新优势。近年来，该项技术在交通、商业等多个社会具体应用场景中迅速推广。人脸识别技术，本质上是通过生物识别信息确定特定自然人的身份，而生物识别信息又属于敏感个人信息，一旦有关主体应用人脸识别技术的方式不合规，则很容易诱发侵权风险，并对公民的人身和财产安全产生隐患。2023年8月，为规范人脸识别技术应用，国家互联网信息办公室发布《人脸识别技术应用安全管理规定（试行）（征求意见稿）》（以下简称《征求意见稿》）采用分层治理思路，厘清人脸识别技术在应用规范、技术标准、信息处理和系统安全四个层面可能出现的各种风险，并拟有针对性地开展风险防控，形成一整套系统性法律规制方案。
人脸识别技术应用的分层治理模式
应用规范需遵循最小必要原则。人脸识别技术可以在当事人无感知的情况下获取面部识别特征信息。因此，在应用规范方面需严格限定应用人脸识别技术的场景和主体，这可以从两个维度展开分析：一个维度是使用人脸识别技术的主体可分为公共部门和私营部门，即应考虑并区分不同使用主体，审查其目的是否符合最小必要原则。例如在公共交通领域，铁路部门基于维护公共安全对乘客进行“票、人、证”一致核对查验的法定义务，使用人脸识别技术无需取得个人同意；但私营部门无论是否需取得个人同意，均需论证部署人脸识别技术的必要性和合法性。另一个维度，即是否需个人的主动参与或配合。在公共环境中，人脸识别技术可在个人毫无感知且无需其配合的情况下实时进行。由于对个人信息知情权的显著削弱，个人权益所受影响明显加深，因而在公共环境中应用人脸识别技术应受到更加强有力的法律规制。相比之下，特定环境中人脸识别活动的开展需要个人的积极配合，例如将脸置于特定区域，配合要求自然赋予了个人的知情权和选择权。简而言之，应用层治理的基础在于识别技术本身可能带来的综合风险，进而确定应当由何类应用主体以何种目的和方式实施人脸识别技术。
技术标准要平衡精确性与适当性要求。人脸识别技术应用在技术标准方面的考量是综合的。一方面，要确保其能够稳定、准确、安全、公正地进行验证识别；另一方面，要避免其能力超出必要程度，以免造成资源浪费和过度搜集信息等问题。《征求意见稿》对此有两方面的回应：一是其明确“涉及社会救助、不动产处分等个人重大利益的，不得使用人脸识别技术替代人工审核个人身份，人脸识别技术可以作为验证个人身份的辅助手段”，即在涉及个人重大利益时，应限制人脸识别技术的使用，明确人工审核优于技术验证的价值取向。二是《征求意见稿》将“是否限于实现目的所必需的准度、精度及距离要求”作为人脸识别技术使用者开展个人信息保护影响评估的内容之一。即，要求在追求技术精确性的同时，仍应遵循比例原则要求，不得过度采集人脸信息特征。
信息处理要严格依照法律规定进行。应用主体必须严格依法处理采集到的个人信息，并提供便利条件保障公民的知情权、决定权、选择权和删除权。如，《征求意见稿》考虑到人脸图像能够被加工为面部识别特征信息，因而对此作出针对性规定，要求“除法定条件或者取得个人单独同意外，人脸识别技术使用者不得保存人脸原始图像、图片、视频，经过匿名化处理的人脸信息除外”。又如，《征求意见稿》从控制个人信息汇聚或合并角度提出要求，“使用人脸识别技术远距离、无感式辨识特定个人或者利害关系人”这一情形中，提出“不得关联与个人请求事项无直接必然相关的个人信息”。此外，为防止人脸信息的滥用，《征求意见稿》规定，除维护国家安全、公共安全等特殊情况外，不得利用人脸识别技术分析个人种族、民族、宗教信仰、健康状况、社会阶层等敏感个人信息。
人脸识别系统要确保信息安全。人脸识别技术应用的应用层、技术层及信息层，均需要建立在人脸识别系统的安全保护基础之上。人脸识别系统主要是保障人脸识别技术应用的可持续运行及人脸信息的机密性、完整性和可用性。机密性是指保证人脸信息不被非授权访问，或者即使被非授权访问也无法知晓信息内容。同时，阻止非授权用户获得机密信息，或者对机密信息进行加密。完整性是指维护人脸信息的一致性，保证人脸信息在生成、传输、存储、使用和流转过程中未发生未经合法授权的篡改。这一方面要求人脸数据的完整性，即人脸数据未被破坏；另一方面要求人脸识别系统的完整性，即人脸识别系统不被非法入侵和操纵，按照合法使用目标运行。可用性是指保证人脸信息资源能够随时提供服务，授权用户可以根据需要随时访问所需信息，保证合法用户对信息和资源的使用不会被不正当拒绝，这是对人脸识别系统总体可靠性的要求。以上是任何信息系统在运营中需持续保障的安全能力，也是《中华人民共和国网络安全法》第七十六条对网络安全界定的应有之义。《征求意见稿》第十七条、第十九条、第二十条针对人脸识别系统可能引发的问题作了明确规定。
人脸识别技术应用分层治理的优化策略
《征求意见稿》以应用场景为切入点，以全方位治理风险为目标，统筹关注应用规范、技术标准、信息处理及系统安全问题，在人脸识别技术乃至人工智能监管策略上作了具有中国特色的尝试，具有里程碑意义。当前，人脸识别技术的分层治理模式仍有不少可优化的空间。
应坚持系统观念和问题导向。从人脸识别技术生命全周期出发，综合考虑可能面临的风险挑战并制定相应规则。例如，在应用规范中应制定应用准入制度，从应用场景的整体风险角度对风险层级划分规则进行指导，而不是仅通过对具体应用场景的列举来提供治理方式，有必要对可能出现的各类新应用场景加以精确概括和细化的分类指导；在技术标准中应引入现有的算法监管体系规制人脸识别技术的透明度、公正性等基本问题；在系统安全中，可以按照传统的机密性、完整性、可用性要求对人脸识别技术安全性进行保障；在信息处理中，充分应用个人信息保护法保障信息处理合法合规。
应推进监管部门多元协同治理。人脸识别技术存在的各种风险要素涉及不同法律规范的适用。因此，各监管部门在关注与该部门职责密切相关的人脸识别技术应用风险要素时，还应同时考虑该风险要素处置与其他监管部门的有效联动和职责分工衔接。例如算法安全这一风险要素分别对应网信部门和公安部门的监管职责。针对主要风险要素划定第一责任部门，或参考个人信息保护影响评估制度中由多部门共同成立联合评估小组机制的方式来解决问题。例如，对高风险应用场景，应至少由网信部门、公安部门及相关关联部门共同组成评估小组，根据不同风险因素发表各自领域的专业意见，达到基本一致意见后人脸识别技术才可进入该应用场景。
应重视和加强行业自律的作用。企业主体应当加强自身规范化建设，建立与法律法规相适应的规章制度。同时，充分发挥行业协会作用，制定比法律法规更细化的行业标准，并探索横向主体之间的监督机制。此外，企业主体还应通过行业协会向监管部门及时反馈行业现状，保障行业可持续发展。
应充分发挥公众监督作用。在公众参与方面，需要开拓健全公众参与的途径，并鼓励公众以公开、民主、透明的方式参与治理。具体而言，人脸识别技术应用的使用范围、使用方式、风险等级，以及保障措施等方面需公之于众，接受公众监督。同时，在技术应用过程中，技术监管方应积极回应公众的关切并接受公众监督。只有加强企业、社会团体和公众的参与度和融合度，才能有效建立起基于分层理论的人脸识别技术应用多元协同的监督体系。
（陈宇超，上海社会科学院法学研究所）
来源：民主与法制时报
当前位置：