如何保護我們的臉？不再為“顏面何存”而憂

如今，手機刷臉解鎖、購物刷臉支付、進出小區(qū)刷臉開門……人臉識別的應用已經(jīng)深入到社會生活的方方面面，在工商、人社、交通、金融等政務領域編織起一張大網(wǎng)后，又“進軍”園區(qū)門禁、會員識別、員工考勤等商業(yè)領域安營扎寨。

人們在享受“刷臉”帶來的便利的同時，也會對其背后隱藏的“侵犯隱私”“信息泄露”風險產(chǎn)生擔憂。

從中國“人臉識別第一案”到清華大學勞東燕教授維權，從5000多張人臉打包兜售到售樓處暗中使用人臉識別，“人臉識別技術侵犯個人信息安全”的案例一再披露，每每都能挑逗起人們警覺的神經(jīng)。

因此，如何讓個人信息在發(fā)揮價值的同時又不被非法獲取或利用？如何明晰人臉識別技術的應用邊界？如何通過立法和監(jiān)管更有效地保護我們的臉，讓普羅大眾不再為“顏面何存”而憂？這些都是亟須關注和解決的問題。

《民法典》提出合法、正當、必要三原則

大數(shù)據(jù)時代，個人信息被譽為“新時代的石油”。而人臉信息是高度敏感的個人信息，人臉識別技術就是基于人的臉部特征信息及其不可更改的特性進行身份核驗的一種生物識別技術。這一技術還具有無接觸、交互性強、高效迅速、符合人類識別習慣等優(yōu)勢。

當前，人臉識別技術愈加成熟，應用場景逐漸廣泛，成本也在不斷降低，一個個本具生命體征的人便轉化成了一串串代碼，面臨著被替代、被冒用的風險。

今年3月，清華大學教授勞東燕就在小區(qū)門禁問題上繃緊了謹慎的弦，因她所居住的小區(qū)實施安裝人臉識別門禁計劃，她特地寫了法律函寄到物業(yè)公司和居委會以引起他們對“人臉識別潛在風險”的注意。最終，小區(qū)在“刷臉”進出方式之外，增加了刷門禁卡、手機等方式。

此前，關于保護個人信息的專門立法一直未出臺，以至于“強制刷臉是否合規(guī)合法”的問題步入到相對尷尬的境地之中，于今年實現(xiàn)落地的《民法典》在一定程度上填補了這一領域的空白。

《民法典》規(guī)定，處理個人信息應當遵循合法、正當、必要原則，不得過度處理。但相應規(guī)定在適用過程中仍存諸多難題。勞東燕認為，除了得到個人授權外，個人信息在保管和使用方面都應該得到明確，“《民法典》只能做比較概括性的規(guī)定，未來還需要有一些細節(jié)性的規(guī)范?！?/span>

中國信息安全研究院副院長左曉棟表示，由于人臉識別技術應用場景很多，所以還需要專門的文件予以規(guī)范，“例如，什么叫人臉識別技術應用的‘合法正當必要’？這需要專門作出規(guī)定?！?/span>

仍需對人臉識別不同場景進行規(guī)范

2020年10月13日第十三屆全國人大常委會第二十二次會議對《個人信息保護法（草案）》進行了初次審議。九天之后，中國人大網(wǎng)公布《中華人民共和國個人信息保護法（草案）》并對其公開征求意見。

相較于《民法典》而言，《個人信息保護法（草案）》深入總結了《民法典》《網(wǎng)絡安全法》等法律法規(guī)和《個人信息安全規(guī)范》等國家標準的實施經(jīng)驗，更加具體地規(guī)定了個人信息保護的原則，將個人信息保護實踐中行之有效的做法和措施上升為法律規(guī)范。

但部分條文仍有待進一步探討和調整。對此，中國社科院大學互聯(lián)網(wǎng)法治研究中心執(zhí)行主任劉曉春表示，目前而言，《民法典》、《網(wǎng)絡安全法》、《消費者權益保護法》和即將出臺的《個人信息保護法》所構建的法律體系已經(jīng)相對完備，但需要針對具體的領域，比如金融、生物信息識別、人臉識別等不同場景進行整治，從而清晰地指引具體實踐操作。

同時，她還認為，人們對人臉信息被收集之后因保護不周而被泄露的擔憂在當前更多的是一種猜測，到目前為止沒有證據(jù)顯示人臉的濫用和泄露形成了一種明顯的趨勢。因此在風險可控的情況之下，信息采集、處理、保護得當，人臉識別作為一種身份驗證的手段，不能被當作“洪水猛獸”。

在她看來，個人信息售賣的黑色產(chǎn)業(yè)鏈才是對個人信息威脅最大的部分，以黑客的犯罪活動為代表的個人信息買賣，已經(jīng)成為一種產(chǎn)業(yè)鏈。暗網(wǎng)中出售個人信息的行為被稱做黑產(chǎn)灰產(chǎn)，犯罪分子會在侵害個人信息的基礎上進行詐騙或者傳播違法內(nèi)容。

2019年以來，人臉識別技術在不斷更新迭代的同時，人臉信息泄露并被違法售賣的事情也有增無減。近期，上海檢方公訴的一起涉案金額超5億元的虛開發(fā)票案就牽出了非法人臉識別案。

在此案中，犯罪嫌疑人先從他處以30元每個的價格購買他人的高清頭像和身份證信息，之后利用“活照片”APP對高清頭像進行處理，讓照片“動起來”，形成包括點頭、搖頭、眨眼、張嘴等動作視頻然后利用特殊處理的手機“劫持”攝像頭，在人臉認證環(huán)節(jié)時，手機攝像頭不會啟動，系統(tǒng)獲取的是之前做好的視頻。系統(tǒng)會認為是本人在攝像頭前，最后通過認證，完成“皮包公司”注冊，用于為他人開具增值稅普通發(fā)票。據(jù)犯罪嫌疑人交代，其破解的APP類別非常廣泛，涉及政務、安防、金融、支付、生活消費等用戶量巨大的APP。每單的破解價格從25元到300元不等。

專家建議：用行政監(jiān)管的手段引導技術向善

劉曉春指出，在我國個人訴訟仍然存在很大障礙。其中關鍵因素就是在取證方面，需證明網(wǎng)站、平臺、小區(qū)收集了人臉數(shù)據(jù)且造成損害，取證的過程比較難，成本比較高，普通人可能不太具備取證所需的專業(yè)能力。所以人臉信息被盜用并對個人利益造成損害，在沒有產(chǎn)生實際損害的基礎上，個體很難有動力去起訴。

劉曉春提到，杭州“人臉識別第一案”中，起訴人的起訴目的帶有公益性質，起到了弘揚社會責任感的示范作用，超越了個案的意義。但這種案例無法大量復制，我國訴訟制度本身無法提供匹配的集體訴訟支持。

此外，在國內(nèi)外的法律中，法定的賠償制度是很難證明損害金額的。就中國的具體情況而言，《民法典》的內(nèi)容作為主要的賠償依據(jù)，但法律上沒有更有針對性的相關規(guī)定。劉曉春認為，長遠來看，我們現(xiàn)在仍要繼續(xù)推動人臉信息的相關立法，補足生物識別監(jiān)管合規(guī)要求的空缺，推動技術標準的制定，建構完善的侵害認定的司法規(guī)則。

總而言之，針對于國內(nèi)外案例和法案探討如何保護“我們的臉”的問題，多位專家建議，除了立法，在執(zhí)法層面也要針對個人信息泄露的事實現(xiàn)狀進行針對性的執(zhí)法。

此外，在企業(yè)層面還需強化企業(yè)自律，在獲取和使用個人信息時遵循合法、正當、必要三原則；同時，提升企業(yè)在大數(shù)據(jù)環(huán)境下的網(wǎng)絡安全防護技術；以及規(guī)范應用隱私條款，為用戶刪除數(shù)據(jù)、注銷賬戶提供渠道，明確告知用戶爭議解決機制等。

最后，在個人層面。一方面，要注意留存大數(shù)據(jù)殺熟、動態(tài)定價、價格操縱和個人信息泄露的相關證據(jù)；另一方面，應了解我國個人信息保護的相關法律，依法維護好自身權益。

中國電子技術標準化研究院網(wǎng)安中心測評實驗室副主任何延哲表示，整體而言，現(xiàn)在還是摸著石頭過河，但希望技術應用能夠有利于經(jīng)濟發(fā)展，也有利于社會進步，所以我們需要通過行政監(jiān)管的手段引導技術向善，堅持好安全發(fā)展相統(tǒng)一的原則。

來源：中國網(wǎng)