人工智能系列之人脸识别信息的内涵与合规难题

在全球范围内，当技术不断将人脸识别先进性推向新的高度时，对其秉持保留或反对意见的声音却愈演愈烈。而这与 “人脸”所具有的多重特殊属性紧密关联，具体而言： 

• 人脸具有更强的人格属性。相比于其他个人信息，人脸图像与自然人就其人格所享有的精神性权利密切相关。肖像权作为一项重要的人格权，是指自然人对其肖像拥有的包括允许他人使用在内的绝对支配权并有权禁止他人非法使用。[7]而以侮辱或恶意筹划的形式使用他人肖像，将进一步构成侵犯名誉权的行为。因此，相比于其他个人信息，面部图像带有的更强的人格属性，体现着人格利益与精神价值，从而相关使用行为更易引发侵犯自然人人格权益的顾虑。然而，对于那些不会牵涉任何自然人人格属性的使用行为而言，如仅将人脸信息用于机器算法演练的行为，从人格权所衍生出的法益保护主张可能难以适用。 

• 人脸信息在当前经济下不同的财产价值。在人格层面上的精神性权利之外，人脸中体现出的财产利益最早起源于名人肖像的商业化利用活动，随着人脸所蕴含的财产价值渐渐被认可，在不同司法辖区就是否承认独立的肖像财产权形成一元保护和二元保护的不同模式。然而，在传统法学研究中，能够就人脸主张包含财产利益的权利主体一般只限于名人，而普通人的肖像仅具有潜在的财产价值。进而当肖像被非法商业化利用时，名人能够主张财产损害赔偿，而普通人原则上仅限于精神损害赔偿。[8]然而，在人脸识别技术得以普及的当下，人脸信息不仅仅是自然人的肖像、名誉等人格利益的体现，更是代表着门禁的钥匙、银行卡支付的密码，当人脸信息所蕴含的财产价值得以极大地挖掘时，传统肖像权保护领域中针对财产价值名人/普通人的划分边界也被突破。 

• 人脸背后具有更广泛的信息内涵。技术的发展不单单将人脸的可识别性进行最大化发挥，更是不断深入地挖掘人脸背后的价值。通过人脸识别技术，人脸信息不仅可以用来准确地识别“我是谁”（身份识别场景），同时可以用来比对“我是否是我”（身份验证场景）；甚至，通过结合大数据技术能够获知、预测“我是一个什么样的人”，而根本无需知道“我是谁”（标签画像场景）。相比于其拟用于的处理目的及所携带的更高的安全风险而言，处理人脸数据更可能构成对数据隐私保护制度中收集个人信息“必要性”原则的违反。 

除上述人脸信息的特殊属性外，从技术层面而言，人脸识别信息的使用可能带来更高的安全风险。相较于其他个人信息类型，人脸识别可以通过远距离与较为隐蔽的操作实现，人脸图像的收集更可能以被收集人无感知的方式进行，存在更大的技术滥用的潜在隐患。 

在尚缺乏具体法律规则加以规范的情形下，如何更好地平衡利益冲突从而识别出更为优先保护的法益，我们理解就场景不同可能遵循着以下基本原则： 

• 商业化场景：在满足个人信息主体“知情同意”情形下，鉴于人脸信息蕴含着更高的信息安全风险以及潜在的更广泛的信息内涵，企业应当谨慎评估使用行为是否遵循“合法、正当、必要”原则，避免被质疑“杀鸡焉用宰牛刀”。 

• 基于公共利益的应用场景：与传统法学上对于肖像权的限制观点相类似，基于社会公共利益所需的情形下，自然人就其人脸信息所享有的权利也得以在一定程度内被限制。然而考虑到过度使用人脸识别技术可能对种族平等、言论自由可能带来的威胁，一般认为在公共场所使用这一技术时，建议注意遵守授权原则、法律保留原则、比例原则等。

下文中，我们将围绕几个典型的人脸识别应用场景中涉及的问题展开讨论，以期一同探索可能的合规路径。 

1. 含人脸图像的照片的性质认定 

2. 人脸识别信息采集的必要性探讨 

3. 人脸识别技术的商业化使用

4. 公共场所使用人脸识别技术的限制

5. 人脸识别技术下的歧视问题

人脸识别技术已经在多个场景被广泛应用，尽管目前全球对于人脸识别中的法律规制边界和更深层次的道德伦理问题仍未达成明确的共识，但考虑到目前已经生效的法律要求，当前企业在部署或使用包括人脸在内的生物识别技术时应当关注以下问题： 

1. 审慎考量，遵守合法、正当、必要原则 

可以预见，随着车联网、物联网的建设，人脸识别等生物识别技术的应用广度和深度也将逐步拓展和加强。然而，瑞典GDPR处罚案件的核心问题围绕于该技术在特定应用场景中是否具备合法性基础且符合必要的限度。考虑到人脸识别信息的高度敏感性，监督态势将可能呈现趋严态势。因此，企业在对相关技术进行部署和应用时，应持续遵守合法、正当与必要的原则，在部署前开展必要的个人信息安全影响评估，以确保生物识别信息的处理严格遵从法律法规和监管要求。 

2. 有渠道让被采集人知情并获得同意 

在我国《网安法》第四十一条的要求下，对于人脸图像的获取和后续可能的处理活动，建议企业应确保被采集人对拟开展的处理活动的充分知悉，并征得其同意。在运用人脸识别技术进行自动化决策时，应谨慎评估该决策对个人主体权益的影响，以及是否需要为相关个人提供通畅的申诉渠道。 

3. 承担更高的数据安全保护义务，确保数据安全 

人脸识别系统捕获的面部特征信息可能属于个人敏感信息。根据我国的个人信息保护制度，企业对此类信息需要承担较为严格的安全保护义务。因此，企业应注意持续提升对人脸识别信息等生物识别信息的安全防护，按实际情况的需要采取加密保护、隔离存储、脱敏使用等技术措施，并在确认不具备处理的必要性后进行及时、彻底的销毁。 

4. 密切关注行业立法与监管态势，积极应对相关主管部门对人脸识别技术应用有关的规范出台情况 

除2019年6月发布的《信息技术 安全技术 生物特征识别信息的保护要求（征求意见稿）》外，我们了解到多达二十余个与生物特征识别技术相关的标准规范也正在制定过程中。 

众多的技术应用规范，既能为处于不同行业的企业在业务经营与企业管理过程中应用人脸识别等生物识别技术提供明确指导，同时也或将带来更高的合规要求。相应地，企业应当继续保持高度的合规意识，确保在规章制度与技术规范上能够及时、积极地响应生物识别技术的应用规范。 

除要求企业遵守现行的法律法规要求，合规使用包括人脸识别在内的生物识别技术以外，从行业发展和法律规制两个不同的角度，社会各界可能都需要进一步讨论生物识别技术所触及到的技术、法律及道德难题： 

（1）通常大家理解的生物识别技术以“识别”特定个人为主要目的，但实际运用中仍存在其他多样化场景，例如有些未来自动驾驶技术中采取的生物识别技术是以识别“人类”与“其他物体”为诉求（比如路测阶段），并不一定会涉及特定个人的人格或财产权益。对此类不以“识别”特定个人为目的的生物识别技术是否有必要严格的受制于个人信息保护的规制？或者生物识别设备的本地匿名化处理能否降低告知同意的标准？ 

（2）随着技术的发展，生物识别的物理或环境要求可能会大幅度降低。除支付、身份验证等私密场景以外，生物识别技术会更为广泛的应用在公共场合，比如小区安防 、“智慧城市”等。未来个人信息主体可能会更为隐蔽地被“识别”，而企业在应用生物识别技术时也愈发缺乏与个人信息主体的交互界面来主动告知个人信息主体，并获得其同意。如何解决技术进步与个人信息保护的平衡会是将来长时间困扰社会公众和企业的难题，是通过加强公共场合的告知或者对于新型技术应用的社会媒体宣传，还是建立沟通渠道加强事后的救济来维系这种平衡？ 

（3）基于公共场所安全监管要求被收集的生物识别信息（比如机场安检等），其收集的合法性可能基于特定的交互场景（比如飞机上视频和音频采集的告知），也基于公众对于法律法规的合理预期（法律法规的公示效果）。然而，对于新商业场景下收集的生物识别信息是否可以通过合理预期来降低告知同意的标准？比如无人超市等新零售场景，在媒体宣传以及公众告知的前提下，在满足提醒义务后，是否可以认为主动步入无人超市的个人已经被对生物识别信息收集有了合理预期？对于类似的新型业务生态，是否有必要通过立法立规的方式来加强公示作用？ 

（4）生物识别信息（比如人脸识别信息）已在一定程度上突破了肖像权等法律权利保护和适用的范围。这类信息在大数据经济背景下的法益可能已经超出了现有法律制定时的社会及经济基础。我们理解这类生物识别信息具有多层次的内涵： 

• 识别内涵：这类信息的最大商业价值是作为唯一并相对方便和准确的身份标识符（不同于DNA或者设备识别码等），基于唯一性的人格属性而衍生出商业价值，比如生物识别信息与应用场景之间的强关联关系（比如刷脸支付、门禁）。

• 关联内涵：人脸等生物识别信息除了识别以外，还能根据识别特征来通过大数据分析等技术以关联特定主体的其他信息，比如性别、年龄、皮肤状况、种族、性取向、婚姻状况、儿女长相、甚至五十年后长相预测等。

• 验证内涵：生物识别信息除识别或关联特定主体，在很大程度上能验证统计场景下的结果。比如智慧城市的应用中，通过验证真实的个体流动，来测试交通热力图的真实性和有效性。 

在上述不同内涵中，无论是信息可能存在的人格属性还是附属的财产价值程度可能不尽相同，涉及的主体多样，因而以个人信息附属的“权益”而不是绝对的“权属”来区分保护的对象和边界可能更具可行性。 

（5）对于生物识别信息的关联内涵而言，尽管其用途广泛，但容易引发比如判断错误、歧视等道德伦理问题，比如通过人脸识别信息来实现判断个人的性取向、种族、宗教信仰等非识别性目的。由于生物识别技术的自动化特征，类似的关联信息可能通过自动化处理或决策，缺乏透明性也不易于监管，即使实际上发生了失误或歧视等问题也很难追溯。如何加强算法可解释性，避免算法歧视或者信息不完整而导致决策误差？ 

随着科技的日新月异，人脸的价值将得到更多的开发、应用场景也会更加丰富多样，现有法律法规对于肖像权或者个人信息主体权益的保护形式和边界可能都将受到挑战。如何在确保公共安全、个人权益的同时，促进人脸应用相关新科技的发展仍然有待各界的深入讨论。