刷臉時代，我的臉被偷了

這是一個看臉的時代。乘坐飛機、高鐵需要刷臉，入住賓館、酒店需要刷臉，進入單位、小區(qū)需要刷臉，觀看演出、賽事需要刷臉，辦理各種業(yè)務(wù)需要刷臉，甚至疫情期間使用衛(wèi)生間也需要刷臉。我刷臉，故我在。

這些每天可感知的刷臉，還只是人臉識別技術(shù)應(yīng)用場景的冰山一角。在機場、車站、碼頭、地鐵、街道、商場、酒店、餐館、教室等公共空間，還有數(shù)不勝數(shù)的無感式圖像采集探頭，它們睜大著不知疲倦的“眼睛”，默默地、但一絲不茍地注視著你我的一舉一動。

【資料圖】

將人臉圖像信息數(shù)字化，輔之以人工智能化數(shù)據(jù)比對，從而對自然人進行身份識別，這是人臉識別技術(shù)的底層邏輯。隨著數(shù)字化和人工智能技術(shù)對社會生活全方位的滲透，人臉識別技術(shù)的應(yīng)用場景不斷拓展。過去幾年的疫情防控，更是為這種技術(shù)應(yīng)用提供了必要性及正當性加持。

以人臉識別為代表的數(shù)字技術(shù)對國家和社會治理領(lǐng)域的全方位滲透，符合“目標—手段”的邏輯。數(shù)字技術(shù)與當代公共管理的風險管控目標之間存在高度耦合。在現(xiàn)代風險社會中，治理目標已從傳統(tǒng)的秩序維護和修復(fù)，逐步轉(zhuǎn)向風險預(yù)防和調(diào)控。政府需要針對各種不確定的經(jīng)濟和社會風險進行未雨綢繆式的調(diào)控，以高效、精準地維護社會安全與秩序。

對個人的身份進行精準化、大規(guī)模識別和監(jiān)控，恰是對各種社會風險進行管控的數(shù)據(jù)基礎(chǔ)。以大數(shù)據(jù)為基礎(chǔ)，結(jié)合算法、自動化決策等技術(shù)，可大大擴展國家和社會治理所涵蓋的人口與地域范圍，化解一系列治理難題。因此，一旦某種新技術(shù)興起，其實現(xiàn)治理目標的潛在效用和規(guī)模效應(yīng)自然得到青睞。這也正是人臉識別技術(shù)應(yīng)用無處不在、遍地開花的底層動力。

然而，我們必須警惕的是，數(shù)字技術(shù)對國家和組織的“賦能”，并非技術(shù)的免費午餐。數(shù)字賦能并非沒有風險，可能為各種權(quán)力濫用披上“摩登”的技術(shù)合理性外衣。在國家和社會治理的數(shù)字化轉(zhuǎn)型進程中，我們需要對技術(shù)的風險進行充分認知并予以規(guī)制。

以人臉識別技術(shù)為例，無論是1:1還是1:N的人臉數(shù)據(jù)比對，都需要采集人臉信息，需要建設(shè)不同規(guī)模的人臉信息數(shù)據(jù)庫。說到底，就是將人當做數(shù)字化的對象和治理工具。人臉信息是自然人生物信息，法律上屬于“敏感個人信息”，涉及個人尊嚴、隱私等各種人格權(quán)益。如果這些信息被不當采集、處理、使用，將會給個人的人格、隱私、財產(chǎn)等權(quán)益帶來巨大侵害風險。例如，沒有門檻的人臉識別應(yīng)用，將導(dǎo)致人臉信息被過度甚至非法采集，構(gòu)成對人格權(quán)和個人信息權(quán)益的侵害，也會帶來巨大的數(shù)據(jù)安全風險。

人臉識別技術(shù)應(yīng)用的失范，已經(jīng)引發(fā)一些列社會問題，例如倒賣人臉信息、非法查閱甚至買賣圖像監(jiān)控信息、運用人臉信息進行深度合成從而進行詐騙、敲詐勒索等犯罪活動；一些犯罪分子利用非法手段破解人臉識別驗證程序，實施竊取財產(chǎn)等犯罪。可以說，如果不對人臉識別技術(shù)的誤用和濫用進行有效規(guī)制，人臉識別將會毫無臉面。

從現(xiàn)實看，人臉識別技術(shù)的風險正成為明顯而急迫的危險。全國信息安全標準化技術(shù)委員會等機構(gòu)發(fā)布的《人臉識別應(yīng)用公眾調(diào)研報告》顯示，在兩萬多名受訪者中，94.07%的人表示用過人臉識別技術(shù)，64.39%的人認為人臉識別技術(shù)有被濫用的趨勢，30.86%的人反映已經(jīng)因為人臉信息泄露、濫用等遭受損失或者隱私受侵犯。因人臉信息泄露導(dǎo)致“被貸款”“被詐騙”及隱私權(quán)、人格權(quán)被侵害等案例日益增多。

盡管我國刑法、民法典、網(wǎng)絡(luò)安全法、數(shù)據(jù)安全法、個人信息保護法等法律法規(guī)均對個人信息保護和數(shù)據(jù)安全做了規(guī)定，但針對人臉識別的現(xiàn)實問題，制定專門的技術(shù)應(yīng)用安全規(guī)范，以明確人臉識別技術(shù)應(yīng)用門檻和條件，保護個人信息權(quán)益和數(shù)據(jù)安全，遏制人臉識別技術(shù)濫用，在當前具有必要性和緊迫性。

在這個背景中，國家網(wǎng)信辦近日公布了《關(guān)于人臉識別技術(shù)應(yīng)用安全管理規(guī)定（征求意見稿）》（下稱《規(guī)定》）并向社會公開征求意見，可謂正當其時。《規(guī)定》對人臉識別技術(shù)應(yīng)用的門檻、設(shè)備安裝到圖像采集規(guī)范，數(shù)據(jù)的處理、存儲、提供、刪除等規(guī)則、技術(shù)應(yīng)用的準度、精度到置信度閾值、技術(shù)使用者或服務(wù)提供者的責任義務(wù)等，作出了有針對性的規(guī)定，力圖實現(xiàn)對人臉識別技術(shù)應(yīng)用的全要素監(jiān)管和全流程規(guī)范。

對人臉識別技術(shù)的管理和規(guī)范，核心是對技術(shù)應(yīng)用的風險管理，這需要在充分認知技術(shù)應(yīng)用的全要素和全流程風險源基礎(chǔ)上，進行有針對性的規(guī)則設(shè)計，其關(guān)鍵在于合理設(shè)定人臉識別技術(shù)應(yīng)用的紅線、底線、控制線和安全線。

首先，要劃定人臉識別技術(shù)應(yīng)用的“紅線”。當前存在的一個突出亂象是：人臉識別和監(jiān)控探頭無處不在，泛濫成災(zāi)。劃定紅線，就是要確定最低限度的私密空間。風能進，雨能進，探頭不能進。紅線是“禁區(qū)”，禁區(qū)之內(nèi)禁止人臉識別和監(jiān)控。針對人臉識別泛濫的突出問題，《規(guī)定》明確：在公共浴室、衛(wèi)生間、酒店客房、更衣室等涉及個人隱私等場所，不得安裝圖像采集、個人身份識別設(shè)備。這一規(guī)定看起來似乎不言自明，但劃定明確的、不可觸碰的“紅線”，有助于培育社會的“私人空間”意識，對個人的人格和心理安全感具有積極影響。此外，《規(guī)定》提出了在賓館、銀行、車站、機場、體育場館、博物館、圖書館等經(jīng)營場所，除非法律、行政法規(guī)有明確規(guī)定，否則不得以辦理業(yè)務(wù)、提升服務(wù)質(zhì)量等為由強制個人接受人臉識別驗證身份。這實際上為這些經(jīng)營性場所使用人臉識別技術(shù)印證身份，設(shè)定了很高的門檻，同樣也有助于抑制人臉識別技術(shù)沖動。《規(guī)定》還有針對性地明確了，物業(yè)服務(wù)企業(yè)等建筑物管理人不得將使用人臉識別技術(shù)驗證個人身份作為出入物業(yè)管理區(qū)的唯一方式。可以說，如果這些“紅線”能夠得到落實，將在源頭上對人臉識別的濫用產(chǎn)生遏制效果，我們所遭遇的到處刷臉的無奈困境將得到一定緩解。

其次，要劃定人臉識別技術(shù)應(yīng)用的“底線”。即便在紅線之外可以應(yīng)用人臉識別技術(shù)的場域，也必須滿足底線要求。這一底線要求就是“目的明確”和“充分必要”原則。處理人臉信息，必須說明具體的、特定的目的；必須證明人臉識別對于實現(xiàn)目的的必要性和不可替代性。《規(guī)定》在個人信息保護法所規(guī)定的目的合理和最小必要原則基礎(chǔ)上，針對人臉信息的敏感性和重要性，進一步規(guī)定“只有在具有特定的目的和充分的必要性，并采取嚴格保護措施的情形下，方可使用人臉識別技術(shù)處理人臉信息”。而且，“特定目的”和“充分必要”二要素缺一不可。換言之，即便具有特定目的，但如果采用其他非人臉識別技術(shù)可以實現(xiàn)目的，也不得采用人臉識別處理個人信息。

再次，要設(shè)定人臉識別技術(shù)應(yīng)用的“控制線”。人臉信息是敏感個人信息，必須尊重和保障個人的自主性和控制能力。面對人臉識別，個人應(yīng)當有權(quán)說“不”，這就是個人對技術(shù)的拒絕權(quán)。《規(guī)定》明確：使用人臉識別技術(shù)處理人臉信息，除非法律、行政法規(guī)有相反規(guī)定，否則必須取得個人“單獨同意”或者“書面同意”。單獨同意，就是禁止采取“一攬子”條款，而必須單獨就處理個人的人臉信息獲得個人同意。需要特別指出的是，個人同意應(yīng)當是個人在充分知情的基礎(chǔ)上做出的。使用人臉識別的主體必須以清晰易懂的語言，告知個人處理人臉信息的目的、用途及必要性。這種“告知—同意”規(guī)則在一定程度上構(gòu)成對人臉識別技術(shù)的控制線。

最后，要設(shè)定人臉識別技術(shù)應(yīng)用的“安全線”。無論是人臉比對還是公共場所監(jiān)控，處理的都是敏感個人信息，且數(shù)量巨大。這些數(shù)據(jù)很容易成為違法犯罪活動的攻擊目標，時刻面臨巨大的安全風險。從個人的角度來看，沒有數(shù)據(jù)安全，就沒有安全感，就可能時刻受困于焦慮和不安的心理折磨。從社會治理角度看，沒有數(shù)據(jù)安全，公眾對人臉識別技術(shù)就沒有信任，就會以各種形式進行抵制。現(xiàn)實中，人臉識別和公共場所監(jiān)控等敏感信息被違規(guī)查閱、復(fù)制、公開、傳播的情形時有發(fā)生，數(shù)據(jù)安全堪憂。因此，“安全第一”不能只是喊喊口號，而必須落到實處。《規(guī)定》凸顯了安全責任保護義務(wù)這一核心，圍繞設(shè)備安全、安裝安全、運行安全、數(shù)據(jù)庫安全、管理人員安全等要素設(shè)定安全管理標準；從數(shù)據(jù)采集、存儲、處理、轉(zhuǎn)移、使用、銷毀等環(huán)節(jié)規(guī)范數(shù)據(jù)處理全流程，這可為相應(yīng)的各種技術(shù)標準和運行規(guī)范提供指引。

隨著技術(shù)迭代發(fā)展，技術(shù)權(quán)力與傳統(tǒng)權(quán)力之結(jié)合日益緊密，在應(yīng)用廣度和深度上不斷拓展。數(shù)字技術(shù)在對公共管理進行賦能的同時，也塑造了日益龐大的數(shù)字技術(shù)系統(tǒng)。人臉識別是當今數(shù)字化治理的一種典型技術(shù)。在國家治理的宏觀視角中，人臉識別和公共監(jiān)控等技術(shù)可能被當做社會管理和規(guī)訓(xùn)的工具。不過，“全景敞視”式的社會治理，表面上似乎有助于規(guī)制社會風險，但其本身也可能是一種風險。歸根結(jié)底，技術(shù)手段的應(yīng)用必須服務(wù)于價值依歸。好的治理應(yīng)當以人為本；有效的治理技術(shù)離不開對人的尊重。

因此，無論是從價值理性還是工具理性角度看，對人臉識別技術(shù)的規(guī)制，必須在追求技術(shù)賦能的同時，把持住技術(shù)向善的方向，否則就會出現(xiàn)主客體異化悲劇。實現(xiàn)技術(shù)向善，需要倡導(dǎo)技術(shù)倫理，但主要還是靠法律規(guī)制。倫理與法治結(jié)合，才能有效維護好人臉識別技術(shù)的臉面。

（作者系北京大學法學院教授）

作者：王錫鋅

關(guān)鍵詞：