当前位置:首页 > 文献资源 > 论文著作 > 理论推演
邢会强丨人脸识别的法律规制
2020年11月25日 【作者】邢会强 预览:

【作者】邢会强

【内容提要】

目前我国对人脸识别尚无专门法律规定。各种场合下都可以任意安装并强制人们刷脸验证,若拒绝则基本无法使用相关服务。司法实践也出现了“人脸识别第一案”。因此,有必要深入研究人脸识别的法律规制,厘定该技术应遵循的法律底线,明晰法律规制的基本要点。

1、人脸识别技术的特征、收益与风险

人脸识别可简单概括为:机器对静态或视频中的人脸图像进行特征提取、分类识别,以达到身份鉴别目的。它的功能主要是身份验证和监控,又可分为政府机构的公共应用和非政府机构的商业应用与慈善应用等。

(一)人脸的特征和人脸识别技术的特征

对人脸识别的法律规制必须针对人脸及人脸识别技术的具体特征。人脸特征和与人脸识别技术的特征是两个不同的概念。人脸的特征决定了人脸识别技术的特征。

人脸具有如下七个方面的特征:(1)独特性、直接识别性。(2)方便性。(3)不可更改性。(4)变化性。(5)易采集。(6)不可匿名性。(7)多维性。

上述特征直接决定人脸识别技术具有复杂性特征。比起利用指纹、声纹、虹膜等进行生物识别,理论上讲,人脸识别对技术要求最高。现实中应用的人脸识别技术则参差不齐。此外,很多收集人脸信息的机构不具备相应的风险防控、安全保障能力、组织和机制。

(二)人脸识别技术的收益与风险

人脸识别技术的收益是世所公认的。主要在于它有时比肉眼识别更准确,速度更快,能极大地节省成本。将该技术运用在社会治理领域,能实现精准治理,提高社会管理水平。

但另一方面,人脸识别技术的风险也不容小觑。风险主要有:(1)误差风险。(2)身份认证被破解的风险。(3)信息泄露风险。总之,人脸识别的风险与收益关系目前尚不明确。即使收益大于风险,也有必要创建强有力的治理架构来降低风险。

2、国外对人脸识别的法律规制

(一)国外对人脸识别的法律规制

1.美国对人脸识别的法律规制

美国因该项技术使用主体的不同,呈现差异化的规制路径。区分政府部门和非政府机构,二者分别立法、分别规制,具体方法和价值取向截然不同。

1)对政府部门使用人脸识别的法律规制

美国现有立法和立法建议对政府部门法律规制主要分为三种:禁止使用制度、特别许可使用制度和任意使用制度。本文仅对前两种制度进行介绍。

1)  禁止使用制度

该制度为美国旧金山首创,为不少城市效仿,目前备受关注。20195月,美国旧金山市通过《停止秘密监控条例》,禁止所有政府部门(包括警察局)使用人脸识别技术。市政府各部门必须披露目前使用或计划使用的任何监控技术,并说明有关隐私政策,并需要获得监督委员会的批准,但是该条例不影响个人、商业或联邦政府使用人脸识别技术。随后通过的《萨默维尔市禁止人脸技术监控条例》和修改的《奥克兰市政法典》也采用该制度。此外,美国其他地方反对人脸识别用于公共监控的声音也很高。

2) 特别许可使用制度

美国民间组织乔治敦法律隐私与技术中心在2016年起草了所谓的《人脸识别示范法》,建议除非获得法院许可,调查和执法部门不得使用或求助人脸识别技术与身份证照片数据库进行对比。即使获得准许,也应每年审计以确保该系统不被滥用,并定期送交独立的检测部门对人脸识别系统践行准确性和偏差性检测,以确保其不以种族、性别和年龄而做出歧视化对待。当被违法监视时,任何人有权对此提起民事诉讼获得赔偿甚至惩罚性赔偿。

2)对非政府机构使用人脸识别的法律规制

对此美国政府主要将人脸信息作为生物信息之一加以规制。分为两种路径:一种是比一般个人信息保护更严格的高强度规制路径或特别路径,另一种是没有区分、同等程度保护的普通规制路径。

1) 特别规制路径

以伊利诺伊州《生物信息隐私法》(简称BIPA)及美国议会正在审议的《商用人脸识别隐私法草案》为代表。BIPA是美国在州层面第一部保护个人生物信息的法律。BIPA区分生物识别符生物信息生物信息包含某种类型的生物识别符号,人脸属于生物识别符生物信息之一。BIPA只规范私人实体,要求其收集生物信息之前,提供书面通知并获得个人知情的书面同意,同时禁止以此出售、交易或通过其他方式获利。BIPA对上述私人实体实施两重并行的安全保护要求。第一是合理的注意标准;第二是必须以对机密或敏感信息”相同或更高的保护方式保护生物特征标识符和生物信息。受害人还被赋予私人诉权。

《商用人脸识别隐私法草案》主要目的是禁止商业机构在未获得终端用户的肯定同意情况下使用该项技术来识别或跟踪终端用户。如果一项服务并不必要使用人脸识别技术,不得以终端用户对放弃隐私权予以同意作为提供服务的前提。使用该项技术的实体还需提供一个应用程序编程接口,以使至少一个合法从事独立测试的第三方能够对该项技术的准确性和偏差进行合理测试。

2)一般规制路径

该路径以美国《加利福尼亚消费者隐私法》(简称CCPA)为代表,CCPA对收集个人生物信息的规制较宽松,与对一般个人信息的规制无异。

2.欧盟对人脸识别的法律规制

与美国分别进行立法不同,欧盟《通用数据保护条例》(简称GDPR)是对公私部门一体适用的。GDPR对生物数据的处理遵循原则禁止,特殊例外的原则。数据控制者可援引数据主体的同意作为例外。但是该同意必须是自由给予、明确、具体、不含混的,任何被动同意均不符合GDPR的规定。欧洲数据保护委员会(EDPB)颁布的《关于通过视频设备处理个人数据的3/2019指引》提供了尽量降低风险的措施。

(二)国外对人脸识别予以特别规制的背景与原因

1.政治背景与原因

从政治上,主要原因是人们对政府监控的恐惧。《道德使用人脸识别法(草案)》认为,人脸识别技术存在损害《宪法》第一修正案中规定的公民权利的可能,即侵犯公民隐私权和影响公民自由。

2.社会背景与原因

多元化的民族特色与保护少数族裔是美国一些政府禁止政府部门使用人脸识别技术的原因。美国警察滥用暴力与民众对美国警察的反感也是一个重要的社会原因。

3.技术本身的原因

1)人脸识别数据库本身的特征

反对者认为,人脸识别数据库具有很强的脆弱性:当生物特征信息被收集存储在政府数据库中,很容易成为身份窃贼或国家间黑客攻击的目标。人脸识别可能会被用来控制和压迫人民。奥克拉市议会主席卡普兰公布的备忘录指出:人脸识别系统依赖高度不准确的、存在缺陷的数据库,缺乏使用和共享该技术的标准,该技术具有侵入性质。

2)人脸识别技术的误差较大

乔治敦法律隐私与技术中心指出:大多数执法机构及用户没有采取任何措施来确保人脸识别系统的准确性。人脸识别不如指纹识别准确,特别是在实时或大型数据库中使用时。只有少数机构将准确性测试或阈值作为购买该技术的条件。

3)人脸识别技术的危害存在不确定性

《萨默维尔市禁止人脸技术监控条例》在鉴于条款中指出:使用面部监视的好处很少,而且是推测性的,但它的危害是巨大的,危害远远超过好处。《道德使用人脸识别法(草案)》也指出,人脸识别技术未经过适当的讨论也并未评估其可能带来的影响。

(三)国外对人脸识别进行法律规制的经验启示与借鉴

就政府部门而言,随着相关风险事件的发生,任意使用制度终将被特别许可使用制度或禁止使用制度所取代。禁止使用制度不利于发挥人脸识别技术的优势,扼杀了技术的发展。相较而言,特别许可制度既发挥了人脸识别技术之利,又防范了其弊端,是一种更加理性的制度安排。

就非政府部门而言,虽然两种制度并存,但是运用普通规制路径,其手段与人脸信息及人脸识别技术特殊风险不成比例。高强度规制路径或特别规制路径,更有利于保护个人的人脸信息。

虽然面临的技术社会背景与原因是相同的,但在我国,人们对政府信赖以及自由价值的态度,民众与政府的关系,少数群体所面临的社会环境和社会待遇等,与美国存在较大差异。这决定了我国在引进相关制度时需要审慎甄别。

3、完善我国人脸识别法律规制的对策建议

(一)我国对人脸识别法律规制的现状

《网络安全法》和《民法总则》虽然对个人信息的保护有所规定,但是均未对人脸识别信息乃至其上位概念(个人生物识别信息)作专门规定,进行特别保护。《民法典》第1034条第2款规定,自然人的个人信息受法律保护,并在该条第2款个人信息的定义中,明确将生物识别信息列举为个人信息,但也未对个人生物识别信息作特别保护。

我国目前对包括人脸信息在内的生物识别信息的特别保护呈现出软法先行的特点。《个人金融信息保护技术规范》将生物识别信息列为敏感性最高的C3类信息,并规定了相应的收集、存储要求。《信息安全技术个人信息安全规范》也对个人生物识别信息及其保护进行了规定。

软法具有灵活性,数据治理的普遍性、技术性、复杂性、应对性等特点决定了数据治理具有一定的软法空间。但软法欠缺强制力的特点决定对个人生物识别信息的特别法律保护离不开硬法的托底。因此,我们应在及时总结软法成熟的治理工具、经验的基础上,及时将软法规范上升为硬法规定。

(二)对人脸识别进行法律规制的原理

结合隐私保护的场景理论和对未来不确定应对的风险预防理论,以及差异性原理,笔者认为,应以同一与差异相结合的规制原理为指导,对人脸识别进行法律规制。

场景理论区分不同场景来评估信息的敏感性,目前已成为美国的主流理论。风险预防理论,分为强风险预防理论和弱风险预防理论。强风险预防理论认为一项行动只有被确认为没有任何危害的情况下方可进行。弱风险预防理论认为缺乏充分的确定性不能作为延迟采取预防危害的措施之理由。人脸识别技术的风险发生概率不确定性并不大,但是由于人脸的不可更改性和不可匿名性,带来的损害程度在目前并不容易确定,只能预估损害较大。因此该项技术需要对风险预防理论做从严解释。根据风险预防理论作出的决定应始终是临时性的,这意味着应积极审查这些决定,并在获得进一步的信息以减少不确定性时加以修改。

同一与差异相结合的规制原理在个人信息保护尤其是人脸信息保护领域的应用,也应结合场景理论和风险预防理论。具体而言:

其一、在法律规制上,人脸信息既有与一般个人信息或其他个人生物信息的共同性,也存在差异性。而该差异性规制要结合场景理论的。

其二、在具体应用领域上,一方面要看到人脸信息应用的所有领域的共同性,建立公私部门一体适用的安全与责任底线,这需要运用预防理论;另一方面看到人脸信息商业化应用与政府非商业化应用的差异性,进行差异化规制,即在风险预防中运用场景理论。

就政府对人脸信息的非商业化应用而言,也存着监控与验证等不同的应用。再者,基于反恐和国家安全的目的、调查犯罪和刑事侦查的目的、行政执法目的,在使用人脸识别技术时,相应的法律规则应有所不同。

(三)对人脸识别进行法律规制的对策建议

笔者认为,我国应从以下三个方面完善人脸识别技术的法律规制:第一是建立健全一体适用的安全与责任底线;第二是区分公私部门配置不同的规制重心;第三是对人脸信息的采集施加比对一般个人信息的采集更强的规制力度。

1.建立健全一体适用的安全与责任底线

为了防止商业逐底竞争的唯一途径是建立一个支持市场健康竞争的责任底线。法律规制人脸识别技术的目的,不是一味叫停该项技术的使用,而是在确保安全的前提下,倡导一种负责任的使用。笔者建议如下公私部门一体适用的安全与责任底线。如果不符合这些安全与底线原则,则为违法收集个人信息。

第一,人脸识别系统要经第三方独立机构定期检测其准确性和非歧视性,必要时,人脸识别系统及其定期检测结果应向检测部门备案。

第二,使用加密措施,并对收集到的人脸信息进行分片段单独存储,并不得公开披露。

第三,建立可追踪的技术体系,以便发生侵权时,人脸识别技术使用主体对侵权人进行查证和追责。

第四,法律应规定,如果其收集的信息被证明出现被盗窃、泄露、非法使用、非法出售、非法提供等情况,从而给信息主体造成损失的,收集者对受害人受到的实际损失承担连带赔偿责任;若实际损失难以证明,则应该对每个受害人至少赔偿一定数额的法定赔偿金。受害人受到的实际损失小于该法定赔偿金的,受害人可直接主张法定赔偿金。

第五,人们均有权拒绝“刷脸”。如果在无竞争性的服务领域使用人脸识别技术,应该提供其他替代性的验证机制,法律设置应容忍和尊重低风险偏好的人,尤其是当前不能做到人脸识别系统百分之百安全的情况下。

2.区分公私部门配置不同的规制重心

对政府部门使用人脸识别技术应以事前事中规制为主,对非政府部门使用人脸识别技术应以事中事后规制为主。国家赔偿法的限额赔偿使当事人难以获得充分赔偿,且涉侵权对政府部门的声誉将造成重大不良影响,因此,应着重从事前进行风险防范,对于政府部门安装、使用人脸识别技术应坚持有权机构批准同意原则,未经有权机构批准同意,政府任何部门不得安装、使用人脸识别技术。有权机构在批准时,应考虑到安装、使用人脸识别技术的必要性、正当性,且应通过一定的法律正当程序,遵循公开、透明、民主参与等原则予以批准。

对非政府部门坚持事前审批,可能发展不出一种有效的审批,还可能遏制商业创新和技术创新。对此进行法律规制主要通过受害人的民事诉讼和执法部门事中或事后的执法进行监管和追责。这需要健全法律框架,使执法部门有法可依,使受害人可以依法维权。

3.对人脸信息的采集施加比一般个人信息的采集更强的规制力度

人脸信息不同于一般个人信息。甚至人脸信息作为生物信息也与其他生物信息有较大区别。因此,对于人脸信息的采集应坚持特别规制即差 异化规制,即应坚持更强的知情同意规则。

采集一般个人信息,除了法定例外情形,一般都需要征得数据主体的知情同意。人脸信息具有特殊性,其知情同意更严格,即应坚持书面知情同意原则。此外,法律应规定采集人脸信息之前,采集者应告知被采集者其采集的信息具体类型、目的、保存时间、被采集者的风险与权利,告知的方式必须是书面的。

原文刊载于《比较法研究》2020年第5期。