人臉識別國際監(jiān)管經(jīng)驗及規(guī)制建議

摘? ?要：人臉識別是人工智能不斷發(fā)展的一種技術(shù)應(yīng)用。近年來，人臉識別已在電子支付等諸多領(lǐng)域廣泛使用，但同時也暗含著濫用等諸多風(fēng)險。目前，我國在相關(guān)專門立法尚未出臺之際，已先行實施了人臉識別線下支付行業(yè)自律公約。文章在分析了美國、歐盟和法國關(guān)于人臉識別專門立法與人工智能監(jiān)管的基礎(chǔ)上，認(rèn)為上述地區(qū)已在立法與監(jiān)管方面邁出了實質(zhì)性步伐，值得借鑒。文章建議我國應(yīng)該立法引領(lǐng)個人信息保護(hù)機制，構(gòu)建多層次的人工智能治理體系，并逐漸完善人臉識別應(yīng)用的相關(guān)規(guī)范制度，從而結(jié)束“人臉裸奔”現(xiàn)狀。

關(guān)鍵詞：人臉識別;生物識別數(shù)據(jù);人工智能;執(zhí)法部門;法律規(guī)制建議

中圖分類號： TP309? ? ? ? ? 文獻(xiàn)標(biāo)識碼：A

Abstract： Facial recognition technology increasingly relies on artificial intelligence， to sift through still images or video of people's faces and obtain identity matches. In recent years， facial recognition has been widely used in electronic payment and many other fields， but it also has many risks at the same time， such as abuse of this technology. At present， when the relevant special legislation has not yet been introduced， China has issued first industry guidelines for facial recognition offline payments. Based on the analysis of the special legislation of facial recognition and artificial intelligence supervision in the United States， EU and France， this paper holds that those countries have taken substantial steps in legislation and supervision. In the future， this article suggests that China should start drafting a law on personal information protection， establishing a multi-level governance framework for artificial intelligence， and gradually improving the relevant norms of facial recognition applications， so as to put an end to the abuse of this technology.

Key words： facial recognition; biometric data; artificial intelligence; law enforcement agency; legal regulation advise

1 引言

2020年1月10日，首次以“加強大數(shù)據(jù)時代個人信息保護(hù)”為主題的全國政協(xié)網(wǎng)絡(luò)議政遠(yuǎn)程協(xié)商會在北京舉行。來自全國政協(xié)的14位委員與專家通過遠(yuǎn)程連線的方式，就如何平衡個人信息保護(hù)與數(shù)據(jù)產(chǎn)業(yè)發(fā)展建言獻(xiàn)計，其中如何應(yīng)對人臉識別風(fēng)險隱憂，成為委員專家們熱議的話題。

就在政協(xié)委員們熱議人臉識別等話題之際，1月21日，由中國支付清算協(xié)會發(fā)布的全國首個人臉識別線下支付行業(yè)自律公約正式實施，進(jìn)一步規(guī)范了人臉識別線下支付，防范刷臉支付的安全風(fēng)險。消息一出，引起國內(nèi)民眾對人臉識別的再次廣泛熱議。這標(biāo)志著人臉識別應(yīng)用風(fēng)險的防范需要法律政策、行業(yè)自律、技術(shù)保障等諸多方式予以規(guī)制應(yīng)對。目前，在相關(guān)法律尚未出臺、安全技術(shù)標(biāo)準(zhǔn)仍待深入研究之際，電子支付領(lǐng)域的行業(yè)自律公約的實施，為應(yīng)對人臉識別風(fēng)險、架構(gòu)合理的前沿技術(shù)治理體系提供了有益經(jīng)驗。

2 人臉識別線下支付行業(yè)自律公約

2.1 尊重用戶刷臉支付選擇權(quán)，建立人臉信息全生命周期安全管理機制

中國支付清算協(xié)會的成員單位應(yīng)根據(jù)用戶意愿為其提供開通或關(guān)閉刷臉支付服務(wù)。用戶開通的，應(yīng)以顯著方式提示服務(wù)協(xié)議中與其有重大利害關(guān)系的事項，采取包括隱私政策、格式條款、短信提示在內(nèi)的方式，確保用戶知情同意可選擇。具體到人臉數(shù)據(jù)采集環(huán)節(jié)，應(yīng)確保用戶知情同意，只收集與目的、使用方式所必要的且相關(guān)的信息。在存儲環(huán)節(jié)，用技術(shù)加密存儲原始面部信息，與銀行賬號、支付賬號、身份證號等用戶個人隱私安全隔離。在使用環(huán)節(jié)，收單機構(gòu)與商戶不得截留原始面部信息，實現(xiàn)隱私端到端保護(hù)。

2.2 確保線下支付商戶合法資質(zhì)，切實履行日常管理主體責(zé)任

提供線下刷臉支付的單位應(yīng)具備中國人民銀行規(guī)定的相關(guān)主體資格，定期巡查審核商戶資質(zhì)，著力健全商戶風(fēng)險評級制度及黑名單管理機制。同時，強化商戶日常收單環(huán)節(jié)支付敏感信息的主體安全責(zé)任，不得將核心業(yè)務(wù)運營、受理終端密鑰管理、特約商戶資質(zhì)審核交由外包機構(gòu)辦理。

2.3 嚴(yán)格支付終端管理認(rèn)證，預(yù)防刷臉支付各環(huán)節(jié)風(fēng)險隱患

刷臉支付受理終端產(chǎn)品應(yīng)符合相關(guān)金融科技產(chǎn)品認(rèn)證條件，及時辦理登記注冊手續(xù)。建立覆蓋刷臉支付受理終端開通、使用、更換、維護(hù)、撤銷等各環(huán)節(jié)的風(fēng)險管理制度，開展刷臉支付受理終端定期巡檢，及時發(fā)現(xiàn)排除支付風(fēng)險隱患，確保產(chǎn)品終端風(fēng)險可控。

2.4 強化支付交易風(fēng)險管理，采取多種風(fēng)控措施確保交易安全

中國支付清算協(xié)會的成員單位應(yīng)結(jié)合用戶信用狀況、風(fēng)險程度等因素，對用戶刷臉支付可開通的交易類型進(jìn)行限制。通過協(xié)議約定交易限額、設(shè)置或約定刷臉支付單筆及日累計交易限額、建立突發(fā)事件應(yīng)急處理機制等風(fēng)控措施，以便及時、有效地化解刷臉支付風(fēng)險，保障支付交易和用戶資金安全。

2.5 建立健全風(fēng)險補償機制，切實保障用戶合法權(quán)益

會員單位應(yīng)建立用戶刷臉支付投訴處理流程，明確投訴受理責(zé)任部門與受訴渠道，及時處理客戶提出的差錯爭議和投訴問題。建立健全風(fēng)險撥備資金、保險計劃、應(yīng)急處置等風(fēng)險補償機制，對不能有效證明因用戶原因?qū)е碌馁Y金損失及時先行賠付。

3 國際社會主要立法與監(jiān)管經(jīng)驗

3.1 美國州法先行，立法規(guī)制人臉識別，尤其是暫時禁止執(zhí)法部門使用

2019年10月，美國加州州長簽署了首個州級別的身體攝像頭責(zé)任法案《California's Body Camera Accountability Act》，法案規(guī)定將在未來3年內(nèi)，禁止政府執(zhí)法部門使用面部識別或任何生物識別技術(shù)。

其一，法案以預(yù)防公民權(quán)利自由過度受侵為制度邏輯核心。面部監(jiān)控將破壞執(zhí)法人員攜帶隨身攝像頭的執(zhí)法目的，將提升責(zé)任感和透明度的設(shè)備轉(zhuǎn)為全天候監(jiān)控的工具，不成比例地危害公民權(quán)利和自由的可能性大大超過了其聲稱的利益，這將加劇種族不公正，并威脅人們不受政府持續(xù)監(jiān)控的生活能力。

其二，法案以專屬概念為制度依托，規(guī)范識別面部行為。人臉識別和其他生物特征監(jiān)控（Facial Recognition or other Biometric Surveillance）是指通過捕獲或分析個人生物特征數(shù)據(jù)，以識別或協(xié)助識別個人的自動或半自動過程;或是生成或協(xié)助生成有關(guān)個人生物特征數(shù)據(jù)的監(jiān)控信息的自動或半自動過程。執(zhí)法人員攝像頭（Officer Camera）指的是執(zhí)法人員隨身攜帶的，用以記錄或傳輸圖像或聲音，便攜式相機或類似設(shè)備。

其三，法案以技術(shù)禁止范圍特定，留足完善空間為制度設(shè)計基點。法案明確條款有效期只有3年，為技術(shù)完善與成熟立法留足空間。受限人群只包括州與地方警察，面部監(jiān)控工具也僅限于隨身攜帶的攝像頭，不包括其他面部識別技術(shù)，例如固定攝像設(shè)備等。

進(jìn)入2020年，華盛頓州在規(guī)制人臉識別技術(shù)的立法進(jìn)程中又邁出了重要一步，于3月被參眾兩院正式通過，標(biāo)志著全美首個州級別的人臉識別專門法案正式出臺。鑒于該法案恐成為未來美國聯(lián)邦與各州立法的風(fēng)向標(biāo)，參照意義較大。本文擬從規(guī)范構(gòu)造、制度機理以及價值取向三個層面予以展開。

在規(guī)范構(gòu)造層面，法案從基礎(chǔ)性專門概念入手，意圖界定清楚人臉識別技術(shù)的基本范疇。例如，羅列了一系列專屬概念：面部模板（Facial Template）、持續(xù)監(jiān)視（Ongoing Surveillance）、持續(xù)追蹤（Persistent Tracking）和非識別人口數(shù)據(jù)（Nonidentifying Demographic Data）等，旨在強調(diào)人臉面部也可單獨構(gòu)成識別每個個體的生物特征標(biāo)識，精準(zhǔn)定位出個人行蹤軌跡，甚至勾勒預(yù)測出個體未來的圖景畫像。

在制度機理層面，法案以外部強問責(zé)，提升透明度為外在表征;以規(guī)范監(jiān)控行為，平衡隱私與公益為內(nèi)在邏輯。就外部問責(zé)而言，法案不僅要求擬使用該技術(shù)的公共部門，在使用前90天向社會公布使用面部識別技術(shù)的目的、途徑及方法等信息，更強制要求人臉識別服務(wù)的提供商提供責(zé)任報告（Accountability Report），說明人臉識別產(chǎn)品或服務(wù)的基本用途功能、數(shù)據(jù)流轉(zhuǎn)方式、預(yù)期與目的等方面的基本信息。就透明度提升來講，法案要求數(shù)據(jù)管理政策需簡潔明了。例如，在政策中清晰陳述識別服務(wù)的方式、時間、主體等;描述為減少不必要收集面部數(shù)據(jù)而采取的相應(yīng)措施;哪些數(shù)據(jù)被政府機構(gòu)收集和使用等。就規(guī)范監(jiān)控行為來看，法案規(guī)定州級和地方政府暫不得使用人臉識別服務(wù)，以停止持續(xù)監(jiān)視、實時識別與持續(xù)追蹤等行跡。但若獲得相關(guān)授權(quán)、存在危機情形以及獲取法官令狀，則不受上述規(guī)范約束。而就平衡個人隱私與公共權(quán)益而言，法案也規(guī)定執(zhí)法機構(gòu)在使用人臉識別得出的相應(yīng)結(jié)論，不得作為刑事偵查中的相當(dāng)理由（Probable Cause）的唯一定罪基礎(chǔ)。

在價值取向?qū)用妫ò竿ㄆ灤╊A(yù)防偏見，保障公平的指導(dǎo)思想。一方面法案從人員與技術(shù)設(shè)置上預(yù)防識別偏見，明確使用識別服務(wù)作出決策時應(yīng)當(dāng)進(jìn)行有意義的人工審查以及技術(shù)運營測試。另一方面，法案強調(diào)州與地方政府在使用該技術(shù)時不得基于宗教、種族和犯罪史等因素帶有歧視性偏見，特別是嚴(yán)禁透過犯罪特征分析進(jìn)行預(yù)測性執(zhí)法活動，從而罔顧了公正執(zhí)法的根本要義。

綜合前述兩部法案，會發(fā)現(xiàn)之所以存在各州分散立法的現(xiàn)狀，是因為對制定一部統(tǒng)一的聯(lián)邦層面的人臉識別專門法案尚有分歧。但值得注意的是，此種分歧正在逐漸縮小，進(jìn)行聯(lián)邦立法的嘗試接續(xù)不斷。例如，2019年有議員就起草了《人臉識別技術(shù)搜查法案》《人臉識別道德使用法案》以及《商業(yè)面部識別隱私法案》，試圖從規(guī)范化搜查、架構(gòu)技術(shù)的道德框架以及場景化隱私保護(hù)等不同面向，分別立法規(guī)制人臉識別技術(shù)可能產(chǎn)生的諸多風(fēng)險。

3.2 歐盟加快評估面部識別風(fēng)險，擬近期出臺人工智能監(jiān)管框架

在部分國家個人數(shù)據(jù)保護(hù)機構(gòu)出臺評估報告的同時，歐盟也在抓緊制定人工智能監(jiān)管框架。2020年1月17日，歐盟委員會披露出人工智能白皮書草案，擬考慮大致從可信AI標(biāo)簽化、政府部門使用面部識別、高風(fēng)險應(yīng)用的強制管控、安全與責(zé)任、治理五個方面展開，其中包括在一定期限內(nèi)，例如三到五年內(nèi)禁止私人或公共管理者在公共場所使用面部識別技術(shù)，為立法者出臺人臉識別法案贏得時間。同時在此期間，制定一套合理方案評估該技術(shù)的影響和風(fēng)險。

一是標(biāo)簽化可信人工智能。開發(fā)者可以在自愿基礎(chǔ)上選擇打造合乎道德和值得信賴的人工智能，若滿足相應(yīng)合規(guī)要求，則被標(biāo)簽為“合乎道德和可信賴的人工智能”，并附有相應(yīng)約束力條件。

二是公共部門應(yīng)保障個人免受自動化決策權(quán)。鑒于越來越多的人臉識別被應(yīng)用于公共場所，數(shù)據(jù)主體有權(quán)不受制于已經(jīng)或可能對其造成重大影響的自動化處理措施，避免與其本人直接相關(guān)的工作、生活、個人偏好等任何構(gòu)成結(jié)構(gòu)化個人信息集合的個人信息被預(yù)測分析出。

三是具有法律約束力的監(jiān)管目前只適用于人工智能高風(fēng)險領(lǐng)域。所謂高風(fēng)險是指風(fēng)險來源于包括醫(yī)療、交通、警務(wù)、司法領(lǐng)域在內(nèi)的高風(fēng)險領(lǐng)域，存在潛在的法律后果，或者會造成個人受傷、死亡以及重大物質(zhì)損失的風(fēng)險。此種基于風(fēng)險路徑的監(jiān)管，將聚焦于面臨風(fēng)險的公眾以及漸受威脅的重要法益。

四是適度修訂現(xiàn)有產(chǎn)品責(zé)任法律，完善人工智能技術(shù)安全治理體系。對尚未涵蓋網(wǎng)絡(luò)安全威脅、個人信息安全、隱私泄露風(fēng)險的相關(guān)法律予以針對性修訂，包括《一般產(chǎn)品安全指令》《機械指令》《無線電設(shè)備指令》《產(chǎn)品責(zé)任指令》等。在未來，可能會嚴(yán)格區(qū)分人工智能開發(fā)者與生產(chǎn)者責(zé)任，將人工智能系統(tǒng)納入產(chǎn)品責(zé)任范疇。

3.3 法國試驗性技術(shù)方案先行，逐步確立以尊重他人為核心的技術(shù)法律框架

2019年11月，法國數(shù)據(jù)保護(hù)機構(gòu)（CNIL）發(fā)布了人臉識別報告，從三個方面提出了應(yīng)對人臉識別風(fēng)險的法律規(guī)制框架要點。

第一，在試驗性使用人臉識別技術(shù)前應(yīng)確保符合法律規(guī)定，嚴(yán)守社會底線。當(dāng)前人臉識別應(yīng)用無論是試驗性暫時之舉，還是全面正式實施，任何情形下均需遵循《一般數(shù)據(jù)保護(hù)條例》（GDPR）與《數(shù)據(jù)保護(hù)執(zhí)法指令》框架。具體來說，對于需進(jìn)行高級別身份驗證的情形，生物識別數(shù)據(jù)控制權(quán)需交由數(shù)據(jù)主體本身，且面部識別滿足合法性原則、合比例性原則。對于已被社會禁止針對特定人群識別的情形，例如校園中的兒童，則需通過以其他侵入性較小的有效安全手段運用人臉識別。對于過往不加區(qū)分群體籠統(tǒng)捕捉人臉圖像信息，檢測抽取面部特征予以分析的歷史，要尤其注意不再發(fā)生此種范圍廣、程度深侵入性強的監(jiān)視方式，畢竟識別系統(tǒng)針對不同種族群體、不同膚色的識別準(zhǔn)確率不高。

第二，堅持以尊重他人為核心的個人信息自決理念，建立人臉信息全周期管理機制。人臉識別所采集到的信息涉及基本隱私，終端設(shè)備收集信息前需事前取得個人知情同意，且遵循最小夠用原則。在存儲環(huán)節(jié)，確保人臉信息存儲主體安全可靠，存儲流程沒有泄露。在使用環(huán)節(jié)，提供清晰、可理解、易于訪問的信息，尤其在自動控制場景下，保障個人退出權(quán)、信息訪問權(quán)和干預(yù)權(quán)。

第三，采用真正的試驗性路徑，逐步測試和完善合乎法律框架的技術(shù)性方案。考慮到人臉識別帶來的信息泄露以及濫用隱患，需防止與某些設(shè)備關(guān)聯(lián)后產(chǎn)生的棘輪效應(yīng)。在全國范圍內(nèi)推廣更加定型的法律監(jiān)管制度前，最好分批次、按類型、依地域逐步推進(jìn)人臉識別試驗，在合理時間內(nèi)透過強對抗、跨學(xué)科方式遴選出真正的試驗性路徑評估方案，為未來搭建合乎法律框架的技術(shù)性方案，確保以公正性判斷、以基礎(chǔ)的法律框架奠定基礎(chǔ)。

4 對我國人臉識別法律規(guī)制建議

首先，立法引領(lǐng)個人信息保護(hù)機制。我國應(yīng)采取人臉識別專門立法的立法保護(hù)模式，在已納入立法規(guī)劃的《個人信息保護(hù)法》中專條規(guī)定人臉識別，進(jìn)一步明確相關(guān)立法理念、厘定基本范疇以及構(gòu)建制度規(guī)范。

一是要明確立法理念。由于面部信息內(nèi)涵的識別唯一性能夠準(zhǔn)確識別出個人敏感信息，極容易侵犯個人隱私，因此要優(yōu)先保護(hù)面部信息，全面保護(hù)背后的人格利益。在此基礎(chǔ)上，注重合理的面部信息利用。若相關(guān)機構(gòu)依據(jù)法定事由行使公共權(quán)力或已經(jīng)個人授權(quán)同意，則可合理地利用面部信息。此外，鑒于人臉識別技術(shù)仍在不斷發(fā)展，立法需留足發(fā)展空間，可以暫時禁止特定機構(gòu)、指定人群和若干場所使用人臉識別，亦或針對禁止性條款設(shè)置有效期限。

二是需厘定基本范疇。從基本概念角度看，應(yīng)規(guī)定若干人臉識別專屬概念，譬如人臉識別技術(shù)、生物識別信息、監(jiān)控攝像頭等。從人臉識別信息的權(quán)屬界定上看，其承載著人格利益，與人格的健全完整與功能發(fā)揮具有緊密聯(lián)系，具備典型的人格要素，認(rèn)定為具體人格權(quán)較為適宜。從人臉識別信息在個人信息中的體系定位看，應(yīng)在生物識別信息的內(nèi)涵中明確面部特征的唯一識別性，同時在外延中明確規(guī)定，并置于優(yōu)先保護(hù)位置。

三是建構(gòu)相關(guān)的制度規(guī)范。我國應(yīng)細(xì)化人臉識別的應(yīng)用規(guī)制，就公共場所大規(guī)模使用與商業(yè)場景商業(yè)化利用分別設(shè)計不同的制度規(guī)范。就以收集面部信息的正當(dāng)性為例，在邊境安防等公共領(lǐng)域，應(yīng)明確基于何種公共職權(quán)、履行哪類公共職責(zé)、能否采用其他方式實現(xiàn)相同目的等，從而論證公權(quán)力機構(gòu)收集數(shù)據(jù)的正當(dāng)性權(quán)源。而在掃臉支付等商業(yè)場景下，收集面部信息的正當(dāng)性就在于個人事前的知情同意基礎(chǔ)，因此在收集前就應(yīng)明確告知面部信息收集的目的、范圍、方式以及銷毀時間等。在此基礎(chǔ)上，嚴(yán)格規(guī)范面部數(shù)據(jù)的后續(xù)存儲、使用、共享和刪除等處理行為。鑒于面部信息的唯一識別性對個人的精準(zhǔn)識別，應(yīng)尤其注意當(dāng)收集目的已達(dá)，或距離最初收集已達(dá)到法定期限或合理時限，則必須永久刪除相關(guān)的面部特征信息，或者銷毀可提取面部信息的原始圖像。

其次，構(gòu)建多層次的人工智能治理體系。人臉識別技術(shù)作為人工智能的一種類型化應(yīng)用，近年來隨著深度學(xué)習(xí)等人工智能底層技術(shù)的突破性進(jìn)步，才被廣泛應(yīng)用到日常生活與工作中。為了有效應(yīng)對包括人臉識別技術(shù)在內(nèi)的個人信息保護(hù)風(fēng)險，不能單單依靠法律與監(jiān)管，而要采取規(guī)范標(biāo)準(zhǔn)、技術(shù)指南、行業(yè)自律公約、最佳實踐做法以及人工智能倫理框架等諸多軟法性質(zhì)的非強制性規(guī)則。

最后，制定人臉識別應(yīng)用的相關(guān)配套制度。建議對于公私部門，尤其是執(zhí)法部門大規(guī)模公共場所采用人臉識別，應(yīng)自覺遵循“比例原則”與“必要性原則”，明確收集的范圍與所達(dá)目的直接相關(guān)且必要，盡量減少不必要的負(fù)面影響，必要時在高風(fēng)險場所建立“黑名單”制度。與此同時，嚴(yán)格遵守“正當(dāng)程序原則”，切實履行審批、聽證和公開等法定程序。逐漸讓公眾參與到相關(guān)的公共政策討論中，及時公開面部信息收集的范圍、目的，從程序上保障民眾的知情權(quán)參與權(quán)。

5 結(jié)束語

隨著人臉識別應(yīng)用的不斷增多，人臉識別潛在風(fēng)險亟需理論界與實務(wù)界加強研究。在對新技術(shù)抱以審慎包容態(tài)度的同時，要充分借鑒域外國家法律監(jiān)管經(jīng)驗，不斷逐漸從人臉識別專門立法與強化人工智能監(jiān)管兩個方面，予以完善人臉識別法律監(jiān)管，早日擺脫“人臉裸奔”的現(xiàn)狀。理論構(gòu)建充滿挑戰(zhàn)，立法制定任重道遠(yuǎn)。在制定《個人信息保護(hù)法》的關(guān)鍵節(jié)點，希望從法律規(guī)制人臉識別技術(shù)為切入點，以期為個人生物特征信息法律規(guī)制理論研究有所助益。

參考文獻(xiàn)

[1] CNIL.FACIAL RECOGNITION： FOR A DEBATE LIVING UP TO THE CHANLLENGES[EB/OL]. https：//www. cnil.fr/en/facial-recognition-debate-living-challenges，2020-06-2/2020-03-28.

[2] Euractiv. Structure for the White Paper on Artificial Intelligence—a European approach[EB/OL]， https：//www.euractiv.com/section/digital/news/leak-commission-considers-facial-recognition-ban-in-ai-white-paper/，2020-06-2/2020-03-16.

[3] 洪延青.人臉識別技術(shù)的法律規(guī)制研究初探[J].中國信息安全，2019（08）：85.

[4] 呂堯，周千荷.歐美限制人臉識別技術(shù)對我國的啟示[J].網(wǎng)絡(luò)空間安全，2020（02）：93.

[5] 蔡雄山，袁俊.如何應(yīng)對人臉識別技術(shù)的安全隱憂[N].光明日報，2019（12）26（14）.

作者簡介：

袁俊（1994-），男，漢族，山西太原人，對外經(jīng)濟(jì)貿(mào)易大學(xué)，碩士;主要研究方向和關(guān)注領(lǐng)域：人臉識別、數(shù)據(jù)治理、網(wǎng)絡(luò)空間治理。