為“人臉信息”安全保護加碼

彭飛

從“人臉識別第一案”——郭兵（浙江理工大學法政學院特聘副教授、杭州長三角大數(shù)據(jù)研究院副院長）訴杭州野生動物世界有限公司要求刪除年卡面部特征信息獲勝訴，到今年“3·15”晚會曝出的“多家知名商店安裝人臉識別系統(tǒng)未經(jīng)同意收集個人信息”，關(guān)于“人臉信息安全保護”的話題一直廣受關(guān)注。

過去幾年，由于缺乏相對完善的法律規(guī)制，人臉信息收集者在處理人臉信息數(shù)據(jù)時存在濫用甚至違法使用的風險。加強對人臉信息的立法保護和司法保護，關(guān)系到個人信息安全保護問題，也關(guān)系到數(shù)字經(jīng)濟的良性發(fā)展。

8月20日正式出臺的《中華人民共和國個人信息保護法》（下稱“個人信息保護法”）對涉及人臉信息采集的相關(guān)問題，作出了進一步規(guī)定。該法第二十六條明確了公共場所的視頻監(jiān)控和個人身份識別設(shè)備的安裝規(guī)則，所收集個人信息使用目的的限制性規(guī)定，即“所收集的個人圖像、身份識別信息只能用于維護公共安全的目的，不得用于其他目的”。

此外，個人信息保護法在第二章第二節(jié)專節(jié)規(guī)定了“敏感個人信息的處理規(guī)則”。結(jié)合關(guān)于敏感個人信息的規(guī)定，人臉信息屬于敏感個人信息。

中國信息通信研究院云計算與大數(shù)據(jù)研究所研究員呼娜英表示，個人信息保護法明確要求個人信息處理者在處理敏感個人信息前需存在“特定的目的”及“充分的必要性”。該條是對處理個人信息遵循“合法、正當、必要”的具體體現(xiàn)，也是對處理敏感個人信息提出更高的要求。鑒于人臉信息也屬于敏感個人信息，因而對人臉信息的處理也需要遵循敏感個人信息的特殊規(guī)則進行保護、處理。

對收集個人敏感信息限制更嚴格

個人信息保護法第二十六條規(guī)定：在公共場所安裝圖像采集、個人身份識別設(shè)備，應當為維護公共安全所必需，遵守國家有關(guān)規(guī)定，并設(shè)置顯著的提示標識。所收集的個人圖像、身份識別信息只能用于維護公共安全的目的，不得用于其他目的；取得個人單獨同意的除外。

值得注意的是，前述條文中“不得用于其他目的”，在個人信息保護法二審稿第二十七條中是“不得公開或者向他人提供”。

9月6日，“人臉識別第一案”原告郭兵在接受《法人》記者采訪時表示，相比二審稿，正式發(fā)布條文規(guī)定的“不得用于其他目的”限制更加嚴格，這意味著除了用于維護公共安全的目的，包括公開、向他人提供等不涉及公共安全的使用都是禁止范圍。

呼娜英也表示，個人信息保護法在三次審議中不斷強化針對公共場所安裝圖像采集、個人身份識別設(shè)備的要求。相較于二審稿，個人信息保護法將所收集的個人圖像、身份識別信息的禁止性規(guī)定由“不得公開或者向他人提供”修改為“不得用于其他目的”，進一步限縮了圖像采集、個人身份識別的處理范圍。另外，該法條中將連接限制個人圖像、身份識別信息使用的原則性規(guī)定與個人單獨同意的例外性規(guī)定之間的“逗號”改成“分號”，一定程度上消除了二審稿中個人單獨同意例外使用目的的歧義。

9月6日，通力律師事務所大合規(guī)業(yè)務組負責合伙人潘永建指出，按照第二十六條的規(guī)定，如以維護公共安全以外的目的在公共場所設(shè)置圖像采集、人臉識別裝置，應征得自然人（或者其監(jiān)護人）的單獨同意。此外，第二十八條和第二十九條也再次明確，處理敏感個人信息應取得個人的“單獨同意”。

如何理解“單獨同意”？郭兵認為，單獨同意與一般的告知同意存在差別，結(jié)合7月28日最高人民法院發(fā)布的《關(guān)于審理使用人臉識別技術(shù)處理個人信息相關(guān)民事案件適用法律若干問題的規(guī)定》的規(guī)定，單獨同意是不能強迫或者變相強迫的同意，至少意味著不能像隱私政策那樣一攬子綁定授權(quán)同意。

潘永建律師也認為，單獨同意是指應通過交互方式取得個人的明示同意，不應僅在隱私政策中籠統(tǒng)表述而不作單獨說明。

配套適用規(guī)則仍有待進一步明確

北京市中倫文德律師事務所合伙人、網(wǎng)絡安全和數(shù)據(jù)合規(guī)專業(yè)委員會主任徐云飛律師認為，盡管個人信息保護法明確了公共場所監(jiān)控設(shè)備在采集圖像信息時需“取得單獨同意”的使用規(guī)則和“僅可用于維護公共安全”的限制性規(guī)定。但在實踐中，仍有諸多問題需要進一步明確，比如，如何定義“公開場所”“公共安全”，如何理解“必需”等。

郭兵也認為，就第二十六條的規(guī)定而言，未來肯定需要相關(guān)配套立法來加以明確的。除了目前規(guī)定中對于“公共場所”“公共安全”的范圍界定不明確之外，上面說到的“單獨同意”在理解上也會存在一定分歧，“顯著的提示標識”中“顯著”的程度也很難評價，這些可能都是需要配套立法加以明確的。

呼娜英指出，當前人臉識別技術(shù)和具體業(yè)務場景深度結(jié)合，人臉安全防護問題和人臉信息保護問題深度交織在一起，技術(shù)和業(yè)務仍在快速的發(fā)展和演進中，這就更需要從體系化的視角開展相應的治理工作，如何更好地平衡創(chuàng)新技術(shù)和風險防范成為重要的研究議題。

呼娜英透露，目前，中國信息通信研究院云計算與大數(shù)據(jù)研究所在相關(guān)主管部門的指導支持下，在現(xiàn)有法律法規(guī)、標準規(guī)范等框架下，正在不斷推進相關(guān)研究工作，加快編寫“《人臉信息處理合規(guī)性操作指引（擬）》”等研究報告，為人臉識別相關(guān)企業(yè)構(gòu)建全鏈路安全以及合規(guī)處理人臉數(shù)據(jù)提供參考依據(jù)，促進人臉識別產(chǎn)業(yè)的健康發(fā)展。