人工智能時代下人臉信息安全問題及其法律規(guī)制研究

舒馨怡　金素素　何函穎　章曉棟　梁蕾蕾

摘要：刷臉時代悄然到來，然而現(xiàn)階段人們對刷臉技術(shù)的狂熱已經(jīng)讓這一技術(shù)有失控的危險?？傮w上看，其對個人信息保護力度遠遠跟不上人工智能時代下迅速發(fā)展的人臉信息采集技術(shù)，關(guān)于個人信息保護的法律條文散見于各類法律規(guī)范之中，體系仍然較為混亂。立足于AI時代刷臉潮流，我們應(yīng)該對刷臉技術(shù)進行理性分析，認識到人臉信息密碼的重要性，通過國內(nèi)外法律規(guī)制現(xiàn)狀比較，借鑒海外經(jīng)驗，完善我國法律規(guī)制多維度保護我們的人臉信息安全。

關(guān)鍵詞：刷臉時代;人臉識別技術(shù);信息保護;法益;法律

中圖分類號：D901

本文將通過國內(nèi)外比較、多維度優(yōu)化解決方案這樣的線性結(jié)構(gòu)來展開論述。在探尋對人臉信息安全問題的研究意義之后，了解該問題是一個立足于實際且將愈發(fā)受到關(guān)注和引發(fā)爭議的問題。在明晰研究意義的基礎(chǔ)之上，必然要將眼光投向?qū)嵉?，“沒有調(diào)查就沒有發(fā)言權(quán)”，進行現(xiàn)狀分析是必不可少且關(guān)鍵的一環(huán)。由此，我們可以通曉人臉識別技術(shù)相關(guān)產(chǎn)業(yè)的現(xiàn)狀，政府在其中扮演的角色，相關(guān)法律法規(guī)的缺失并以具體地區(qū)來作為典例。在進行對問題提出相應(yīng)的解決方案之前，我們需要研究和吸收國內(nèi)外解決這些相似乃至相同的問題的先行性措施及其有益經(jīng)驗。綜合以上，我們提出了相應(yīng)的解決措施，即是在立法、執(zhí)法、司法三個維度來確保人臉識別技術(shù)相關(guān)法律法規(guī)的完善，同時加強監(jiān)管、打擊和公民隱私意識的提升，借鑒相關(guān)有益經(jīng)驗，實現(xiàn)對人臉信息安全的充分保護。

在美國，目前共有6個州或城市制定了與生物識別數(shù)據(jù)相關(guān)的法案。美國參眾兩院提出的多項人臉識別法案，證明了其對人臉信息安全的重視。這些人臉識別信息法案中，最典型的有三項，分別是《道德使用人臉識別法案》（2020年）、《商業(yè)人臉識別隱私法案》（2019年）、《人臉識別技術(shù)授權(quán)法案》（2019年）。在美國州或地方政府方面，華盛頓州參眾兩院于2020年3月12日通過了《人臉識別服務(wù)法》，旨在規(guī)范州和地方政府使用人臉識別服務(wù)，防止以危害民主自由、威脅公民自由的方式使用人臉服務(wù)。無獨有偶，2020年2月14日，加利福尼亞州眾議院通過了第2261號關(guān)于人臉識別技術(shù)的法案，明確規(guī)定收集人臉識別信息應(yīng)當征得個人同意，要求建立政府機構(gòu)使用人臉識別服務(wù)的問責機制，同時限制政府機構(gòu)對人臉識別服務(wù)的使用。而伊利諾伊州的《生物信息隱私法案》指出：a、對企業(yè)在收集人臉信息過程中的收集的情況、收集目的進行實時監(jiān)管;b、對人臉數(shù)據(jù)的保留時間進行明確界定，企業(yè)須制定書面政策設(shè)定生物識別數(shù)據(jù)的保留時間表;c、明確規(guī)定生物人臉識別數(shù)據(jù)不得出售，且除非獲得相關(guān)自然人的同意或如法律規(guī)定的特定情況不得對他人披露;

歐盟保護人臉識別數(shù)據(jù)的核心法律是《通用數(shù)據(jù)保護法規(guī)》（General Data Protection Regulation），采用在整體上嚴格限制生物識別數(shù)據(jù)的使用，限制企業(yè)和公共機構(gòu)“不加區(qū)分地使用人臉識別技術(shù)”，其序言第171條明確規(guī)定，“如果數(shù)據(jù)是基于歐盟第95/46/EC號指令下的同意，且作出該同意的形式符合本條例的規(guī)定，則該數(shù)據(jù)控制者可在本條例施行之后繼續(xù)進行數(shù)據(jù)處理，數(shù)據(jù)主體不需要再次作出同意?！盙DPR對人臉識別等人工智能（AI）技術(shù)進行立法規(guī)管，建立人臉識別技術(shù)行業(yè)的準入標準，要求所有使用人臉識別技術(shù)獲取人臉信息的企業(yè)在上市前與國家信息安全部門簽訂協(xié)議，保證其在上市后納入國家相關(guān)監(jiān)管系統(tǒng)之下，避免出現(xiàn)“躲在暗處的賣臉交易”。我們將具體分析和比較“美國模式”和“歐盟模式”對于個人信息的保護，找出其中適合應(yīng)用于我國人臉識別相關(guān)規(guī)范可以學習的方式，創(chuàng)造我國特色的人臉識別保護模式。

立法先行，制定大數(shù)據(jù)時代下關(guān)于個人隱私信息保護的專門法律，如前所述，我國目前雖然已經(jīng)在與個人相關(guān)的私密性信息保護方面有所規(guī)定，但對于這些信息的保護都是散落于各個法律條文中，且并沒有專門針對大數(shù)據(jù)時代針對人臉信息權(quán)里保護的強有力的法條，這除了加大了司法實踐上的困難之外，也讓公眾由于失去了法律的引導(dǎo)作用下懈怠了關(guān)于人臉信息保護的警惕心理，法律上起不到威懾作用，更談何保護？飛速發(fā)展的刷臉時代下，我們需要及時對現(xiàn)存的法律理論以及法律系統(tǒng)進行優(yōu)化，構(gòu)建更全面的法律保障體系。對于如何進行立法，需要對以下幾點進行分析：

第一、明確可采集個人信息的場景、使用范圍，將人臉信息以及相關(guān)生物特征信息納入隱私信息的保護范圍。《民法典》第一千零三十四條規(guī)定：“個人信息是以電子或者其他方式記錄的能夠單獨或者與其他信息結(jié)合識別特定自然人的各種信息，包括自然人的姓名、出生日期、身份證件號碼、生物識別信息、住址、電話號碼、電子郵箱、健康信息、行蹤信息等。”民法典已經(jīng)為大數(shù)據(jù)時代下的人臉信息等個人隱私做出努力，雖然沒有明文規(guī)定人臉信息屬于隱私保護范疇，但其可以作為“生物識別信息”受到相應(yīng)的保護。這已然是一個可喜的現(xiàn)象，但我國現(xiàn)行立法對于隱私權(quán)的內(nèi)涵敘述仍然相對含糊，各類關(guān)于隱私信息的法條散見于各個法律規(guī)范之中，僅靠民法典的努力是完全不夠的。大數(shù)據(jù)時代下的背景下，這樣的現(xiàn)象容易發(fā)生界定不明的問題，無法對合法權(quán)益提供有力及時的法律支撐。將人臉信息及相關(guān)生物特征信息納入隱私信息的保護范圍，并對其內(nèi)涵和外延做出合理的解釋，賦予公眾人臉保障的權(quán)利。

第二、將人臉信息等相關(guān)隱私信息與財產(chǎn)權(quán)利、安全掛鉤，在信息采集-儲存-運輸-公開等各個方面建立全方位賠付補償機制。現(xiàn)如今我們可以看到，刷臉時代下人臉已經(jīng)成為人們十分重要的身份密碼，刷臉進站、刷臉支付等已經(jīng)融入人們的日常生活，個人身份信息與我們的財產(chǎn)安全、身份安全、名譽等方方面面息息相關(guān)，如何在互聯(lián)網(wǎng)傳播線路下對與人臉信息掛鉤的財產(chǎn)進行保護，在發(fā)生了因人臉信息泄露而導(dǎo)致的財產(chǎn)流失的情況下如何進行法律救濟與懲戒，將成為我們在立法規(guī)制過程中需要考慮的一個問題。制定相關(guān)懲罰措施，建立嚴格賠付補償機制。將不講信用擅自泄露用戶數(shù)據(jù)的企業(yè)納入社會失信黑名單，對其今后經(jīng)濟行為進行限制，并要求其賠付補償受害者，等都可以是我們今后將可以考慮的方向。

第三、明確雙方權(quán)利義務(wù)，賦予公眾對被采集人臉信息保護的監(jiān)督權(quán)與知道權(quán)，同時要求人臉采集方承擔人臉信息保護的保密義務(wù)。目前來看，人臉信息的儲存?zhèn)鬏敹际怯烧莆杖四樧R別技術(shù)、采集人臉信息的公司所有的，人臉信息采集者對人臉信息的使用和保護均不由人臉提供者自身所知曉，公眾無法知道自己的人臉信息究竟在哪些地方曾被使用甚至侵犯。現(xiàn)階段，灰產(chǎn)與黑產(chǎn)相互依附、交織，已發(fā)展為跨平臺、跨行業(yè)的集團犯罪鏈條。人臉信息的非法買賣，看似是灰色產(chǎn)業(yè)，背后潛在的卻是網(wǎng)絡(luò)詐騙、盜竊、攻擊等各類黑產(chǎn)的巨大風險。賦予公眾對人臉信息的使用權(quán)、控制權(quán)、監(jiān)督權(quán)將能更好地打擊灰色產(chǎn)業(yè)，提高行業(yè)透明度。

第四、設(shè)立市場準入制度，參考借鑒美國歐盟在人臉識別等技術(shù)應(yīng)用的限制，結(jié)合國內(nèi)市場特點，明確規(guī)定哪些機構(gòu)或者政府部門有資格、有權(quán)力收集使用公民個人信息，出臺有關(guān)采集使用和保管公民生物特征信息的規(guī)則和標準。目前，人臉識別技術(shù)泛濫，小至餐飲行業(yè)都可以通過價格優(yōu)惠來讓消費者提供自己的臉部信息。這將會加大國家對人臉信息管控的難度。通過設(shè)立國家專門機構(gòu)來對收取人臉信息的各個平臺進行審核，未達到安全系數(shù)的平臺將失去國家授予的人臉信息收集權(quán)限，同時對各個平臺實行考量制度，通過對各平臺人臉信息的儲存-傳輸-公示-使用等方面進行實時跟蹤監(jiān)管，全方位對平臺的安全系數(shù)進行實時積分考量，實現(xiàn)行業(yè)內(nèi)部的清潔自律。

第五、全面實現(xiàn)活體認證，賦予公眾決定權(quán)。尊重用戶知情權(quán)、選擇權(quán)。企業(yè)商戶在用戶使用刷臉支付時，獲得法律授權(quán)是前提，需以用戶可獲悉的方式告知風險，征得本人同意。因此，活體認證措施十分必要，其不僅可以保障用戶的知情權(quán)，還可有效抵御照片、換臉、面具、遮擋以及屏幕翻拍等常見的攻擊手段，從而幫助用戶甄別欺詐行為，保障用戶的利益。

參考文獻：

[1]安防展覽網(wǎng).人臉識別+安防將掀起下一輪技術(shù)浪潮.經(jīng)濟學人.[A/OL].（2016-11-21）.https：//www.afzhan.com/news/detail/50535. html.

[2]安防展覽網(wǎng).人臉識別技術(shù)如何跨過數(shù)據(jù)和隱私安全門檻？.物聯(lián)中國.[A/OL].（2017-11-16）.https：//www.afzhan.com/news/detail/ 61541. html.

[3]高秦偉.個人信息概念之反思和重塑——立法與實踐的理論起點.[J].人大法律評論，2019，（01）：172

[4]張勇進，王璟璇：《主要發(fā)達國家大數(shù)據(jù)政策比較研究》，《中國行政管理》2014 年第12期

[5]王宗煜.人臉識別系統(tǒng)下的個人隱私法律規(guī)制研究[D].廣東外語外貿(mào)大學，2019.

[6]文銘，劉博.人臉識別技術(shù)應(yīng)用中的法律規(guī)制研究[J].科技與法律，2020（4）：82