張姝方程
(中國科學(xué)技術(shù)大學(xué) 公共事務(wù)學(xué)院,安徽 合肥 230000)
隨著科技時代的高速發(fā)展,大數(shù)據(jù)應(yīng)用與民眾生活產(chǎn)生了不可分離的聯(lián)系,而人臉識別技術(shù)則是較為典型的代表。但由于無節(jié)制使用人臉識別技術(shù)而導(dǎo)致個人信息保護出現(xiàn)危機已成為當(dāng)前社會最為關(guān)注的科技問題之一。在面對個人信息被以人臉識別技術(shù)非法獲取和使用的情況時,從侵權(quán)法角度入手,對相關(guān)責(zé)任人科以侵權(quán)責(zé)任不失為一條合理的解決路徑。但人臉識別作為新興技術(shù)自然有其復(fù)雜性和特殊性,例如被侵害的法益對象不明、損害行為難以辨別,以及損害確定無法衡量等問題,都會使侵權(quán)法在這一問題的適用上面臨重重難關(guān)?,F(xiàn)行《中華人民共和國民法典》(以下簡稱《民法典》)以立法確定了個人信息保護規(guī)則;2021年6月,最高人民法院也相應(yīng)頒布了應(yīng)對人臉識別技術(shù)問題的司法解釋《最高人民法院關(guān)于審理使用人臉識別技術(shù)處理個人信息相關(guān)民事案件適用法律若干問題的規(guī)定》;2021年8月,《中華人民共和國個人信息保護法》(以下簡稱《個人信息保護法》)也隨之頒布。再結(jié)合更早的刑法修正案、網(wǎng)絡(luò)空間安全保護法,可看出這些法律法規(guī)都是較為籠統(tǒng)地涉及個人信息侵權(quán)保護方面,一旦觸碰人臉識別這一具體領(lǐng)域,侵權(quán)法就顯得有些力不從心,因此在侵權(quán)責(zé)任的認(rèn)定上應(yīng)進行更加深入的解釋分析。
得益于人臉識別技術(shù)的日趨完善和成熟,人們在生活的方方面面基本實現(xiàn)了利用人臉特征進行身份鑒別。尤其在高新技術(shù)的大力推動下,面對不斷復(fù)雜化的社會場景、多元市場的擴大需求,人臉識別不僅滿足了上述情況,還為各行各業(yè)的創(chuàng)新發(fā)展注入了無限活力,成為數(shù)字時代的領(lǐng)航者。①郭春鎮(zhèn):《數(shù)字人權(quán)時代人臉識別技術(shù)應(yīng)用的治理》,《現(xiàn)代法學(xué)》2020年第4期。科學(xué)技術(shù)是一柄雙刃劍,人們在享受人臉識別帶來的便利時,危機也悄然來臨。由于人臉識別應(yīng)用規(guī)模的不斷擴大,個人利益也面臨著巨大威脅,人臉識別也使得個人信息保護遭遇重重阻礙。2021年央視的“3·15”晚會就曝出科勒衛(wèi)浴公司因非法利用人臉識別攝像頭獲取個人信息來達到商業(yè)推廣目的進而侵犯大規(guī)模群體利益的事件。②于帥卿:《央視“3·15”晚會點名科勒衛(wèi)浴——家居建材門店安裝人臉識別系統(tǒng)已構(gòu)成違法》,《中國房地產(chǎn)報》2021年3月20日。無獨有偶,天津“人臉案”引發(fā)社會新的關(guān)注,天津市第一中級人民法院經(jīng)過二審認(rèn)定本案為個人信息糾紛而非一審法院認(rèn)為的隱私權(quán)糾紛,并且法院判決小區(qū)物業(yè)不得將人臉識別作為進入小區(qū)的唯一途徑,必須給業(yè)主或者其他有權(quán)進出的人提供人臉識別以外的其他合理驗證方式。③張谷:《尋找“人臉識別第一案”中的阿基米德支點》,《人民法院報》2021年4月10日。假使本案以侵權(quán)行為的視角進行分析,那么該案或產(chǎn)生新的發(fā)現(xiàn)甚至于出現(xiàn)超出二審法院裁判思路的新穎之處。放眼全球,人臉識別問題同樣困惑著其他國家和地區(qū),國際上為了更好對人臉識別應(yīng)用進行規(guī)制,已將侵權(quán)責(zé)任作為處理此類案件的首要手段。早在2016年,美國Facebook公司未經(jīng)用戶同意私自將其上傳的個人照片進行人臉識別,用戶和Facebook公司就因此產(chǎn)生了無休無止的訴訟糾紛,終于在2021年1月雙方達成和解,但作為和解條件Facebook公司需要向用戶支付高達6.5億美元的賠償金。④蘇珊珊:《6.5億美元賠償!Facebook這起集體訴訟案終于達成和解協(xié)議》。
經(jīng)過對人臉識別技術(shù)的深入分析不難得出其具有便攜、唯一確定、可識別身份等特性。作為一種生物識別信息手段,人臉識別的背后擁有巨大商機,但危險與機遇并存,在面對人臉識別帶來的商業(yè)價值的同時也要看到其可能產(chǎn)生的嚴(yán)重侵權(quán)風(fēng)險。第一,由于人臉識別可遠(yuǎn)程非接觸使用,個人的人臉信息會有極大可能在不知情的情況下被非法獲取。而且人臉信息采集者和處理者在沒有過硬安全技術(shù)支持下也難以保證采集到的信息不會被泄露和盜刷。第二,個人財產(chǎn)安全會因人臉識別而大打折扣?,F(xiàn)代社會的人臉識別技術(shù)被廣泛運用,登錄網(wǎng)上銀行、電子支付都在其使用范圍內(nèi),一旦人臉信息遭到泄露,那個人的財產(chǎn)也會存在被竊取的隱患。我國已經(jīng)發(fā)生過數(shù)起非法利用個人照片進行技術(shù)合成來達到盜刷他人支付寶、微信賬戶錢財?shù)陌讣?,由此可看出這種說法并非空穴來風(fēng)。⑤見浙江省衢州市中級人民法院(2019)浙08刑終333號刑事裁定書。第三,收集到的人臉信息若被非法深度偽造,則會帶來個人精神和財產(chǎn)的雙重?fù)p害。在國外已有發(fā)生利用“換臉”技術(shù)嫁接他人照片用于不雅視頻中達到報復(fù)他人的目的。與此同時人臉信息倘若被明碼標(biāo)價進行商業(yè)出售,不僅個人的尊嚴(yán)會受到嚴(yán)重侵害,還有可能會被不法分子要挾用以勒索錢財。
從上述的簡要分析不難看出要想對人臉識別應(yīng)用進行規(guī)制,單靠一部法律或一種手段是遠(yuǎn)遠(yuǎn)不夠的,從侵權(quán)法角度入手,對個人信息遭到侵犯進行救濟是個人信息保護的一種有力手段。在面對人臉識別這一具體領(lǐng)域時,侵權(quán)法不僅要從一般規(guī)則入手進行分析,更要抓住人臉識別的特殊性給予有效規(guī)制。
確認(rèn)人臉識別到底侵犯了什么權(quán)利,這是想要從侵權(quán)法入手規(guī)范人臉識別問題的一個前提。一般來說,人臉識別是與人臉信息密不可分的,那么個人信息的保護范圍就應(yīng)將其囊括,但事實遠(yuǎn)不是這么簡單。在民法視域中,尤其是肖像權(quán)和隱私權(quán)是應(yīng)對人臉信息保護的兩大手段,而這些手段都是從人格權(quán)的角度出發(fā)對個人信息進行保護,這些權(quán)利和個人信息之間紛繁復(fù)雜,學(xué)者的觀點也各不相同,因此厘清這些問題就顯得十分必要。
人臉識別,通俗地說就是使用面部來識別或確認(rèn)個人身份的方法。專業(yè)地說就是收集人臉圖像后對人臉主要器官位置進行測量從而自動處理包含個人面部的數(shù)字圖像,以便對這些個人進行識別、認(rèn)證或分類。人臉識別技術(shù)屬于生物識別技術(shù)一類,其他的還包括語音識別、指紋識別、虹膜識別等。①邢會強:《人臉識別的法律規(guī)制》,《比較法研究》2020年第5期。其過程大致為收集人臉圖像、測量并提取人臉特征、人臉對比。②杜嘉雯、皮勇:《人工智能時代生物識別信息刑法保護的國際視野與中國立場——從“人臉識別技術(shù)”應(yīng)用下濫用信息問題切入》,《河北法學(xué)》2022年第1期。通過測量并提取人臉特征而獲得的信息被創(chuàng)建成數(shù)據(jù)集合,亦稱為人臉模板。由此可總結(jié)出人臉識別的工作原理:在圖像或視頻中具有人臉特征的數(shù)字信息被解析提取后,將其和其他數(shù)字信息進行比對、驗證。
通過測量并提取人臉特征而獲得的信息被創(chuàng)建成數(shù)據(jù)集合,人臉模板在立法層面上被確認(rèn)為生物識別信息。歐盟也把生物識別信息理解為生物特征數(shù)據(jù),其發(fā)布《通用數(shù)據(jù)保護條例》將生物特征數(shù)據(jù)定義為:“自然人的身體、生理或者行為特征經(jīng)過特定技術(shù)處理所產(chǎn)生的能夠確認(rèn)自然人身份的個人數(shù)據(jù),例如面部圖像的數(shù)據(jù)或者指紋識別的數(shù)據(jù)?!雹邸锻ㄓ脭?shù)據(jù)保護條例》第4條第14項。印度在《個人數(shù)據(jù)保護法》中亦對生物特征數(shù)據(jù)作出規(guī)定:“對數(shù)據(jù)主體的身體、生理、行為特征進行測量所產(chǎn)生的能夠唯一地確認(rèn)自然人身份的面部圖像、指紋、虹膜掃描或者其他類似的數(shù)據(jù)?!雹堋队《葌€人數(shù)據(jù)保護法》第8條。美國的一些州也承認(rèn)了人臉模板就是生物識別信息,雖然在聯(lián)邦層面美國還沒有相應(yīng)的立法規(guī)定,但伊利諾伊州出臺了《生物信息隱私法》,其認(rèn)為生物識別信息是:“能夠識別個人身份的生物特征標(biāo)識的任何信息?!倍锾卣鳂?biāo)識是指視網(wǎng)膜或虹膜掃描、指紋、聲紋、手部或面部幾何結(jié)構(gòu)的掃描,但書寫樣本、書面簽名、照片、用于有效的科學(xué)檢測或篩選的人類生物樣本、人口數(shù)據(jù)、文身描述或諸如身高、體重、頭發(fā)顏色或眼睛顏色等物理描述除外。⑤胡凌:《刷臉:身份制度、個人信息與法律規(guī)制》,《法學(xué)家》2021年第2期。伊利諾伊州方面認(rèn)為判定生物識別信息的一個基礎(chǔ)性問題是明確生物特征標(biāo)識,如果一些特征不是生物特征標(biāo)識,則相應(yīng)的信息就不屬于生物識別信息。不難推斷“面部幾何結(jié)構(gòu)掃描”屬于生物特征標(biāo)識,則衍生于其的人臉信息應(yīng)為生物識別信息。
再將眼光收回國內(nèi),理論界對人臉識別問題的討論也主要集中在“生物識別信息”,《人臉識別規(guī)定》第一條就規(guī)定:本規(guī)定所稱人臉信息屬于民法典第一千零三十四條規(guī)定的“生物識別信息”。此條規(guī)定就足以說明人臉模板是生物識別信息。雖說人臉圖像和人臉特征與人臉模板息息相關(guān),但前兩者與生物識別信息還是有著諸多不同之處。人臉特征是毋庸置疑的生物特征。生物特征簡單來說就是自然人本身的生理特征和行為特征,主要有指紋、掌紋、人臉、虹膜、步態(tài)等。①王德政:《針對生物識別信息的刑法保護:現(xiàn)實境遇與完善路徑——以四川“人臉識別案”為切入點》,《重慶大學(xué)學(xué)報(社會科學(xué)版)》2021年第2期。生物特征的最大顯著之處就在于其是唯一確定的,因此在進行身份鑒別的時候須使用到生物特征。②林凌、賀小石:《人臉識別的法律規(guī)制路徑》,《法學(xué)雜志》2020年第7期。人臉圖像則是生物特征樣本。生物特征樣本是指生物特征離開人體獨立存在所需要的樣本載體,比如筆跡簽名、面部照片、人體器官等。可以這樣認(rèn)為:生物特征樣本對應(yīng)人臉圖像、生物特征對應(yīng)人臉特征、生物識別信息對應(yīng)人臉模板。這三者的關(guān)系是:人臉特征中可提取出人臉模板,人臉特征的樣本載體就是人臉圖像。
想要提取人臉模板,須保證收集的人臉圖像中有固定的人臉特征,但在人臉模板形成的一剎那,人臉圖像和人臉特征就與其徹底斷離開來。可從以下三個方面理解人臉模板的獨立本質(zhì)特性。第一,沒有測量即無法取得人臉模板。要想獲得人臉關(guān)鍵位置的特征的數(shù)據(jù),就必須要對這些關(guān)鍵位置進行一系列的掃描,比如嘴巴的寬度、顴骨的高度、眼窩的深度等。生物特征與生物識別信息的有效連接就是“測量”,如果沒有“測量”,生物識別信息就無從談起。③孫道銳:《人臉識別技術(shù)的社會風(fēng)險及其法律規(guī)制》,《科學(xué)學(xué)研究》2021年第1期。第二,數(shù)據(jù)是表達人臉模板的絕對形式。測量后的生物特征經(jīng)處理會成為一串代碼,在日后需要對比身份時,就將其從代碼數(shù)據(jù)庫中提出進行參考使用。人臉模板在上述處理的過程中就已經(jīng)產(chǎn)生了本質(zhì)改變,和人臉圖像、人臉特征亦截然不同,其核心區(qū)別就是人臉特征被測量后形成了數(shù)據(jù)集合,即人臉模板。第三,唯一識別身份是人臉模板的主要用途。同一個數(shù)據(jù)庫中若要做到對個人身份的唯一識別就需要倚靠人臉模板,這離不開精準(zhǔn)測量人臉特征的功勞。唯一識別除滿足個人在社會活動中對身份進行實時認(rèn)證外,也會使得身份識別的效率得到極大的提高。人臉模板精準(zhǔn)的可識別性使得過去需要用肉眼對人臉圖像中的人臉特征進行辨別的這一傳統(tǒng)方式被逐漸淘汰。
上文中已論述生物識別信息才是人臉識別侵權(quán)對象,但不可否認(rèn)的是生物特征和生物特征樣本是產(chǎn)生該信息的先決條件,且前兩者又與個人肖像密不可分,故人臉識別侵權(quán)被誤判為肖像侵權(quán)也不足為奇。另外,事前未經(jīng)本人許可,私自用秘密手段進行人臉識別所產(chǎn)生的侵權(quán)問題學(xué)界還認(rèn)為其屬于隱私侵權(quán)??梢钥隙ǖ氖?,學(xué)界目前認(rèn)為人臉識別侵權(quán)對象涉及多個方面,因此保護路徑也不盡相同,但保護順序卻有優(yōu)先之分。王利明教授認(rèn)為,無須以個人信息方式對生物識別信息加以保護,因為諸如肖像等生物識別信息已經(jīng)受到了肖像權(quán)和隱私權(quán)的保護。④周頔:《專家熱議個人信息司法保護現(xiàn)狀及趨勢》,《民主與法制時報》2019年12月26日。程嘯教授主張,當(dāng)生物識別信息被以偷拍偷錄等侵犯隱私權(quán)方式侵害時,按照隱私權(quán)保護;若生物識別信息的載體是肖像時,相關(guān)權(quán)益被損害則按照肖像權(quán)保護;不在上述范疇內(nèi)的就按照個人信息保護的規(guī)定進行保護。⑤程嘯:《為個人生物識別信息打造法律保護盾》,《人民論壇》2020年第24期。肖像權(quán)、隱私權(quán)的保護方式優(yōu)先,這是上述觀點在面對損害生物識別信息情況發(fā)生時的解決辦法的共同之處。不過這種觀點的邏輯起點就默認(rèn)了把肖像侵權(quán)或隱私侵權(quán)等同于生物識別信息侵權(quán)。那么這二者之間真的可以畫等號嗎?
1.肖像與生物識別信息
肖像是通過藝術(shù)手段在物質(zhì)載體上再現(xiàn)自然人的外部形象。肖像的主要功能就是展現(xiàn)自然人的外部形象,尤其是這個人的面部形象,進而達到清晰識別的目的。正是由于肖像可以清晰識別某個特定自然人,其被納入人格權(quán)的范疇,這種清晰識別的特點根源于生物特征,在一定載體上反映的視覺印象就是生物特征表達出來的可識別性。①王利明:《人格權(quán)法研究》,中國人民大學(xué)出版社,2018,第419頁。那么不難理解,肖像能夠反映個人生物特征,是個人生物特征的一種描述手段,不論夸張抑或真實。
令人困惑的是,盡管生物識別信息與肖像都是個人生物特征的反映形式,都能識別個人身份,但二者依舊存在根本差別。(1)個人生物特征能否被精準(zhǔn)反映?肖像能夠反映個人生物特征,卻無法要求其達到十分精準(zhǔn)的程度,在識別過程中僅靠視覺感知進行一對一大致鑒別,無法做到精準(zhǔn)層面的個人身份識別。生物識別信息則不同,其是數(shù)據(jù)集合,是個人生物特征經(jīng)過精準(zhǔn)測量才產(chǎn)生的數(shù)據(jù),能夠做到準(zhǔn)確反映出自然人獨有的生物特征,個人身份也因此可以在龐大的數(shù)據(jù)庫中被找到并唯一識別。(2)數(shù)字化加工是必經(jīng)程序。個人生物特征在現(xiàn)代科技的加持下被分析解讀,生物識別信息就是在此過程中產(chǎn)生的密鑰。②周光權(quán):《涉人臉識別犯罪的關(guān)鍵問題》,《比較法研究》2021年第6期。具體而言,生物識別信息根源于對個人生物特征的“測量”,沒有數(shù)字化處理過程就沒有該密鑰。(3)數(shù)據(jù)的表達形式能否體現(xiàn)?肖像是生物特征在一定載體上反映的視覺印象,雖然其需要在物質(zhì)載體上進行表達,卻不能以數(shù)據(jù)的外觀來描述。生物識別信息則不同,它的產(chǎn)生離不開數(shù)字技術(shù),它本身就是一種數(shù)據(jù)集合,通過測量個人生物特征而得到,并且該信息的產(chǎn)生、儲存和使用皆依賴數(shù)據(jù)的表達形式去運作。
不得不說學(xué)界正是沒有注意到上述區(qū)別才誤把肖像和生物識別信息畫等號,同時,這樣的認(rèn)知也讓肖像權(quán)與個人信息權(quán)益之間產(chǎn)生了混淆。仍有觀點主張人臉就是個人信息,人臉應(yīng)被包含在《民法典》中的個人信息中。③黃薇主編《中華人民共和國民法典人格權(quán)編釋義》,法律出版社,2020,第133頁。實際上人臉既不是生物識別信息亦非肖像,而是一種個人生物特征,都是肖像和生物識別信息的反映對象。(1)人臉不是生物識別信息。前文已闡明生物識別信息是通過測量并提取人臉特征而獲得的信息后被創(chuàng)建的數(shù)據(jù)集合,個人生物特征是產(chǎn)生該信息的先決條件,中間還要進行各類的數(shù)字化處理環(huán)節(jié)。生物識別信息的本質(zhì)特性就是具有唯一識別的功能,以及數(shù)據(jù)的表達形式和測量程序。而人臉只是個人生物特征的承載樣本,生物識別信息衍生于個人生物特征,這就足以判斷人臉和生物識別信息在內(nèi)容與形式上都無法同一。(2)人臉亦不是肖像。④石佳友、劉思齊:《人臉識別技術(shù)中的個人信息保護——兼論動態(tài)同意模式的建構(gòu)》,《財經(jīng)法學(xué)》2021年第2期。肖像是生物特征在一定載體上反映的視覺印象,其功能要做到可載體、可識別、可再現(xiàn)自然人面部形象。人臉原始直觀地展現(xiàn)了個人生物特征,個人生物特征需要人臉作為載體才能描述,肖像要表達的內(nèi)容恰是人臉,因此人臉不是肖像的載體,亦非個人生物特征的再現(xiàn)。
事無絕對,肖像權(quán)的侵犯有時會因利用生物識別信息合成他人影像而發(fā)生,深度偽造就是一個十分典型的例子,不法分子會使用“換臉”技術(shù)假冒合成他人影像并嫁接到一些色情視頻或商業(yè)廣告上?!睹穹ǖ洹返谝磺Я阋皇艞l規(guī)定不得利用信息技術(shù)手段偽造等方式侵害他人的肖像權(quán),法條中“偽造”一詞就是指他人肖像被以信息技術(shù)手段編造或捏造,而這一條款的出發(fā)點就是立法者想借此規(guī)制當(dāng)下社會深度偽造愈演愈烈的局面。①王祿生:《論“深度偽造”智能技術(shù)的一體化規(guī)制》,《東方法學(xué)》2019年第6期。借此得出深度偽造實際上是利用個人生物特征數(shù)據(jù)進行加工處理得到他人肖像,并非直接利用他人肖像。通俗講,這項技術(shù)利用一定算法程序?qū)⒛繕?biāo)人物的原始影像覆蓋,得到新的目標(biāo)人物偽造影像。②蔣潔:《人臉識別技術(shù)應(yīng)用的侵權(quán)風(fēng)險與控制策略》,《圖書與情報》2019年第5期。雖說深度偽造是在對個人生物識別信息數(shù)據(jù)進行處理,但處理后的結(jié)果也對個人肖像進行了實際制作和使用。相比較一些藝術(shù)手段再現(xiàn)他人形象,深度偽造顯得尤為逼真,這得益于其精準(zhǔn)再現(xiàn)了個人生物特征。所以,生物識別信息侵權(quán)與肖像權(quán)侵權(quán)重合的情況應(yīng)當(dāng)是利用了深度偽造技術(shù),使用肖像權(quán)的保護路徑也就在利用深度偽造進行人臉識別時才凸顯適當(dāng)。
2.隱私與生物識別信息
民法典意義上的隱私指自然人的私密空間、私密活動、私密信息和私人生活安寧。私密信息則是主觀上不愿讓他人知曉,客觀上處于私密狀態(tài)的私人信息。③陳甦、謝鴻飛主編《民法典評注 人格權(quán)編》,中國法制出版社,2020,第338頁。從《民法典》的規(guī)定中可探知隱私權(quán)能用來保護個人信息中的私密信息,個人信息保護的規(guī)定則解決隱私權(quán)無法囊括的問題。令人存疑的是,生物識別信息當(dāng)真就是私密信息嗎?隱私權(quán)的保護范圍能否涵蓋生物識別信息的相關(guān)權(quán)益?
在《個人信息保護法》中,生物識別信息被當(dāng)作“敏感個人信息”進行保護。敏感個人信息是指自然人的人格尊嚴(yán)受到侵害或者人身、財產(chǎn)安全受到危害的個人信息。④《個人信息保護法》第二十八條。學(xué)界一般誤認(rèn)為個人信息等同于私密信息,倘若由此推理,生物識別信息是敏感個人信息,生物識別信息則屬于私密信息,顯然這樣的說法經(jīng)不起推敲。第一,敏感個人信息要求與個人尊嚴(yán)緊密相關(guān),而私密信息則是客觀上處于私密狀態(tài),主觀上不愿他人知曉的信息。一些信息敏感但不私密,如宗教信仰、健康碼、行程碼等,所以個人敏感信息和私密信息并不具有同一性。第二,客觀性是敏感個人信息的顯著特征,個人主觀狀態(tài)和信息敏感程度并無關(guān)聯(lián),是否敏感取決于社會認(rèn)知水平。私密信息除要求客觀性外,還強調(diào)該信息主觀上不愿為他人知曉。假使信息已經(jīng)公開,個人主觀上不愿他人知曉也無濟于事,反之個人主觀上已放棄保持信息隱秘,即便該信息客觀上處于私密狀態(tài)亦不是私密信息。⑤文銘、劉博:《人臉識別技術(shù)應(yīng)用中的法律規(guī)制研究》,《科技與法律》2020年第4期。
生物識別信息使得私密信息與敏感個人信息涇渭分明,它敏感卻不私密,有的更具有公開性。生物識別信息不能保持隱秘狀態(tài)的原因在于個人生物特征具有公開性,如人臉,這是天然性的。這種公開性并不晦澀難懂,要想取得生物識別信息僅需拍照即可,簡單的獲取方式可見一斑。⑥張勇:《敏感個人信息的公私法一體化保護》,《東方法學(xué)》2022年第1期。人臉掃描目前已實現(xiàn)遠(yuǎn)程操作和非接觸識別,獲取生物識別信息已無難度可言,更沒有私密性一說。生活在一個隨意拍照即可獲得他人生物特征并提取生物識別信息的社會里,人們已不會認(rèn)為人臉具有私密性。這是因為生物識別信息天然具有公開性,可以公開的信息絕不是隱私,其也不會屬于私密信息。⑦張勇:《個人生物信息安全的法律保護——以人臉識別為例》,《江西社會科學(xué)》2021年第5期。
從權(quán)益角度分析,生物識別信息權(quán)益也無法被納入隱私權(quán)范圍。信息自主決定權(quán)是生物識別信息權(quán)益的核心,私人秘密和生活安定是隱私權(quán)的核心。個人可以積極利用生物識別信息,實現(xiàn)對自己生物識別信息的自主處分才是生物識別信息權(quán)益要保證的根本目的,所以生物識別權(quán)益是一種積極的權(quán)利,需要個人主動決定、行使和支配。隱私權(quán)則不同,它是一種消極的權(quán)利,只有個人秘密遭到泄露或正常生活被破壞時,權(quán)利人才能就權(quán)利遭到侵害提出保護,因為隱私權(quán)排斥個人秘密被非法利用,具有防御性。①王利明:《和而不同:隱私權(quán)和個人信息的規(guī)則界分與適用》,《法學(xué)評論》2021年第2期。此外,生物識別信息權(quán)益不是單一權(quán)利,其唯一可識別的功能和人格尊嚴(yán)密不可分,且巨大的財產(chǎn)價值和商業(yè)潛力也讓該權(quán)益具有綜合性。但隱私權(quán)更多與倫理道德相關(guān),有情感因素,商業(yè)利用不具有適當(dāng)性,亦不體現(xiàn)出財產(chǎn)價值。隱私權(quán)也無法做到整體利用人格利益,僅涉及個體保護,自然不能產(chǎn)生整體利用的財產(chǎn)利益。但生物識別信息可以做到聚集并整合海量信息,利用海量信息整體實現(xiàn)生物識別信息的財產(chǎn)價值??芍?,從隱私權(quán)的規(guī)制思路去保護生物識別信息顯得舉步維艱。
人臉識別行為引發(fā)人臉識別侵權(quán)毋庸置疑,究竟什么樣的行為構(gòu)成人臉識別侵權(quán)卻仍要細(xì)細(xì)加以佐證。人臉識別在現(xiàn)有科學(xué)技術(shù)的支持下已能做到除對人臉直接進行掃描外的照片掃描或視頻掃描。對人臉直接進行掃描引發(fā)的侵權(quán)糾紛爭議不大,重點在于在照片掃描或視頻掃描的情形下人臉識別是否侵權(quán)?特別是一些照片和視頻還是在本人自愿的條件下合法公開上傳的,那這樣的行為是否還具有違法性和有責(zé)性?
收集、使用、公開等環(huán)節(jié)是處理個人信息必不可少的流程。②《民法典》第一千零三十五條。雖然每個環(huán)節(jié)都有可能發(fā)生侵權(quán)行為,但收集行為還是一切侵權(quán)的原點。要想切實加強生物識別信息安全保護,就必須對收集行為進行管控和落實知情同意原則,這是源頭也是關(guān)鍵所在。人臉識別具有可遠(yuǎn)程識別和非接觸操作等特點,使得它的侵權(quán)行為極不容易被發(fā)現(xiàn),落實知情同意原則如同空中樓閣。③李朋、王明達:《“人臉識別”場景下個人面部信息保護問題初探——由“人臉識別第一案”展開》,載《上海法學(xué)研究》(2021年第6卷)。更有如此“知情同意”該做何解釋:從網(wǎng)上已經(jīng)有他人自愿公開的照片或視頻中提取人臉信息。這樣的行為是否侵權(quán)?
國外類似的糾紛大多圍繞一個焦點展開爭論:收集照片是否就是收集人臉信息?2016年Facebook公司與其用戶的糾紛中,F(xiàn)acebook公司就是因為提供了一項“標(biāo)簽服務(wù)”而被告上法庭。當(dāng)用戶將照片上傳到網(wǎng)站時,該服務(wù)就會對照片進行人臉識別,姓名、標(biāo)簽等信息會在成功識別后被自動添加。這樣的行為使得用戶認(rèn)為Facebook公司是在秘密收集他們的人臉信息且侵犯了他們的知情同意權(quán)。Facebook公司隨即援引《生物信息隱私法》,認(rèn)為該法已明文規(guī)定照片被排除在生物特征標(biāo)識范圍外。順理推斷,既然照片不是生物特征標(biāo)識,那么從照片中提取的人臉信息自然就不是生物識別信息,收集照片也就不是在收集生物識別信息。假使對該法中的生物特征標(biāo)識只做字面解釋,那么愈來愈多類似Facebook這樣的科技公司將會更加肆無忌憚地收集人臉信息。
Facebook公司的案子對于照片性質(zhì)的分析在全美引發(fā)了劇烈反響,這是解決人臉識別侵權(quán)訴訟的一個前提問題。如果照片構(gòu)成生物識別標(biāo)識,那就可以把收集生物識別信息和收集照片這兩者畫等號??v使Facebook公司和用戶訴諸法院,也沒有得到一個明確的答復(fù),法院僅是對紙質(zhì)照片和數(shù)字圖像作了概念上的區(qū)分。法院認(rèn)為《生物信息隱私法》中的“照片”是紙質(zhì)印刷品而非線上的數(shù)字圖像,在該法后續(xù)的規(guī)定中,不僅將照片排除,也一并將書寫樣本、書面簽名、人類生物樣本等排除,原因是它們都要依賴物理載體借以表達,無法儲存在電腦中或上傳網(wǎng)絡(luò)。①See In Re Facebook Biometric Information Privacy Litigation,185 F.Supp.3d 1155(N.D.California,2016).依法院的解釋,紙質(zhì)照片和生物識別信息沒有關(guān)系,生物識別信息的重要來源是數(shù)字圖像,因此把紙質(zhì)照片的保護全盤抹殺是不可取的。在科技產(chǎn)業(yè)日趨發(fā)達的當(dāng)下,法院的這種解釋其實是填補了《生物信息隱私法》的空缺與滯后,將紙質(zhì)照片轉(zhuǎn)換為數(shù)字圖像在現(xiàn)有技術(shù)條件下已非難事,甚至說是隨時隨地,而收集生物識別信息之原點已和收集數(shù)字圖像出現(xiàn)關(guān)聯(lián)。僅收集數(shù)字圖像自然算不上收集生物識別信息,紙質(zhì)照片和數(shù)字圖像都只是人臉特征的載體樣本而已。一旦對數(shù)字圖像中的人臉特征實施精準(zhǔn)測量則實現(xiàn)了生物識別信息的收集,這是十分關(guān)鍵的環(huán)節(jié),顯而易見Facebook公司的“標(biāo)簽服務(wù)”對個人生物特征進行了精準(zhǔn)測量。用戶們正是主張Facebook公司未經(jīng)他們的同意對其個人生物特征進行測量并獲取了生物識別信息,才是侵權(quán)行為的根本所在。
照片只是一種個人生物特征的物質(zhì)載體,收集照片和收集生物識別信息這二者并不相同,但收集照片有時卻會發(fā)展成收集生物識別信息?!锻ㄓ脭?shù)據(jù)保護條例》規(guī)定對照片的處理不應(yīng)籠統(tǒng)地視為對生物特征數(shù)據(jù)的處理,只有通過特定技術(shù)手段對照片進行處理,使其能夠識別和認(rèn)證自然人的獨特身份時才應(yīng)是對生物特征數(shù)據(jù)的處理。②《通用數(shù)據(jù)保護條例》前言第五十一條。據(jù)此可判定收集人臉信息的行為才是發(fā)生人臉識別侵權(quán)糾紛中需要把握的核心要素。光厘清存在收集他人照片行為還不夠,須在此基礎(chǔ)上確認(rèn)個人生物特征有無被精準(zhǔn)測量。如果僅有收集照片行為,特別是自愿合法公開的照片,則不能判斷該行為侵權(quán)。
現(xiàn)行侵權(quán)法的歸責(zé)體系以過錯責(zé)任為主,厘清侵權(quán)責(zé)任的關(guān)鍵就是判斷違法性,其蘊含了一些禁止性規(guī)定和侵權(quán)法要保護的權(quán)益內(nèi)容。③朱巖:《侵權(quán)責(zé)任法通論·總論(上)》,法律出版社,2011,第251頁。隨著社會快速發(fā)展,相當(dāng)多的利益還未來得及加以確權(quán),這些利益在當(dāng)事人往來中不可避免會產(chǎn)生沖突,因此可從法秩序視角入手,違法性要件作為一種價值裁量手段能更好平衡和解決矛盾。個人信息作為一種法益,最大功能在于要妥善協(xié)調(diào)信息主體利益和數(shù)據(jù)利用二者的聯(lián)系。④黃薇主編《中華人民共和國民法典人格權(quán)編釋義》,法律出版社,2020,第196頁。人臉識別侵犯生物識別信息權(quán)益勢必要考量違法性要件,這涉及行為自由和法益保護的矛盾,因為一旦確認(rèn)了行為違法性,會對侵權(quán)責(zé)任的成立有極大意義。不過收集人臉信息行為十分隱匿且不易發(fā)現(xiàn),更有合法形式作為保護傘,想要認(rèn)定違法性阻礙重重。除外更有一個棘手的問題,就是收集到的人臉信息是從他人自愿公開的照片中獲得的,這能否認(rèn)定為違法?
2019年智能換臉軟件“ZAO”火爆全網(wǎng),網(wǎng)友們利用這款軟件輕而易舉就可將網(wǎng)絡(luò)上已合法公開的明星照片實現(xiàn)“換臉”,輿論發(fā)酵后有人提出困惑,利用深度偽造技術(shù)進行“換臉”的行為是否違法?⑤許靜文:《人臉識別技術(shù)與安全風(fēng)險治理問題研究》,《甘肅政法大學(xué)學(xué)報》2020年第6期??梢院V定的是,明星照片是合法公開的,網(wǎng)友的收集行為自然不被禁止,而且明星自愿公開的話,收集和使用照片就不違背“未經(jīng)本人同意”這一表述。若按上述推理,網(wǎng)友們“換臉”的行為就顯得有理有據(jù)。
在判斷“換臉”行為的違法性時,一個關(guān)鍵的環(huán)節(jié)就是區(qū)分收集行為獲取的是照片還是人臉信息,因為深度偽造技術(shù)的核心是對人臉信息加以收集和利用。不論是紙質(zhì)照片還是數(shù)據(jù)圖像,收集它們和收集人臉信息截然不同,獲取人臉信息的前提是收集照片(含數(shù)據(jù)圖像)。個人自愿公開自己的照片是在處分自己的肖像權(quán),他人無權(quán)干涉,只不過為他人收集照片提供了合法正當(dāng)性,并且公開照片也暗示了他人是否可以合理使用該照片。個人在網(wǎng)絡(luò)上公開自己的照片,那么他人只要進行網(wǎng)絡(luò)搜索即可獲得照片的公開授權(quán),至于授權(quán)的內(nèi)容就看網(wǎng)站的創(chuàng)建者自主設(shè)置了,如果個人選擇最寬松的隨意觀看并能保存照片,那么只要能看到該照片的所有人皆有權(quán)利收集保存。
收集照片合法與從照片中獲取人臉信息是否合法這二者不可一概而論,因為從照片中獲取人臉信息的行為已經(jīng)構(gòu)成了收集人臉信息,其本質(zhì)就是對照片中的個人生物特征進行了測量?!睹穹ǖ洹返谝磺Я闳鍡l已對處理個人信息做了明確要求,《個人信息保護法》則在此基礎(chǔ)上有著更為嚴(yán)苛的規(guī)定,除了收集生物識別信息時要符合特定目的和充要性外,還必須向個人告知收集個人信息可能會帶來的影響。①《個人信息保護法》第二十九至三十一條。這樣的規(guī)定充分表明生物識別信息的特殊之處,不同于一般信息,它十分敏感,若隨意濫用極有可能侵犯人格尊嚴(yán),也會對人身安全和財產(chǎn)安全帶來隱患。至此可以明白,雖然收集的照片是他人自愿公開且收集方式也是合法的,但也不能代表利用從照片中獲取的人臉信息進行深度偽造就是合法的。回到換臉軟件“ZAO”,實施換臉行為的網(wǎng)友收集他人照片的行為具有合法性,但未經(jīng)他人同意擅自從收集的照片中利用深度偽造技術(shù)解析個人生物特征提取生物識別信息的行為是違法的。
無損害則無侵權(quán)責(zé)任,要想準(zhǔn)確認(rèn)定人臉識別侵權(quán),其損害事實不可或缺。人臉識別發(fā)生的場景往往在當(dāng)時無法判斷具體損害,多數(shù)是未來可能會發(fā)生的風(fēng)險損害,即個人潛在危機,該未來風(fēng)險能否符合人臉識別侵權(quán)責(zé)任認(rèn)定中損害要件的構(gòu)成,是解決此類問題的最大難點。
若要做到成功認(rèn)定人臉識別侵權(quán)風(fēng)險屬于損害的范疇,首要問題是解決“確定性”標(biāo)準(zhǔn),即損害非主觀推斷得出而是有確鑿證據(jù)論證已經(jīng)發(fā)生或?qū)泶_會發(fā)生。②焦艷玲:《人臉識別的侵權(quán)責(zé)任認(rèn)定》,《中國高校社會科學(xué)》2022年第2期。非法處理人臉信息而引發(fā)的未來風(fēng)險是個人在人臉識別侵權(quán)糾紛中面臨的最大損害,如侵害人格尊嚴(yán)、信息泄露、財產(chǎn)竊取等。如果這些風(fēng)險已經(jīng)發(fā)生,損害認(rèn)定毫無爭議,問題在于如何證明損害未來將會發(fā)生,這就要求在潛在危機還沒有成真之前,“確定性”標(biāo)準(zhǔn)如何適用并成立。如同拋硬幣一般,人臉信息被收集后遭到濫用的概率是二分之一,亦無法得出高度蓋然的結(jié)論,那能否說人臉識別侵權(quán)的風(fēng)險損害在“確定性”標(biāo)準(zhǔn)面前站不住腳呢?
人臉識別侵權(quán)問題只是個人信息保護領(lǐng)域的冰山一角,在個人信息范圍內(nèi),對于未來風(fēng)險的爭論也是仁者見仁。來看美國關(guān)于就信息泄露主張風(fēng)險損害賠償?shù)陌咐?,受害人要想在?lián)邦法院成功起訴的先決條件就是要證明自己是受害人,即證明已發(fā)生了實際損害。法院對“實際損害”的判斷有三個通用標(biāo)準(zhǔn):(1)具體事實和特定加害人;(2)已經(jīng)發(fā)生或即刻發(fā)生;(3)非主觀推斷和臆造。①曾雄、梁正、張輝:《人臉識別治理的國際經(jīng)驗與中國策略》,《電子政務(wù)》2021年第9期。Clapper v.Amnesty International一案中,政府因頒布了新的法案被告上法庭,原因是新法案的頒布使原告日后有可能會遭到政府的監(jiān)視,并且監(jiān)視行為會給原告的個人信息帶來泄露危機,原告要求政府賠償并主張這種泄露危機在未來具有發(fā)生的客觀可能,而原告為應(yīng)對這種風(fēng)險已經(jīng)花費大量金錢用于預(yù)防。②于洋:《論個人生物識別信息應(yīng)用風(fēng)險的監(jiān)管構(gòu)造》,《行政法學(xué)研究》2021年第6期。Spokeo,Inc.v.Robins一案中,被告是一家消費者信用評估機構(gòu),案件訴諸法院的理由是原告認(rèn)為該機構(gòu)做了不實的評估報告且認(rèn)為報告會對自己產(chǎn)生不利影響,原告主張該機構(gòu)依照《公平信用報告法》對他的未來風(fēng)險損害給予賠償。③See Galaria v.Nationwide Mut.Ins.Co.,663 F.App'x 384,388(6th Cir.2016).這兩起案件的爭議焦點都是“未來風(fēng)險損害”,那么損害是否實際存在,美國法院的觀點也是智者見智,不過聯(lián)邦最高法院對此持否定性態(tài)度,原因是Clapper案中原告主張的損害不符合“確定即將發(fā)生”的要求,是原告自身的主觀推斷;Spokeo案中原告主張的損害過于抽象,只靠被告存在一定過錯行為就要求損害賠償與“具體事實”標(biāo)準(zhǔn)沖突。
美國司法實踐因聯(lián)邦最高法院的否定態(tài)度而發(fā)生了審判風(fēng)向轉(zhuǎn)變,但科技水平不斷提高,個人信息訴訟糾紛層出不窮,每個案件又有其獨特性,對于信息泄露時是否支持未來風(fēng)險損害賠償?shù)挠^點一時之間美國法院界也搖擺不定。Galaria v.Nationwide Mutual Insurance Co.一案中,聯(lián)邦最高法院第六巡回法庭就認(rèn)可了預(yù)防風(fēng)險,原因是受害人遭到了身份盜竊,為避免身份盜竊風(fēng)險增加,原告支付了一系列預(yù)防措施費用。在這個案件中,巡回法庭主審法官的思路就與聯(lián)邦最高法院不同,該法官采納了損害未來可能會發(fā)生的重大風(fēng)險而非前案的確定或馬上發(fā)生損害的緊迫性標(biāo)準(zhǔn)。④See Attias v.Carefirst,Inc.,865 F.3d 620,622,629(D.C.Cir.2017).無獨有偶,Attias v.Carefirst,Inc.案的主審法官在面對網(wǎng)絡(luò)黑客竊取個人敏感信息時,同時比較損害未來可能會發(fā)生的重大風(fēng)險和確定或馬上發(fā)生損害的緊迫性標(biāo)準(zhǔn),最終認(rèn)定前者風(fēng)險更大,支持了原告的損害主張。⑤張華韜:《我國人臉識別侵權(quán)責(zé)任制度的解釋論》,《社會科學(xué)家》2021年第7期。
在具體應(yīng)對生物識別信息泄露危險問題是否構(gòu)成損害時,美國司法界的看法正逐漸趨同,不同于其他信息泄露問題的未來風(fēng)險損害賠償爭議眾說紛紜,伊利諾伊州已身先士卒。Rosenbach v.Six Flags Entertainment Corporation案可謂起到了標(biāo)桿作用,該案原告之子是游樂園??停橙赵撟忧巴螛穲@玩耍卻發(fā)現(xiàn)必須錄入指紋才可進入園區(qū),原告這才發(fā)現(xiàn)其為兒子購買游樂園季度門票時就已經(jīng)被秘密收集了指紋。原告依據(jù)《生物信息隱私法》向法院提起訴訟并要求賠償,理由是游樂園在沒有通知原告和孩子本人的情況下,未經(jīng)許可擅自收集指紋信息,事后也無收集指紋的用途、儲存、銷毀等方式的說明。伊利諾伊州最高法院認(rèn)為個人生物識別信息受到侵害勢必會對個人產(chǎn)生重大影響,指紋的唯一性、不變性、終身性足以說明其一旦被收集則無法修復(fù)也不可能再度擁有新的指紋。生物識別信息的高度敏感性使法院認(rèn)定只要原告能證明被告具有違法行為就能起訴要求損害賠償。⑥潘林青:《面部特征信息法律保護的技術(shù)誘因、理論基礎(chǔ)及其規(guī)范構(gòu)造》,《西北民族大學(xué)學(xué)報(哲學(xué)社會科學(xué)版)》2020年第6期。伊利諾伊州最高法院的判決使聯(lián)邦法院認(rèn)識到損害的新定義即權(quán)利受到侵犯就是損害,無須苛責(zé)原告進一步論證“確定即將發(fā)生”,從而使原告的舉證責(zé)任大大降低,即證明被告違法即可。2021年,F(xiàn)acebook公司案中用戶主張的未經(jīng)同意擅自進行人臉識別并提取人臉信息建立人臉模板的侵權(quán)訴求也最終得到法院支持。①閆曉麗:《美國對人臉識別技術(shù)的法律規(guī)制及啟示》,《信息安全與通信保密》2020年第11期。
未來風(fēng)險損害從來就不是一個新鮮詞語,也不僅僅出現(xiàn)在科技發(fā)展帶來的法律問題之中。在傳統(tǒng)法視角里,如醫(yī)師不慎進行了錯誤的診療行為或受條件所限,過失導(dǎo)致患者病情惡化進而死亡產(chǎn)生醫(yī)療糾紛時,法院一般認(rèn)為醫(yī)院須賠償患者的身體損害、精神損害以及必要的其他費用,因為此種情況患者的“存活機會”遭到醫(yī)生侵犯,而“存活機會”就是一種未來風(fēng)險。②See Patel v.Facebook,Inc.,932 F.3d 1264,1274(9th Cir.2019).在過錯責(zé)任體系下多要求相當(dāng)因果關(guān)系論、高度蓋然性因果論,“存活機會喪失論”則有效減輕了患者的舉證責(zé)任,同時也大大降低了“確定即將發(fā)生”標(biāo)準(zhǔn),即使醫(yī)師全力救助患者只有10%的存活機會,那這10%的存活機會也應(yīng)被當(dāng)作一種利益加以保護,若受到損害則須賠償。③劉佳明:《人臉識別技術(shù)正當(dāng)性和必要性的質(zhì)疑》,《大連理工大學(xué)學(xué)報(社會科學(xué)版)》2021年第6期。由此可見,損害雖不絕對帶來風(fēng)險,但在某些情況下卻時有發(fā)生,不過這已足以說明不僅是人臉識別侵權(quán)損害會帶來風(fēng)險,其他傳統(tǒng)法領(lǐng)域類似的問題也會引發(fā)未來風(fēng)險損害,盡管外觀各不相同,本質(zhì)則有共通之處。④田野:《風(fēng)險作為損害:大數(shù)據(jù)時代侵權(quán)“損害”概念的革新》,《政治與法律》2021年第10期。
科技浪潮接踵而至,數(shù)字化應(yīng)用日漸發(fā)達,當(dāng)下我國審判實務(wù)界仍主張以過嚴(yán)的標(biāo)準(zhǔn)來認(rèn)定損害賠償,這種看法忽視了風(fēng)險損害,也使受害者的維權(quán)之路困難重重。⑤葉名怡:《個人信息的侵權(quán)法保護》,《法學(xué)研究》2018年第4期。劃分新的損害類型、因信息泄露導(dǎo)致的未來風(fēng)險賠償?shù)葐栴}在理論界已被諸多學(xué)者關(guān)注。⑥解正山:《數(shù)據(jù)泄露損害問題研究》,《清華法學(xué)》2020年第4期。不過承認(rèn)人臉識別侵權(quán)帶來的風(fēng)險損害固然重要,卻不能一概而論其均構(gòu)成損害,需要在具體案例中加以分析判別。我國《人臉識別規(guī)定》第二條規(guī)定信息處理者未采取應(yīng)有的技術(shù)措施而致使人臉信息泄露、篡改、丟失的,人民法院應(yīng)認(rèn)定該行為侵害了自然人的人格權(quán)益。該規(guī)定引人深思,倘若信息主體未受到黑客侵犯、詐騙竊取等外來損害時,只要信息主體自身沒有盡到保護義務(wù)的,就可以判斷侵權(quán)責(zé)任成立?;蛟S此條規(guī)定已對我國的人臉識別侵權(quán)問題認(rèn)定作出了積極指引,畢竟從某種角度上該規(guī)定暗含風(fēng)險損害。
人臉識別應(yīng)用的潮流不可逆轉(zhuǎn),為了更好地保護個人信息,須對違法收集和非法濫用個人信息的行為追究侵權(quán)責(zé)任。人臉信息雖然與肖像和隱私的關(guān)系密不可分,但三者不可一概而論且區(qū)別甚大,其本質(zhì)上的差異表明肖像權(quán)和隱私權(quán)不是保護人臉信息的最佳選擇。對人臉特征進行測量得到的數(shù)據(jù)形式表現(xiàn)個人身份的生物識別信息才是人臉信息。因此借助個人信息的保護方法是實現(xiàn)人臉識別侵權(quán)救濟的最大倚靠,同時面臨人臉識別中的特殊問題仍要專門解釋。在司法實踐中,辦案人員要嚴(yán)格判定圖像收集和人臉信息收集這兩種行為的根本不同,進而認(rèn)定違法性。對損害要件的闡述也要做到具體問題具體分析,在特定情況下亦可認(rèn)為未來風(fēng)險成立損害。