論人臉識(shí)別技術(shù)應(yīng)用的隱私安全風(fēng)險(xiǎn)與法律規(guī)制

涂 萌，譚詩(shī)悅

(重慶理工大學(xué) 重慶知識(shí)產(chǎn)權(quán)學(xué)院， 重慶 400054)

一、引言

2019年10月,郭兵與杭州野生動(dòng)物世界有限公司服務(wù)合同糾紛一案引起了社會(huì)各界的高度關(guān)注，被稱為中國(guó)“人臉識(shí)別第一案”。一審法院經(jīng)審理后認(rèn)定杭州野生動(dòng)物園將合同履行期間的指紋入園方式更改為人臉識(shí)別系單方變更合同內(nèi)容的違約行為，判決其刪除包括原告照片在內(nèi)的面部特征信息并賠償郭某合同利益損失及交通費(fèi)。由該案引發(fā)的人臉識(shí)別技術(shù)的隱私安全與法律規(guī)制問(wèn)題成為社會(huì)討論的熱點(diǎn)話題。人臉識(shí)別技術(shù)是現(xiàn)階段應(yīng)用最為廣泛的人工智能技術(shù)之一，但從隱私安全角度而言，人臉識(shí)別機(jī)制的基本技術(shù)屬性引發(fā)的法律風(fēng)險(xiǎn)將是該領(lǐng)域內(nèi)不可忽視的重大挑戰(zhàn)。

二、人臉識(shí)別技術(shù)的應(yīng)用場(chǎng)景與隱私安全風(fēng)險(xiǎn)分析

人臉識(shí)別技術(shù)是基于人臉中的生物特征進(jìn)行模式識(shí)別，在信息系統(tǒng)中將提取的面部特征信息與儲(chǔ)存的人臉數(shù)據(jù)集進(jìn)行識(shí)別和匹配，進(jìn)行個(gè)人身份核驗(yàn)的技術(shù)，主要涉及模式識(shí)別與信息安全兩個(gè)部分[1]。其流程為：首先，對(duì)輸入的人臉圖像進(jìn)行圖像預(yù)處理操作，消除光照、背景、姿態(tài)等干擾因素的影響；其次，在圖像預(yù)處理的基礎(chǔ)上進(jìn)行人臉檢測(cè)，系統(tǒng)返回檢測(cè)的人臉矩形邊界的多個(gè)坐標(biāo)值；然后，確定根據(jù)眼睛、耳朵、鼻子等器官以及嘴唇和面部輪廓構(gòu)成的人臉特征點(diǎn)，并根據(jù)特征點(diǎn)提取個(gè)人面部的幾何特征；最后，將待識(shí)別的人臉圖像與已知的人臉數(shù)據(jù)庫(kù)進(jìn)行對(duì)比，從而確定個(gè)人真實(shí)身份[2]。

綜上所述，人臉識(shí)別技術(shù)安全主要關(guān)注應(yīng)用系統(tǒng)的安全；模式識(shí)別則主要根據(jù)人臉圖片信息提取的特征使用識(shí)別算法進(jìn)行比對(duì)，其中涉及人臉數(shù)據(jù)集的使用。本文則主要對(duì)以上兩個(gè)部分中涉及隱私的個(gè)人信息安全風(fēng)險(xiǎn)進(jìn)行分析。

(一)模式識(shí)別中的隱私安全

模式識(shí)別過(guò)程主要涉及人臉圖片信息收集(提取)、使用(比對(duì))兩個(gè)階段。其易引發(fā)的隱私安全風(fēng)險(xiǎn)主要涉及面部信息的非法收集與面部信息的非法使用。

面部信息的非法收集是指未經(jīng)信息主體同意，通過(guò)擅自收集、交換、非法竊取等方式獲取他人面部識(shí)別信息。2020年4月，江蘇省宿遷市某健身中心被發(fā)現(xiàn)共收集和存儲(chǔ)了2萬(wàn)多名會(huì)員用戶的個(gè)人信息，包含人臉信息和指紋等敏感個(gè)人信息[3]。該健身中心在未取得會(huì)員同意的情況下，收集人臉信息和指紋等敏感個(gè)人信息，亦未明確信息收集的目的、用途和處理方式，涉嫌侵犯用戶的隱私。人臉信息的非法使用是指未經(jīng)過(guò)信息主體同意，將人臉信息用于實(shí)施盜竊、詐騙等犯罪行為。例如，周某利用互聯(lián)網(wǎng)搜集桑某的電話號(hào)碼，并查詢桑某的支付寶賬戶信息。隨后，周某利用某視頻APP收集桑某的動(dòng)態(tài)人臉圖像，多次使用人臉識(shí)別技術(shù)盜取桑某支付寶賬戶資金[4]。隨著人臉識(shí)別技術(shù)的持續(xù)發(fā)展以及應(yīng)用場(chǎng)景的不斷擴(kuò)張，人臉信息的非法使用案件頻發(fā)，如利用人臉照片盜竊豐巢快遞柜貨件、利用人臉照片制作3D圖像繞過(guò)支付寶人臉識(shí)別活體驗(yàn)證等等。

(二)人臉識(shí)別技術(shù)應(yīng)用引發(fā)的隱私安全風(fēng)險(xiǎn)

基于深度學(xué)習(xí)的人臉識(shí)別算法精準(zhǔn)率已達(dá)到97%，已經(jīng)能夠解決光影、遮擋等影響因素問(wèn)題。對(duì)此算法在最新的Labeled Faces in the Wild(標(biāo)準(zhǔn)人臉數(shù)據(jù)集)上的使用結(jié)果測(cè)試，顯示其能夠超過(guò)人類識(shí)別水平?；谏疃葘W(xué)習(xí)的人臉識(shí)別算法不斷提高的準(zhǔn)確性和易用性，它已經(jīng)能夠滿足身份認(rèn)證、監(jiān)控、調(diào)查取證等不同應(yīng)用場(chǎng)景的需要。對(duì)社會(huì)管理而言，人臉識(shí)別技術(shù)被廣泛應(yīng)用于出入境檢查、刑事偵查、政府服務(wù)、人口管理，尤其是治安管理和交通運(yùn)輸場(chǎng)所安檢等社會(huì)管理領(lǐng)域，在增強(qiáng)行政執(zhí)法能力、強(qiáng)化社區(qū)安全以及便捷公民生活等方面發(fā)揮重要作用。如，公安機(jī)關(guān)通過(guò)整合人臉識(shí)別技術(shù)與城市監(jiān)控系統(tǒng)，將目標(biāo)人臉圖像與人臉數(shù)據(jù)庫(kù)進(jìn)行比對(duì)，能迅速并準(zhǔn)確識(shí)別目標(biāo)人物進(jìn)而將其抓捕。此外，人臉識(shí)別技術(shù)在商業(yè)經(jīng)營(yíng)場(chǎng)所中的應(yīng)用范圍也迅速拓展。商業(yè)主體通?；谔岣咝实哪繕?biāo)使用人臉識(shí)別技術(shù)[5]，應(yīng)用場(chǎng)景包含電子支付、物業(yè)安保、智能快遞以及交互軟件等。如，人臉支付以其便捷性、無(wú)接觸性被廣泛應(yīng)用于無(wú)人超市，消費(fèi)者只需要通過(guò)人臉識(shí)別和身份信息驗(yàn)證即可完成支付。

人臉識(shí)別應(yīng)用系統(tǒng)本質(zhì)上是一個(gè)信息系統(tǒng)，極易遭受惡意的攻擊。一方面，人臉圖像本身具有隱私性，可以被直接用來(lái)識(shí)別自然人身份。另一方面，通過(guò)算法分析，可以從人臉圖像中分析出年齡、性別、健康狀況等其他多種個(gè)人隱私。攻擊各種人臉識(shí)別應(yīng)用系統(tǒng)的主要的目的是將面部信息用于實(shí)施非法經(jīng)營(yíng)行為，并從中獲利。據(jù)相關(guān)媒體報(bào)道，有商家在淘寶、咸魚等電商交易平臺(tái)上，公開兜售人臉信息，比如手持身份證的人臉圖片僅需0.5元一張[6]。除售賣人臉數(shù)據(jù)外，一些商家還出售“照片活化”工具。商家只需輸入一張人臉圖片，即可將其修改為執(zhí)行“眨眼、張嘴、點(diǎn)頭”等操作的人臉驗(yàn)證視頻。這些人臉信息如果被不法分子購(gòu)買，并單獨(dú)或者與其他非法獲取的個(gè)人信息結(jié)合使用，將對(duì)信息主體的人身權(quán)以及財(cái)產(chǎn)權(quán)造成嚴(yán)重侵害。

三、我國(guó)人臉識(shí)別技術(shù)法律規(guī)制的現(xiàn)狀與問(wèn)題剖析

(一)我國(guó)人臉識(shí)別技術(shù)應(yīng)用法律規(guī)制現(xiàn)狀

1.我國(guó)人臉識(shí)別技術(shù)應(yīng)用立法現(xiàn)狀考察

我國(guó)尚未對(duì)人臉識(shí)別技術(shù)進(jìn)行立法規(guī)制，對(duì)個(gè)人信息保護(hù)的規(guī)定也散見于相關(guān)法律文件中。主要體現(xiàn)于：《民法典(人格權(quán)編)》《民法典(侵權(quán)責(zé)任編)》《刑法》《網(wǎng)絡(luò)安全法》等法律文件；《互聯(lián)網(wǎng)個(gè)人信息安全指南》《APP違法違規(guī)收集使用個(gè)人信息行為認(rèn)定方法》等行業(yè)規(guī)范性文件；《個(gè)人信息安全規(guī)范》(以下簡(jiǎn)稱《規(guī)范》)等推薦性國(guó)家標(biāo)準(zhǔn)。如《網(wǎng)絡(luò)安全法》第41條規(guī)定了網(wǎng)絡(luò)運(yùn)營(yíng)者使用個(gè)人信息的合法、正當(dāng)、必要的基本原則?！睹穹ǖ洹返?034條從私法層面明確了對(duì)個(gè)人信息保護(hù)的規(guī)則，并在第990條第2款規(guī)定，自然人享有基于個(gè)人自由和人格尊嚴(yán)的其他個(gè)人權(quán)益。因此，基于個(gè)人自由和尊嚴(yán)，自然人的個(gè)人信息權(quán)可以歸屬于自然人的其他個(gè)人權(quán)利和利益[7]?！缎谭ā返?53條之一的侵犯公民個(gè)人信息罪，對(duì)個(gè)人信息予以嚴(yán)格的公法保護(hù)。但是，只有《規(guī)范》對(duì)生物識(shí)別信息作出較為全面的規(guī)定?！兑?guī)范》根據(jù)敏感程度將個(gè)人信息分為一般個(gè)人信息和敏感個(gè)人信息，并詳細(xì)規(guī)定了敏感個(gè)人信息在收集過(guò)程中的同意原則、使用和共享過(guò)程中的最小夠用原則，以及授權(quán)原則，并制定了安全事故的處置程序，但尚未專門規(guī)定收集、存儲(chǔ)、使用及共享人臉信息等環(huán)節(jié)的條款，且僅為推薦性國(guó)家標(biāo)準(zhǔn)，沒(méi)有強(qiáng)制效力。

除此之外，我國(guó)另有針對(duì)生物特征識(shí)別信息的專門規(guī)范文件，包括《人類遺傳資源管理?xiàng)l例》《人類遺傳資源管理暫行辦法》《涉及人的生物醫(yī)學(xué)研究倫理審查辦法》等?！度祟愡z傳資源管理?xiàng)l例》第12條第1款規(guī)定：“采集我國(guó)人類遺傳資源，應(yīng)當(dāng)事先告知人類遺傳資源提供者采集目的、采集用途、對(duì)健康可能產(chǎn)生的影響、個(gè)人隱私保護(hù)措施及其享有的自愿參與和隨時(shí)無(wú)條件退出的權(quán)利，征得人類遺傳資源提供者的書面同意?！彪m然該規(guī)定符合個(gè)人信息收集的一般法律的要求，但是并未針對(duì)公民個(gè)人生物識(shí)別信息的敏感度和隱私性進(jìn)行特殊的保護(hù)[8]。

(二)中國(guó)人臉識(shí)別技術(shù)法律規(guī)制存在的問(wèn)題剖析

1.未明確界定人臉信息的法律屬性

人臉信息相比一般個(gè)人信息具有更突出的人格利益特征。我國(guó)實(shí)施的《民法典》并未就人臉信息等生物識(shí)別信息的法律保護(hù)作出專門規(guī)定，僅在第1034條規(guī)定“個(gè)人信息中的私密信息，同時(shí)適用于隱私權(quán)保護(hù)的相關(guān)規(guī)定”。由此可見，我國(guó)可能將人臉信息納入隱私權(quán)的保護(hù)范圍。然而，人臉信息體現(xiàn)公民的人格尊嚴(yán)和自由價(jià)值，隱私權(quán)強(qiáng)調(diào)私人生活不受他人干預(yù)，兩者展現(xiàn)不同的價(jià)值取向，難以在同一平面進(jìn)行比較和規(guī)制[9]。此外，《規(guī)范》基于信息類型化保護(hù)個(gè)人信息，但其劃分標(biāo)準(zhǔn)存在沖突。《規(guī)范》將人臉信息歸類于敏感個(gè)人信息，同時(shí)又將其納入個(gè)人信息的范疇。而后，在信息應(yīng)用的環(huán)節(jié)均采用敏感性作為劃分標(biāo)準(zhǔn)，容易引發(fā)標(biāo)準(zhǔn)適用的爭(zhēng)議[10]。

2.對(duì)人臉識(shí)別技術(shù)應(yīng)用場(chǎng)景未加以合理限制

在人臉識(shí)別技術(shù)發(fā)展的同時(shí)，未對(duì)其應(yīng)用場(chǎng)景加以合理限制，導(dǎo)致人臉識(shí)別技術(shù)存在被濫用的風(fēng)險(xiǎn)。2019年8月，瑞典Anderstrops的高校應(yīng)用人臉識(shí)別技術(shù)統(tǒng)計(jì)學(xué)生課堂出勤率，被瑞典數(shù)據(jù)監(jiān)管機(jī)構(gòu)(DPA)認(rèn)定違反GDPR的規(guī)定，罰款20萬(wàn)瑞典克朗(約人民幣14.8萬(wàn)元)。瑞典數(shù)據(jù)監(jiān)管機(jī)構(gòu)認(rèn)為：首先，人臉識(shí)別技術(shù)嚴(yán)重侵?jǐn)_了學(xué)生的隱私權(quán)，學(xué)?？梢允褂们趾π愿〉姆绞娇记?；其次，鑒于學(xué)校和學(xué)生之間的不平等關(guān)系，信息主體“同意”并不能等同于法律原則上的“自愿”，因此學(xué)校與家長(zhǎng)之間達(dá)成的協(xié)議不能有效支撐學(xué)校使用人臉識(shí)別技術(shù)[11]。此案引發(fā)對(duì)人臉識(shí)別技術(shù)應(yīng)用場(chǎng)景過(guò)度擴(kuò)張的深入思考，學(xué)校、醫(yī)院這類機(jī)構(gòu)是否有必要應(yīng)用人臉識(shí)別技術(shù)值得進(jìn)一步深思。

3.缺乏對(duì)人臉識(shí)別技術(shù)濫用行為法律責(zé)任的規(guī)定

在舉證責(zé)任層面，我國(guó)民事訴訟通常適用“誰(shuí)主張誰(shuí)舉證”的原則，即由信息主體承擔(dān)信息處理者的侵權(quán)行為以及實(shí)質(zhì)損害結(jié)果的舉證責(zé)任。然而，信息主體一般對(duì)人臉信息侵權(quán)并不知情，即便知情也難以充分證明因信息處理者的違法處理行為而導(dǎo)致實(shí)質(zhì)損害后果[12]。同時(shí)，信息主體一般只能獲知侵權(quán)損害結(jié)果，難以證明人臉信息泄漏的源頭和傳播的途徑，亦難以確認(rèn)侵權(quán)主體的身份[12]。以2016年谷歌遭遇的集體訴訟案件為例，法官最終以原告無(wú)法證明谷歌公司的行為對(duì)其造成“具體損害”，而駁回原告的起訴。由此可見，信息主體舉證難度大，舉證責(zé)任分配規(guī)則有待完善。

在公法層面，《刑法》第253條之一的侵犯公民個(gè)人信息罪對(duì)侵犯公民個(gè)人信息的行為規(guī)定了相應(yīng)的刑事責(zé)任，但該條僅針對(duì)非法盜竊、提供以及出售個(gè)人信息等行為進(jìn)行刑事處罰，并未涉及非法獲取個(gè)人信息行為。同時(shí)，最高人民法院與最高人民檢察院制定的《關(guān)于辦理侵犯公民個(gè)人信息刑事案件適用法律若干問(wèn)題的解釋》亦未明確生物識(shí)別信息的分類和入罪條件。如果將生物識(shí)別信息納入其他信息的范圍中，那么就需要達(dá)到5 000條及以上才能構(gòu)成犯罪，因而難以進(jìn)行有效保護(hù)。人臉信息等生物識(shí)別信息是否應(yīng)當(dāng)納入個(gè)人信息當(dāng)中的健康生理信息，應(yīng)當(dāng)給予進(jìn)一步明確。

四、我國(guó)人臉識(shí)別技術(shù)應(yīng)用法律規(guī)制的完善建議

(一)完善人臉識(shí)別技術(shù)應(yīng)用法律規(guī)制相關(guān)立法

1.賦予個(gè)人信息權(quán)利并界定敏感個(gè)人信息

基于不同的社會(huì)背景和立法考量，歐美立法模式呈現(xiàn)各自的特點(diǎn)。美國(guó)沒(méi)有從聯(lián)邦層面對(duì)人臉識(shí)別進(jìn)行統(tǒng)一的立法規(guī)制，而是采取各州專項(xiàng)立法保護(hù)模式，制定與人臉識(shí)別相關(guān)的法案。伊利諾伊州于2008年率先頒布《生物特征信息隱私法》(Illinois Biometric Information Privacy Act，簡(jiǎn)稱BIPA)，是美國(guó)生物識(shí)別信息專門立法模式的典型代表。然而，美國(guó)使用隱私權(quán)對(duì)人臉信息進(jìn)行保護(hù)，面臨的主要困境是人臉信息侵權(quán)和隱私侵權(quán)的巨大差異?；谌四樞畔⑶謾?quán)結(jié)果通常不是十分顯性，以及信息主體面臨諸多取證難題，民事權(quán)利訴訟救濟(jì)的實(shí)現(xiàn)可能性并不十分充分[13]。然而，歐盟的綜合立法較為成熟，區(qū)分了隱私權(quán)與個(gè)人數(shù)據(jù)權(quán)利，并通過(guò)憲法文件對(duì)個(gè)人數(shù)據(jù)權(quán)利進(jìn)行獨(dú)立確權(quán)。在Michael Schwarz v.Stadt Bochum案件的司法審判過(guò)程中，歐盟法院(CJEU)認(rèn)為生物識(shí)別信息應(yīng)當(dāng)視為公民憲法上的權(quán)利，需得到法律的特別保護(hù)(1)參見 European Court of Justice, Michael Schwarz v Stadt Bochum (Case C-291/12).2013.。因此，我國(guó)可以借鑒歐盟立法經(jīng)驗(yàn)，明確個(gè)人信息具有獨(dú)立的法律地位。在民法上，將個(gè)人數(shù)據(jù)權(quán)定義為新型權(quán)利有助于厘清人臉信息的法律屬性，構(gòu)建侵權(quán)損害的認(rèn)定標(biāo)準(zhǔn)[9]，從而得到更加全面的保護(hù)。

其次，歐美國(guó)家早已根據(jù)敏感程度對(duì)個(gè)人信息進(jìn)行分級(jí)保護(hù)。其中，敏感個(gè)人信息往往承載了更高的人格屬性，需要法律的特別保護(hù)[14]。我國(guó)《規(guī)范》雖然詳細(xì)規(guī)定了生物識(shí)別信息屬于敏感個(gè)人信息，但其分類標(biāo)準(zhǔn)存在缺陷，而且不具有強(qiáng)制效力。有鑒于此，我國(guó)個(gè)人信息保護(hù)立法應(yīng)當(dāng)明確個(gè)人信息的分類分級(jí)制度，將人臉信息等生物識(shí)別信息納入敏感個(gè)人信息規(guī)制范圍，并予以特殊的法律保護(hù)。

2.明確信息主體的權(quán)利和數(shù)據(jù)處理者的義務(wù)與責(zé)任

在權(quán)利內(nèi)容設(shè)定方面，人臉信息主體應(yīng)當(dāng)享有一般性權(quán)利和特殊性權(quán)利。數(shù)據(jù)主體的一般性權(quán)利包括知情權(quán)、訪問(wèn)權(quán)、被遺忘權(quán)、更正權(quán)等。此外，人臉信息作為敏感類個(gè)人信息，其數(shù)據(jù)主體還應(yīng)該享有“書面授權(quán)同意”“合理拒絕權(quán)”“選擇使用權(quán)”等特殊性權(quán)利[8]。在責(zé)任方面，歐盟GDPR以禁止處理個(gè)人數(shù)據(jù)為原則，將“禁止處理”“明示同意”“法定必需”作為人臉信息等敏感類個(gè)人信息保護(hù)的特定原則,需要限制數(shù)據(jù)處理者的資格，對(duì)國(guó)家機(jī)關(guān)和非國(guó)家機(jī)關(guān)的個(gè)人信息收集加以規(guī)范[15]。此外，為保障人臉數(shù)據(jù)安全以及數(shù)據(jù)主體利益最大化，應(yīng)當(dāng)明確數(shù)據(jù)處理者必須合法合規(guī)處理收集的人臉數(shù)據(jù)，接受法定監(jiān)管機(jī)構(gòu)的監(jiān)督和檢查，并采取適當(dāng)?shù)陌踩Ｕ洗胧?/p>

3.明確限定人臉識(shí)別技術(shù)的應(yīng)用場(chǎng)景

任何技術(shù)的發(fā)展和應(yīng)用都應(yīng)有一定邊界。我國(guó)《民法典》第1035條第1款規(guī)定“收集、處理自然人個(gè)人信息的，應(yīng)當(dāng)遵循合法、正當(dāng)、必要原則”。因此，我國(guó)對(duì)人臉信息應(yīng)用場(chǎng)景可以從合法、正當(dāng)、必要三個(gè)層面進(jìn)行限制[16]。首先，滿足合法性。在社會(huì)公共管理應(yīng)用場(chǎng)景下，公權(quán)力機(jī)關(guān)必須合法合理使用人臉識(shí)別技術(shù)，充分發(fā)揮其在刑事偵查、政務(wù)管理以及維護(hù)社會(huì)秩序中的重要作用，并不得逾越法律規(guī)定的適用范圍。在商業(yè)經(jīng)營(yíng)應(yīng)用場(chǎng)景下，任何私營(yíng)主體不得違反法律法規(guī)，并充分考量人臉識(shí)別應(yīng)用帶來(lái)的價(jià)值和效益能否抵消人臉信息泄漏或者濫用造成的損失和代價(jià)[17]。其次，滿足必要原則。必要原則能夠促使信息處理者使用侵害性更小的方式處理個(gè)人信息，有效保障信息主體權(quán)利不被過(guò)度侵犯。最后，需要滿足正當(dāng)原則。人臉識(shí)別技術(shù)不能被盲目和無(wú)限制地使用，如果人臉識(shí)別技術(shù)的應(yīng)用可能導(dǎo)致公民權(quán)利被非法侵害，則應(yīng)當(dāng)被嚴(yán)格禁止使用。

(二)優(yōu)化人臉識(shí)別技術(shù)應(yīng)用的司法救濟(jì)

1.民事法律保護(hù)救濟(jì)途徑

民事法律保護(hù)制度可以從舉證責(zé)任、確定損害賠償?shù)倪m用條件以及完善集體訴訟3個(gè)層面對(duì)人臉識(shí)別技術(shù)進(jìn)行規(guī)制。

第一，確定侵權(quán)的過(guò)錯(cuò)推定和舉證責(zé)任倒置規(guī)則[12]。通常情況下，由于證據(jù)距離的原因以及技術(shù)性強(qiáng)的特點(diǎn)，信息主體對(duì)加害人的主觀過(guò)錯(cuò)以及損害后果與侵權(quán)人的加害行為之間的因果關(guān)系往往難以證明，這對(duì)權(quán)利主體提起民事?lián)p害賠償之訴造成極大阻礙。有鑒于此，我國(guó)可以考慮適用“過(guò)錯(cuò)推定”和“舉證責(zé)任倒置”原則，即信息處理者必須在證明自己無(wú)過(guò)錯(cuò)的情況下，才免除責(zé)任。

第二，確定損害賠償?shù)倪m用條件。傳統(tǒng)損害賠償責(zé)任的認(rèn)定需要以受害人的直接或間接損失為前提。而在Rosenbach v.Six Flags Entertainment Corp一案中，伊利諾伊州最高法院推翻上訴法院的裁決，認(rèn)為只要在本案中被告的行為侵犯原告根據(jù)BIPA規(guī)定所享有的公民權(quán)利，即使沒(méi)有對(duì)原告造成不利影響或者實(shí)質(zhì)侵害后果，原告也可以根據(jù)該法案的規(guī)定向被告尋求損害賠償和禁令救濟(jì)(2)參見 Rosenbach v. Six Flags Entertainment Corp. 2017 IL App(2d)170317,No. 2-17-0317.。因此，即使信息主體在遭受侵害但沒(méi)有造成實(shí)質(zhì)損害的情況下，仍舊可以通過(guò)提起民事?lián)p害賠償之訴并主張精神損害賠償?shù)姆绞絹?lái)保障自己的權(quán)利。

第三，完善集體訴訟制度。美國(guó)BIPA和歐盟GDPR均規(guī)定被侵權(quán)信息主體可以提起私人訴訟并獲得損害賠償?shù)臋?quán)利，表明法律對(duì)個(gè)體權(quán)利保障的重視。然而，人臉信息通常呈集體性泄漏或者被濫用[18]，信息處理者可能同時(shí)侵害多個(gè)信息主體的權(quán)益。因此，在司法實(shí)踐中，除了受害人可以提起集體訴訟之外，公益團(tuán)體以及人民檢察院應(yīng)當(dāng)有權(quán)代表受害人提起公益訴訟，這有助于對(duì)人臉識(shí)別技術(shù)的使用行為形成有效約束。

2.刑事法律保護(hù)救濟(jì)途徑

刑事法律保護(hù)機(jī)制是對(duì)日益泛濫的侵犯人臉信息行為必不可少的法律預(yù)防和制裁措施。我國(guó)《刑法修正案(九)》第253條之一的侵犯公民個(gè)人信息罪規(guī)定禁止非法出售、盜取或者提供公民個(gè)人信息，并規(guī)定情節(jié)嚴(yán)重的處以3年以下有期徒刑，情節(jié)特別嚴(yán)重的處以3年以上7年以下有期徒刑。最高人民法院、最高人民檢察院司法解釋文件《關(guān)于辦理個(gè)人信息刑事案件適用法律若干問(wèn)題的解釋》規(guī)定行蹤和財(cái)產(chǎn)類信息、通信和健康生理類信息以及其他信息的入罪條件分別是50條、500條和5 000條及以上。但是《刑法》和司法解釋均未明確人臉信息的性質(zhì)以及侵犯人臉信息行為的入罪條件。如果將人臉信息確定為其他類信息，即入罪條件在5 000條及以上，難以體現(xiàn)人臉信息對(duì)公民個(gè)人的重要性，亦難以明確其法律地位。因此，可以將生物識(shí)別信息納入健康生理信息范疇，明確人臉信息等生物識(shí)別信息的入罪條件為500條及以上，從公法上加以嚴(yán)格保護(hù)。

(三)強(qiáng)化人臉識(shí)別技術(shù)應(yīng)用的行政監(jiān)管

1.建立統(tǒng)一監(jiān)管主體

我國(guó)對(duì)個(gè)人信息的保護(hù)尚未設(shè)置統(tǒng)一的監(jiān)管機(jī)構(gòu)來(lái)管理，針對(duì)不同的信息處理問(wèn)題是由不同的執(zhí)法機(jī)關(guān)管理的，比如，網(wǎng)信息辦監(jiān)管網(wǎng)上信息泄漏問(wèn)題，公安機(jī)關(guān)監(jiān)管非法盜竊信息問(wèn)題[2]。目前，網(wǎng)信辦和國(guó)家信息中心負(fù)責(zé)統(tǒng)籌網(wǎng)絡(luò)安全和信息化建設(shè)工作以及監(jiān)督管理互聯(lián)網(wǎng)信息內(nèi)容等，但在法律層面上，不具有專門數(shù)據(jù)監(jiān)管機(jī)構(gòu)的地位、性質(zhì)、職能和權(quán)限。歐盟GDPR和美國(guó)各州的生物識(shí)別信息隱私保護(hù)法案，普遍規(guī)定設(shè)置數(shù)據(jù)監(jiān)管機(jī)構(gòu)，并明確其名稱、職能、權(quán)限和責(zé)任。借鑒歐美立法經(jīng)驗(yàn)，我國(guó)行政立法層面應(yīng)當(dāng)設(shè)置國(guó)家數(shù)據(jù)監(jiān)管機(jī)構(gòu)并設(shè)置地方專門行政部門，保障人臉識(shí)別技術(shù)的合法合規(guī)應(yīng)用與持續(xù)發(fā)展。

2.明確監(jiān)管職責(zé)和權(quán)限

數(shù)據(jù)監(jiān)管機(jī)構(gòu)應(yīng)當(dāng)規(guī)定各類信息處理者在使用人臉識(shí)別技術(shù)時(shí)，要將合法、公平、透明、目的限制、必需以及侵入性最小等原則作為基本要求，審查并評(píng)估信息處理者應(yīng)用人臉識(shí)別技術(shù)的客觀要件以及必要性，從而保障信息處理者合法合規(guī)使用人臉識(shí)別技術(shù)。此外，數(shù)據(jù)監(jiān)管機(jī)構(gòu)一般對(duì)信息處理者的各類數(shù)據(jù)處理行為具有法定的審查權(quán)、許可權(quán)、調(diào)查權(quán)、通知權(quán)、指示權(quán)和命令權(quán)等；接受信息主體向數(shù)據(jù)監(jiān)管機(jī)構(gòu)提出的行政控訴；接受信息主體對(duì)信息處理者的投訴并處理投訴等法定義務(wù)。

3.加大行政處罰力度

加強(qiáng)對(duì)人臉識(shí)別技術(shù)的行政監(jiān)管力度，有利于技術(shù)的持續(xù)發(fā)展。域外立法對(duì)企業(yè)實(shí)施較為嚴(yán)重的行政處罰，相比之下，我國(guó)采取行政約談和整改的方式規(guī)制人臉識(shí)別技術(shù)的應(yīng)用，缺乏實(shí)質(zhì)性的行政監(jiān)管處罰。例如，伊利諾伊州BIPA明確闡述私營(yíng)主體在疏忽違法的情況下，需要承擔(dān)不低于1 000美元或者賠償實(shí)際損失的法律責(zé)任；歐盟GDPR設(shè)置嚴(yán)格的行政處罰，對(duì)違反GDRP非法處理個(gè)人信息的企業(yè)采取的懲罰性賠償為1 000萬(wàn)歐元或者企業(yè)年度全球營(yíng)業(yè)額的2%的罰款(以數(shù)額較大者為準(zhǔn))；針對(duì)情節(jié)嚴(yán)重的可以處以2 000萬(wàn)歐元或者企業(yè)年度全球營(yíng)業(yè)額的4%的罰款。歐盟加大企業(yè)數(shù)據(jù)合規(guī)監(jiān)管力度，促使企業(yè)合法合理應(yīng)用人臉識(shí)別技術(shù)。因此，我國(guó)可以借鑒歐盟的立法經(jīng)驗(yàn)，立足自身國(guó)情，在保障人臉識(shí)別技術(shù)健康發(fā)展的前提下，進(jìn)一步增強(qiáng)對(duì)人臉識(shí)別技術(shù)應(yīng)用的行政監(jiān)管。

(四)提升人臉識(shí)別技術(shù)應(yīng)用的行業(yè)自律

1.強(qiáng)化企業(yè)數(shù)據(jù)保護(hù)責(zé)任

企業(yè)在收集和存儲(chǔ)人臉信息時(shí)，應(yīng)當(dāng)確保用戶信息安全。首先，企業(yè)應(yīng)當(dāng)構(gòu)建安全問(wèn)責(zé)機(jī)制。具體而言，企業(yè)需要建立健全審計(jì)機(jī)制，定期對(duì)人臉信息進(jìn)行審計(jì)以及培訓(xùn)數(shù)據(jù)處理人員，并聘請(qǐng)專業(yè)隱私機(jī)構(gòu)對(duì)企業(yè)人臉數(shù)據(jù)的存儲(chǔ)和應(yīng)用進(jìn)行審查和評(píng)估。其次，數(shù)字化產(chǎn)業(yè)中的企業(yè)，收集的用戶個(gè)人信息可能同時(shí)包含一般個(gè)人信息和敏感個(gè)人信息。在多級(jí)個(gè)人信息保護(hù)場(chǎng)景中，應(yīng)當(dāng)符合法律對(duì)最高級(jí)別信息收集、處理與應(yīng)用的要求[9]。比如手持身份證的面部拍照，鑒于對(duì)人臉信息的保護(hù)要求，企業(yè)應(yīng)當(dāng)采取敏感個(gè)人信息保護(hù)的相關(guān)規(guī)定對(duì)此類信息進(jìn)行收集和處理。

2.明確企業(yè)使用數(shù)據(jù)規(guī)則

企業(yè)在使用和共享人臉信息時(shí)，應(yīng)當(dāng)著重加強(qiáng)人臉信息應(yīng)用過(guò)程的規(guī)范管理。企業(yè)應(yīng)用人臉識(shí)別技術(shù)首先應(yīng)當(dāng)滿足合法、正當(dāng)、必要等法律原則。其次，在多元義務(wù)主體對(duì)人臉信息的應(yīng)用中，普遍存在第三方經(jīng)營(yíng)者參與數(shù)據(jù)處理的情形，從而增加了人臉信息被非法傳播與利用的風(fēng)險(xiǎn)。為降低個(gè)人敏感信息被濫用的風(fēng)險(xiǎn)，我國(guó)應(yīng)當(dāng)將第三方經(jīng)營(yíng)者納入風(fēng)險(xiǎn)評(píng)估機(jī)制中，防止其逃脫責(zé)任[19]。此外，數(shù)據(jù)控制者必須保證第三方機(jī)構(gòu)達(dá)到國(guó)家信息安全認(rèn)證標(biāo)準(zhǔn)并具有一定的安全保障能力，能夠及時(shí)維護(hù)人臉信息的安全存儲(chǔ)和處理，如此才可以向第三方機(jī)構(gòu)共享和轉(zhuǎn)讓人臉信息[15]。如果數(shù)據(jù)控制者明知或者應(yīng)知第三方機(jī)構(gòu)存在數(shù)據(jù)安全風(fēng)險(xiǎn)仍向該機(jī)構(gòu)共享人臉信息的，將承擔(dān)連帶法律責(zé)任。