□ 胡立彪

近日，“亮劍浦江·2024”消費(fèi)領(lǐng)域個人信息權(quán)益保護(hù)專項(xiàng)執(zhí)法行動總結(jié)暨交流研討活動在上海舉辦。此次活動受到社會廣泛關(guān)注，主要原因是專項(xiàng)行動重點(diǎn)治理消費(fèi)領(lǐng)域?yàn)E用人臉識別技術(shù)亂象，并提出了“不刷臉為原則、刷臉為例外”的行動目標(biāo)。

售貨柜支付刷臉、健身房進(jìn)門刷臉、住賓館登記刷臉……刷臉，正在越來越頻繁地嵌入人們的日常生活。但在處處“要臉”的時代，個人信息安全保護(hù)問題日益凸顯。如果人臉識別技術(shù)應(yīng)用得不到有效規(guī)制，其誤用和濫用將讓人們面臨各種“丟臉”風(fēng)險。

與指紋、虹膜、聲音等人的生物學(xué)特征信息一樣，人臉也具有唯一性、永久性的特點(diǎn)。人臉識別是基于人的面部特征信息進(jìn)行身份識別的一種生物識別技術(shù)。這種技術(shù)具有高效、準(zhǔn)確的特性。人臉識別技術(shù)的應(yīng)用是把“雙刃劍”，在方便生產(chǎn)生活的同時也帶來安全隱患。全國信息安全標(biāo)準(zhǔn)化技術(shù)委員會等機(jī)構(gòu)發(fā)布的《人臉識別應(yīng)用公眾調(diào)研報(bào)告》顯示，94.07%的受訪者表示用過人臉識別技術(shù)，64.39%的受訪者認(rèn)為人臉識別技術(shù)有被濫用的趨勢，30.86%的受訪者反映已經(jīng)因?yàn)槿四樞畔⑿孤丁E用等遭受損失或者隱私受侵犯?，F(xiàn)實(shí)中，人臉識別技術(shù)應(yīng)用失范已經(jīng)引發(fā)一系列社會問題，如倒賣人臉信息、非法查閱甚至買賣圖像監(jiān)控信息、運(yùn)用人臉信息進(jìn)行深度合成從而進(jìn)行詐騙等犯罪活動；一些犯罪分子利用非法手段破解人臉識別驗(yàn)證程序，實(shí)施竊取財(cái)產(chǎn)等犯罪行為。

我國刑法、民法典、網(wǎng)絡(luò)安全法、數(shù)據(jù)安全法、個人信息保護(hù)法等法律均對個人信息保護(hù)和數(shù)據(jù)安全作出規(guī)定。人臉生物信息屬于敏感個人信息，應(yīng)受到法律特殊保護(hù)。按照個人信息保護(hù)法的規(guī)定，使用人臉識別技術(shù)時，應(yīng)堅(jiān)持兩個重要原則：合法性和必要性。合法性是指要有法律依據(jù)。個人信息保護(hù)法明確了兩個合法性依據(jù)，一是告知同意，即取得公民的同意；二是基于公共安全需要（比如乘坐飛機(jī)、高鐵等，這些場景不需要單獨(dú)取得個人同意，因?yàn)檫@是民航、鐵路機(jī)構(gòu)在履行保障公共安全的法定義務(wù)）。必要性尤為重要，即使合法使用人臉識別技術(shù)，也要遵從必要性原則——只有那些特定的、必須通過獲取人臉信息來實(shí)現(xiàn)身份識別的業(yè)務(wù)場景才可使用這一技術(shù)。因此，必要性原則可以概括為“非必要不刷臉”，或“不刷臉為原則、刷臉為例外”。

依據(jù)上述原則，在網(wǎng)球場、游泳館等體育健身場所消費(fèi)及在自動售貨柜購物等，屬于非必須使用人臉識別技術(shù)的消費(fèi)場景。經(jīng)營方可以通過傳統(tǒng)的會員卡、門禁卡、密碼支付等方式用于身份識別或收費(fèi)服務(wù)等。經(jīng)營方不得以消費(fèi)者不同意處理其人臉信息或撤回同意為由，拒絕提供相應(yīng)的產(chǎn)品或服務(wù)。

目前經(jīng)營場所不規(guī)范使用人臉識別技術(shù)的情況較為普遍，一方面是因?yàn)榻?jīng)營方使用該技術(shù)便于管理，且可以獲取大量消費(fèi)者數(shù)據(jù)為其經(jīng)營帶來更多利潤（如識別新老客戶、為客戶畫像進(jìn)行精準(zhǔn)推送等）；另一方面是因?yàn)椴糠纸?jīng)營者個人信息安全保護(hù)意識淡薄，存在個人信息“沒那么重要”“沒必要特殊保護(hù)”等僥幸心理，怠于履行個人信息保護(hù)義務(wù)。同時，生物信息收集場景復(fù)雜，涉及行業(yè)廣泛，監(jiān)管部門難以全方位無死角監(jiān)督，且現(xiàn)行法規(guī)存在模糊地帶與滯后之處，新技術(shù)應(yīng)用時產(chǎn)生的諸多監(jiān)管空白使得部分機(jī)構(gòu)有機(jī)可乘。

加強(qiáng)個人信息保護(hù)，讓“非必要不刷臉”原則落實(shí)見效，需要進(jìn)一步完善相關(guān)法律法規(guī)，明確個人信息處理者收集、使用等環(huán)節(jié)的責(zé)任義務(wù)。對現(xiàn)行的生物信息處理模式進(jìn)行重新審視，推動從“原則允許模式”向“原則禁止模式”轉(zhuǎn)變。制定相關(guān)規(guī)范標(biāo)準(zhǔn)，列出經(jīng)營服務(wù)場所禁止收集、使用人臉信息的“負(fù)面清單”。加強(qiáng)法律法規(guī)宣傳教育，推動各類個人信息處理者學(xué)法知法守法，樹立正確的個人信息保護(hù)意識，采取有效措施保障個人信息安全。執(zhí)法層面應(yīng)加強(qiáng)多部門聯(lián)動協(xié)同，提高監(jiān)測技術(shù)水平，加大日常檢查與違法違規(guī)查處力度，依法打擊非法收集、濫用個人生物信息行為。