“強制刷臉”受到規(guī)范 人臉信息安全保護有了新辦法

賓館客房、公共浴室等內(nèi)部不得安裝人臉識別設(shè)備，“強制刷臉”受到規(guī)范

人臉信息安全保護有了新辦法(深閱讀)

小區(qū)門禁必須“刷臉”才能解鎖，移動支付平臺不知何時開通了“掃臉即付”，人臉信息在不法平臺上“0.5元一張”……人臉識別技術(shù)便利人們生活的同時，隨之而來的一些現(xiàn)象也引發(fā)了公眾對個人信息安全的擔憂。

以個人信息保護法為代表，各部門從立法、執(zhí)法等多方面不斷加強人臉識別技術(shù)應(yīng)用的治理。3月，國家網(wǎng)信辦、公安部聯(lián)合公布了《人臉識別技術(shù)應(yīng)用安全管理辦法》(以下簡稱《辦法》)，對應(yīng)用人臉識別技術(shù)處理人臉信息的基本要求和處理規(guī)則、人臉識別技術(shù)應(yīng)用安全規(guī)范等作出規(guī)定，將于6月1日起實施。

煩 惱

濫用人臉識別，信息儲存不當

“告知—同意”是個人信息保護法等確立的個人信息保護核心規(guī)則，將信息主體的“同意”視為人臉信息處理行為的必要條件。但常有商家無視“告知—同意”原則，濫用人臉識別。

此前，某裝修企業(yè)被曝光在各門店安裝了具備人臉識別功能的攝像頭，顧客一旦進入該企業(yè)門店，人臉信息就會在不知情的情況下被捕捉、記錄，以后顧客再去哪家店、去了幾次、如何談價，該企業(yè)都能知道。

清華大學法學院教授程嘯表示：“該企業(yè)的行為，顯然不符合個人信息保護法中的‘告知—同意’原則。”在很多應(yīng)用場景，人臉識別設(shè)備的安裝和使用既不會明確告知用戶，也不會征求用戶的同意，用戶的人臉信息被悄悄地收集和使用，甚至未經(jīng)授權(quán)就挪作他用。

“信息處理者與個人之間存在著明顯的信息不對稱，個人往往缺乏足夠的信息和知識來評估信息收集的風險和后果，有些人也隨意就‘同意’了。”華東政法大學教授張勇說。

同時，不當使用人臉識別技術(shù)導致的敏感個人信息泄露也廣受關(guān)注。

一些不法分子利用深度偽造技術(shù)和泄露的人臉信息，結(jié)合AI(人工智能)換臉，實施犯罪行為。去年夏天，浙江某地公安機關(guān)發(fā)現(xiàn)，境外某平臺上有團伙在推廣“幫忙獲取他人網(wǎng)絡(luò)信息”的業(yè)務(wù)。其宣稱，可以利用大模型技術(shù)，結(jié)合非法獲取的人臉信息制作視頻，突破平臺登錄的人臉識別驗證，從而強制登錄平臺賬號。

公安機關(guān)調(diào)查發(fā)現(xiàn)，該團伙人員利用外國某AI大模型，結(jié)合非法獲取的人臉照片，輸出人臉視頻，進而突破認證，登錄賬號，進一步竊取更多個人信息。很快，相關(guān)犯罪嫌疑人被公安機關(guān)抓獲。

此外，人臉識別系統(tǒng)因技術(shù)問題產(chǎn)生誤判、部分人臉信息收集者對所收集信息存儲不當、特定領(lǐng)域人臉信息處理規(guī)定過于寬泛等問題，也困擾著廣大群眾。

“這些人臉識別亂象，不利于構(gòu)建安全清朗的網(wǎng)絡(luò)生態(tài)、保護個人權(quán)益。”廈門大學法學院教授郭春鎮(zhèn)說，要健全人臉識別的法律規(guī)制模式，回應(yīng)群眾關(guān)切。

探 索

針對亂象，出臺完善相關(guān)規(guī)范

如何應(yīng)對刷臉亂象?

“在信息處理中，個人面對的是強大的、組織化的信息處理機構(gòu);加之信息時代下個人信息處理往往是動態(tài)化、復(fù)雜化的，個人難以在參與及做出選擇的過程中保持知情及自治。因此，國家需要以行政執(zhí)法、公益訴訟等積極行動保護個人信息安全。”北京大學法學院教授王錫鋅說。

就在3月28日，中央網(wǎng)信辦、工業(yè)和信息化部、公安部、市場監(jiān)管總局聯(lián)合發(fā)布公告，將開展2025年個人信息保護系列專項行動，其中就明確將“公共場所違法違規(guī)收集使用人臉識別信息”作為重點問題之一。近年來的“清朗”系列專項行動，也多次涉及人臉識別的相關(guān)問題。

人臉識別相關(guān)的違法侵權(quán)行為，往往存在取證難等問題，個人維權(quán)有時尤其難。這類行為侵害的一般又是很多人的利益。因此，根據(jù)個人信息保護法規(guī)定，檢察機關(guān)等可以提起公益訴訟。

“高清頭像”“可過臉”……廣東廣州某區(qū)檢察院在辦理一宗侵犯公民個人信息罪案件時，注意到了卷宗里的一些詞。鄭某等4人出售包括人臉在內(nèi)的公民個人信息2000余條，造成大量公民個人信息被泄露甚至被冒用。

很快，鄭某等受到了刑事處罰。但相關(guān)公民的人臉等信息權(quán)益還沒有得到復(fù)原補償，非法售賣人臉信息造成的危害仍繼續(xù)存在。

于是，廣東廣州某區(qū)檢察院以鄭某等4人為被告向法院提起民事公益訴訟。最終，法院要求4人配合切斷違法獲取個人信息售賣的網(wǎng)絡(luò)，以個人違法所得為標準支付公益損害賠償金，同時以公益宣傳等方式彌補和修復(fù)其對社會公共利益造成的損害。

打擊行動見成效，而要從根本上、長遠上解決問題，還需相關(guān)規(guī)范的跟進完善。

進出小區(qū)只能刷臉，合法嗎?2021年7月，最高人民法院發(fā)布關(guān)于審理使用人臉識別技術(shù)處理個人信息相關(guān)民事案件適用法律若干問題的規(guī)定。其中明確，物業(yè)服務(wù)企業(yè)或者其他建筑物管理人以人臉識別作為業(yè)主或者物業(yè)使用人出入物業(yè)服務(wù)區(qū)域的唯一驗證方式，不同意的業(yè)主或者物業(yè)使用人請求其提供其他合理驗證方式的，人民法院依法予以支持。

立法不會缺位。“處理敏感個人信息應(yīng)當取得個人的單獨同意”，2021年頒布的個人信息保護法對于人臉識別作出了規(guī)定。

“此外，網(wǎng)絡(luò)安全法、數(shù)據(jù)安全法、網(wǎng)絡(luò)數(shù)據(jù)安全管理條例等法律、行政法規(guī)都對包括人臉信息在內(nèi)的個人信息保護作出了規(guī)定。”中國信息通信研究院互聯(lián)網(wǎng)法律研究中心主任何波說。

跟 進

厘清法律邊界，防范技術(shù)風險

“此前的法律、行政法規(guī)對個人信息保護的規(guī)定較為原則，缺乏針對人臉識別技術(shù)應(yīng)用的專門規(guī)則。”何波表示。

民有所呼，法有所應(yīng)�！掇k法》出臺，對人臉識別技術(shù)應(yīng)用的范圍和要求作出具體規(guī)定�！掇k法》聚焦人臉識別技術(shù)常見應(yīng)用場景，為人臉信息的處理劃定了清晰的法律邊界，有效遏制技術(shù)濫用風險。

“《辦法》的一大特點，就是對人臉識別技術(shù)使用中人民群眾反映強烈、社會關(guān)注度高的問題，給出明確具體的回應(yīng)，體現(xiàn)了鮮明的問題導向。”國家網(wǎng)信辦數(shù)據(jù)與技術(shù)保障中心副主任王志成說。

去年，有消費者向有關(guān)部門反映，上海某區(qū)某游泳館更衣室，采用了人臉識別的方式開啟更衣柜。“屏幕會出現(xiàn)附近來往顧客沒穿衣服的畫面，對個人隱私造成極大危害。”該消費者說。

對此，該區(qū)委網(wǎng)信辦協(xié)同市場監(jiān)管、公安等有關(guān)部門，核實查驗、指導整改，并依法作出行政處罰。

王志成介紹，針對社會廣泛關(guān)注的公共場所、私密空間濫用人臉識別技術(shù)的問題，《辦法》第十三條明確規(guī)定“任何組織和個人不得在賓館客房、公共浴室、公共更衣室、公共衛(wèi)生間等公共場所中的私密空間內(nèi)部安裝人臉識別設(shè)備”。

針對社會關(guān)注的諸多熱點，《辦法》給出了回應(yīng)：

——針對強制使用人臉識別技術(shù)問題，例如某銀行APP強制人臉驗證登錄，某健身房強制會員刷臉入場等，《辦法》確立非唯一驗證原則，第十條明確規(guī)定“實現(xiàn)相同目的或者達到同等業(yè)務(wù)要求，存在其他非人臉識別技術(shù)方式的，不得將人臉識別技術(shù)作為唯一驗證方式”。同時，為了減少人臉信息收集、存儲，第十一條明確規(guī)定“應(yīng)用人臉識別技術(shù)驗證個人身份、辨識特定個人的，鼓勵優(yōu)先使用國家人口基礎(chǔ)信息庫、國家網(wǎng)絡(luò)身份認證公共服務(wù)等渠道實施，減少人臉信息收集、存儲，保護人臉信息安全”。

——針對社會反映強烈的部分弱勢群體的人臉信息權(quán)益受損的問題，《辦法》第五條規(guī)定“處理殘疾人、老年人人臉信息的，還應(yīng)當符合國家有關(guān)無障礙環(huán)境建設(shè)的規(guī)定”。

…………

“《辦法》通過個人信息保護影響評估機制，要求個人信息處理者事前評估處理活動的合法性和風險;通過備案制度，增強個人信息處理者責任意識并便于監(jiān)管部門開展監(jiān)督;通過數(shù)據(jù)加密、入侵檢測和防御等要求，促進個人信息處理者持續(xù)改進安全策略和保護措施。”中國法學會網(wǎng)絡(luò)與信息法學研究會常務(wù)副秘書長周輝介紹。

張勇說，保護人臉信息安全，需要社會各方努力，建議加強包括人臉信息在內(nèi)的個人信息保護宣傳教育，提升個人信息保護法治意識。