從數據合規角度論人臉識別技術應用實務
- 瀏覽：1495
隨著近兩年國家層面監管政策不斷細化，我國建設合規時代的大幕已然拉開，其中數據合規部分得到了國家的高度關注。數據資源作為新時代的戰略性資源，對國家經濟發展起到了不可或缺的作用。個人信息作為數據資源中最為隱秘且難以保護的部分，所能產生的利益價值更是遠大于其他數據，其所面臨的安全風險相比較其他數據資源來說也將更高、更頻繁。因此，筆者將推出數據合規系列專業研討文章，以期對大家有所助益。
在本篇中，筆者將選取數據合規中的一小分支，即人臉識別作為切入點，從人臉識別應用的現實狀況出發，結合人臉識別的法律及監管要求，分析厘清人臉識別不同應用場景下的合規指引。
一、人臉識別技術應用的現實狀況與主要功能
人臉識別技術，是指基于人的面部特征對信息主體進行身份識別的技術。其技術原理系基于卷積神經網絡等深度學習算法，通過對人臉數據中的特征向量進行重復多次學習和訓練，從而使信息識別的精準度大幅提升。
人臉識別數據，是人臉圖像經過處理后得到的可單獨或與其他信息結合來識別特定自然人或特定自然人身份的數據。由于此類數據具有“可識別到特定個人”的特征，我國《個人信息保護法》及《最高人民法院關于審理使用人臉識別技術處理個人信息相關民事案件適用法律若干問題的規定》把作為生物識別信息的人臉識別信息劃分為敏感個人信息，需做特殊的數據合規保護，使得人臉識別信息在個人信息的保護與使用中找到平衡。
1、人臉識別技術應用的現狀
由于人臉識別技術具有易被采集、不可變更、不易察覺、無需接觸即可實現識別驗證等特點，使得人臉信息相較于其他生物識別信息（如指紋、耳廓、虹 膜、掌紋、DNA）更容易被普及應用。
按照人臉識別應用場景區分，大體可分為線上線下兩個場景。線上主要體現為App、小程序等收集使用人臉信息合規問題，線下主要是商場門店、住宅小區、公司單位等使用人臉識別設備的合規問題。
與此同時，國內外均出現了大量因人臉識別應用而產生的司法案例。據中國裁判文書網公布的數據統計，目前我國在未取得數據主體知情同意的情況下，使用人臉識別所產生的糾紛高達33%，侵犯隱私自由高達25%，配套系統不完善和人臉信息盜用賬戶是各15%，販賣信息是10%。其中，較為著名的有郭兵與杭州野生動物世界有限公司服務合同糾紛案（以下簡稱“我國人臉識別第一案”）；售樓處顧客因防止自己被人臉識別技術以隱蔽方式自動化決策分析而戴頭盔前往售樓處看房；美國Facebook公司因濫用人臉識別技術引發其在伊利諾伊州的集體訴訟而賠償6.5億美元等等。
2、人臉識別技術的主要功能
?1）人臉驗證功能：是指將采集的人臉識別數據與存儲的特定自然人的人臉識別數據進行比對，以確認特定自然人是否為其所聲明的身份，即1:1身份驗證。典型的應用場景包括公司門禁系統驗證、移動APP登錄、刷臉支付，以及機場、火車站的人證比對。該功能的實現往往需要數據主體的主動配合，比如注視識別設備，有些精度高的人臉識別系統還要求數據主體配合完成眨眼搖頭等動作。
2）人臉辨識功能：是指將采集的人臉識別數據與已存儲的人臉數據庫進行比對，從而識別特定自然人，即1:N身份比對。以識別特定自然人。該功能多運用于維護公共安全的場景，由公權力機關主導居多，例如警方在尋找失蹤人口時運用該技術比對人臉特征。
3）人臉分析功能：是指不開展人臉驗證或人臉辨識，僅通過識別已采集的動態人臉圖像信息，進行統計、檢測、分析或自動化決策。其中，外在分析側重于統計數據主體的性別、數量等，如統計某一區域特定時間段內的人流量；內在分析側重于數據主體本身的狀態，如通過識別表現在面部的神情來判斷主體是否專注，甚至監視心情的變化，如智能汽車對于司機駕駛狀態的分析，學校在教室當中安裝人臉識別設備，對學生聽課時的神情變化進行識別記錄等等。
通過以上對人臉識別技術功能的詳細認知，我們進一步深化了解了人臉識別技術的不同場景化表現，從而更精確的掌握不同場景劃分下的內在邏輯，準確定位特定場景內的風險責任主體及數據合規路徑，由此才能最小化、精準化、低成本的為企業做好數據合規體系建構，真正實現數據使用與合規的平衡。
二、人臉數據合規治理的法律及監管要求
在現行法律規定當中，人臉圖像作為生物識別信息，是對合規性要求最高的?！秱€人信息保護法》、《人臉識別數據安全要求》）、《人臉識別司法解釋》等均對生物識別信息的處理做出了嚴格的規定，據此筆者總結出，人臉識別需要符合四條要求，分別系符合最小必要原則要求、符合單獨同意+明示告知要求、提供非人臉識別替代方案以及安全保障的要求。以上四條需同時滿足，方能達到人臉識別技術應用在實務中的合規可能。
同時，筆者從使用人臉識別技術要求和面部生物識別處理要求兩方面，對監管要求進行如下總結：
三、人臉識別技術應用在實務中的合規指引
1、最小必要原則
人臉識別數據屬于敏感個人信息，只有具有特定的目的和充分的必要性才可以處理。實踐中，以上兩點需要從場景出發具體判斷。本篇中，筆者提出以下兩個典型應用場景進行實務探討。
其一，在網絡游戲中，國家實行未成年人防沉迷保護機制，除了填寫身份證賬號以及姓名信息來辨別用戶是否為未成年人外，很多游戲公司還會開發未成年人防沉迷系統的人臉識別功能來達到辨別用戶是否是未成年人的目的。例如，當系統檢測到帳號行為疑似為未成年人進行時，會強制開啟未成年人人臉識別驗證服務。在這種情況下，從社會公益及保護未成年人的角度來看，此類措施有其合理性，但是，若從數據合規的角度來看，這種強制搜集人臉信息來判斷是否為未成年人的行為是否必要？換言之，通過人臉識別的方式驗證用戶是否為未成年人，是否是唯一的手段？這在現實中就具有較大爭議。
針對這一問題，筆者建議，游戲公司在實務中對此技術的應用應保持審慎的態度，并及時與監管部門溝通合規事宜，討論是否可以通過未成年人模式限制游戲時間等替代性方案實現合規，以免出現違規收集的后果。
其二，如前文中所提到的“我國人臉識別第一案”即杭州野生動物園的郭兵案。該案事實系郭兵去拍照時，動物園收集了郭兵的面部特征信息，并告知郭兵拍照系辦卡所需。但后來，動物園在未取得郭兵本人知情同意的情況下，采取面部激活措施，將郭兵辦卡時所采集的面部特征進行技術處理，變成人臉識別信息。所以最后法院認為，動物園從照片當中提取面部識別的特征信息這一步是沒有告知本人的，即在實際上擴大了信息處理的范圍，不僅超出事前收集目的，也存在侵害當事人面部特征信息的可能威脅。最后，法院支持原告郭兵的訴訟請求，要求動物園刪除人臉識別信息。該案例很大程度上推動了我國人臉識別技術應用在實務中的合規發展，也明確了在處理數據過程中，信息處理者要嚴格遵循數據主體提供數據時的目的，若中途變更目的或使用范圍，應當及時取得數據主體的單獨同意。這也是對于信息處理者使用數據的嚴格限制。
2、單獨同意和明示告知
根據《個人信息保護法》第29條和《人臉識別司法解釋》第2條的規定，處理人臉識別信息應當告知用戶如下信息：1）個人信息處理者的名稱或者姓名和聯系方式；2）處理的目的、方式和個人信息的種類、保存期限；3）個人行使權利的方式和程序；4）處理敏感個人信息的必要性以及對個人權益的影響。
同時，處理人臉識別數據要取得個人單獨同意。處理未成年人個人信息還要征得其父母或監護人的同意。App、小程序等在收集人臉信息時需要通過彈窗提示等方式征得用戶的單獨同意。
對此項合規落地方案，筆者建議：
1）單獨同意：
A.關于人臉識別功能的授權，須提供單獨的同意選項，以免與其他授權綁定取得數據主體授權。
B.建議提供多種身份驗證的方式，當個人拒絕使用人臉識別驗證時，允許個人通過其他方式進行身份驗證，以降低被認定為強迫或變相強迫獲取面部生物識別信息的風險。
C.如果獲得長期允許（如“始終允許”、“使用APP時允許”）人臉識別的同意的，還需要向個人提供可以隨時撤回此種授權的途徑，且該撤回選項應當輕易被數據主體找到。
2）明示告知：
A.設置警示標志（如語音提示、警示線等），確保個人充分感知到特定區域使用了人臉識別設備，防止個人在不知情的情況下步入自動識別設備覆蓋區域；
B.通過書面告知等形式，確保使用個人在步入自動識別設備覆蓋區域前，獲知信息處理者對面部生物識別信息的處理目的、處理方式、保存期限等信息；
C.通過書面等形式，確保取得個人的同意；
D.在行人必經的區域和通道上，應控制自動識別設備的覆蓋區域，避免全覆蓋；
E.應向個人提供除人臉識別外其他身份驗證的方式，且在技術上保證當個人選擇其他身份驗證方式時不被設備自動采集人臉圖像。
3、提供非人臉識別替代方案
根據《人臉識別司法解釋》第4條和《人臉識別數據安全要求》的規定，信息處理者不得強迫用戶使用人臉識別，要保證用戶的自主選擇權，同時要為用戶提供非人臉識別替代方案。
筆者建議：App、小程序等運營者應該盡量提供非人臉識別替代方案，尤其不得在非需要人臉信息的界面隨意收集人臉信息，更不可在非必要進行人臉識別的功能區域內，采取不同意人臉識別即不能使用該功能的設定。另外，對于小區、公司等建筑物樓宇管理者，也應杜絕強制性有且只有采取人臉識別驗證方能入內的方式，在門禁卡可以實現驗證身份的情況下，讓數據主體有對人臉識別應用自主選擇的權利，方能實現數據合規的基本需求。
4、安全保障要求
根據《人臉識別司法解釋》的規定，企業需要采取應有的技術措施確保收集、存儲的人臉信息安全。未采取應有的技術措施或者其他必要措施確保其收集、存儲的人臉信息安全，致使人臉信息泄露、篡改、丟失，屬于侵害自然人人格權益的行為。
筆者建議：企業在收集，存儲人臉信息時，可采取以下安全措施：1)加密存儲和傳輸人臉識別數據；
2）采用物理或邏輯隔離分類分級存儲人臉識別數據和個人身份信息；
3）原則上不應存儲原始人臉信息。（僅存儲個人生物識別信息的摘要信息；或在使用面部識別特征、指紋、掌紋、虹膜等實現識別身份、認證等功能后刪除可提取個人生物識別信息的原始圖像。
四、人臉識別技術場景評估制度體系化建議
在數據合規體系建構過程中，評估制度的確立及其成熟度直接影響了數據合規方案最終的落地程度。人臉識別技術在被應用部署前，亦應當通過公共機構或信息處理者自評估或組織第三方評估。
1、應結合場景對人臉識別技術應用的必要性進行評估。筆者認為，只有在基于特定目的、存在充分的必要性，并采取嚴格保護措施的情形下，信息處理者方可收集和處理人臉識別信息。
2、圍繞人臉識別技術的精準度及安全性展開評估。現實中，已有通過3D圖片和視頻換臉等高緯度仿真技術破解人臉識別技術分析系統的不法活動，人臉信息一旦被泄露或篡改濫用，將引發極為嚴重的人身財產損失、社會危害乃至國家安全風險，因此評估人臉識別技術的安全性更具有重要意義。
3、信息處理者應建立敏感個人信息數據合規安全風險常態化自評估體系。成熟的自評估體系建設是企業產品安全的內部標志，不僅對于人臉信息的收集、存儲和使用，其他數據安全也應當從數據生命全周期的角度入手，形成自評估常態化機制，以便合規落到實地。
（如有需要可聯系筆者，獲取《人臉信息數據合規系評估清單》）
（南京大學宋忻怡博士對本文寫作亦有貢獻，特此致謝?。?/p>
北京市京師律師事務所律師、京師律所（全國）青年律師工作委員會秘書、數據合規法律事務部籌建人。EXIN-DPO；數據安全師；企業合規師（高級）；中國中小企業協會調解員。
