高富平：人脸识别的法律风险和规制

刘海明

原文来源：数字经济与社会

原文链接：https://mp.weixin.qq.com/s/c83cBborcoMmYug-2ZEb-A

人类时常使用人脸来辨识个人，而计算机技术出现和应用后，使人具有自动识别个人的能力，这便是今天引人注目的人脸识别技术。这是一项伴随计算机应用，在上世纪60年代就出现的技术，只是这几年才日益瞩目。它现在面向移动设备为创新解决方案提供支持（例如，个人照片应用程序和辅助身份验证）。

尤其是最近名为ZAO的AI换脸软件在社交媒体疯狂刷屏，人们只需要一张正脸照就可以对视频中人物的脸进行替换，既可以换成自己的脸，也可以换成别人的脸，能够达到以假乱真的效果。这个软件带来的法律问题已超过迄今为止所有相关的软件和技术，将人工智能“人脸识别”问题推上了风口浪尖。

人脸识别带来的隐忧

人脸识别也称为面部识别，是一种旨在识别图像或视频中人的方法。它通过人的面部特征来识别或验证某个人身份，包括获取、分析和比对三个过程：

（1）人脸探测（face detection），即探测和定位图像和视频人脸；

（2）人脸抓取(face capture)，基于个人面部特征，将面部信息（模拟信息）转变为数字信息（数据）；

（3）人脸匹配，验证两张人脸属于同一个人。人脸识别属于生物测定学（Biometrics）范畴，本质上是使用一组关联某人的唯一性识别和验证数据来识别和验证个人身份。识别回答，“你是谁？”验证回答“你是否真的是你所说的你”。随着多维传感器抓取人面部特征技术的进步，人脸识别成为继指纹、虹膜扫描、语音识别等之后识别或验证人身份的便捷生物识别技术。

人脸识别早已经进入我们的日常生活，这项技术逐渐地替代用户名+密码打开计算机、手机或某个信息系统，我们逐渐享受刷脸支付、进入机场或车站，使用含有人脸识别的管理软件管理个人照片或在社交网络识别朋友等。人脸识别也正在被广泛应用于当事人身份验证、送达等法律实施和判决执行领域，应用于检测潜在客户特征（如年龄、性别等）以更精准投放广告等商业领域。如此等等的应用，似乎正预示着人脸即身份时代的来临。

与此同时，人脸识别也带来人们对隐私和安全方面的担忧。人脸识别技术本是用来验证“你是否真的是你所说的你”，确保在未亲临现场的情形下，一个行为是由本人亲自实施的，是解决电子支付、网络交易、网络申请公共服务等身份安全问题最有效的技术措施。但是，一旦我们自己的“生物密码”丢失或者被人换来换去，或者他人可以真实地冒充自己，那么验证人身份真实性的最后一道屏障将会崩塌。人脸特征具有终身唯一且无法改变的特点，人们可以频繁更换密码，但很难通过频繁“换脸”来保证账户的安全性。一旦发生“盗脸”，不仅是隐私泄露问题，更是会给自己人身和财产带来安全风险。一旦他人有了跟你面部特征相同的数据，他戴上高清3D面具，配合系统指令做出相应动作，就可以实施各种欺诈，演绎现实版的电影《变脸》，具有较大的社会危害性。

安全隐患的关键是应用

但是，上述的安全问题不是该项技术本身问题，而是应用问题，是用于了不该用于的目的，实施了不该实施的行为。人脸识别技术广泛普及使用，使人们可以在公众中识别出某个人，甚至跟踪某个人的位置、运动和跟随等，而该人却不知悉。当该项技术用于侦察犯罪分子就是为了公共安全；当用于跟踪他人，就可能侵犯隐私，干涉他人自由；而冒充他人，就是在实施犯罪。因此，人脸识别技术是否有害关键在于如何使用。

正因为该项技术有被人利用干“坏事”的可能，因而就对利用该项技术的主体的信息安全水平提出了更高的要求。人脸被数字化处理后构成了一个人的“活体数据”，一旦泄露或被不法利用，其风险远高于其他识别性信息。我们身份认证所依赖的身份证系统是通过权威的身份登记系统来维系的，对于掌握和利用我们生物身份信息的主体，我们有理由苛以严格的程序和安全义务，以确保生物识别信息的安全，防范无可挽回的风险。

除了生物信息安全问题，还有个人生物信息保护问题。既然个人生物信息是个人信息中最具唯一性的识别信息，那么个人应当控制该信息的利用，以防范人脸识别所需要的信息或数据在个人不知悉、未参与或未同意的情形下被使用、分享甚至销售。个人信息保护原则是个人生物信息利用的最起码规则。

2018年12月17日，微软副总裁Brad Smith在布鲁金斯学会的会议演讲指出微软在人脸识别技术应用的六项原则：公正（公正地对待所有的人）、透明（记录和清晰指出人脸识别技术能力和限制）、负责（确保该项技术使用可控）、非歧视（禁止用于不法歧视）、告知和同意（使用时告知并获得同意）和合法监控（为实施法律的监控应当确保公民民主自由）。亚马逊公司也主张应负责任地应用面部识别，面部识别不应该以侵犯个人权利（包括隐私权）的方式使用，或者对需要人为分析的场景做出自主决策。所有这些均体现了个人信息保护的基本精神——对人的尊重。

因此，人脸识别本身是一项核验身份，确保个人安全的技术，但是存在技术被不法利用、信息泄露和生物信息滥用三重风险。

人脸识别的法律规制

针对上述三种风险我们需要采取相应的规制措施。从规制内容的角度，人脸识别需要从两个方面加以规制，一是从个人信息保护角度，解决信息泄露和滥用问题；二是从使用行为方式角度，不仅要建立智能化的人脸识别的伦理规范，而且要将以欺诈为目的“换脸”纳入冒充身份违法犯罪行为。

从规制方式的角度，仍然是自治与法治相结合。法律的主要功能是明确禁止使用的领域、方法，并规定相应法律责任，树立人脸识别技术应用边界；而在允许的领域或行为应当鼓励行业自治，形成各种商业使用人脸识别技术的最佳准则，建立人脸识别技术应用的行业规范。

在法律不明确的情形下，除了不触碰法律禁止底线外，更要以对人的尊重作为行为准则。不让客户“丢脸”，才能赢得客户“芳心”。

编辑：吴悠