人脸识别技术:风险如何防控

(题图设计:姚雯)

潜在风险与法律保护框架的构建

劳东燕

治理现代化不能仅仅理解为数字化管理

当前,在北京与其他一些地方,人脸识别技术推进得迅速且普遍。这种迅速扩张存在几个原因:一是中国的人脸识别技术领先,且法律层面障碍较小。二是企业急于变现,技术开发后企业有上市压力,所以努力在各种场景中作商业性推广,包括教育领域、公共治安领域等。三是社会治理的需要。黄仁宇研究明代历史时提出一个命题,明代这样的大一统国家,从数目化管理角度来讲仍有缺陷,即使中央层面有政令,因管理手段有限也很难真正推行。

社会复杂化无疑要求管理手段数字化,但管理手段上的数字化是否真的能够解决复杂社会系统的治理问题?我认为,单是管理手段的数字化,恐怕无法从根本上解决问题,这样的思路有其局限。如果针对的是一个确定的对象,提升手段本身的精确性的确能够提高治理的效率。但是,当代社会系统自身运作的复杂性导致其必然具有不确定性,沿用控制思维去治理具有不确定性的社会,这种思维难以适应当代社会的治理需要。中央层面特别强调治理体系和治理能力的现代化,这里的“现代化”绝不应该仅仅理解为在手段上实现数字化管理。

人脸识别技术推广适用的潜在风险

人脸识别技术的实质是收集、积累、分析生物数据,以此勾勒个人画像。眼下人脸识别技术的使用目的有三,一是身份认证(这种用途争议较小),二是识别与追踪,三是影响主体的行为选择。所以,人脸识别技术所涉及的,不仅是隐私权问题,更关乎社会的基本走向。眼下技术的发展能力,远远超过对其的控制能力。

人脸识别技术为什么相较于生物、指纹技术更具有敏感性?这是因为其在使用中具有无意识性、非接触性、侵入性强的特点。推广人脸识别技术肯定会带来一些好处,如技术领先,产业就会盈利,这毋庸置疑会促进产业的发展;与刷手机相比,刷脸肯定更加便捷,但我认为其带来的风险也不能忽视。

人脸识别技术推广使用的潜在风险,一是使公民成为“透明人”的风险。人脸识别不仅收集数据,更通过你的人脸数据迅速锁定你的身份。二是数据泄露引发的风险。比如AI换脸技术,在违法犯罪的视频上被换脸的人很可能被刑事追究,而真正的犯罪分子却可以此牟利、逃避刑事追究。三是数据被滥用的风险。数据滥用的主体除了违法犯罪分子,还包括公权力。四是个体被操纵的危险。五是被歧视性使用的风险。六是无法有效救济的风险。寻查泄露数据者在实践上存在极大困难,在这种情况下,民事诉讼等同于画饼。尽管现在有人说应该以公法保护为主,但个人受损害仍然很难受保护,除非大量数据遭到泄露。然而一旦人脸数据泄露就很难补救,所以人脸识别的应用比其他技术应受到更多关注。

信息时代下三方关系亟待平衡

人脸识别技术的争议,并非单纯的隐私权与公共安全之争,推广之后公众的人身安全与财产安全都可能会受到威胁,而我们每个人都是公众的组成部分。比如人脸识别的支付方式很容易被犯罪分子利用,这就侵害到人身安全跟财产安全。为了解决违法犯罪问题把所有人都拉过来陪绑,这样的治理方式从长远来看危险很大,而且无法从根本上解决社会治安的问题。如果维护治安需要由各式各样的组织来收集大量数据,而在保管方面又没有足够的动力,这必然会导致更多的数据被泄露,由此而引发更多的违法犯罪。这些年来,电信诈骗特别猖獗,就与个人信息的大量泄露有关。

信息时代下的社会结构中存在三方关系:个人是数据主体;企业是数据控制者和处理者;政府则承担双重角色,既是数据控制者和处理者,会收集使用分析数据,也是个人与企业之间的调停者。信息时代的三方关系中,个人处于绝对的弱势,眼下除了极少数网络大V借助互联网技术,使自己的话语权和影响力大大扩张之外,绝大部分作为个人的普通民众仍是绝对的弱势方。眼下数据领域基本实行的是丛林规则,强势的是企业,科技企业通过互联网信息技术获得的强势地位是普通企业无法想象的,传统企业不可能获得这样的影响和地位。另外是政府,政府一方面收集使用数据,也处于数据控制者与处理者的地位,另一方面是调停者,关键是政府作为调停者往往更为强调产业的发展,如此一来便导致企业与政府更加强势,个人更为弱势,从自然意义和事实意义上看,三方关系结构之中,个人本来就最为弱势,加之稀薄的法律保护都被虚置,只会使其处于更加弱势的地位。

建立合理法律保护框架

在法律上,个人信息的保护,不是以隐私作为判断标准,而是以可识别性来认定的。所以,我们会发现,个人信息是否受到法律的保护跟个人隐私没有太大的关系,只要识别到个人,即便是在公共场合的行踪轨迹信息也是受到保护的。

关于个人信息保护,有一种观点认为,信息的保护涉及个人隐私与公共安全之争,为公共安全考虑可以牺牲个人隐私。应当说,这一观点是存在问题的。

眼下个人信息的保护框架中,让人比较受到鼓舞的是今年3月6日发布并于10月1日开始生效的《个人信息安全规范》,它明确规定,收集个人信息除应单独向个人信息主体告知外,还应告知目的、方式、范围、储存时间,征得信息主体的独立的明示同意。当然,这还不是法律规定,而只是行业性标准。

在我看来,合理的法律保护框架应考虑如下几个方面的因素。第一,应该加强对收集与使用数据方面的合规,对企业或者政府部门收集使用数据的行为进行规范。这不意味着由相关部门加强直接的监管,而应当间接地进行调控,包括使用商业化的手段,比如加强安保技术的商业化,由政府来购买安保技术方面的服务。第二,明确个人数据和信息保护的主要责任主体。之所以收集和使用数据的一方应当作为主要责任主体,是因为风险乃是由其收集、使用行为所制造,且相应的利益也主要由其所享有。基于此,数据的控制者与处理者理应承担更多的风险。第三,法律规制重心的转变,规制的重点由对个人数据的收集转移到对个人数据的滥用上。第四,应根据类型与场景进行不同程度的保护,数据当中要区分敏感数据跟一般数据,敏感数据当中又要区分生物数据与一般的敏感数据,后者包括涉及个人的宗教信仰、政治立场等。

(作者单位:清华大学法学院)

(题图设计:姚雯)

建立接受公众监督的数据库

王锴

人脸信息属于个人信息,而不属于隐私。隐私不仅要具备“私”的属性,还要“隐”,即不希望被别人看到。但我们的人脸每天暴露在外面,无法享有合理的隐私期待,因此应该属于个人信息的范畴。

个人信息法律保护的现状与短板

关于个人信息的保护,目前民法典作了一些规定,但仅仅有民法典的规定还是不够的。因为大家都知道,民法调整的是平等主体关系,即使涉及到国家机关,也是国家机关作为民事主体时提出了人脸识别的要求,才有可能适用民法典。如果国家机关行使公权力、采用强制命令的方式要求公民进行人脸识别,我们就很难用民法典来解决这个问题,不可能最后提起行政诉讼或在行政诉讼里面说依据民法典哪一条来作出判决,否则公私法之间的界限就不存在了。

当然,民法典里有涉及国家机关行使公权力的条款,比如第1039条规定,“国家机关、承担行政职能的法定机构及其工作人员对于履行职责过程中知悉的自然人的隐私和个人信息,应当予以保密,不得泄露或者向他人非法提供。”但此条调整的是国家机关已经知悉了个人信息后如何去保护,我们现在最关注的是国家机关如何知悉或者如何获取人脸这样一个生物识别信息。对这个过程民法典并没有对国家机关提出要求。

2020年3月6日,国家市场监督管理总局、国家标准化管理委员会正式发布国家标准《个人信息安全规范》,要求获取个人信息要经过当事人的授权同意,问题是标准这种规范在法律上属于不完全规范,没有办法单独适用,必须要跟其他规定法律责任的规范一起适用。因此,目前我们对个人信息的保护,即使在平等关系中有相应的法律依据,但是对于限制不平等主体或者国家机关行使公权力过程中获取人脸信息的相关法律依据依然不够。

规制重点是数据库的建立

目前我们对人脸识别的担忧,重点并不在于技术是否成熟,任何技术都有一定的风险,或者说都需要有一定的发展时间。我认为人脸识别的关键问题不在于识别,而在于建立了人脸信息的数据库,没有这个数据库就没有办法进行比对。但是,这个数据库并不受人脸信息所有者的控制。人脸信息数据库如何能够让公众进行控制和监督?我们好像把重点更多地放在“同意”上,但现在的很多“同意”都是概括性同意,同意一次即代表永久同意;同时,民众同意的前提是对这个风险有了解,但大部分民众并不了解其中的风险,如果不知道风险就同意,那跟赌博又有什么区别呢?另外,我们不同意是因为它有很多不利的后果。而公众同意有时可能是被迫的,不是出于完全自愿。比如进学校,不同意就无法进入。

所以仅仅用“同意”作为规制的重点我觉得是不够的,我个人认为,规制的重点应当是人脸信息数据库的建立。首先谁能够建立这样的数据库?我认为有必要由统一的主体来建立,而不是目前这种遍地开花,每个企业甚至每个单位都能建立人脸信息数据库,分散的建立方式不仅信息泄露风险比较大,而且监督的难度也比较大,即使同国外一样成立个人信息的保护官或者监察官,也没有办法监督那么多的数据库。其次,人脸信息数据库中是不是要包含所有人的人脸信息?我认为完全没有必要,我们不能为了防范几个犯罪分子就牺牲所有人的个人信息安全,即使建立了也只能针对特定主体的人脸信息。

数据库要接受公众监督

数据库一定要受到公众的监督。个人要想去监督,首先要对技术有所了解,但个人往往并没有这个能力,这就必须让公益机构、社会团体或者第三方组织介入。过去把自由理解为是一种不受干涉的自由,但在今天人脸识别问题上,人脸识别是非接触性的,什么都没做的时候就已经被侵犯了。

所以今天有必要对“自由”的内涵作新的界定,我比较赞同“从不受干涉的自由到不受支配的自由”,我们今天处于被支配的状态中,很多情况下你没有选择权,甚至是在不知情的情况下就已经处于一种非自主性的状态。那么要恢复人的自主性,路径就是公众参与,应该积极地参与公共生活,积极对国家权力进行监督。只有这样,人脸识别技术才能真正地受到规制,也才能真正保证它的使用符合公共利益、符合人民利益。