強化落實(shí)人臉信息處理“告知—同意”規則
對話(huà)人
北京理工大學(xué)法學(xué)院民法典研究中心主任? ?孟 強
北京師范大學(xué)法學(xué)院教授 劉德良
中國傳媒大學(xué)文化產(chǎn)業(yè)管理學(xué)院法律系主任? 鄭 寧
中國傳媒大學(xué)人類(lèi)命運共同體研究院副院長(cháng)? 王四新
《法治日報》記者 趙 麗
《法治日報》實(shí)習生 邢懿銘
人臉信息保管不當
容易導致數據泄露
記者：《人臉識別應用公眾調研報告(2020)》(以下簡(jiǎn)稱(chēng)《報告》)顯示，在安全性感受方面，受訪(fǎng)者給出的分數則明顯偏低，僅有交通安檢場(chǎng)景的平均分超過(guò)4分，這是否體現了受訪(fǎng)者對人臉識別安全風(fēng)險的憂(yōu)慮態(tài)度？
鄭寧：當前，公眾對人臉識別安全風(fēng)險的態(tài)度較為消極。在當下社會(huì )，以國家安全、社會(huì )安全、公共利益的名義采集個(gè)人生物數據越來(lái)越普遍。人臉信息可能在我們根本不知情的情況下，每天被捕捉、識別達數百次，而不健全的數據安全管理制度讓人們心生憂(yōu)慮。如果犯罪分子用個(gè)人人臉數據，開(kāi)通相關(guān)賬戶(hù)用于違法犯罪，比如洗錢(qián)、涉黑、恐怖主義，個(gè)人可能會(huì )因此而卷入刑事訴訟之中。
孟強：人臉信息屬于個(gè)人信息中的敏感個(gè)人信息，其一旦泄露或者非法使用，可能導致人臉的主體受到歧視或者人身、財產(chǎn)安全受到嚴重威脅或危害。而目前不少單位或企業(yè)對于人臉信息的采集較為隨意甚至泛濫，并且對所采集的人臉信息并未能夠依法妥當保管，導致數據泄露，在網(wǎng)絡(luò )上甚至形成了買(mǎi)賣(mài)人臉數據的黑色產(chǎn)業(yè)鏈，進(jìn)而導致了人臉信息的非法使用，給不少人帶來(lái)了財產(chǎn)損失和人身權益損失，因此引起了社會(huì )層面不少的憂(yōu)慮。
記者：此外，人臉識別還存在比較突出的“強制使用”問(wèn)題?！秷蟾妗凤@示，在“交通安檢”場(chǎng)景遇到強制人臉識別的受訪(fǎng)者最多，達到27.39%，隨后是“實(shí)名登記”(26.42%)、“開(kāi)戶(hù)銷(xiāo)戶(hù)”(25.94%)、“支付轉賬”(25.81%)、“門(mén)禁考勤”(21.76%)。
鄭寧：在法律法規已有明確要求的“強認證”場(chǎng)景(如公共安全、金融支付)下，使用人臉識別完成精確的身份比對和驗證，有其必要性和合理性，但也要對人臉數據進(jìn)行妥善保管，不得泄露、濫用。
對于一些沒(méi)有明確法律規定的場(chǎng)景，不宜使用人臉識別作為唯一的驗證方式。根據《報告》，相較于人臉識別，公眾更愿意使用手機驗證碼、密碼等驗證手段，沒(méi)有合法正當目的，不宜大規模推廣人臉識別。
記者：我們也注意到，近期公開(kāi)征求意見(jiàn)的個(gè)人信息保護法草案第二十九條擬規定，個(gè)人信息處理者具有特定的目的和充分的必要性，方可處理敏感個(gè)人信息。
孟強：這一規定其實(shí)具有現實(shí)針對性。因為不少單位、企業(yè)存在隨意采集人臉信息的現象，未能遵循“特定的目的”和“充分的必要性”的要求。在機場(chǎng)、高鐵站等人流集中、高度關(guān)乎公共安全的場(chǎng)合采集人臉信息，針對不特定人流進(jìn)行掃描，并且在具體個(gè)人搭乘交通工具時(shí)要求進(jìn)行人臉識別認證，這種做法是為了公共安全，也是出于社會(huì )公共利益和國家安全，因此這種“強認證”具有一定的合理性。
但是有些單位，其要求用戶(hù)、顧客進(jìn)行人臉識別認證與公共利益關(guān)聯(lián)度不大，而且并沒(méi)有充分的必要性，但也無(wú)差別要求對用戶(hù)或顧客進(jìn)行人臉識別認證。這類(lèi)行為極易引起人們的警惕和反感。
強化獲取信息管理
嚴懲違規搜集行為
記者：對于人臉識別技術(shù)，很多評論也指出不能一味抵抗和反對。因為科技的進(jìn)步能夠給全人類(lèi)帶來(lái)前所未有的便利，人臉識別技術(shù)在公共安全維護、犯罪偵查、嫌疑人抓捕、用戶(hù)金融財產(chǎn)安全保護、辦公及住宅安全保護等方面發(fā)揮著(zhù)不可替代的作用，這在我國疫情防控工作中得到了充分體現。
孟強：但是，科技也會(huì )是一柄雙刃劍，必須以法治進(jìn)行駕馭，否則可能刀刃向內，損害用戶(hù)利益。對于人們擔憂(yōu)人臉識別技術(shù)的濫用，應當從三方面加強管理：
一是強化獲取人臉信息的管理。要在全社會(huì )進(jìn)行宣傳，使各個(gè)單位和人民群眾普遍認識到人臉信息屬于高度敏感的個(gè)人信息，必須嚴格保護。進(jìn)而，必須嚴格貫徹對獲取人臉信息“特定的目的”和“充分的必要性”的條件限制，對于不符合條件而強行搜集獲取人臉信息的行為進(jìn)行嚴厲懲罰。
二是強化落實(shí)人臉信息處理的“告知—同意”規則。實(shí)踐中對于取得用戶(hù)同意才能搜集使用其個(gè)人信息的要求，許多單位或機構利用其優(yōu)勢地位，或者利用格式條款，強迫用戶(hù)作出同意，或者作出“一攬子”授權許可，導致用戶(hù)權益依然受到侵犯。未來(lái)應當制定單行法律法規，強化重點(diǎn)領(lǐng)域的人臉識別規范，對一些高風(fēng)險領(lǐng)域應當強調同意必須以書(shū)面形式做成，進(jìn)一步保障用戶(hù)的知情同意權。
三是強化落實(shí)國家機關(guān)搜集和處理人臉信息的相關(guān)義務(wù)和責任。國家機關(guān)及其授權的主體是搜集采集人臉信息的主要主體。這一類(lèi)行為由于出發(fā)點(diǎn)是為了公共安全或者行政管理的需要，具有正當性，但也必須遵循對用戶(hù)告知并征求同意的規則，并且對人臉信息數據的處理要嚴格依法進(jìn)行，否則一旦有國家機關(guān)工作人員濫用職權或者玩忽職守，則極可能發(fā)生大規模人臉信息泄露的事件，后果極為嚴重。
王四新：對于法律沒(méi)有明確要求的“強制性”應用場(chǎng)景，實(shí)踐中也并不一定意味著(zhù)就不能這么做。一般來(lái)講，衡量一項強制認證是否合理的標準，可以從幾個(gè)方面來(lái)衡量：
第一，相應的程序性要求是否已經(jīng)具備，比如授權同意是否已經(jīng)出具，使用者是否能夠作出自由的選擇；第二，如果不能做出自由選擇的話(huà)，消費者被迫進(jìn)入的使用模式會(huì )不會(huì )給消費者帶來(lái)不利的影響，尤其是對個(gè)別消費者，強制使用過(guò)程中會(huì )不會(huì )形成歧視或者區別對待；第三，強制認證的實(shí)施方是否已經(jīng)有相應的安全措施，是否把這些安全措施向被使用者充分展示。
記者：在未來(lái)，是否法律應將保護數據安全的主要責任放在數據控制者與處理者的身上，畢竟相應的風(fēng)險是由數據控制者與處理者的收集、保管、使用等行為所制造，而主要的利益也由其所享有。
鄭寧：數據控制者和處理者是數據安全的第一責任主體，也是主要的受益方，風(fēng)險與回報應當成比例。當然，有關(guān)部門(mén)也要加強監管和執法。
劉德良：個(gè)人信息保護法強調的主要是保護，目前缺少有效解決濫用問(wèn)題的法律。目前來(lái)講，我們各個(gè)場(chǎng)所里人臉識別的要求基本都是正當的，目前要擔心的是后面的濫用。我們的教育引導和立法，要把重點(diǎn)放在如何有效的防止濫用。
王四新：我認為對人臉信息進(jìn)行單獨立法完全沒(méi)有必要，不需要制定專(zhuān)門(mén)限制人臉識別使用場(chǎng)景、使用條件，或者對人臉識別提出系統性規范性要求的必要。人臉識別問(wèn)題主要涉及到個(gè)人數據個(gè)人隱私的保護，它是屬于個(gè)人數據個(gè)人隱私保護的組成部分，這個(gè)領(lǐng)域存在的問(wèn)題完全可以通過(guò)已有的對個(gè)人數據保護的相關(guān)法律來(lái)完成。
制圖/高岳 【編輯:張楷欣】
單霽翔：文化遺產(chǎn)不能“束之高閣” 要走進(jìn)民眾生活
構建便民服務(wù)大格局 光大云繳費直聯(lián)客戶(hù)突破1億戶(hù)
加拿大大多倫多地區印度教寺廟發(fā)生沖突 加印關(guān)系添齟齬
中國科學(xué)院2025年公眾科學(xué)日啟動(dòng) 增設人工智能專(zhuān)場(chǎng)科普活動(dòng)
駐蒙特利爾總領(lǐng)館提醒中國公民、留學(xué)生加強安全防范
中歐班列（西安）一季度開(kāi)行數量突破400列 同比增幅104.1%
浙江首次召開(kāi)平臺經(jīng)濟大會(huì ) 亮出了哪些實(shí)招？