21世紀(jì)經(jīng)濟報道記者鐘雨欣北京報道人臉信息又被稱為“生物密碼”，具有特殊屬性。近年來，人臉識別技術(shù)普及度不斷提升，隨之而來的風(fēng)險隱患不容忽視。8月8日，國家網(wǎng)信辦就《人臉識別技術(shù)應(yīng)用安全管理規(guī)定（試行）（征求意見稿）》（以下簡稱《征求意見稿》）向社會公開征求意見。

多位受訪專家表示，《征求意見稿》堅持安全與發(fā)展并重，通過區(qū)分應(yīng)用場景、環(huán)節(jié)設(shè)定不同的法律義務(wù)、監(jiān)管要求等，促進人臉識別技術(shù)應(yīng)用逐步走向規(guī)范化。

(資料圖)

建構(gòu)流程化治理框架

中國人民大學(xué)法學(xué)院教授、中國人民大學(xué)民商事法律科學(xué)研究中心執(zhí)行主任石佳友此前在接受21世紀(jì)經(jīng)濟報道記者采訪時指出，近幾年人臉識別為個人信息保護帶來的挑戰(zhàn)逐漸被公眾和監(jiān)管部門重視。在認(rèn)可人臉識別技術(shù)帶來的便利性時，也應(yīng)注意其背后的風(fēng)險和隱患。拉網(wǎng)式人臉信息收集的過程可能嚴(yán)重威脅個人隱私，造成人身、財產(chǎn)以及心理上的安全隱憂。

實際上，在全球范圍內(nèi)，關(guān)于人臉識別的規(guī)制問題存在一定爭議。美國舊金山、波士頓等城市陸續(xù)立法禁止政府使用人臉識別技術(shù)，波特蘭的人臉識別禁令更是涵蓋了私營機構(gòu)。今年6月，歐盟議會通過《人工智能法案》草案，其中提到禁止實時遠(yuǎn)程生物識別技術(shù)，意味著不能在公共場合進行人臉識別。石佳友認(rèn)為，鑒于中國經(jīng)濟與社會發(fā)展的實際情況，不宜照搬歐美的做法，“一刀切”地完全禁止是不現(xiàn)實的，不如討論如何更有效地進行規(guī)制。

北京師范大學(xué)法學(xué)院博士生導(dǎo)師、中國互聯(lián)網(wǎng)協(xié)會研究中心副主任吳沈括表示，《征求意見稿》旨在提升人臉識別技術(shù)的規(guī)范應(yīng)用與合規(guī)水平，進而實現(xiàn)保護個人信息權(quán)益及其他人身和財產(chǎn)權(quán)益，維護社會秩序和公共安全。

“在機制設(shè)計層面，《征求意見稿》注重建構(gòu)人臉識別技術(shù)應(yīng)用的流程化治理框架，從設(shè)備的安裝到圖像的采集，從數(shù)據(jù)的處理、存儲到數(shù)據(jù)的提供、刪除，從人臉識別技術(shù)應(yīng)用的準(zhǔn)度、精度到置信度閾值，從人臉識別技術(shù)使用者到產(chǎn)品或者服務(wù)提供者的責(zé)任義務(wù)，力圖實現(xiàn)場景全要素的流程化合規(guī)應(yīng)用。”吳沈括說。

北京航空航天大學(xué)法學(xué)院副教授，北京科技創(chuàng)新中心研究基地副主任趙精武分析認(rèn)為，《征求意見稿》的特色表現(xiàn)在幾個方面：一、安全與發(fā)展并重是人臉識別技術(shù)應(yīng)用的監(jiān)管原則，并不完全限制或禁止該項技術(shù)的應(yīng)用；二、個人信息保護影響評估成為使用人臉識別技術(shù)應(yīng)用的前置性條件，個人信息權(quán)益保障得到充分落實；三、細(xì)分人臉識別技術(shù)應(yīng)用場景，根據(jù)應(yīng)用場景的不同設(shè)定不同的義務(wù)內(nèi)容。

北京大成律師事務(wù)所高級合伙人鄧志松表示，《征求意見稿》延續(xù)了《個人信息保護法》的基本思路，以“堵不如疏，疏不如引”的辯證思維看待人臉識別技術(shù)應(yīng)用所蘊含的法律風(fēng)險，并未“一刀切”地全面禁止，也未放任其無序發(fā)展，而是通過區(qū)分應(yīng)用場景、環(huán)節(jié)設(shè)定不同的法律義務(wù)、監(jiān)管要求等，促進人臉識別技術(shù)應(yīng)用逐步走向規(guī)范化。

對重點場景作出針對性設(shè)計

人臉識別技術(shù)應(yīng)用的“合目的性”和“必要性”貫穿《征求意見稿》始終。其中第四條擬規(guī)定，“只有在具有特定的目的和充分的必要性，并采取嚴(yán)格保護措施的情形下，方可使用人臉識別技術(shù)處理人臉信息。實現(xiàn)相同目的或者達到同等業(yè)務(wù)要求，存在其他非生物特征識別技術(shù)方案的，應(yīng)當(dāng)優(yōu)先選擇非生物特征識別技術(shù)方案。”

北京理工大學(xué)法學(xué)院教授洪延青撰文指出，該條是“最少使用”原則的具體體現(xiàn)。應(yīng)用人臉識別技術(shù)應(yīng)當(dāng)具有合法、正當(dāng)目的，遵循充分必要原則，實現(xiàn)相同目的存在其他可選的非生物特征識別技術(shù)方案的，應(yīng)當(dāng)優(yōu)先選擇其他技術(shù)方案。

分場景治理是《征求意見稿》的亮點之一。吳沈括表示，《征求意見稿》注重規(guī)定針對重點場景的技術(shù)應(yīng)用專門治理規(guī)則，涵蓋旅館客房、公共浴室、更衣室、衛(wèi)生間及其他可能侵害他人隱私的場景，在公共場所安裝圖像采集、個人身份識別設(shè)備的場景，組織機構(gòu)為實施內(nèi)部管理安裝圖像采集、個人身份識別設(shè)備的場景，在公共場所、經(jīng)營場所使用人臉識別技術(shù)遠(yuǎn)距離、無感式辨識特定自然人的場景等，及時回應(yīng)了社會公眾的焦點關(guān)切，也為具體合規(guī)操作提供了直接、明確的業(yè)務(wù)規(guī)則。

趙精武也指出，《征求意見稿》反映了場景化的監(jiān)管思路，根據(jù)應(yīng)用場景可能存在的具體風(fēng)險類型和涉及的特定法律關(guān)系確定相應(yīng)的使用者、提供者義務(wù)。這也與我國數(shù)據(jù)分級分類保護基礎(chǔ)制度相契合，能夠?qū)崿F(xiàn)更為直接有效的監(jiān)管效果。

“各場景下人臉識別技術(shù)應(yīng)用所帶來的法律風(fēng)險各不相同，因此有必要對其進行分場景管控，這也有利于監(jiān)管資源的合理分配。區(qū)分應(yīng)用場景對法律規(guī)則做出針對性設(shè)計是個人信息保護領(lǐng)域的全球共識?！编囍舅杀硎?，低風(fēng)險場景高等級措施所帶來的高昂合規(guī)成本，高風(fēng)險場景低等級措施所具有的高違法風(fēng)險，對于立法者、監(jiān)管者與技術(shù)使用者都是難以接受的。

21世紀(jì)經(jīng)濟報道記者注意到，對于在公共場所、經(jīng)營場所使用人臉識別技術(shù)遠(yuǎn)距離、無感式辨識特定自然人的場景，《征求意見稿》擬要求“應(yīng)當(dāng)為維護國家安全、公共安全或者為緊急情況下保護自然人生命健康和財產(chǎn)安全所必需，并由個人或者利害關(guān)系人主動提出?！?/p>

此外，“人臉識別技術(shù)使用者應(yīng)個人或者利害關(guān)系人請求使用人臉識別技術(shù)遠(yuǎn)距離、無感式辨識特定個人或者利害關(guān)系人的，應(yīng)當(dāng)將相關(guān)服務(wù)限定在最小必要的時間、地點或者人群范圍內(nèi)，不得關(guān)聯(lián)與個人請求事項無直接必然相關(guān)的個人信息?！?/p>

鄧志松表示，公共場所、經(jīng)營場所等場景中的遠(yuǎn)距離、無感式人臉識別設(shè)備由于其影響范圍較廣，外溢效應(yīng)難以控制，其應(yīng)用是否具有合法性基礎(chǔ)易被質(zhì)疑，需要設(shè)定更為嚴(yán)格的合規(guī)義務(wù)。根據(jù)《征求意見稿》規(guī)定，實踐中其應(yīng)用以個人或者利害關(guān)系人主動提出為前提，僅限于維護國家安全、公共安全或者為緊急情況下保護自然人生命健康和財產(chǎn)安全所必需等目的，并且僅適用于辨識特定自然人，而不得私自為其他任何目的大規(guī)模、無限制地批量對不特定社會公眾進行識別。

吳沈括分析，實踐中判斷“最小必要”的核心依據(jù)是業(yè)務(wù)需求和相關(guān)數(shù)據(jù)顆粒度之間的直接邏輯關(guān)聯(lián)是否符合比例性和相稱性的要求。而禁止關(guān)聯(lián)性分析主要是為了保護人臉信息，防止非法的二次處理使用以及可能由此引發(fā)的安全問題。

前移監(jiān)管治理關(guān)口

《征求意見稿》第十五條、第十六條分別對事前個人信息保護影響評估、備案機制作出要求。擬規(guī)定人臉識別技術(shù)使用者處理人臉信息，應(yīng)當(dāng)事前進行個人信息保護影響評估，并對處理情況進行記錄，以及在公共場所使用人臉識別技術(shù)，或者存儲超過1萬人人臉信息的人臉識別技術(shù)使用者，應(yīng)當(dāng)在30個工作日內(nèi)向所屬地市級以上網(wǎng)信部門備案。

“這反映了監(jiān)管機關(guān)前移治理關(guān)口、最大限度降低人臉識別技術(shù)應(yīng)用安全風(fēng)險水平的綜合治理思路?！?/strong>吳沈括說。

鄧志松分析，對于企業(yè)而言，相關(guān)規(guī)定一方面意味著短期內(nèi)合規(guī)投入的增加，需要支付各項成本對自身人臉識別技術(shù)應(yīng)用合規(guī)工作進行全面梳理，并依法履行評估、備案等義務(wù)；另一方面，這實際上也是在技術(shù)應(yīng)用與監(jiān)管間相對平衡的較優(yōu)方案，企業(yè)的個人信息保護實體與程序違法風(fēng)險都能得到有效控制。

“《征求意見稿》僅對兩類重點主體提出了備案要求。而相較于許可，備案給企業(yè)的負(fù)擔(dān)相對較低，相關(guān)主體僅需按照規(guī)定要求制定相應(yīng)的制度、履行相應(yīng)的評估要求即可，而無需另行等待監(jiān)管機構(gòu)的審查批準(zhǔn)才能從事技術(shù)應(yīng)用活動?！编囍舅烧f。

值得注意的是，《征求意見稿》還在個人信息保護影響評估和年度風(fēng)險檢測評估內(nèi)容中對準(zhǔn)度、精度、置信度閾值等作出規(guī)定。

趙精武認(rèn)為，這本質(zhì)上是為了盡可能確保義務(wù)主體能夠按照監(jiān)管要求履行個人信息保護義務(wù)。精準(zhǔn)度的提出也是為了與人臉識別信息的敏感性相匹配，實現(xiàn)真正意義上的“合目的性”與“必要性”，確保人臉識別信息的采用和使用不至于擴大潛在的個人信息泄露風(fēng)險。

“在不同的準(zhǔn)度、精度、置信度閾值下，可能收集到的人臉信息量不同，對個人權(quán)益造成的影響也可能不同。例如，在某些場景下，僅需記錄人流量、各區(qū)域擁擠程度等一般信息時，如其采取過高精度的人臉識別技術(shù)，顯然超出了實現(xiàn)其目的所需的范疇。同時，不同精度的人臉信息如發(fā)生泄露，對個人造成的影響也不同，因此對其相應(yīng)的安全保障措施也需要有所區(qū)分?！编囍舅杀硎?。