《个人信息保护法》实施，人脸识别在“变脸”
2022年1月3日，在深圳地铁20号线国展站拍摄的闸机。据了解，深圳地铁20号线采用了新型闸机，除传统的票卡功能外，还增加了人脸识别功能，乘客只需通过自助票务处理机注册授权即可“刷脸过闸”。/IC photo
2022年全国“两会”召开在即，作为全国政协委员的北京金台律师事务所主任皮剑龙决定再向大会提交一份关于人脸识别的提案。
皮剑龙告诉新京智库，当前，在保护个人信息仍存在一些短板。因此，有必要继续呼吁各方加大保护力度，并继续完善相关法律制度。
随着数字化时代的到来，个人信息被使用的场景越来越多，人脸作为其中的一种形式，其识别技术的应用在过去一年里究竟呈何趋势？随着相关法律法规的出台、实施，人脸识别滥用现象是否有所收敛？
人脸识别滥用现象持续受关注
2021年11月1日，《中华人民共和国个人信息保护法》正式实施。然而，人脸识别滥用现象仍然是一个持续受关注的社会话题。
比如，2021年11月26日，上海市徐汇区市场监督管理局对某汽车销售服务有限公司做出行政处罚，罚款10万元整。原因是2021年1月至2021年6月期间，后者在旗下7家门店安装人脸识别摄像设备，采集消费者面部识别数据，共计采集上传人脸照片431623张，并未获得消费者同意，也无明示、告知消费者收集、使用目的。
这给北京市中闻律师事务所合伙人贾虹留下了深刻印象。近年来开始关注人脸识别问题的贾虹告诉新京智库，客流监测服务其实完全不需要通过人脸识别来采集，没有人脸识别技术前就已开展这种服务。只不过现在有了人脸识别这样的技术，统计起来可能更加便利、准确。“当事人可能是为了省事而使用，人脸识别技术有点被大材小用了。”
类似的客流监测还发生在售楼处。广东金桥百信律师事务所一级合伙人陈淮向新京智库介绍，在这些使用了人脸识别的售楼处，看房者还没有开口，销售人员就已经掌握了他们的基本资料：比如之前去过哪里看房，有没有买房，购买能力如何。看房者前脚刚离开售楼处，房产中介马上会打电话过来推销其他楼盘。“人脸识别技术的滥用已经到了让民众产生不安全感的程度”。
从年初到年尾，“人脸识别”出现在很多人的话题中。从天津、深圳、杭州和上海颁布相关规章，到11月1日正式实施的《中华人民共和国个人信息保护法》，均有涉及人脸等生物信息识别的条款规定。
小区里的争议
关于“人脸识别”新闻曝光最多的可能是小区。
去年3月5日，政府工作报告披露，2021年新开工改造城镇老旧小区5.3万个。
相关企业抓住机会就积极推销人脸识别门禁系统。
一家有人脸识别系统业务的科技公司撰文称，这或是人脸识别门禁系统应用的一个突破点。
然而，这只是某些企业的误读。
南开大学法学院副教授高通对新京智库表示，考虑到人脸识别技术进步、发展的需要，如果信息处理者能够遵循必要性审查、个人同意和可替代性三个原则，各个领域上都可以使用，并没有完全禁止使用的领域。
北京市京师（深圳）律师事务所联合创始人、数据合规研究院执行院长王岩飞告诉新京智库，从一般逻辑来说，使用人脸识别门禁系统肯定比原来的门禁系统更安全一点，但其实很多小区并不一定适用人脸识别门禁系统。
新京智库据各地媒体公开报道梳理发现，2021年全国各地的小区新安装人脸识别门禁系统如雨后春笋一般增加。江苏苏州、山东青岛、吉林长春和四川巴中等多个城市都有报道当地一些小区新装了人脸识别系统。
四川大学计算机学院计算机科学系主任、教授魏骁勇认为，小区的出入有没有通过人脸识别来实现安保的必要，小区物业有没有保护个人信息的能力，收集人脸信息用来干什么，这些问题都要在实际的场景里去探讨，之后才能够下定论。
全国政协委员、中国科学院微电子研究所副所长周玉梅告诉新京智库，人脸识别技术发展很快，优势特征明显，在很多地方已经广泛应用。比如人流通行量大的场所（如火车站、校园、小区、单位大门等）基本都有使用，但后台的信息安全系统做得如何，是否会有泄露风险，尤其是小区的应用，“如何保障数据安全，是亟待解决的问题”。
去年1月，新京智库发布《人脸识别技术滥用行为报告》显示，在1515份匿名问卷的调查中，超八成受访者反对公共消费场所使用人脸识别，48%受访者在门禁考勤时被强制使用人脸识别，96%对个人信息、数据安全最担忧。
在2021年的全国“两会”上，周玉梅与中国科学院近代物理研究所研究员蔡晓红等6位全国政协委员联合提交了一份提案，建议加强人脸识别监管。
“人脸识别第一案”的意义
人脸识别门禁系统不止在小区里有越来越多的应用，售楼处等很多场所也有应用。
皮剑龙在2021年3月全国“两会”上提交的提案亦指出，随着人脸识别技术应用场景的不断拓展，各类应用“遍地开花”，如刷脸入小区、刷脸开机、刷脸考勤、刷脸取款、刷脸购物、甚至刷脸倒垃圾、还有闯红灯被刷脸警示等。
皮剑龙表示，这些无限制的人脸识别技术的使用，让原本应用于公共安防等领域的人脸识别技术频频“越界”。
周玉梅表示，人脸识别技术是对提取的人脸进行比对，从而进行识别，随着人工智能和大数据技术的应用，以及超高清摄像头的使用，其识别精度越来越高，提取的特征更加完备，有些会叠加虹膜技术。因此，理论上说人脸识别已经可以准确地甄别出人的个体，具有个体ID（身份标识号）特征。“一项技术一旦可以成为甄别人体ID的技术，那么它的使用和管理就应该高度关注安全性。”
作为杭州高校法学教师的郭兵拿起了法律武器维权，其诉杭州野生动物世界有限公司（下称“杭州野生动物世界”）一案被称为“人脸识别第一案”。
去年4月9日，该案迎来了其终审判决。杭州野生动物世界赔偿郭兵合同利益损失及交通费共计1038元，判决生效十日内履行；删除郭兵办理指纹年卡时提交的包括照片在内的面部特征信息，以及指纹识别信息，判决生效十日内履行；驳回郭兵的其他诉讼请求。
“该案判决具有重要的意义和启示”，皮剑龙说，“人脸识别第一案”的判决体现了法院严格适用现行法律关于个人信息保护规定的决心和能力，体现了重视生物识别信息等个人信息的态度。
贾虹认为，“人脸识别第一案”的判决，可以起到很好的普法和示范作用，是对所有公民个人信息保护的一次积极提醒。
逐渐完善的法规
对于人脸识别滥用现象，多地住建部门开始说“不”。
2021年4月2日，广东惠州市住房和城乡建设局下发相关通知，以联合执法和督促限期自查自纠等方式要求使用人脸识别系统的售楼处彻底整改、规范管理。
此后，昆明、南京和广州花都区等地住建部门也先后下发相关通知，限制售楼处使用人脸识别系统。
对于人脸等个人生物信息处理规范的层级也在提高。2021年8月9日，杭州市人民代表大会常务委员会发布的《杭州市物业管理条例》第50条明确规定，“物业服务人不得强制业主、非业主使用人通过提供人脸、指纹等生物信息方式进入物业管理区域或者使用共有部分”。该条例将于2022年3月1日起正式实施。
各地也根据本地实际情况制定了相应的法规。比如，深圳市人民代表大会常务委员会于2021年7月6日发布的《深圳经济特区数据条例》第三条规定，“处理个人数据应当具有明确、合理的目的，并遵循最小必要和合理期限原则”。第十条明确了处理个人数据应当符合的五项要求。
新京智库梳理发现，《深圳经济特区数据条例》明确界定了“生物识别数据”，即指对自然人的身体、生理、行为等生物特征进行处理而得出的能够识别自然人独特标识的个人数据，即包括自然人的基因、指纹、声纹、掌纹、耳廓、虹膜、面部识别特征等数据。
与《深圳经济特区数据条例》同时于2022年1月1日正式实施的，还有《上海市数据条例》。该《条例》第23条规定，在本市商场、超市、公园、景区、公共文化体育场馆、宾馆等公共场所，以及居住小区、商务楼宇等区域，安装图像采集、个人身份识别设备，应当为维护公共安全所必需，遵守国家有关规定，并设置显著标识。
同时还规定，“所收集的个人图像、身份识别信息，只能用于维护公共安全的目的，不得用于其他目的；取得个人单独同意的除外”，以及“本条第一款规定的公共场所或者区域，不得以图像采集、个人身份识别技术作为出入该场所或者区域的唯一验证方式”。
2021年11月1日，《中华人民共和国个人信息保护法》正式生效实施。该法明确了个人信息处理规则、个人信息跨境提供的规则、个人在个人信息处理活动中的权利、个人信息处理者的义务和履行个人信息保护职责的部门及法律责任。
贾虹认为，从中央到地方相关法律规章的出台，将让人脸识别技术应用从无序进入有序状态，在技术规范上作出指引，让大家知道哪些可以做哪些不能做，能做的要遵循什么标准。
王岩飞则认为，相关法规的出台对于利用人脸识别技术做行为分析的行业肯定有一定冲击。短时间内，可能很多机构尤其是商业机构将不敢采购搜集敏感信息的技术产品。但是整体来讲，人脸识别技术的发展，要有一套完善的监管、合规管理制度，才能长治久安。对于企业来说，合规发展才是基业长青的基础。
给信息贴上“标签”
虽然多地已经出台了相关法律规范，但高通表示，这些地方规范能否执行到位值得注意。
这也引起了代表委员们的关注。2022年1月，在上海市“两会”期间，九三学社社员、上海市政协委员左伋、李颖洁等人提交提案建议，要加快构建个人生物信息识别应用管理制度体系。尽管《个人信息保护法》《数据安全法》已实施，但人脸识别技术产品的安全仍存在较大漏洞，安全检测监管制度尚未形成。
因此，左伋、李颖洁等人建议，应加快人脸识别应用制度建设，明确该类应用的治理思路、责任主体、监管任务、应用规范、市场准入等一系列具体操作办法，使政府监管、行业治理、企业开发、市场应用和公民维权有法可依。
2022年全国“两会”召开在即，皮剑龙向新京智库介绍，他今年还将继续提交关于人脸识别的提案。他认为，人脸识别信息保护仍存在三个问题；首先，相关法律虽已落地，但缺乏统一的机构落实执行。比如，尽管《个人信息保护法》已明确规定：采集人脸信息必须经过用户同意，但现在仍然存在小区门禁强制收集人脸信息的情况。
其次，监管体系仍待完善。人脸信息的使用环节可以大致分为四个环节：采集—储存—使用—销毁。在采集环节，采集主体参差不齐，非必要场合采集人脸信息问题（如快递柜、厕纸领取）依然存在；此外，“告知—同意”原则未贯彻落实，强制采集现象依旧泛滥。在储存环节，对人脸信息保护不够重视，保护手段相对单一，存在着泄露的风险。在使用环节，目前各地还没有手段应对不法商家滥用人脸数据用于“大数据杀熟”等问题，惩戒力度也不够强。在销毁环节，缺乏定期销毁机制，这加大了个人信息受到侵害的可能性。
再次，公众维权意识匮乏，维权途径也短缺。皮剑龙认为，目前在人脸信息领域的社会共同治理和公民私力救济的参与仍受到较大限制。这与人脸信息保护相关的法律普及力度较低、民众人脸信息保护意识缺乏有关。同时，现有的维权途径较少，主要依赖司法机关对非法事件进行不定期的打击，社会常设性的人脸信息保护部门仍处于缺位状态。
皮剑龙建议，组建行业协会，建立分级管理制度；构建“采集—储存—使用—销毁”一体化的监管体系。此外，还要加强安全宣传教育，建立维权渠道；要向公众普及常见违法的人脸信息使用情形及侵害维权途径。在人脸识别技术领域新法律法规的框架下，搭建公民、社会专门机构、政府部门的动态监管体系，建立公众维权渠道，完善人脸信息损害救济闭环。
而陈淮认为，解决人脸等公众个人生物信息泄露问题，关键还在于找到一个有效解决信息泄露源头追溯问题的方法。其实有一项类似于区块链的技术（Fawkex）目前可以做到，该技术可以在每一张含有个人敏感信息的图片上强制加上采集者不可篡改的加密标签。图片一旦泄露可以马上追踪到是谁获取（采集）的，这就可以明确责任承担者：为什么泄露，承担什么样的法律责任。
“基于规避风险的需要，这将倒逼相关方开发新的技术，提升安全防火墙”，陈淮表示，这是一个值得发展的技术方向。人脸等个人生物信息泄露问题，解决之策是技术，但最终落地还是要靠法律制度推动。因为信息是谁采集，谁泄露的，每个环节如何“贴上”标签，这是技术问题，但谁该承担什么责任，这是法律问题。
人脸识别，在2021年
2021年1月1日，《天津市社会信用条例》正式实施，这是全国首个公开禁止采集人脸识别信息的地方法规。
2021年4月9日，杭州高校法学教师郭兵诉杭州野生动物世界有限公司一案迎来终审判决。后者赔偿郭兵合同利益损失及交通费共计1038元，判决生效十日内履行；删除郭兵办理指纹年卡时提交的包括照片在内的面部特征信息，以及指纹识别信息，判决生效十日内履行；驳回郭兵的其他诉讼请求。该案被称为“人脸识别第一案”。
2021年4月，广东省惠州市住房和城乡建设局下发相关通知，以联合执法和督促限期自查自纠等方式要求使用人脸识别系统的售楼处彻底整改、规范管理。此后，昆明、南京和广州花都区等地住建部门也先后下发相关通知，限制售楼处使用人脸识别系统。
2021年7月6日，深圳市人民代表大会常务委员会发布《深圳经济特区数据条例》，第三条规定，“处理个人数据应当具有明确、合理的目的，并遵循最小必要和合理期限原则”。第十条明确了处理个人数据应当符合的五项要求。
2021年7月28日，最高人民法院发布《最高人民法院关于审理使用人脸识别技术处理个人信息相关民事案件适用法律若干问题的规定》，着力维护自然人人格权益，保护人民群众“人脸”安全。2021年8月1日起施行。
2021年8月9日，杭州市人民代表大会常务委员会发布《杭州市物业管理条例》，第50条明确规定，“物业服务人不得强制业主、非业主使用人通过提供人脸、指纹等生物信息方式进入物业管理区域或者使用共有部分”。该条例将于2022年3月1日起正式实施。
2021年11月1日，《中华人民共和国个人信息保护法》实施。该法明确规定，“处理个人信息应当遵循合法、正当、必要和诚信原则，不得通过误导、欺诈、胁迫等方式处理个人信息。”
2021年11月25日，《上海市数据条例》由上海市第十五届人民代表大会常务委员会第三十七次会议通过，自2022年1月1日起施行。该《条例》第23条规定，在本市商场、超市、公园、景区、公共文化体育场馆、宾馆等公共场所，以及居住小区、商务楼宇等区域，安装图像采集、个人身份识别设备，应当为维护公共安全所必需，遵守国家有关规定，并设置显著标识。同时还规定，“所收集的个人图像、身份识别信息，只能用于维护公共安全的目的，不得用于其他目的；取得个人单独同意的除外”，以及“本条第一款规定的公共场所或者区域，不得以图像采集、个人身份识别技术作为出入该场所或者区域的唯一验证方式”。
新京报记者肖隆平
新闻推荐
巴中市市场监管局“七进七查”治理春节市场计量春节将至，计量工作关系着老百姓的“菜篮子”、“米袋子”、“油瓶子”...
巴中新闻，弘扬社会正气。除了新闻，我们还传播幸福和美好！因为热爱所以付出，光阴流水，不变的是巴中这个家。