21世紀經(jīng)濟報道記者鐘雨欣北京報道人臉信息又被稱為“生物密碼”，具有特殊屬性。近年來，人臉識別技術普及度不斷提升，隨之而來的風險隱患不容忽視。8月8日，國家網(wǎng)信辦就《人臉識別技術應用安全管理規(guī)定（試行）（征求意見稿）》（以下簡稱《征求意見稿》）向社會公開征求意見。

多位受訪專家表示，《征求意見稿》堅持安全與發(fā)展并重，通過區(qū)分應用場景、環(huán)節(jié)設定不同的法律義務、監(jiān)管要求等，促進人臉識別技術應用逐步走向規(guī)范化。

(資料圖)

建構流程化治理框架

中國人民大學法學院教授、中國人民大學民商事法律科學研究中心執(zhí)行主任石佳友此前在接受21世紀經(jīng)濟報道記者采訪時指出，近幾年人臉識別為個人信息保護帶來的挑戰(zhàn)逐漸被公眾和監(jiān)管部門重視。在認可人臉識別技術帶來的便利性時，也應注意其背后的風險和隱患。拉網(wǎng)式人臉信息收集的過程可能嚴重威脅個人隱私，造成人身、財產(chǎn)以及心理上的安全隱憂。

實際上，在全球范圍內(nèi)，關于人臉識別的規(guī)制問題存在一定爭議。美國舊金山、波士頓等城市陸續(xù)立法禁止政府使用人臉識別技術，波特蘭的人臉識別禁令更是涵蓋了私營機構。今年6月，歐盟議會通過《人工智能法案》草案，其中提到禁止實時遠程生物識別技術，意味著不能在公共場合進行人臉識別。石佳友認為，鑒于中國經(jīng)濟與社會發(fā)展的實際情況，不宜照搬歐美的做法，“一刀切”地完全禁止是不現(xiàn)實的，不如討論如何更有效地進行規(guī)制。

北京師范大學法學院博士生導師、中國互聯(lián)網(wǎng)協(xié)會研究中心副主任吳沈括表示，《征求意見稿》旨在提升人臉識別技術的規(guī)范應用與合規(guī)水平，進而實現(xiàn)保護個人信息權益及其他人身和財產(chǎn)權益，維護社會秩序和公共安全。

“在機制設計層面，《征求意見稿》注重建構人臉識別技術應用的流程化治理框架，從設備的安裝到圖像的采集，從數(shù)據(jù)的處理、存儲到數(shù)據(jù)的提供、刪除，從人臉識別技術應用的準度、精度到置信度閾值，從人臉識別技術使用者到產(chǎn)品或者服務提供者的責任義務，力圖實現(xiàn)場景全要素的流程化合規(guī)應用。”吳沈括說。

北京航空航天大學法學院副教授，北京科技創(chuàng)新中心研究基地副主任趙精武分析認為，《征求意見稿》的特色表現(xiàn)在幾個方面：一、安全與發(fā)展并重是人臉識別技術應用的監(jiān)管原則，并不完全限制或禁止該項技術的應用；二、個人信息保護影響評估成為使用人臉識別技術應用的前置性條件，個人信息權益保障得到充分落實；三、細分人臉識別技術應用場景，根據(jù)應用場景的不同設定不同的義務內(nèi)容。

北京大成律師事務所高級合伙人鄧志松表示，《征求意見稿》延續(xù)了《個人信息保護法》的基本思路，以“堵不如疏，疏不如引”的辯證思維看待人臉識別技術應用所蘊含的法律風險，并未“一刀切”地全面禁止，也未放任其無序發(fā)展，而是通過區(qū)分應用場景、環(huán)節(jié)設定不同的法律義務、監(jiān)管要求等，促進人臉識別技術應用逐步走向規(guī)范化。

對重點場景作出針對性設計

人臉識別技術應用的“合目的性”和“必要性”貫穿《征求意見稿》始終。其中第四條擬規(guī)定，“只有在具有特定的目的和充分的必要性，并采取嚴格保護措施的情形下，方可使用人臉識別技術處理人臉信息。實現(xiàn)相同目的或者達到同等業(yè)務要求，存在其他非生物特征識別技術方案的，應當優(yōu)先選擇非生物特征識別技術方案。”

北京理工大學法學院教授洪延青撰文指出，該條是“最少使用”原則的具體體現(xiàn)。應用人臉識別技術應當具有合法、正當目的，遵循充分必要原則，實現(xiàn)相同目的存在其他可選的非生物特征識別技術方案的，應當優(yōu)先選擇其他技術方案。

分場景治理是《征求意見稿》的亮點之一。吳沈括表示，《征求意見稿》注重規(guī)定針對重點場景的技術應用專門治理規(guī)則，涵蓋旅館客房、公共浴室、更衣室、衛(wèi)生間及其他可能侵害他人隱私的場景，在公共場所安裝圖像采集、個人身份識別設備的場景，組織機構為實施內(nèi)部管理安裝圖像采集、個人身份識別設備的場景，在公共場所、經(jīng)營場所使用人臉識別技術遠距離、無感式辨識特定自然人的場景等，及時回應了社會公眾的焦點關切，也為具體合規(guī)操作提供了直接、明確的業(yè)務規(guī)則。

趙精武也指出，《征求意見稿》反映了場景化的監(jiān)管思路，根據(jù)應用場景可能存在的具體風險類型和涉及的特定法律關系確定相應的使用者、提供者義務。這也與我國數(shù)據(jù)分級分類保護基礎制度相契合，能夠實現(xiàn)更為直接有效的監(jiān)管效果。

“各場景下人臉識別技術應用所帶來的法律風險各不相同，因此有必要對其進行分場景管控，這也有利于監(jiān)管資源的合理分配。區(qū)分應用場景對法律規(guī)則做出針對性設計是個人信息保護領域的全球共識。”鄧志松表示，低風險場景高等級措施所帶來的高昂合規(guī)成本，高風險場景低等級措施所具有的高違法風險，對于立法者、監(jiān)管者與技術使用者都是難以接受的。

21世紀經(jīng)濟報道記者注意到，對于在公共場所、經(jīng)營場所使用人臉識別技術遠距離、無感式辨識特定自然人的場景，《征求意見稿》擬要求“應當為維護國家安全、公共安全或者為緊急情況下保護自然人生命健康和財產(chǎn)安全所必需，并由個人或者利害關系人主動提出。”

此外，“人臉識別技術使用者應個人或者利害關系人請求使用人臉識別技術遠距離、無感式辨識特定個人或者利害關系人的，應當將相關服務限定在最小必要的時間、地點或者人群范圍內(nèi)，不得關聯(lián)與個人請求事項無直接必然相關的個人信息。”

鄧志松表示，公共場所、經(jīng)營場所等場景中的遠距離、無感式人臉識別設備由于其影響范圍較廣，外溢效應難以控制，其應用是否具有合法性基礎易被質(zhì)疑，需要設定更為嚴格的合規(guī)義務。根據(jù)《征求意見稿》規(guī)定，實踐中其應用以個人或者利害關系人主動提出為前提，僅限于維護國家安全、公共安全或者為緊急情況下保護自然人生命健康和財產(chǎn)安全所必需等目的，并且僅適用于辨識特定自然人，而不得私自為其他任何目的大規(guī)模、無限制地批量對不特定社會公眾進行識別。

吳沈括分析，實踐中判斷“最小必要”的核心依據(jù)是業(yè)務需求和相關數(shù)據(jù)顆粒度之間的直接邏輯關聯(lián)是否符合比例性和相稱性的要求。而禁止關聯(lián)性分析主要是為了保護人臉信息，防止非法的二次處理使用以及可能由此引發(fā)的安全問題。

前移監(jiān)管治理關口

《征求意見稿》第十五條、第十六條分別對事前個人信息保護影響評估、備案機制作出要求。擬規(guī)定人臉識別技術使用者處理人臉信息，應當事前進行個人信息保護影響評估，并對處理情況進行記錄，以及在公共場所使用人臉識別技術，或者存儲超過1萬人人臉信息的人臉識別技術使用者，應當在30個工作日內(nèi)向所屬地市級以上網(wǎng)信部門備案。

“這反映了監(jiān)管機關前移治理關口、最大限度降低人臉識別技術應用安全風險水平的綜合治理思路。”吳沈括說。

鄧志松分析，對于企業(yè)而言，相關規(guī)定一方面意味著短期內(nèi)合規(guī)投入的增加，需要支付各項成本對自身人臉識別技術應用合規(guī)工作進行全面梳理，并依法履行評估、備案等義務；另一方面，這實際上也是在技術應用與監(jiān)管間相對平衡的較優(yōu)方案，企業(yè)的個人信息保護實體與程序違法風險都能得到有效控制。

“《征求意見稿》僅對兩類重點主體提出了備案要求。而相較于許可，備案給企業(yè)的負擔相對較低，相關主體僅需按照規(guī)定要求制定相應的制度、履行相應的評估要求即可，而無需另行等待監(jiān)管機構的審查批準才能從事技術應用活動。”鄧志松說。

值得注意的是，《征求意見稿》還在個人信息保護影響評估和年度風險檢測評估內(nèi)容中對準度、精度、置信度閾值等作出規(guī)定。

趙精武認為，這本質(zhì)上是為了盡可能確保義務主體能夠按照監(jiān)管要求履行個人信息保護義務。精準度的提出也是為了與人臉識別信息的敏感性相匹配，實現(xiàn)真正意義上的“合目的性”與“必要性”，確保人臉識別信息的采用和使用不至于擴大潛在的個人信息泄露風險。

“在不同的準度、精度、置信度閾值下，可能收集到的人臉信息量不同，對個人權益造成的影響也可能不同。例如，在某些場景下，僅需記錄人流量、各區(qū)域擁擠程度等一般信息時，如其采取過高精度的人臉識別技術，顯然超出了實現(xiàn)其目的所需的范疇。同時，不同精度的人臉信息如發(fā)生泄露，對個人造成的影響也不同，因此對其相應的安全保障措施也需要有所區(qū)分。”鄧志松表示。

關鍵詞：