◎ 文 《法人》全媒體記者 銀昕

今年的央視“3·15”晚會(huì)，曝光了科勒衛(wèi)浴、寶馬和MaxMara品牌線下門(mén)店在未提前告知消費(fèi)者的情況下，安裝具有人臉識(shí)別功能的攝像頭，并大量采集消費(fèi)者人臉信息。隨后，科勒公司發(fā)布致歉聲明，并要求相關(guān)門(mén)店連夜拆除攝像設(shè)備，但寶馬、MaxMara品牌未就此發(fā)聲。

商家采集人臉信息的邊界在哪里，相關(guān)部門(mén)又該如何完善監(jiān)管職能？

“刷臉”真的安全嗎？

要說(shuō)人臉識(shí)別技術(shù)是近年來(lái)的最熱門(mén)科技之一，相信沒(méi)人會(huì)反對(duì)。這項(xiàng)技術(shù)已被應(yīng)用于日常生活中，在智慧安防領(lǐng)域更是大顯身手。隨著人臉識(shí)別商業(yè)化落地加速，云哨智能動(dòng)態(tài)人臉識(shí)別系統(tǒng)從人臉布控、身份識(shí)別等業(yè)務(wù)場(chǎng)景出發(fā)，以人臉識(shí)別技術(shù)、行為動(dòng)作分析技術(shù)為核心，通過(guò)視頻采集和數(shù)據(jù)分析等技術(shù)手段，實(shí)現(xiàn)對(duì)所管轄區(qū)域進(jìn)行智能視頻分析預(yù)警和監(jiān)管。

一位曾參與銀行系統(tǒng)與公安部人臉庫(kù)對(duì)接項(xiàng)目的人士告訴《法人》記者，為了確保正確識(shí)別，人臉識(shí)別機(jī)構(gòu)不會(huì)將人臉關(guān)鍵點(diǎn)特征比對(duì)后輕易“放行”測(cè)試者，而是要求測(cè)試者做眨眼、搖頭或噘嘴等動(dòng)作以進(jìn)一步驗(yàn)證。由于這些動(dòng)作會(huì)產(chǎn)生比人臉關(guān)鍵點(diǎn)信息更復(fù)雜的代碼，可以避免他人使用照片或視頻蒙混過(guò)關(guān)。雖然每次識(shí)別這些動(dòng)作的指令順序有所差別，但并不影響數(shù)據(jù)的最終判斷。

盡管識(shí)別和鑒別技術(shù)如此精準(zhǔn)，但還是難以避免出現(xiàn)漏洞。2019年年底，在一家亞洲商店，美國(guó)某人工智能公司的Kneron團(tuán)隊(duì)使用高質(zhì)量的3D面具騙過(guò)了支付寶和微信支付系統(tǒng)，成功進(jìn)行購(gòu)買。近年來(lái)，一些根據(jù)人臉特征制作的“套頭玩偶”或“仿真面具”，也在網(wǎng)絡(luò)上悄然出現(xiàn)，人臉識(shí)別技術(shù)迎來(lái)各種新挑戰(zhàn)。

“仿真面具相較于視頻和照片更具有欺騙性，它既可以靜態(tài)地被檢驗(yàn)，也可以做出眨眼、噘嘴或搖頭等動(dòng)作。一旦蒙混過(guò)關(guān)，以人臉識(shí)別解鎖的權(quán)限會(huì)在一瞬間全部被‘撬開(kāi)’，這非常可怕?！鄙鲜鋈耸繉?duì)記者說(shuō)。

值得一提的是，目前金融、安防以及考勤門(mén)禁是人臉識(shí)別應(yīng)用最廣泛的領(lǐng)域，一旦發(fā)生誤判，系統(tǒng)被攻破，后果往往不堪設(shè)想。

商業(yè)采集邊界在哪里

今年的“3·15晚會(huì)”，一共點(diǎn)名了3家人臉識(shí)別技術(shù)供應(yīng)商，蘇州萬(wàn)店掌網(wǎng)絡(luò)科技有限公司就是其中之一。據(jù)天眼查APP顯示，該公司成立于2016年4月，創(chuàng)始人周圣強(qiáng)擁有近20年的圖像智能開(kāi)發(fā)及市場(chǎng)應(yīng)用從業(yè)經(jīng)驗(yàn)。該公司一位薛姓經(jīng)理稱，這套系統(tǒng)能通過(guò)人臉識(shí)別信息解決精準(zhǔn)營(yíng)銷，抓取的人臉數(shù)據(jù)信息累計(jì)上億。

該公司一位陳姓經(jīng)理介紹，該公司人臉信息采集系統(tǒng)能輕松掌握消費(fèi)者的年齡和性別，甚至可以判斷消費(fèi)者被拍照的一瞬間情緒是否穩(wěn)定、心情如何等。而這些信息應(yīng)該如何使用、如何有效納入監(jiān)管體系，目前尚無(wú)相關(guān)具體管理規(guī)定。

成立于2011年的曠視科技公司，目前是人臉識(shí)別領(lǐng)域的翹楚，已于2021年3月12日向上交所提交了IPO招股書(shū)。在該公司主營(yíng)業(yè)務(wù)中，人臉識(shí)別技術(shù)被大量使用，但該公司在招股書(shū)中卻沒(méi)有一個(gè)字提到其使用的人臉是通過(guò)何種方式獲得。

那么，商業(yè)公司是否擁有人臉采集的權(quán)利，以及采集的邊界在哪里？

在《中華人民共和國(guó)個(gè)人信息保護(hù)法(草案)》和全國(guó)信息安全標(biāo)準(zhǔn)化技術(shù)委員會(huì)于2017年12月29日發(fā)布、2018年5月1日實(shí)施的《信息安全技術(shù)個(gè)人信息安全規(guī)范》”中，都明確了提前告知并征得信息主體同意的原則。除此之外，《消費(fèi)者權(quán)益保護(hù)法》第二十九條規(guī)定：經(jīng)營(yíng)者收集、使用消費(fèi)者個(gè)人信息，應(yīng)當(dāng)遵循合法、正當(dāng)、必要的原則，明示收集、使用信息的目的、方式和范圍，并經(jīng)消費(fèi)者同意。

盡管如此，近年來(lái)的商業(yè)采集人臉信息，似乎并沒(méi)有被遏制。此前，網(wǎng)絡(luò)上曝出一些房地產(chǎn)項(xiàng)目售樓處安裝攝像頭，以人臉識(shí)別技術(shù)判斷到訪者屬于哪類客戶，導(dǎo)致看房者被迫戴頭盔前往，此事件曾引發(fā)很大爭(zhēng)議；被央視“3·15晚會(huì)”點(diǎn)名的商家，也沒(méi)有在攝像頭旁給予消費(fèi)者提示信息；2019年，南都個(gè)人信息保護(hù)研究中心曾在北京多個(gè)商場(chǎng)調(diào)查發(fā)現(xiàn)，不少商場(chǎng)都裝有人臉識(shí)別系統(tǒng)，并對(duì)顧客進(jìn)行刷臉，跟蹤記錄消費(fèi)軌跡，但沒(méi)一家商場(chǎng)告知顧客并征得同意。

針對(duì)“提前告知并征得消費(fèi)者同意”的原則，中國(guó)鐵建某項(xiàng)目售樓處工作人員表示，攝像頭擺放在一進(jìn)門(mén)的入口處，等同于提前告知，也相當(dāng)于獲取了看房者的知情同意。“這種說(shuō)法根本站不住腳，這怎么能稱為提前告知？”北京市中聞律師事務(wù)所律師趙虎對(duì)記者說(shuō)。

不過(guò)，趙虎表示，對(duì)于如何執(zhí)行“提前告知并征得消費(fèi)者同意”， 既沒(méi)有統(tǒng)一認(rèn)識(shí)，也沒(méi)有統(tǒng)一標(biāo)準(zhǔn)，這也是人臉識(shí)別技術(shù)頻頻被推上風(fēng)口浪尖的原因。

建立“比對(duì)權(quán)”管控機(jī)制

人臉識(shí)別技術(shù)是指利用分析比較的計(jì)算機(jī)技術(shù)識(shí)別人臉，屬于生物特征識(shí)別技術(shù)，目前為熱門(mén)計(jì)算機(jī)技術(shù)研究領(lǐng)域，其中包括人臉追蹤偵測(cè)、自動(dòng)調(diào)整影像放大、夜間紅外偵測(cè)、自動(dòng)調(diào)整曝光強(qiáng)度等技術(shù)。

較之于其他個(gè)人信息，人臉信息更容易被采集。與指紋、證件號(hào)碼、手機(jī)號(hào)碼和家庭住址不同的是，人臉常年暴露在外，采集人臉不需要當(dāng)事人主動(dòng)提供，不需要與當(dāng)事人的身體進(jìn)行接觸，極易在未告知的情況下被“偷偷”收集。

中國(guó)政法大學(xué)傳播法研究中心副主任朱巍認(rèn)為，民法典和個(gè)人信息保護(hù)法草案只對(duì)“個(gè)人生物識(shí)別信息”進(jìn)行了規(guī)定，但沒(méi)有單獨(dú)提到人臉的問(wèn)題，考慮到人臉信息的特殊性，針對(duì)人臉識(shí)別的特別規(guī)定勢(shì)在必行。

由于人臉具有一定的結(jié)構(gòu)分布特征，即使經(jīng)歷衰老及蛻變，或是扮上妝容，但幾乎所有人臉上的64個(gè)或128個(gè)關(guān)鍵點(diǎn)特征終生不變，人臉識(shí)別技術(shù)正是將這些關(guān)鍵點(diǎn)特征與“母庫(kù)”信息進(jìn)行比對(duì)。如果一致，則會(huì)判定該人臉對(duì)應(yīng)的就是“母庫(kù)”中的本人。

那么，既然某些“仿真面具”能夠以假亂真，那我們?cè)絹?lái)越依賴的生物識(shí)別工具，其安全性是否不像很多人認(rèn)為的那么高？

對(duì)此，朱巍表示，人臉并不是單獨(dú)存在的，一張人臉照片用處不大。公安機(jī)關(guān)應(yīng)該對(duì)人臉“采集權(quán)”制定審核制度。同時(shí)，公安機(jī)關(guān)應(yīng)對(duì)擁有人臉信息的“母庫(kù)”單位建立“比對(duì)權(quán)”管控機(jī)制。

朱巍還建議，為避免人臉識(shí)別技術(shù)被濫用，公安機(jī)關(guān)應(yīng)對(duì)人臉信息“采集權(quán)”和“比對(duì)權(quán)”進(jìn)行限制，并分開(kāi)管理，即擁有“采集權(quán)”的單位不能比對(duì)，擁有“比對(duì)權(quán)”的單位不得采集。讓采集單位和比對(duì)單位之間自行建立合作關(guān)系，而公安機(jī)關(guān)對(duì)擁有這兩種不同資質(zhì)的單位進(jìn)行嚴(yán)格管理。

“這樣一來(lái)，對(duì)于技術(shù)供應(yīng)商來(lái)說(shuō)，他們只是掌握了幾張孤零零的照片，即使有‘人臉’也無(wú)法‘識(shí)別’?！?朱巍說(shuō)。

今年兩會(huì)期間，全國(guó)政協(xié)委員馬進(jìn)在接受媒體采訪時(shí)建議，應(yīng)明確人臉采集使用場(chǎng)景并頒發(fā)采集許可證。相關(guān)部門(mén)應(yīng)出臺(tái)人臉采集使用場(chǎng)景的限制性規(guī)定，并根據(jù)該規(guī)定就特定場(chǎng)所人臉采集的必要性、合理性以及場(chǎng)所所屬企業(yè)的技術(shù)能力與管理能力進(jìn)行評(píng)估，對(duì)符合條件的企業(yè)與場(chǎng)所頒發(fā)許可證。取得許可證后，企業(yè)方可在規(guī)定的場(chǎng)景下進(jìn)行人臉采集。