張俊雄

(西南民族大學法學院，四川成都 610041)

隨著社會發(fā)展進入數(shù)字時代，人臉識別等新興技術帶來的挑戰(zhàn)不斷走進大眾視線。2021年有關人臉識別技術的新聞頻出，前有央視3·15晚會曝出多個商家未經消費者同意非法采集面部數(shù)據(jù)信息，并將采集到的信息用作營銷數(shù)據(jù)分析；后有全國首例人臉識別案在杭州市中級人民法院二審宣判，在原判決的基礎上增判被告信息處理方刪除原告的相關生物識別信息。種種事件都指向人臉識別技術應用門檻過低、信息處理者為自身利益未經面部數(shù)據(jù)主體同意濫用人臉識別技術等諸多問題。

人臉識別的本質是利用拍攝系統(tǒng)和計算機技術在三維體系中根據(jù)人臉的不同構造將人臉轉換為一組數(shù)據(jù)，當人臉再次展現(xiàn)在鏡頭前時，通過相關算法即能快速地匹配到其身份[1]。相比于其他視頻監(jiān)控，人臉識別技術最大的特征在于其“識別”功能，即通過算法，與數(shù)據(jù)庫中的人臉數(shù)據(jù)進行比對，從而識別出相應的個人信息[2]。人臉識別技術與面部數(shù)據(jù)主體權益息息相關，而該技術非接觸性、易于流轉的特征使得面部數(shù)據(jù)主體對其個人信息的控制力進一步降低。為了兼顧人臉識別技術的合理利用和個人信息保護，廣大學者一致主張貫徹和發(fā)展傳統(tǒng)告知同意規(guī)則。因此，本文在大數(shù)據(jù)時代背景下，以告知同意規(guī)則為視角，為完善人臉識別的法律規(guī)制提供參考路徑。

一、告知同意規(guī)則的法律依據(jù)與現(xiàn)實困境

(一)告知同意規(guī)則在我國法律體系中的依據(jù)

對于人臉識別中面部數(shù)據(jù)保護問題，本質上是關于個人信息中個人敏感信息的保護問題?？v觀我國現(xiàn)行法律規(guī)范，其中涉及個人信息保護的條文散見各處。首先，從我國法律體系頂端《中華人民共和國憲法》(以下簡稱《憲法》)中可找到依據(jù)?！稇椃ā返?0條明確了國家對公民個人隱私權的保護，自然包含對個人信息的保護。其次，作為我國基本法律，《民法典》總則編和人格權編的有關規(guī)范構建了未來個人信息保護法的制度框架與基礎。從民法解釋學的角度分析，根據(jù)文義解釋《民法典》中未明確規(guī)定個人信息權[3]，但是依據(jù)體系解釋《民法典》則是將個人信息當作一種人格利益在保護。此外，在諸多現(xiàn)行法律中，例如《網絡安全法》《消費者權益保護法》中對于不同主體的個人信息保護義務均有涉及。近年來，保障公民個人信息安全一直是黨和國家高度關注的問題。為穩(wěn)步推進個人信息保護立法工作，全國人大常委會于2020年底發(fā)布了《個人信息保護法(草案)》，擬制定專門法律來規(guī)制個人信息保護。

告知同意規(guī)則主要適用于個人信息保護領域，因此筆者以告知同意規(guī)則為研究對象，在所有涉及個人信息保護的條文中選取了最具代表性的《民法典》和《個人信息保護法(草案)》中的相關法律規(guī)定加以分析。

1.《民法典》中的告知同意規(guī)則

《民法典》第1034條中對個人信息的內涵和外延作出了明確界定。依據(jù)該條款，人臉識別的面部數(shù)據(jù)從性質上講可以歸入生物識別信息中，屬于《民法典》的保護范疇?！睹穹ǖ洹返?035條則強調了信息處理方在處理個人信息時應當遵循的“合法、正當、必要”等基本原則。此外，《民法典》提出了處理個人信息的相關條件，其中包含需要告知的相關內容和須征得同意的對象。由此《民法典》人格權編描繪了處理個人信息的告知同意規(guī)則。

2.《個人信息保護法(草案)》中的告知同意規(guī)則

“同意”二字在《個人信息保護法(草案)》(以下簡稱“草案”)中的70個條款中出現(xiàn)了26次，其重要性不言而明。就內部的邏輯體系分析，“草案”中關于個人信息處理主要分為三個層次來進行規(guī)制：首先，對于普通個人信息的處理作出了一般規(guī)定；其次，針對處理個人信息中一類較為特殊的客體即“個人敏感信息”作出了更為嚴苛的規(guī)定；最后，針對處理個人信息中一類特殊的主體即“國家機關”處理個人信息作出了特殊規(guī)定?？傮w來看，“草案”多角度、多路徑、全方位地構建了我國個人信息保護體系，值得肯定。具體而言：

首先，在處理個人信息的一般規(guī)定中，第13條被認為是處理個人信息的合法性基礎。該條文一共給出了五種處理個人信息的合法情形和一個兜底條款，其中第一種即為取得個人的同意。同時，第18條對于“告知—同意”規(guī)則中的告知作出了若干要求，尤其強調告知的方式、內容和范圍等。

其次，在敏感個人信息的處理規(guī)則中，第30條可以被認為是對第13條的補充，要求當處理個人信息的客體為個人敏感信息時，須取得個人的單獨同意，增設了“單獨同意”制度。同時對一部分處理個人敏感信息的情形中同意的形式作出了要求，即“有法律法規(guī)規(guī)定的應當取得書面同意的”。上述規(guī)定均為告知同意規(guī)則在“草案”中的體現(xiàn)。

(二)告知同意規(guī)則的現(xiàn)實困境

1.告知不充分，信息獲取不對等

《民法典》人格權編第1035條和《網絡安全法》第41條對于信息主體的告知范圍作出了要求，并在此基礎上取得被收集者的同意?；谠摋l款，面部數(shù)據(jù)主體在決定是否處分自己的信息前，能夠清楚地了解本人哪些面部數(shù)據(jù)被收集、收集以后去向何方，以及在信息被收集后自身可能遭遇的風險，但在面部數(shù)據(jù)收集的現(xiàn)實情境中往往并非如此。

首先，現(xiàn)實中收集方并不會將相關信息完全告知面部數(shù)據(jù)主體。在締約信息使用協(xié)議中，進行面部數(shù)據(jù)收集的一方清楚地了解數(shù)據(jù)收集、利用和市場價值的具體情況，能準確判斷面部數(shù)據(jù)信息在自己手中是如何運作的，因此對于風險的認知也總是更全面一些[4]。而被收集者，往往只是淺顯、抽象地知道數(shù)據(jù)用途，他們更關心的是自身對于某項服務能否正常使用，進而忽略了對有關風險的認知。其次，從數(shù)據(jù)采集與利用的運營模式來分析，數(shù)據(jù)收集方還會進一步變相地強制、敦促面部數(shù)據(jù)主體盡快同意：比如當被收集方打開注冊頁面時，系統(tǒng)已經默認勾選同意相關隱私政策和免責條款，大大降低了面部數(shù)據(jù)主體的重視度。在上述種種背景下，同意規(guī)則無法起到預設的對面部數(shù)據(jù)主體的保護作用，反而為收集者的責任轉移提供了制度框架內的“合法路徑”[5]。

2.隱私條款冗雜，導致同意形式化

私法領域常常強調意思自治原則的重要性，因為它充分反映了公民對私權利的支配性。意思自治原則不能簡單地理解為按照當事人自己的想法作出意思表示，尤其是在涉及人臉識別這種個人信息泄露的高危場合，應當要求面部數(shù)據(jù)主體在充分知曉并理解后自己作出意思表示方為合理、正當。因此，同意的有效性不僅取決于數(shù)據(jù)收集者是否合法地履行了告知義務，同時歸因于數(shù)據(jù)主體能否正確接收、理解前者所傳遞的信息。

現(xiàn)實生活中，面部數(shù)據(jù)收集方給出的數(shù)據(jù)采集協(xié)議紛繁復雜，被收集者難以準確理解其相關含義。即使通過立法的形式給面部數(shù)據(jù)收集方增加充分告知相關事項的義務，但復雜、專業(yè)、冗長的條款也無法真正發(fā)揮它的效用[6]，反而會大大消耗面部數(shù)據(jù)主體的耐心，用戶多半會為了盡快完成注冊流程而選擇性地將部分或全部條款予以忽略，直接點擊“同意”按鈕。這種形式化的同意后果就是用戶根本沒有按照原有的制度設計去閱讀隱私條款和免責聲明，反倒有可能成為面部數(shù)據(jù)收集方轉移責任的一個前置流程。即使有用戶確實閱讀了隱私政策和免責條款，能否讀懂又是一個值得思考的問題，且我國公民長久以來對個人信息保護不夠重視，往往非常信任收集方的保護能力和重視程度。如此一來，即便是“明示的免責條款”，也會因為相對人的忽略導致法律所欲的“知情基礎上的同意”大打折扣。

3.多樣的網絡交互行為削弱了同意的有效性

大數(shù)據(jù)時代，包括面部數(shù)據(jù)在內的各種數(shù)據(jù)廣泛流通和在不同場景下進行統(tǒng)計利用是發(fā)展趨勢。該趨勢反映到個人信息傳播領域依托的是網絡交互行為。例如，隨著互聯(lián)網技術的發(fā)展和人們的需求，微信從最初的具有聊天功能的通訊軟件，逐步發(fā)展到今天的集公眾號、小程序、視頻號等多個功能為一體的社交軟件，已然成為國內人們工作、生活必備的手機軟件。為了方便使用，人們一般將包含本人身份證號、銀行卡號、電話號碼、收貨地址、發(fā)票抬頭等多個個人信息與微信賬戶相關聯(lián)。當在使用微信附帶的一些二級功能時，即可將與微信賬號相關聯(lián)的個人信息授權給二級功能平臺使用。這種個人信息的二次授予或直接準用行為即所謂的網絡交互行為。抽象到法律中的行為模式即面部數(shù)據(jù)收集方可能與其他二級平臺訂立合同，在交互性使用過程中共享其采集的數(shù)據(jù)信息，甚至直接將數(shù)據(jù)的流通外包給大數(shù)據(jù)公司處理。因此，面部數(shù)據(jù)收集方與二級平臺之間的此類協(xié)議使得個人要想實現(xiàn)對自身信息的控制變得非常困難。

實踐中，當面部數(shù)據(jù)主體的信息經收集方流轉到相應的二級平臺或外包給專業(yè)大數(shù)據(jù)計算公司后，信息的去向和用途一般不會再次通知面部數(shù)據(jù)主體，更不會刻意經過其授權同意。面部數(shù)據(jù)主體在這種潛在且無休止的信息分享與對信息的二次利用面前，不僅難以實現(xiàn)對當前及未來信息分析、處理、利用行為的把控，而且往往對信息的二次利用行為全然不知[7]。

二、歐盟個人信息保護中的告知同意規(guī)則

歐盟《一般數(shù)據(jù)保護條例》(以下簡稱GDPR)和德國《聯(lián)邦個人資料保護法》(以下簡稱BDSG)均將告知同意規(guī)則居于核心位置[8]。本文將從上述內容中抽象出同意的表示方式、同意的生效要件，試圖為國內個人信息保護立法提供參考路徑。

(一)同意的表示方式

關于同意的表示方式，歐盟和德國的法律均規(guī)定了明示同意和默示同意[9]。依據(jù)BDSG第4a條規(guī)定，同意的表示方式分為兩個層次：第一層的適用最為普遍，要求以書面形式表達；第二層則是在特殊情況下，允許授權其他形式。該條款表明當事人表達同意的意思表示方式為書面形式，是一種積極肯定的方式，表明對方可以處理本人的面部數(shù)據(jù)信息，只有在特殊情況下才能通過其他形式表達。此外，在GDPR第9條中將面部數(shù)據(jù)作為特殊類別的個人數(shù)據(jù)處理，而對于這種特殊類別的個人數(shù)據(jù)，GDPR采取的是“原則—例外”的立法模式，即原則上規(guī)定為禁止處理，僅在法條羅列的例外情況下才可以處理，其中例外情況之一就包含了面部數(shù)據(jù)在采用明示同意后可以處理。此外，歐盟GDPR中關于同意的形式要求必須是“自愿”作出、“知情”后作出和“明確”作出的同意，對于面部數(shù)據(jù)則是適用更為嚴苛的“明示同意”模式?？傊?，無論是默示同意還是明示同意，德國BDSG和歐盟GDPR都要求面部數(shù)據(jù)主體通過一個積極肯定的行為來完成。

(二)同意的生效要件

為了促進GDPR的實施，2018年4月歐盟“第29條”工作組發(fā)布新修訂的GDPR實施指南[10]。該指南的核心內容顯示，自然人應當能夠以透明的方式了解與其有關的個人數(shù)據(jù)收集、使用、訪問以及其他處理的樣態(tài)和程度，進而對此作出同意。指南中關于同意的生效要件包括以下四點：

1.當事人同意必須為自主同意

BDSG和GDPR中均將個人數(shù)據(jù)主體的自主決定性作為同意的首要生效要件。此外，新修訂的GDPR實施指南對于該種自主決定性從多個方面作出了規(guī)定，盡可能地保護同意的自主性。例如在雙方地位不對等的情況下盡可能保護信息主體方；限制信息控制者處理信息的范圍為經過當事人同意授權的范圍；需要對多條個人信息進行處理，不能取得籠統(tǒng)的同意，而須分別取得同意等，否則同意是無效的。

2.當事人同意必須為具體特定的同意

在BDSG和GDPR的語境下，“具體特定的同意”是指個人信息主體對于數(shù)據(jù)控制方收集、處理、利用的目的和范圍有特定的同意。具體特定的同意是相對于概括的同意而言的。BDSG和GDPR的語境下這種同意必須是前者，即明確表達對于某一條或某幾條個人信息允許被處理以及允許在何種范圍內處理。在該種模式下，個人信息主體是采取主動同意的方式對數(shù)據(jù)處理的范圍作出了許可，相比以往被動同意的模式能有效避免同意的擴張。

3.當事人同意必須為告知后同意

告知后同意實際上是對同意的時間限制，即必須在數(shù)據(jù)處理方告知相關信息后，信息主體表示的同意才是有效的。該模式進一步明晰了“告知—同意”的實踐邏輯，即只有在充分的告知以后，個人信息主體才能根據(jù)被告知的內容衡量利弊，并據(jù)此作出同意與否的決定。告知的充分一方面取決于告知的內容是否完善，另一方面取決于告知的方式。對此歐盟“第29條”工作小組創(chuàng)新了告知方法，要求依據(jù)告知內容的重要程度等因素采用分層次告知方法[11]。

4.當事人同意必須清楚且明確地表達

所謂清楚且明確地表達是對同意形式的實質要求。GDPR第7條詳細規(guī)定了同意的條件。一方面，一般情況下要求數(shù)據(jù)控制者能夠證明數(shù)據(jù)主體已經同意其處理個人數(shù)據(jù)；另一方面，若數(shù)據(jù)主體的同意是基于數(shù)據(jù)控制主體已經給出了書面聲明的情況下所表示的，那么除此之外，還要求數(shù)據(jù)主體針對其信息被特定處理還需要一個積極的行為或者聲明同意。如果缺少二次明確的同意，則當事人的同意是無效的。在該模式下，實際上是保護數(shù)據(jù)主體，通過增加二次同意、提高同意的清晰度讓數(shù)據(jù)主體不受數(shù)據(jù)控制方的掣肘。

三、完善我國個人信息保護領域告知同意規(guī)則的建議

為解決因告知不充分、隱私條款冗雜、多樣的網絡交互行為導致告知同意不真實的情況，參考上述域外告知同意規(guī)則的制度框架，結合我國目前《民法典》中關于告知同意規(guī)則的頂層設計和“草案”中的相關規(guī)定，提出下列建議：

(一)明確同意的主體須為完全民事行為能力人

“草案”中關于處理個人信息的合法基礎規(guī)定在第13條，其中第一項即明確要求取得個人同意。這里的同意作為一種意思表示應當是具有民事行為能力的人所作出的表意行為。換句話來說，放置在告知同意規(guī)則中，要求當事人具有民事行為能力即要求具備同意能力，否則信息控制者征得的同意是無效的[12]。若貿然許可未成年人對自己的個人信息進行支配，可能會造成不當后果，侵犯其人格權益。因此，應當要求其監(jiān)護人代為表示同意。此外，對于成年但因為某種原因喪失或部分喪失行為能力的人均應當參照對未成年人的保護，采取監(jiān)護人代為表示同意的規(guī)定。

《民法典》中對于自然人的民事行為能力采取的是三分法。考慮到我國長久以來對個人信息保護的忽視，個人信息泄露的嚴重性不一定受到全部百姓的關注，尤其是年邁的老年人和未成年人。因此，只有完全民事行為能力人才有同意的能力，而不滿18周歲的未成年人和雖已成年但因為某種原因喪失或部分喪失行為能力的人均應征得其監(jiān)護人的明示同意，如此才能更好地保護他們的信息自決權。綜上，建議將“草案”中第13條第1款1句的表述方式修改為“只有取得自然人或者其監(jiān)護人的同意，個人信息處理者方可處理個人信息”。

(二)限縮處理信息的合法性基礎

關于處理個人信息的合法性基礎，“草案”中除了告知同意規(guī)則還規(guī)定了其他合法性基礎，其中第13條第二項即將一方為訂立或者履行合同所必需的這種情形作為處理個人信息的合法性基礎之一。該項一定程度上是對于告知同意規(guī)則的例外，雖然有原則就有例外，且該例外也不影響告知同意規(guī)則的主流適用地位，但是這里規(guī)定的為訂立合同或者履行合同這個時間段是否過長有待商榷。例如，網絡平臺在向自然人提供網絡服務過程中，如果網絡公司都以是訂立合同所必需為由來處理個人信息，那么就會使得自然人對個人信息處理的決定權受到極大的限制，甚至是變性地被排除。

從GDPR的規(guī)定來看，其第6條第1款(b)的表述是“處理是數(shù)據(jù)主體作為合同主體履行合同之必要，或者處理是因數(shù)據(jù)主體在簽訂合同前的請求而采取的必要措施”，即必須是數(shù)據(jù)主體即自然人在簽訂合同前主動提出請求(相當于提前同意)處理者處理其個人信息，如某自然人要求旅行社提供滿足其個性化要求的旅游套餐服務而主動將個人信息提供給處理者。目前“草案”中第13條第二項的規(guī)定沒有注意到這一點，直接規(guī)定“為訂立或者履行”顯然不妥，應該刪除“為訂立”的情形。

(三)明確告知同意的形式為書面形式

草案第30條明示了處理敏感個人信息的單獨同意規(guī)則，并且在同意的形式上要求部分經法律、行政法規(guī)規(guī)定的應當取得書面同意。從形式上限制告知同意，可以有效地落實同意主體對數(shù)據(jù)信息重要性的認知，在一定程度上避免信息不對稱和信息過載帶來的同意不真實現(xiàn)象。在有些學者看來，告知同意中的同意不必過于強調表達的形式，無論是采取明示或是默示，書面或是口頭形式，都不能認為是同意的生效要件。同意關鍵在于信息主體的意愿真實、表達清晰，而同意形式在所不問[13]。筆者認為這種觀點是片面的。因為內容與形式二者是辯證統(tǒng)一的，不能分別割裂開來看，如若僅僅注重同意的內容而忽略同意的形式，就會打破這一規(guī)律。且面部數(shù)據(jù)作為個人信息中能反映生物特征的信息，其重要性不言而喻，若對同意的形式不加以限制，則近似于沒有規(guī)定，不利于規(guī)范處理個人信息的行為。

為了促使面部數(shù)據(jù)主體能謹慎地作出同意表示，建議人臉識別中面部數(shù)據(jù)的當事人同意應以書面形式較為妥當?！安莅浮敝杏邢嚓P趨勢，但對適用范圍有嚴格限制，僅僅強調在法律法規(guī)有規(guī)定的情況下“單獨同意”要求敏感信息主體出示書面同意，具體范圍尚不明確。且對于單獨同意的概念與形式，立法沒有給出明確界定，筆者認為應當進一步優(yōu)化“單獨同意”的表述，因為“單獨同意”和“書面同意”似乎不是并列關系，立法將兩者并列的做法有待商榷。

(四)精煉告知內容，豐富告知方法

關于精煉告知同意的內容，正確理解應當是在對面部數(shù)據(jù)主體的告知達到一定的充分程度后，盡量以簡潔、明了、易懂的語句呈現(xiàn)給面部數(shù)據(jù)主體同意。通過對信息控制者告知的充分程度的要求進行提煉，再簡明扼要地表達出來，能直接解決同意趨于形式化的弊端，從而保障面部數(shù)據(jù)主體的權利。

首先，精煉告知內容?！睹穹ǖ洹泛汀安莅浮敝芯?guī)定了信息處理方在獲得信息主體的同意以前需要告知的內容，在充分告知的前提下，應當精煉告知內容，讓面部數(shù)據(jù)主體有耐心讀下去,有能力讀懂，增強同意的有效性[14]。如果申訴渠道暢通，信息控制方若不正當?shù)貙?shù)據(jù)轉移給他者，基于數(shù)據(jù)流通所導致的侵害則有了更便利的救濟途徑。其次，豐富告知方法。我國個人信息保護立法可以借鑒歐盟的做法，根據(jù)本國的國情采用分層次告知方法。分層次告知法，即人為地將隱私政策中的告知內容根據(jù)其重要性進行分層，例如將個人信息的使用范圍和使用方法作為基礎信息排列在前，將法律風險和法律責任等重要信息緊跟在后，最后附帶其他相關信息；且不同層次的信息，分別采取放大、標粗、下劃線等方式提醒個人信息主體關注相關內容。通過上述途徑，想必可以極大緩解由于告知不充分和隱私政策冗雜導致的錯誤同意。

四、結語

大數(shù)據(jù)時代的個人信息保護具有鮮明的時代特征，人臉識別技術即為時代的新興產物，傳統(tǒng)的告知同意規(guī)則在解決面部數(shù)據(jù)被泄露的問題時有所失靈。黨的十九大以來，以習近平同志為核心的黨中央高度重視網絡空間法治建設，對個人信息保護立法工作作出部署，是貫徹習近平法治思想以人民為中心的體現(xiàn)。本文在對比歐盟、德國相關法律中關于知情同意規(guī)則制度設計的基礎上，建議進一步完善同意的主體、限縮處理信息的合法性基礎、明確告知同意的形式、精煉告知同意的內容，讓知情同意規(guī)則真正在大數(shù)據(jù)時代發(fā)揮應有的作用。

此外，我國個人信息保護尚處在起步階段，其中仍然存在許多值得討論的地方。例如《民法典》中關于個人信息的分類與《個人信息保護法(草案)》中關于個人信息的分類不同，二者關系為何，又應當如何協(xié)調；關于面部數(shù)據(jù)信息，“草案”中規(guī)定了單獨同意制度，如何認定所謂的單獨同意；“草案”中還規(guī)定了信息主體的撤回權，撤回權的性質是什么、法律效果是什么等等，這些都值得廣大學者去努力探討。希望在眾多學者的共同努力下，大家能為建設法治中國作出更大的貢獻。