朱利平，徐東琴，岳楊，朱鈺濤，陳文亮

西南科技大學(xué)

一、引言

人臉識別技術(shù)源于 20 世紀(jì)中葉，并于 20 世紀(jì)末21 世紀(jì)初開始廣泛普及。如今，人臉識別技術(shù)正在改革傳統(tǒng)的身份識別方式，通過與大數(shù)據(jù)和物聯(lián)網(wǎng)聯(lián)動，應(yīng)用于公司打卡、地鐵安檢、小區(qū)安保、醫(yī)療機(jī)構(gòu)、快捷支付等不同的場景當(dāng)中。但同時，人臉識別技術(shù)的廣泛運(yùn)用也對公民個人信息的安全產(chǎn)生了威脅。在我國的法律規(guī)范中，主要通過《民法典》中人格權(quán)編來進(jìn)行一般性保護(hù)，通過《個人信息保護(hù)法》進(jìn)行相對更重點的特別保護(hù)，但對于實際人臉信息的保護(hù)遠(yuǎn)遠(yuǎn)不夠，同時，對人臉識別的具體保護(hù)制度規(guī)定的也不夠完善，而這一點在部分國外法律中是有經(jīng)驗可循的。

二、美、歐、加等域外國家人臉識別技術(shù)立法情況及其比較

（一）美國

1.立法背景

美國國會議員于2022 年提出了《面部識別法》，該法案將限制和禁止執(zhí)法部門使用“ FRT(Facial Recognition Technology)?！备鶕?jù)美國國家標(biāo)準(zhǔn)與技術(shù)研究所（NIST）的一項研究，F(xiàn)RT 中使用的算法錯誤地識別了非裔美國人和亞洲人的臉比白臉多10 到100 倍，算法偏見問題十分突出。為此，紐約頒布的新法案要求紐約市內(nèi)使用算法來幫助招聘決策的企業(yè)在這些算法與有偏見的決策相關(guān)聯(lián)的情況下承擔(dān)責(zé)任。2022 年最新擬議的《面部識別法》對美國50 個州中的每一個州的執(zhí)法機(jī)構(gòu)制定新的規(guī)定，要求執(zhí)法人員在任何調(diào)查中使用面部識別之前，必須獲得法官授權(quán)的逮捕令。

2.主要法條對比分析內(nèi)容

（1）關(guān)于被采集人臉信息者的被遺忘權(quán)：我國《個人信息保護(hù)法》（以下簡稱《個保法》）第47 條只有一般的要求刪除的規(guī)定，無特殊規(guī)定。美國規(guī)定與面部識別一起使用的逮捕照片數(shù)據(jù)庫，在每六個月該數(shù)據(jù)庫的保管人應(yīng)從該數(shù)據(jù)庫中刪除每個人的所有照片。除此之外，美國的相關(guān)規(guī)定則是針對特殊人群所設(shè)置特殊規(guī)定：對于未滿18 周歲；已被無罪釋放；在撤銷或駁回指控后被釋放、被指控的罪行被宣告無罪的人員要進(jìn)行刪除，這也在一定程度上更有利于個人信息的保護(hù)。（2）有關(guān)人臉識別中敏感信息和算法歧視的規(guī)定：《個保法》第28 條只規(guī)定了生物識別信息、宗教信仰按照敏感個人信息保護(hù)處理。美國對于人臉?biāo)惴ㄆ缫暤姆N類相關(guān)規(guī)定較多，并且為防止根據(jù)人臉識別信息識別其他敏感個人信息進(jìn)行了規(guī)定。如種族、民族、國籍、宗教、殘疾、性別等。（3）有關(guān)人臉信息的報告審計義務(wù)的規(guī)定：《個保法》第54 條只簡單規(guī)定了審計義務(wù)而沒有具體規(guī)定審計的具體期限和內(nèi)容。美國在對人臉信息的報告審計義務(wù)進(jìn)行了詳細(xì)規(guī)定。如報告義務(wù)規(guī)定授權(quán)面部識別的法官應(yīng)向國家機(jī)構(gòu)報告授權(quán)的命令、數(shù)量、授權(quán)是否根據(jù)規(guī)定發(fā)出。（4）對當(dāng)事人的通知：《個保法》第57 條規(guī)定在個人信息泄露、篡改、丟失的情形下通知信息擁有者。美國則規(guī)定只要使用了相關(guān)人臉信息就需要將使用的相關(guān)信息通知信息主體。（5）準(zhǔn)確性偏差測試：我國暫時沒有規(guī)定無準(zhǔn)確性偏差測試內(nèi)容。美國則對準(zhǔn)確性偏差測試進(jìn)行規(guī)定：“調(diào)查或執(zhí)法人員不得使用面部識別系統(tǒng)或從中獲取的信息，除非該系統(tǒng)每年提交給美國國家標(biāo)準(zhǔn)與技術(shù)研究院的基準(zhǔn)面部識別測試，供執(zhí)法部門確定。”

3.美國法案關(guān)于人臉識別各階段出現(xiàn)問題的解決方式

（1）采集階段：《2020 年國家生物識別信息隱私法案》（以下簡稱《隱私法案》）規(guī)定私人實體收集人臉信息應(yīng)制定并向公眾提供書面聲明，書面聲明需要規(guī)定永久銷毀人臉信息的時間表和準(zhǔn)則。這使相關(guān)公眾能更好地行使自己的知情選擇權(quán)，避免出現(xiàn)知情同意原則被架空的情況?！?019年面部識別技術(shù)授權(quán)法案》還規(guī)定，如果信息采集存在瑕疵，被采集人均可以采取行動壓制通過使用面部識別技術(shù)直接獲得的信息。這使得用戶可以通過抗辯對瑕疵收集到的信息進(jìn)行行動壓制，有效解決采集瑕疵的問題。（2）運(yùn)輸階段：對最終用戶造成可預(yù)見的重大財務(wù)損害、可能對最終用戶高度冒犯的事項進(jìn)行審查，至少一個合法從事獨立測試的第三方能夠?qū)γ娌孔R別技術(shù)的準(zhǔn)確性和偏差進(jìn)行測試。通過第三方對存儲的人臉信息進(jìn)行嚴(yán)密的監(jiān)督與檢查，在一定程度上緩解了存儲單位安全技術(shù)力量薄弱、數(shù)據(jù)安全得不到保障的問題。（3）使用階段：規(guī)定人臉信息使用需為了支持司法活動，需申請法院命令并按照命令內(nèi)容使用，期限不得超過30 天。通過司法授權(quán)的方式使人臉信息的使用受到嚴(yán)格限制，期限限制的方式同時解決了知情同意動態(tài)實現(xiàn)的問題。（4）救濟(jì)階段：美國對于違反保護(hù)人臉信息也制定了一定處罰，如按照每次違約金一千美金或者被害人實際損失較高者定，并且對于故意或者罔顧后果的給予5000 美元的懲罰性賠償金。通過較高額的賠償金的設(shè)置使被侵權(quán)人得到法律救濟(jì)的同時使得潛在的侵權(quán)人望而卻步。

（二）歐盟

1.立法背景

在對人臉識別規(guī)制方面，歐盟現(xiàn)在沒有專門性的法律，歐盟針對人臉識別的法律規(guī)制主要有三個核心文件，即《通用數(shù)據(jù)保護(hù)條例》（GDPR）《人臉識別指南》《人工智能法案》，但歐盟對于人臉識別信息的保護(hù)在相關(guān)法律規(guī)定上較為嚴(yán)格。

2.主要法條對比分析內(nèi)容

將歐盟《通用數(shù)據(jù)保護(hù)條例》（GDPR）與我國《個人信息保護(hù)法》對比之后發(fā)現(xiàn)兩者之間有相似之處，也存在許多差別，可以供我國借鑒學(xué)習(xí)。（1）適用范圍：歐盟在適用上排除了個人、家庭使用以及為了刑事犯罪和預(yù)防公共危害兩種情形。我國個保法則適用于上述兩種情形。（2）處理原則（舉證責(zé)任）：歐盟采用“問責(zé)舉證”原則來處理個人信息。而我國規(guī)定在幾種特殊情形下由信息處理者承擔(dān)舉證責(zé)任外，其他情形采用“誰主張誰舉證”原則。（3）涉及犯罪的個人信息處理：歐盟規(guī)定了處理涉及犯罪的個人信息處理的被允許的條件。我國無相關(guān)規(guī)定。（4）不需要識別的信息：歐盟規(guī)定了不需要識別即可不依條例進(jìn)行需要個人信息識別的一些法定義務(wù)。我國無相關(guān)規(guī)定。（5）無需告知的處理：歐盟沒有對無需告知的處理的相關(guān)規(guī)定。我國法律法規(guī)規(guī)定緊急情況下無需事前告知，但須事后告知。（6）處理活動記錄：歐盟對處理活動中所涉及的主體和事項有相應(yīng)的記錄要求。而我國僅要求公開和向履行個人信息保護(hù)職責(zé)的部門移送個人信息保護(hù)負(fù)責(zé)人的相關(guān)信息，并對處理情況進(jìn)行記錄。（7）監(jiān)管機(jī)構(gòu)設(shè)立規(guī)則及其獨立性：歐盟對設(shè)立相應(yīng)的個人信息的監(jiān)管機(jī)構(gòu)有相應(yīng)的法律規(guī)定，同時，也確認(rèn)了其監(jiān)管機(jī)構(gòu)的獨立性地位。我國法律有規(guī)定履行個人信息保護(hù)職責(zé)的部門，但我國尚未建立一個專門、獨立的個人信息保護(hù)監(jiān)管機(jī)構(gòu)。

（三）加拿大

加拿大國內(nèi)尚未頒布規(guī)范面部識別技術(shù)的重要立法。隨著關(guān)于面部識別軟件的對話繼續(xù)成為全球爭論的焦點，加拿大政府官員已成立最新的監(jiān)管機(jī)構(gòu)，呼吁制定立法，以限制全國各地使用面部識別。[1]下議院道德委員會呼吁聯(lián)邦政府對使用面部識別技術(shù)進(jìn)行限制和頒布法律，包括暫停警方不受限制地使用面部識別技術(shù)。除此之外，有議員還表示如果發(fā)現(xiàn)警方未經(jīng)適當(dāng)授權(quán)使用面部識別技術(shù)，應(yīng)該面臨“明確的處罰”。一些議員還要求披露在不侵犯公民個人隱私權(quán)的情況下使用面部識別技術(shù)的情況。人臉識別技術(shù)相關(guān)的潛在危害導(dǎo)致許多人建議以更有效和高效的方式監(jiān)管此類技術(shù)。[2]

除了面部識別技術(shù)對加拿大個人隱私造成的擔(dān)憂外，算法偏見是議員們強(qiáng)調(diào)的另一個討論話題。對于各類相機(jī)進(jìn)行實驗的相關(guān)研究人員發(fā)現(xiàn)，人臉識別技術(shù)“錯誤地識別了三分之一以上的深色皮膚女性，但白人男性準(zhǔn)確率為99%”。例如2015 年，谷歌圖片軟件的自動標(biāo)記功能，誤將兩名黑人標(biāo)記為“大猩猩”；2016 年，微軟的首個聊天機(jī)器人Tay 上線，由于事先沒有為它植入規(guī)則，希望它在與人互動中產(chǎn)生自己的愿望與想法，結(jié)果Tay一上線聊天就被網(wǎng)民們“教壞”，成了一個集反猶太人、性別歧視、種族歧視于一身的“不良少女”，如果不加控制，人類固有的偏見將會轉(zhuǎn)移到創(chuàng)建的軟件程序中。[3]

（四）小結(jié)：域外立法考慮因素的分析

歸納來看，各國人臉識別立法規(guī)制主要考慮因素有以下幾個方面：第一，人臉識別技術(shù)涉及大面積的隱私泄露，數(shù)據(jù)保護(hù)問題受到各國廣泛關(guān)注。第二，算法偏見與歧視問題顯現(xiàn)，大量的算法程序都夾雜著歧視與偏見，而這將侵害著公民的基本人權(quán)。第三，人臉識別技術(shù)極大影響著互聯(lián)網(wǎng)與公眾場所下的公民的匿名權(quán)、加密權(quán)的行使，關(guān)乎著公民的民主政治參與能否良好實現(xiàn)。第四，執(zhí)法人員在執(zhí)行公務(wù)中使用人臉識別技術(shù)，可能違反“無罪推定”原則，損害公民基本權(quán)利。

三、域外人臉識別法律制度對我國的借鑒意義

1.對人臉信息處理活動進(jìn)行記錄以及定期公開

通過對歐盟《通用數(shù)據(jù)保護(hù)條例》（GDPR）進(jìn)行對比分析可以發(fā)現(xiàn)歐盟比較注重對處理活動中所涉及的主體和事項制定相應(yīng)的專門記錄要求，而我國僅要求公開向履行個人信息保護(hù)職責(zé)的部門移送個人信息保護(hù)負(fù)責(zé)人的相關(guān)信息，這在一定程度上存在著處理活動不透明、處理信息缺乏公示的情況。我國可以加強(qiáng)對個人信息處理者進(jìn)行事前個人信息保護(hù)影響評估機(jī)制的建立，并對信息處理情況進(jìn)行記錄和在一定程度上定期公開，這樣也有助于對數(shù)據(jù)處理主體的監(jiān)督與評價。

2.數(shù)據(jù)庫亟需定期刪除

我國個保法在第47 條進(jìn)行了個人信息刪除的一般表述與規(guī)定，但在刪除期限上還有待進(jìn)行一些細(xì)則的補(bǔ)充說明，可以考慮設(shè)定固定期限（如6 個月）作為國家標(biāo)準(zhǔn)，也在一定程度上可以促進(jìn)各行業(yè)人臉識別信息處理的合規(guī)化。此外，在美國的法案中可以看到專門性的關(guān)于特殊人群的被遺忘權(quán)的規(guī)定，例如未成年人、被宣告無罪的人等特殊群體的人臉信息在被收集后可以更加注重定期刪除的操作，有助于特殊群體權(quán)益的保護(hù)。

3.設(shè)立獨立的專門性的監(jiān)管機(jī)構(gòu)

在我國，履行個人信息保護(hù)職責(zé)的部門主要是國家網(wǎng)信部門、國務(wù)院有關(guān)部門以及縣級以上地方人民政府有關(guān)部門。而落實到基層，考慮到政府部門管理事務(wù)的龐雜，如果各省、自治區(qū)、直轄市以及設(shè)區(qū)的市人民政府沒有建立專門進(jìn)行個人信息監(jiān)督管理的部門和機(jī)構(gòu)，可能會導(dǎo)致主體責(zé)任不明確，人臉信息主體權(quán)利難以得到救濟(jì)現(xiàn)象。而隨著網(wǎng)絡(luò)化和信息化的加劇，人臉識別技術(shù)的廣泛應(yīng)用，信息傳播的速度與范圍是十分迅速的，造成的損害也是難以估量的。因此，有必要進(jìn)一步明確各層級人民政府設(shè)立人臉信息監(jiān)督的專門部門和機(jī)構(gòu)，明確監(jiān)管機(jī)構(gòu)獨立的地位，才能對社會技術(shù)變革帶來的不利影響進(jìn)行有力的防范與應(yīng)對，從而切實有效地保護(hù)信息主體的人臉信息權(quán)益。

4.設(shè)立懲罰性賠償金問題

在我國，對于侵犯人臉信息的案件多采用賠禮道歉、刪除信息等方式，基本不采取損害賠償?shù)姆绞?。但這種救濟(jì)措施在一定程度上不能對當(dāng)事人進(jìn)行充分救濟(jì)和制止加害人在未來做出類似的加害行為。而根據(jù)域外賠償金設(shè)立有值得借鑒之處，比如違反人臉信息采集的相關(guān)規(guī)范采集人臉按照每次違約金一千美金或者受害人實際損失較高者定。對于故意違反或者罔顧后果的給予5000 美金的懲罰性賠償金。我國可以結(jié)合實際情況設(shè)立相關(guān)懲罰性賠償金。

5.適當(dāng)對采集主體進(jìn)行專門限制性規(guī)定

我國法律對于收集人臉信息的主體沒有進(jìn)行特別規(guī)定，基于人臉信息采集后對于被采集者影響較大并且社會影響面較大，所以采集時應(yīng)該較為謹(jǐn)慎，限制其采集主體和采集程序。參考域外有關(guān)法律規(guī)定，一般人臉信息使用需要支持司法活動并且需要申請法院命令，并按照法院涵蓋的內(nèi)容使用，并且該命令授權(quán)持續(xù)監(jiān)視時間不能超過30 天。

6.對于識別準(zhǔn)確性進(jìn)行實時監(jiān)測

我國法律沒有對于人臉識別準(zhǔn)確性若出現(xiàn)偏差應(yīng)該采取何種措施的具體規(guī)定，從域外法律規(guī)定來看需要至少一個從事獨立性測試的第三方能夠?qū)θ四樧R別技術(shù)的準(zhǔn)確性和偏差進(jìn)行合理的測試，并在測試不通過時暫時停止使用相關(guān)數(shù)據(jù)庫。這對于人臉識別的準(zhǔn)確性具有重大意義，我國法律可以對此加以借鑒。