就政府部门使用人脸识别（bié）的法（fǎ）律（lǜ）规（guī）制，特别许可（kě）使用制度既发（fā）挥人脸（liǎn）识别技术之利，又防范人脸识别技术之弊（bì），是一（yī）种更加理性（xìng）的制（zhì）度安排。就非（fēi）政府部门使用人脸识别的法律规制，对人脸信息作出（chū）比（bǐ）一般（bān）个人信息更为严格的特别保护和（hé）特别规制，更（gèng）有利于保护（hù）个（gè）人的人脸信息。

  在（zài）无竞争性的服务领域（如民航、铁路（lù）、学（xué）校（xiào）、社区等）使用人（rén）脸识别技术，当人们拒绝“刷脸”时，应提供其他替（tì）代性的（de）验证机制（zhì），而不能（néng）不“刷脸”就不能使用或进入。即使不全面叫停政府部门安装、使用人脸识别技术，也应该对其进行严格的法律规制（zhì），防范安全风（fēng）险，防止被滥（làn）用。

  随着技术的发展，人脸识别（俗称 “刷脸”）在我国逐渐盛行。我国目前对人（rén）脸识别（bié）技（jì）术尚无专（zhuān）门的（de）法律规（guī）定（dìng），无论（lùn）是政府、社（shè）区、事业单（dān）位还是（shì）商家，均可以任（rèn）意安装人脸识别技术，强制人（rén）们（men）“刷脸”验证（zhèng）。而人们若（ruò）拒绝“刷脸”，则基本上（shàng）无法使用相关服务（wù）。如若不（bú）服，则（zé）投诉无（wú）门（mén），只能对簿公堂，但诉（sù）讼成本高昂。基于此，有必要（yào）对人脸识别（bié）的法律规制予以深入研究，厘（lí）定人脸识别（bié）技术应（yīng）遵（zūn）循（xún）的（de）法律底线，明晰人脸识（shí）别（bié）技术（shù）法律规制的基本（běn）要（yào）点。

  人脸识别技术（shù）的特征、收（shōu）益与（yǔ）风险

  人（rén）脸识别可简单地概括为：机（jī）器对（duì）静态或视频（pín）中的人脸图像进行特征提（tí）取、分类识别，以（yǐ）达到身份鉴别的目的。人（rén）脸（liǎn）识别（bié）技术的应用场景日（rì）渐丰富，其功能归纳起来主要是（shì）身份验证和监（jiān）控。这又可（kě）以分（fèn）为政（zhèng）府（fǔ）机构（gòu）的公（gōng）共（gòng）应用和非政府机构的（de）商业应用与慈善应用等。

  人（rén）脸具有如下的特征：独特性和直接识别性，方便性，不可更改性，变化（huà）性，易采（cǎi）集性，不（bú）可匿（nì）名性，多维（wéi）性。人（rén）脸的上述特征直接决定了人脸识别（bié）技术具有复杂性特征，而现实中很多收集人（rén）脸（liǎn）的机（jī）构（gòu）并不具备相应的（de）风险防（fáng）控、安全保障能（néng）力、组织和机制。

  人脸识别技术的收益（yì）是世所公认的，人脸识（shí）别技术可以应用于诸多（duō）场景（jǐng）。

  但是（shì），另一方面，人（rén）脸识别（bié）技术的风险也是不可小觑的（de）。其风险（xiǎn）主要有：一（yī）是误差风险。如果人脸识（shí）别技术不够成熟，可能出现混淆（xiáo）。此外，由于人脸为非刚体（tǐ）性（xìng），人脸之间的相（xiàng）似（sì）性以及各种变化因（yīn）素的（de）影响，准确的人（rén）脸识别仍较困难（nán）。二是身份认证被破解的风险（xiǎn）。密码是秘密保存的，但人脸（liǎn）却是（shì）公（gōng）之于（yú）众的（de）。最新的人脸（liǎn）验证技术，结（jié）合了3D图片进行登录与验证，这比以（yǐ）前的技（jì）术更难破解（jiě），但破解并非完全不可（kě）能。三是信息泄（xiè）露风险（xiǎn）。用于保存人脸信息的电（diàn）子计算机（jī）系统存在被黑（hēi）客入（rù）侵、病（bìng）毒入侵的风险，这可（kě）能导致（zhì）信息泄露（lù）。此外，内部（bù）员工的作案也可能导致信息泄露。生物（wù）信息具有100%的（de）可（kě）识别性（xìng），一旦被（bèi）泄露或是被不当利用，后果无法估量。

  国外人脸识别法律规制的经验

  从美国有限的（de）既有立法（fǎ）或立法（fǎ）草案、建议来看，美（měi）国对政府部门使用人（rén）脸识（shí）别的法律规（guī）制，有别（bié）于（yú）对（duì）非政府机构使用（yòng）人脸识别的法（fǎ）律规（guī）制，二（èr）者是分别立（lì）法、分别规制的，规制的（de）具体方法和价值取向截然不同。对政（zhèng）府部门使（shǐ）用人脸（liǎn）识别（bié）的法律规制主要分为三种：第（dì）一种是禁止使用制度，第二种是特别许可（kě）使用（yòng）制度，第三种是任意（yì）使用制度。禁止使用制度为美国旧金山市所首创，目（mù）前备受关（guān）注。特别许可使（shǐ）用制（zhì）度目（mù）前尚（shàng）处（chù）于民间（jiān）建议阶段。任（rèn）意（yì）使用制度即对（duì）政府（fǔ）使用人脸识（shí）别（bié）尚（shàng）未特别立法，政府（fǔ）部门可以任意使用人（rén）脸识（shí）别。而（ér）美国对（duì）非政府机（jī）构使用（yòng）人脸识别的法律规制，主（zhǔ）要是将人脸信息作为生（shēng）物（wù）信（xìn）息之（zhī）一加以规制，它也可以分为两种路径：一种是比对（duì）一般个人信息的保（bǎo）护更为（wéi）严（yán）格的高强度规制路径或特别（bié）规制路径（jìng），另一种是与对一（yī）般个人（rén）信息的保（bǎo）护没有区分的、同等程度保护的普通规制路径。

  欧盟（méng）与（yǔ）美国对政府部门（mén）和商业部（bù）门使用（yòng）人脸识别（bié）技术分（fèn）别进行立法不同，欧（ōu）盟（méng）《通用数据保护条（tiáo）例》（以（yǐ）下简称GDPR）是对公私部门一体适用的。这就意味着，无论是政府部门还是非政府部门，只要（yào）使用人脸识别技术，就（jiù）必须（xū）遵守相同的（de）规范。

  GDPR第4条定（dìng）义条款对“生物数据”（biometric data）进行的界定包括“面部图像”（facial images）。GDPR第9条规定了特殊种类的（de）个人数据处理（lǐ），其中就包括（kuò）生物数据。GDPR对生物数（shù）据的（de）处理，遵循（xún）“原则禁止，特殊例外”的原则。数据控（kòng）制者可援引“数据主体的（de）同意”作为个人生物（wù）数据处理的例外（wài），但该同意必须（xū）是“自由给予、明确、具（jù）体、不含混”的，数据主体的任何被动同意均不符合GDPR的规定。

  2019年7月，欧洲数据保护（hù）委员会（EDPB）颁布了（le）《关于通过视频设备处理个人数（shù）据的（de）3/2019指引（yǐn）》提供了尽量降低风险（xiǎn）的（de）措施（shī），例如（rú），对原始数据进行分离存储和传输；对生（shēng）物识（shí）别数据尤（yóu）其是分离（lí）出的（de）片段数据进行加密并制定（dìng）加密（mì）和秘钥管理政（zhèng）策；整（zhěng）合关于反欺诈的组织性和技术（shù）性措施；为数（shù）据分配整合代码；禁止外部访（fǎng）问生物识别数（shù）据；及（jí）时删除原始数据，如果必（bì）须保存（cún）则采取添加干（gàn）扰（noise-additive）的保护（hù）方法。

  就政府部门使用人脸识别的法律规制，目前国外虽然三种制度并存，但任意使用制度显然是大数据时（shí）代之前的做法，未认识到人脸（liǎn）识别技术给人（rén）们带来的风险（xiǎn）；禁止使用制度（dù）也（yě）太过于激（jī）进，不利于发挥人脸（liǎn）识别技（jì）术的优势，扼杀（shā）了技术（shù）的发展。相比较而言，特别许可使用制度既发挥人脸（liǎn）识别技术之利，又防范人脸识别技术之弊，是一种更加（jiā）理性的（de）制度安排（pái），值（zhí）得我国借鉴。

  就（jiù）非政府部门使用人脸（liǎn）识别的法律规（guī）制（zhì），目前国外虽然两种制度并存，但将人（rén）脸信息（xī）作为一般个人信息对待的普通规制（zhì）路（lù）径显然是没有认识到人脸信（xìn）息及人脸识（shí）别技术的特殊性，将个人（rén）置于（yú）极大的（de）风（fēng）险之中。而（ér）对人脸信息作出比对一般个人信息更为严格的特别保护和特别（bié）规制（zhì），更有（yǒu）利（lì）于保护个人的人（rén）脸信息，更值得我国借鉴。

  但是，各国的政治、社会和技术背景存（cún）在各自的特（tè）殊性，这就决（jué）定了国外对（duì）于人脸识别技术的相关制度未必适合于我国，我国在引（yǐn）进相关制度（dù）时需要审（shěn）慎甄别（bié）。

  完善我国（guó）人脸（liǎn）识别法律规制的建议

  我（wǒ）国（guó）2020年5月（yuè）颁布的民（mín）法典第（dì）1034条（tiáo）第1款规定，“自然人的个（gè）人信息受法（fǎ）律（lǜ）保护”，并在（zài）该条第2款（kuǎn）个人信（xìn）息的定义（yì）中（zhōng），明确（què）将生（shēng）物识（shí）别信息列举为个人信息，但也未对（duì）个人生物识（shí）别信息作特别保（bǎo）护。个人信息保护法（草（cǎo）案）第27条规定（dìng）：“在公（gōng）共场（chǎng）所安装图像采集、个人身（shēn）份识别（bié）设备，应当（dāng）为（wéi）维护公共安全所必需，遵守国家有关规定，并设置显著的提示标识。所收集的个人（rén）图像、个人身份特征信息只能用（yòng）于维护公共安全的目的，不（bú）得（dé）公开或者向他人提供（gòng）；取得（dé）个人单独同意或者法律、行（háng）政（zhèng）法规另有规定的（de）除（chú）外（wài）。”这里“图像采（cǎi）集（jí）”包括人脸识别。个人信息保护法（fǎ）（草案）第29条将（jiāng）个人生物信息作（zuò）为敏感个人信息加以保（bǎo）护，并规定了“充分必要”原则。但（dàn）总体而言，个人信息保护法（草（cǎo）案）对人脸识别技术（shù）的规制仍较为（wéi）简略。

  我国目前对（duì）包括人（rén）脸信（xìn）息在内（nèi）的生物识别（bié）信息的特别（bié）保护呈（chéng）现出（chū）软法先（xiān）行（háng）的特点。2020年2月，全国金融标准化（huà）技术委（wěi）员会审查通过的《个人（rén）金（jīn）融信息保护技（jì）术规（guī）范》（JR/T 0171-2020）（以下简（jiǎn）称《规范》）将生物识别信（xìn）息（xī）列（liè）为敏感性最（zuì）高的C3类信息（xī），并要求金融机（jī）构（gòu）不应委托或授权无（wú）金融业相（xiàng）关资（zī）质的机构收集（jí）C3类（lèi）信息，金融机（jī）构及（jí）其受托人收集、通过公共网络传输、存储（chǔ）C3类信息（xī）时，应使用加密措施。2020年3月新修（xiū）订的我国国家标准GB/T 35273-2020《信（xìn）息安全技术个人信息安（ān）全规范（fàn）》明确（què）规定个人生物（wù）识别信息属于个人敏感信息，并（bìng）对个（gè）人敏（mǐn）感信（xìn）息进行了特殊保护。2020年11月27日，工信部组（zǔ）织发布了电信终端产业协会团体标（biāo）准《APP收（shōu）集使用个人信（xìn）息最小（xiǎo）必要评估（gū）规范 人脸信息》，规定（dìng）了移动应（yīng）用软件（jiàn）对人脸信息（xī）的收集（jí）、使用、存储、销毁（huǐ）等活动（dòng）中的（de）最小必要规（guī）范和评估方法，并通过个人信（xìn）息处理活动中（zhōng）的典型应（yīng）用场（chǎng）景来说（shuō）明如何落（luò）实最小必（bì）要原则。

  数据治理（lǐ）的普遍性（xìng）、技术（shù）性、复杂性、应时性等特点决定（dìng）了数据治理具有一定的软（ruǎn）法空间，但软（ruǎn）法（fǎ）欠缺强制力的特点（diǎn）决定了对（duì）包括人脸信息（xī）在内的（de）个人生物识别信（xìn）息的特别保（bǎo）护离不（bú）开（kāi）硬法的托底。因此，有（yǒu）必（bì）要从硬法的角度系统（tǒng）思考对包括人脸信息在内（nèi）的个（gè）人生物识别信息的特别（bié）法律保护、对人脸识别的特别法律（lǜ）规制问题（tí）。

  1、建立健（jiàn）全一体（tǐ）适用的（de）安全与责任底（dǐ）线

  法律规制人（rén）脸（liǎn）识（shí）别技术的目的，不（bú）是一味地叫停（tíng）该项技术的使用，而（ér）是要在确保安全的前提下，倡导（dǎo）一种（zhǒng）负（fù）责任的使用（yòng）。为此，笔者建议（yì）建立如下（xià）公私部门（mén）一体适（shì）用的安全与责任底线。如果不符合这些安全（quán）与底线原则（zé），则为违法收集个（gè）人信息。

  其一，无论谁（shuí）使（shǐ）用人脸识别技术，人（rén）脸识别（bié）系统要经第三（sān）方独立机构定期检测，以检测（cè）其准确性与非歧视性。必（bì）要时（shí），人脸（liǎn）识别（bié）系统及其（qí）定期检测（cè）结果应向（xiàng）监管部门备案。

  其二，无论谁通过公共网络收集、传输、存储人脸信（xìn）息，都应使用加密措施，并对收集到的人脸信（xìn）息进行分（fèn）片段（duàn）单独存储，并不（bú）得公开披露人脸信息。

  其（qí）三，无论谁（shuí）使用（yòng）人脸（liǎn）识别技术，都应（yīng）该建立可追踪的技术（shù）体系。谁（shuí）在何时何地查（chá）询、使用、修改、下载了人脸（liǎn）信息，事（shì）后都可查证，以便发生侵权时，人脸（liǎn）识别技术使用（yòng）主体对侵权人进行查证和追（zhuī）责（zé）。

  其四，法律应该规（guī）定，无论（lùn）是谁使用人脸识别技术（shù），如果其收集的信息被（bèi）证明出现被盗窃、泄露、非法使用、非法出售（shòu）、非法提供等（děng）情形，从而给（gěi）信息（xī）主体造成损（sǔn）失的，收集者对（duì）受害人（rén）受（shòu）到的实际损失（shī）承担（dān）连（lián）带赔（péi）偿责任；如（rú）果受害人（rén）的（de）实际损失难以证明，则应对每个受害人至少赔偿（cháng）一定数额（如2000元人（rén）民币）的法定定（dìng）额（é）赔偿（cháng）金。受害人受到的实际损失小于该（gāi）法（fǎ）定定额赔偿金（jīn）的，受害人可（kě）直接主（zhǔ）张法（fǎ）定定额赔偿（cháng）金。

  其五，无论是谁使用人脸识别（bié）技（jì）术，人们（men）均（jun1）有权拒绝（jué）“刷脸”。如（rú）果是在无（wú）竞争性的（de）服务领域（如民航、铁（tiě）路（lù）、学校、社区等（děng））使（shǐ）用人脸识别技术，当人们（men）拒（jù）绝“刷脸”时，应提供其他替代性的验证机制，而（ér）不能不“刷脸”就不能（néng）使用或进入（rù）。毕竟，每个人的（de）风险偏好是不尽相同的，法律（lǜ）规则的设置（zhì）应容忍（rěn）和尊重那些低风险偏好的（de）人，尤（yóu）其是在当前不能做到（dào）人脸（liǎn）识别系统百分之百安全的情况下（xià）。

  2、区分公私部门配置（zhì）不同的规制（zhì）重心

  对政府部门使用（yòng）人脸识别技术应以事前（qián）事中规制（zhì）为主，对非政府部门使用人脸识别技术应（yīng）以事中事后规制为主。

  政（zhèng）府部门执行（háng）公务过程（chéng）中构成（chéng）侵（qīn）权，因有（yǒu）国家（jiā）赔偿法的限额赔偿而（ér）使当事人难以获得充分赔偿，且一旦政府部门涉（shè）嫌侵权对政（zhèng）府部门的声誉（yù）将造成重大不（bú）良影响，因此，应着重从事前（qián）进行（háng）风险防范，即（jí）对政（zhèng）府部门安装、使用人（rén）脸（liǎn）识别技术（shù）应坚持有权机构批准同（tóng）意原则，未经有权机构批准同（tóng）意（yì），政府任何部门不（bú）得安装（zhuāng）、使用人脸识别技术。有（yǒu）权机（jī）构（gòu）在批（pī）准时，应考（kǎo）虑到安（ān）装、使用人脸识（shí）别技（jì）术的必要（yào）性（xìng）、正（zhèng）当性，且应通过（guò）一定（dìng）的法律正当（dāng）程序，遵循（xún）公（gōng）开（kāi）、透明、民主参与等原则予以批准。

  如果对商业部门安装、使用人脸识别技术坚持事前批准的话，因政府部门在技术上往往落后于商业（yè）部门，这可能发展不出来（lái）一种有效（xiào）的审批，更（gèng）为重要的（de）是，还可（kě）能遏制（zhì）商业创新和技术创新。但是，如果商（shāng）业部门（mén）的人脸识别给消费者造成损害的话（huà），受害人可以通过（guò）事后的民事诉讼来进（jìn）行追责，执（zhí）法部（bù）门也可以（yǐ）通过事中或事后的执（zhí）法（fǎ）进行监管和追责。当然，这需要我们（men）健全法律框架，使（shǐ）执法部门有法可依，使受害（hài）人可（kě）以依法（fǎ）维权。

  至于我国是否需要（yào）全面禁止政府部门安装、使用（yòng）人脸（liǎn）识别系统（tǒng），这属于政治过程决定（dìng）的结果（guǒ）。我（wǒ）国公（gōng）安机关布（bù）控的天眼系（xì）统（tǒng），通过（guò）安装在城市公（gōng）共场合的摄像头对人脸进行（háng）实时、精（jīng）准且快速的甄（zhēn）别（bié），让犯罪分（fèn）子无处可逃。但通（tōng）过人脸识别技（jì）术（shù）所（suǒ）进行的监控对个人自由的威胁也越（yuè）来越引起人们的重视。人们对全面监控感到压迫（pò）和焦虑。即使不全面叫停政府部门安装、使用人脸识（shí）别（bié）技术，也应该对其进行严（yán）格的法律（lǜ）规制（zhì），防范安（ān）全风险（xiǎn），防止（zhǐ）被滥用。

  3、对人脸信息的采集施加比对一般个人信息的采集更强的规制（zhì）力度

  人脸信息不同于一般个人信息，甚至（zhì）人脸信息作为生物信（xìn）息也与其他生物（wù）信息（如（rú）指纹）也（yě）有较大区别。因此，人脸信息的采（cǎi）集应坚持特别（bié）规制即差异化规制，即应坚（jiān）持更强的知情同（tóng）意原则。

  采集一般（bān）个（gè）人信息，除了法定例外情形，一般都需要（yào）征得数据主体的（de）知情同意。但人脸信息具有特殊性，除了法定例外情形，其所（suǒ）适（shì）用（yòng）的知情同（tóng）意原则，应比一般的个人信息所（suǒ）适用的知情同（tóng）意原（yuán）则更严格，即应坚持书面（written）知情同（tóng）意原则。此外，法律应规定采集人脸（liǎn）信（xìn）息之前，采集者应告知（zhī）被（bèi）采集者其采集（jí）的信息具体类型、目（mù）的、保存时间、被（bèi）采集者的风险与权利（lì），告（gào）知的方式必须是书（shū）面的。