原標題：如何保護我們的臉？不再為“顏面何存”而憂
新京報記者 薄其雨 實習生 陳玖陽 謝婧雯 慕宏舉 汪媛
如今，手機刷臉解鎖、購物刷臉支付、進出小區刷臉開門……人臉識別的應用已經深入到社會生活的方方面面，在工商、人社、交通、金融等政務領域編織起一張大網后，又“進軍”園區門禁、會員識別、員工考勤等商業領域安營扎寨。
人們在享受“刷臉”帶來的便利的同時，也會對其背后隱藏的“侵犯隱私”“信息泄露”風險產生擔憂。
從中國“人臉識別第一案”到清華大學勞東燕教授維權，從5000多張人臉打包兜售到售樓處暗中使用人臉識別，“人臉識別技術侵犯個人信息安全”的案例一再披露，每每都能挑逗起人們警覺的神經。
因此，如何讓個人信息在發揮價值的同時又不被非法獲取或利用？如何明晰人臉識別技術的應用邊界？如何通過立法和監管更有效地保護我們的臉，讓普羅大眾不再為“顏面何存”而憂？這些都是亟須關注和解決的問題。
《民法典》提出合法、正當、必要三原則
大數據時代，個人信息被譽為“新時代的石油”。而人臉信息是高度敏感的個人信息，人臉識別技術就是基于人的臉部特征信息及其不可更改的特性進行身份核驗的一種生物識別技術。這一技術還具有無接觸、交互性強、高效迅速、符合人類識別習慣等優勢。
當前，人臉識別技術愈加成熟，應用場景逐漸廣泛，成本也在不斷降低，一個個本具生命體征的人便轉化成了一串串代碼，面臨著被替代、被冒用的風險。
今年3月，清華大學教授勞東燕就在小區門禁問題上繃緊了謹慎的弦，因她所居住的小區實施安裝人臉識別門禁計劃，她特地寫了法律函寄到物業公司和居委會以引起他們對“人臉識別潛在風險”的注意。最終，小區在“刷臉”進出方式之外，增加了刷門禁卡、手機等方式。
此前，關于保護個人信息的專門立法一直未出臺，以至于“強制刷臉是否合規合法”的問題步入到相對尷尬的境地之中，于今年實現落地的《民法典》在一定程度上填補了這一領域的空白。
《民法典》規定，處理個人信息應當遵循合法、正當、必要原則，不得過度處理。但相應規定在適用過程中仍存諸多難題。勞東燕認為，除了得到個人授權外，個人信息在保管和使用方面都應該得到明確，“《民法典》只能做比較概括性的規定，未來還需要有一些細節性的規范。”
中國信息安全研究院副院長左曉棟表示，由于人臉識別技術應用場景很多，所以還需要專門的文件予以規范，“例如，什么叫人臉識別技術應用的‘合法正當必要’？這需要專門作出規定。”
仍需對人臉識別不同場景進行規范
2020年10月13日第十三屆全國人大常委會第二十二次會議對《個人信息保護法（草案）》進行了初次審議。九天之后，中國人大網公布《中華人民共和國個人信息保護法（草案）》并對其公開征求意見。
相較于《民法典》而言，《個人信息保護法（草案）》深入總結了《民法典》《網絡安全法》等法律法規和《個人信息安全規范》等國家標準的實施經驗，更加具體地規定了個人信息保護的原則，將個人信息保護實踐中行之有效的做法和措施上升為法律規范。
但部分條文仍有待進一步探討和調整。對此，中國社科院大學互聯網法治研究中心執行主任劉曉春表示，目前而言，《民法典》、《網絡安全法》、《消費者權益保護法》和即將出臺的《個人信息保護法》所構建的法律體系已經相對完備，但需要針對具體的領域，比如金融、生物信息識別、人臉識別等不同場景進行整治，從而清晰地指引具體實踐操作。
同時，她還認為，人們對人臉信息被收集之后因保護不周而被泄露的擔憂在當前更多的是一種猜測，到目前為止沒有證據顯示人臉的濫用和泄露形成了一種明顯的趨勢。因此在風險可控的情況之下，信息采集、處理、保護得當，人臉識別作為一種身份驗證的手段，不能被當作“洪水猛獸”。
在她看來，個人信息售賣的黑色產業鏈才是對個人信息威脅最大的部分，以黑客的犯罪活動為代表的個人信息買賣，已經成為一種產業鏈。暗網中出售個人信息的行為被稱做黑產灰產，犯罪分子會在侵害個人信息的基礎上進行詐騙或者傳播違法內容。
2019年以來，人臉識別技術在不斷更新迭代的同時，人臉信息泄露并被違法售賣的事情也有增無減。近期，上海檢方公訴的一起涉案金額超5億元的虛開發票案就牽出了非法人臉識別案。
在此案中，犯罪嫌疑人先從他處以30元每個的價格購買他人的高清頭像和身份證信息，之后利用“活照片”App對高清頭像進行處理，讓照片“動起來”，形成包括點頭、搖頭、眨眼、張嘴等動作視頻然后利用特殊處理的手機“劫持”攝像頭，在人臉認證環節時，手機攝像頭不會啟動，系統獲取的是之前做好的視頻。系統會認為是本人在攝像頭前，最后通過認證，完成“皮包公司”注冊，用于為他人開具增值稅普通發票。據犯罪嫌疑人交代，其破解的App類別非常廣泛，涉及政務、安防、金融、支付、生活消費等用戶量巨大的App。每單的破解價格從25元到300元不等。
專家建議：用行政監管的手段引導技術向善
劉曉春指出，在我國個人訴訟仍然存在很大障礙。其中關鍵因素就是在取證方面，需證明網站、平臺、小區收集了人臉數據且造成損害，取證的過程比較難，成本比較高，普通人可能不太具備取證所需的專業能力。所以人臉信息被盜用并對個人利益造成損害，在沒有產生實際損害的基礎上，個體很難有動力去起訴。
劉曉春提到，杭州“人臉識別第一案”中，起訴人的起訴目的帶有公益性質，起到了弘揚社會責任感的示范作用，超越了個案的意義。但這種案例無法大量復制，我國訴訟制度本身無法提供匹配的集體訴訟支持。
此外，在國內外的法律中，法定的賠償制度是很難證明損害金額的。就中國的具體情況而言，《民法典》的內容作為主要的賠償依據，但法律上沒有更有針對性的相關規定。劉曉春認為，長遠來看，我們現在仍要繼續推動人臉信息的相關立法，補足生物識別監管合規要求的空缺，推動技術標準的制定，建構完善的侵害認定的司法規則。
總而言之，針對于國內外案例和法案探討如何保護“我們的臉”的問題，多位專家建議，除了立法，在執法層面也要針對個人信息泄露的事實現狀進行針對性的執法。
此外，在企業層面還需強化企業自律，在獲取和使用個人信息時遵循合法、正當、必要三原則；同時，提升企業在大數據環境下的網絡安全防護技術；以及規范應用隱私條款，為用戶刪除數據、注銷賬戶提供渠道，明確告知用戶爭議解決機制等。
最后，在個人層面。一方面，要注意留存大數據殺熟、動態定價、價格操縱和個人信息泄露的相關證據；另一方面，應了解我國個人信息保護的相關法律，依法維護好自身權益。
中國電子技術標準化研究院網安中心測評實驗室副主任何延哲表示，整體而言，現在還是摸著石頭過河，但希望技術應用能夠有利于經濟發展，也有利于社會進步，所以我們需要通過行政監管的手段引導技術向善，堅持好安全發展相統一的原則。
【免責聲明】本文轉載自網絡，與科技網無關。科技網站對文中陳述、觀點判斷保持中立，不對所包含內容的準確性、可靠性或完整性提供任何明示或暗示的保證。請讀者僅作參考，并請自行承擔全部責任。