就政府部门使用人脸识别（bié）的法律（lǜ）规（guī）制，特别许可（kě）使用制（zhì）度既发挥人脸识别技术之利（lì），又防范（fàn）人脸识别技术（shù）之（zhī）弊，是一种更加理性的制度安排。就非政府部（bù）门使用人脸识（shí）别的法律规制（zhì），对（duì）人脸信息（xī）作出比（bǐ）一般个人信息更为严格的特（tè）别保护和特别规制，更有利于保护个人的人脸（liǎn）信息。

  在无竞争性（xìng）的服务领域（如民航（háng）、铁路、学校、社（shè）区（qū）等）使用（yòng）人脸识别技术，当人们拒绝“刷脸”时，应提供其他替（tì）代性（xìng）的验证（zhèng）机制，而不（bú）能不“刷脸”就不能使用或（huò）进入。即使不（bú）全面（miàn）叫停政府部门（mén）安装（zhuāng）、使（shǐ）用人脸识别技（jì）术，也应该对其进行严格的法律（lǜ）规制，防范安全风险（xiǎn），防止被滥用。

  随（suí）着（zhe）技术的（de）发展，人脸识别（bié）（俗称 “刷脸（liǎn）”）在我国逐渐盛行。我国目前对人脸识（shí）别技术尚无（wú）专门（mén）的法律规定（dìng），无论是政府、社区、事业（yè）单位还是商（shāng）家，均可（kě）以任意（yì）安装人脸识别技术，强制人们“刷（shuā）脸”验（yàn）证（zhèng）。而（ér）人们若拒绝“刷脸”，则基本上无法使（shǐ）用（yòng）相关服务。如若（ruò）不（bú）服，则投诉无门，只能对簿（bù）公堂，但诉（sù）讼成本高昂。基于此，有必要对人（rén）脸识别的法律规制（zhì）予（yǔ）以深（shēn）入研（yán）究，厘定人脸识别技术应遵循的法律底线，明晰人脸识别技（jì）术（shù）法律规制的基本要（yào）点。

  人（rén）脸识别技术的特征、收益与（yǔ）风险

  人脸识（shí）别（bié）可简单地概括为：机器对静（jìng）态或（huò）视频中的人脸图像（xiàng）进行特征提取、分类识别，以达到身份鉴别的目的。人脸识别技术的应用场（chǎng）景日渐丰富，其功能（néng）归纳起（qǐ）来（lái）主要（yào）是身份验证和监控。这（zhè）又可以分为政（zhèng）府机构的（de）公（gōng）共应用和（hé）非政府（fǔ）机（jī）构（gòu）的商业应（yīng）用与慈善应用等。

  人脸具有（yǒu）如下的特征（zhēng）：独特（tè）性和直接（jiē）识别性，方便（biàn）性，不可更改性，变化性，易（yì）采集（jí）性，不（bú）可匿名（míng）性，多维性。人脸的上述特征（zhēng）直接（jiē）决定了人脸（liǎn）识别技术具（jù）有复杂性特征（zhēng），而现实中很多收集人脸的机构并不具（jù）备相应的风险防（fáng）控、安（ān）全保障能力、组织和机制。

  人脸识别技术的收益是（shì）世（shì）所公认的，人脸识别（bié）技术可（kě）以（yǐ）应用于诸多场（chǎng）景。

  但是，另一方面，人脸识别技术的风险（xiǎn）也是不可（kě）小（xiǎo）觑的。其（qí）风（fēng）险主要有（yǒu）：一（yī）是误差风险（xiǎn）。如果人脸识别技术不够成熟，可能出现混淆。此外，由于人脸为非刚体性（xìng），人脸之（zhī）间（jiān）的相（xiàng）似性以及各种变化因素的影响（xiǎng），准确的人（rén）脸识别仍较困难。二（èr）是身份认证被破解的风险。密码是（shì）秘密保存的，但人（rén）脸却是公（gōng）之于众的。最新的人脸验证技术，结（jié）合（hé）了（le）3D图片（piàn）进行登录与验证，这（zhè）比以前的技术更难破解，但破解并非（fēi）完全不可能。三是信息（xī）泄露风险（xiǎn）。用（yòng）于保存（cún）人脸信息的电（diàn）子计算机系统存（cún）在被黑客入侵、病毒入侵的风（fēng）险，这可能（néng）导（dǎo）致信息泄露。此外，内部员（yuán）工的作案也可能导致信息（xī）泄露。生物信息具有100%的可识别性，一旦（dàn）被泄（xiè）露或（huò）是被不当利用（yòng），后果无法估（gū）量。

  国外人脸识别法律规制的经验

  从美国有限的既有立法或立法（fǎ）草案、建议来看（kàn），美国（guó）对政府部（bù）门使（shǐ）用人脸识别的法律规制，有别于（yú）对非政府（fǔ）机构使用人脸识别的法律（lǜ）规（guī）制，二者（zhě）是分别立法、分别规制的，规制的具（jù）体方法和价值取向截然不同。对政府（fǔ）部门使用人脸（liǎn）识别的法律规制主要分为三（sān）种：第一（yī）种是（shì）禁（jìn）止使用（yòng）制度，第（dì）二种是特别许可使用（yòng）制度，第（dì）三（sān）种是任意使用制度。禁止使（shǐ）用制度（dù）为美国旧金山市所首创，目前（qián）备受关注。特（tè）别（bié）许可使用（yòng）制度目前尚处于民间建议阶段。任意使用制度即对政府使用（yòng）人脸识（shí）别尚（shàng）未特别立法，政府部门可以任意（yì）使用人（rén）脸识别（bié）。而美（měi）国（guó）对（duì）非政府（fǔ）机构使用（yòng）人脸识（shí）别的法律规制，主要是将人脸（liǎn）信息作为生（shēng）物信息之一加以规制（zhì），它（tā）也可以分为（wéi）两种（zhǒng）路径：一种（zhǒng）是（shì）比对一般个人信息的保护更为严格的（de）高强度规制（zhì）路径或特别（bié）规制路径（jìng），另一（yī）种（zhǒng）是与对一般个人（rén）信息的（de）保护没有（yǒu）区（qū）分的、同等程度保护的普通规（guī）制路径。

  欧盟与美（měi）国对政府部门和（hé）商业部门使用人脸识别技术（shù）分别进行立法不同，欧（ōu）盟（méng）《通用数据保护条例》（以（yǐ）下（xià）简称GDPR）是对（duì）公（gōng）私部门一体适用的。这就意味着，无论是政府部门还是非政府（fǔ）部门，只要使（shǐ）用人（rén）脸识别技术，就必须遵（zūn）守相同的规范（fàn）。

  GDPR第4条（tiáo）定义条（tiáo）款对“生物数（shù）据”（biometric data）进行的（de）界定包括“面部图像”（facial images）。GDPR第9条规定了特殊（shū）种类的（de）个人数据处理（lǐ），其中（zhōng）就包括生物（wù）数（shù）据。GDPR对生物数据的处理，遵循“原（yuán）则禁止，特（tè）殊（shū）例外（wài）”的原则。数据控制者可援引（yǐn）“数（shù）据主体的同（tóng）意（yì）”作为个人生（shēng）物数据处理的例外，但该同意必（bì）须（xū）是“自由给予、明（míng）确、具体、不（bú）含（hán）混”的，数据主体（tǐ）的任何（hé）被动同（tóng）意均不符合GDPR的规定。

  2019年7月，欧（ōu）洲数据保护（hù）委员会（EDPB）颁布了《关于通过视频（pín）设备处（chù）理个人数（shù）据的3/2019指引》提供了（le）尽量降低（dī）风险的措（cuò）施，例如，对原始数据进行分离存储（chǔ）和传输（shū）；对（duì）生物（wù）识（shí）别（bié）数（shù）据（jù）尤其（qí）是分离出的（de）片段（duàn）数据进行加密并制定（dìng）加密（mì）和（hé）秘钥（yào）管理政策；整（zhěng）合（hé）关于反欺诈（zhà）的组织性（xìng）和技（jì）术（shù）性措施；为数据（jù）分配整合（hé）代（dài）码（mǎ）；禁止外（wài）部访（fǎng）问生物识别数据；及时删除（chú）原（yuán）始（shǐ）数据，如果必（bì）须保存则采取添加干扰（rǎo）（noise-additive）的（de）保护方法（fǎ）。

  就政府部门使用人脸（liǎn）识别的法（fǎ）律规制，目前国外虽然三（sān）种制度（dù）并存，但任意使用制度显然是大数（shù）据时代之前的做法，未认识到人脸（liǎn）识别技术（shù）给人们带来的风险；禁止使用（yòng）制（zhì）度也（yě）太过于激进，不利于发挥人脸识别技（jì）术的（de）优势，扼杀了技术的发展。相比（bǐ）较而言（yán），特别许可使用制度既发挥人脸识别技（jì）术之利，又（yòu）防（fáng）范人脸（liǎn）识别技（jì）术（shù）之弊，是一种更加理（lǐ）性的制度安排，值得我（wǒ）国借（jiè）鉴。

  就（jiù）非政府部门使用人脸（liǎn）识别的法律规（guī）制，目前国外虽然两种制度并存，但（dàn）将（jiāng）人脸（liǎn）信息作（zuò）为一般个人信息对待的（de）普通规（guī）制路径显然（rán）是没有认识到人脸（liǎn）信（xìn）息及（jí）人（rén）脸识别技术的特殊性，将个人（rén）置（zhì）于极大的风险之中。而对人脸信息作出（chū）比对一般个人信息（xī）更为（wéi）严格的特别（bié）保护和特别规制，更有利于保护个人的人脸信息，更值得我国借鉴。

  但是，各国的（de）政（zhèng）治（zhì）、社会和技术背景（jǐng）存在各自的特殊（shū）性，这就决定了国外对于（yú）人脸识别技（jì）术的相关制度（dù）未（wèi）必适合于（yú）我国，我国在引进相关制度时需要审慎甄别。

  完善我国人（rén）脸识别法律规制的建议（yì）

  我国2020年5月颁布的民法典第1034条第1款规定，“自然人（rén）的个人（rén）信息受法律保（bǎo）护（hù）”，并在（zài）该条第2款个人（rén）信息的定义中，明确（què）将生物识别信息（xī）列举为个（gè）人信息，但（dàn）也未对个（gè）人（rén）生（shēng）物（wù）识别信息作（zuò）特（tè）别（bié）保护（hù）。个人信息（xī）保护法（fǎ）（草案）第（dì）27条规定（dìng）：“在（zài）公共场所安装图（tú）像采集、个人身份识别设备，应当为维护公（gōng）共（gòng）安全所必需，遵守（shǒu）国家有关规（guī）定，并设置显著（zhe）的提示标识。所收集（jí）的个（gè）人（rén）图像、个人身份（fèn）特（tè）征（zhēng）信（xìn）息只能（néng）用于维护公共（gòng）安（ān）全（quán）的目的，不得公开或（huò）者向他人提供；取（qǔ）得（dé）个人单（dān）独同意或（huò）者法（fǎ）律、行政法规另有规定的除外。”这里“图像采集（jí）”包括（kuò）人脸识别。个人（rén）信息保护法（草案）第29条将个人生物信息作为敏（mǐn）感个人信（xìn）息加以保护，并规（guī）定了“充分必要”原则。但总（zǒng）体而（ér）言，个人信息保护法（草案）对人脸识别技术的规制仍较为简（jiǎn）略（luè）。

  我国目前（qián）对包括人脸（liǎn）信息在内的生物（wù）识别信息的（de）特别保（bǎo）护（hù）呈现出软法先行的特（tè）点。2020年2月，全国金融标（biāo）准化技术（shù）委员会审查（chá）通过的《个人金融信息保（bǎo）护技术（shù）规范》（JR/T 0171-2020）（以下简称《规范》）将生（shēng）物识（shí）别信息列为敏感性最（zuì）高（gāo）的C3类信息，并要求金融机构不应委托或授（shòu）权（quán）无金融业相关（guān）资质的机构（gòu）收集C3类信息，金（jīn）融机构及其受托人（rén）收集、通过公共网（wǎng）络传（chuán）输、存储C3类信息时，应使用加密措施。2020年（nián）3月新修（xiū）订的我（wǒ）国（guó）国（guó）家标（biāo）准（zhǔn）GB/T 35273-2020《信息安全技术个人信息安全规（guī）范》明确（què）规定个人生物识（shí）别（bié）信息属于（yú）个人敏感（gǎn）信息（xī），并对（duì）个（gè）人敏感（gǎn）信息进（jìn）行了特殊保护。2020年（nián）11月27日，工信部（bù）组织发布（bù）了电信（xìn）终端产（chǎn）业协（xié）会团体（tǐ）标准《APP收集使用个人（rén）信息最小必要评估规范 人脸信息》，规定（dìng）了移动应用软件对人脸信息的（de）收集、使用、存（cún）储（chǔ）、销（xiāo）毁等活动中的最小（xiǎo）必（bì）要（yào）规范和评估方法（fǎ），并通过个（gè）人（rén）信息处理活动中的典型应用场景来说明如（rú）何落实最（zuì）小必要（yào）原则。

  数据治理的普遍性、技术（shù）性、复（fù）杂性、应时（shí）性等特点决定了数据治理（lǐ）具有一定的软（ruǎn）法（fǎ）空间（jiān），但（dàn）软法（fǎ）欠缺强制力的（de）特点决（jué）定了对包括人（rén）脸信息在内的个人生物识别信（xìn）息（xī）的特别保（bǎo）护离不（bú）开（kāi）硬法的（de）托（tuō）底。因此，有必要从硬法的角（jiǎo）度系（xì）统思考对（duì）包括人脸信息在内（nèi）的个人生物识别信息的特别法律保护、对（duì）人脸识（shí）别（bié）的特别法律规制问题。

  1、建（jiàn）立健全一体（tǐ）适用（yòng）的安全与责任底线

  法律规制人脸（liǎn）识别技术的目的，不是一味地叫（jiào）停该项技术的使用，而是（shì）要在确（què）保（bǎo）安全的前提下，倡导一种负责（zé）任的使用。为此，笔者建议建立如（rú）下公（gōng）私部门一体适（shì）用（yòng）的安（ān）全（quán）与责任底线。如果不符合这些安（ān）全与底线原则，则为违（wéi）法收集个人信息。

  其（qí）一，无论（lùn）谁使用人脸识别技术，人脸（liǎn）识别系（xì）统要经第三方独（dú）立机（jī）构定期检测，以检测其准确性与非歧视性。必要时，人脸识别系统及（jí）其（qí）定期检测结（jié）果应向监管部门备案。

  其二，无论（lùn）谁通过公共（gòng）网络收（shōu）集、传输、存储人脸信息，都（dōu）应使用（yòng）加密措施，并对收集到的人（rén）脸信（xìn）息进（jìn）行分片段单（dān）独存（cún）储，并不得公开披露人脸信息（xī）。

  其三，无论谁（shuí）使用（yòng）人（rén）脸识别技术（shù），都应该建立可追踪的技（jì）术体系。谁在何时（shí）何地（dì）查询、使用、修改、下载了人（rén）脸（liǎn）信（xìn）息，事后都（dōu）可（kě）查证，以便发生侵权时，人脸识（shí）别（bié）技术使（shǐ）用主体对侵权人进行查证和追责。

  其四，法律应该规定，无论是谁（shuí）使用（yòng）人脸（liǎn）识别（bié）技术，如（rú）果（guǒ）其收（shōu）集的信息被证明出现被盗窃、泄露（lù）、非法使用（yòng）、非（fēi）法出售（shòu）、非法提供（gòng）等情形，从而给信息主（zhǔ）体造成损失的，收集者对受（shòu）害人（rén）受（shòu）到的实际损（sǔn）失承担连带赔偿（cháng）责（zé）任；如果受害人（rén）的（de）实际损失难以证明，则应对每个（gè）受害人（rén）至（zhì）少（shǎo）赔偿一定数额（如（rú）2000元人民币）的法定定（dìng）额（é）赔偿金。受（shòu）害人受到（dào）的实（shí）际损失小于该法定定额赔偿金的，受害人可直接主张法（fǎ）定定额赔偿（cháng）金。

  其（qí）五，无（wú）论是谁（shuí）使用人脸识别技术，人（rén）们均有权拒绝“刷（shuā）脸”。如果是在无竞争性的（de）服务领域（yù）（如民航、铁路、学校、社区等）使（shǐ）用人（rén）脸识（shí）别技术，当人（rén）们拒（jù）绝“刷脸（liǎn）”时，应提供其他替代性的验证机制（zhì），而不能不“刷脸”就不（bú）能使用或进入。毕（bì）竟，每个人的（de）风险偏好是不尽相同的，法律（lǜ）规则的设置应容忍和尊重那些低风险（xiǎn）偏（piān）好的人（rén），尤其是在（zài）当前不能做到人脸识别系统百分之百（bǎi）安（ān）全的情况下。

  2、区分公私部门（mén）配置不同的规制（zhì）重心

  对政府部门使用人（rén）脸识别技（jì）术应以事（shì）前事（shì）中规制为主（zhǔ），对非政府部门使用人脸识别技（jì）术应以（yǐ）事中事后规制为（wéi）主。

  政府部（bù）门执（zhí）行公务（wù）过程中构成（chéng）侵（qīn）权，因有国家赔偿法的（de）限额（é）赔偿而使当事人难以获（huò）得充分赔偿，且一旦政府部（bù）门涉嫌侵（qīn）权对政府部门的声誉将（jiāng）造成（chéng）重大（dà）不良影响，因此，应（yīng）着重从事（shì）前进行风（fēng）险防（fáng）范，即对政府部（bù）门安装、使用人脸识别技（jì）术应坚持有（yǒu）权机构批准同意原则（zé），未（wèi）经有权机（jī）构批准同意，政（zhèng）府任何部门（mén）不得（dé）安（ān）装、使用人脸识别技（jì）术（shù）。有权机构在批准时，应考虑到安装、使（shǐ）用人脸识（shí）别技术的必（bì）要（yào）性、正当性，且应通过一定（dìng）的法律正当程序，遵循（xún）公开、透明、民主参与（yǔ）等原则予以批（pī）准。

  如果对（duì）商（shāng）业部门安装、使用人脸（liǎn）识别技术坚持事前批（pī）准的（de）话（huà），因政（zhèng）府部门在技术上（shàng）往往落后于（yú）商业（yè）部门，这（zhè）可能发展不（bú）出来一种有（yǒu）效的（de）审批（pī），更为（wéi）重（chóng）要的（de）是，还可能遏制商业创（chuàng）新和技术创新。但是，如果商业部（bù）门的（de）人脸识别给（gěi）消费（fèi）者造成损（sǔn）害的话，受害人可以通（tōng）过事后的民（mín）事诉讼来进行追责，执法部门（mén）也可以通过事中或事后的执法进（jìn）行监（jiān）管（guǎn）和追责。当然，这需要（yào）我们健全法律框架，使执法部门有（yǒu）法可依，使受害人可以（yǐ）依法维权。

  至于我国是否需要全面（miàn）禁止政府部门（mén）安（ān）装（zhuāng）、使用人脸（liǎn）识别系统，这属于政治过程（chéng）决定的结果。我国公安机关布（bù）控的天眼系统，通过（guò）安装在（zài）城市公（gōng）共（gòng）场合的摄（shè）像（xiàng）头对人脸（liǎn）进行实时、精准且快速的甄别，让犯罪分子（zǐ）无处（chù）可逃。但通过人脸识（shí）别技术所进行的监控对个人自由的威胁（xié）也（yě）越来（lái）越引起人们的重视。人们（men）对全（quán）面监控（kòng）感到（dào）压迫（pò）和焦虑。即使不全面（miàn）叫停政府（fǔ）部（bù）门安装、使用人脸识（shí）别技术，也应该对其进行严格的（de）法律规制，防范安（ān）全风险，防止被滥用。

  3、对人脸信息的采集施加比（bǐ）对（duì）一般个人信（xìn）息的采（cǎi）集更强的规制力度

  人脸（liǎn）信息不同（tóng）于一般个人信息，甚至人脸（liǎn）信息作（zuò）为（wéi）生物信息也与（yǔ）其他生物信息（xī）（如指（zhǐ）纹）也（yě）有较（jiào）大区别。因此，人脸（liǎn）信息的采集应坚（jiān）持特别规制即差异化规制，即应坚持更强的知（zhī）情同意原则。

  采集一般个人信息，除了法（fǎ）定例外情形，一般都需要征得数（shù）据（jù）主体（tǐ）的知情同意。但人脸信息具有特殊性，除了法（fǎ）定例外情（qíng）形，其所适用的知情同意原（yuán）则（zé），应比一般的个人信息所适用的知情同意原则（zé）更严格，即应坚持书面（written）知情同意（yì）原（yuán）则。此外，法律应规定（dìng）采集（jí）人脸信息（xī）之前（qián），采集者应告知被采集者其采集的信息具体类型、目的、保存时（shí）间、被采集者的（de）风险与权利，告知的方（fāng）式必（bì）须（xū）是书面的。