就政府（fǔ）部门使用人（rén）脸识别的法律规制，特（tè）别（bié）许可使用制度既发挥人脸识别（bié）技（jì）术之利，又（yòu）防范人（rén）脸识别技术之弊，是一种更加理性（xìng）的制度（dù）安排。就非政府部门使用人脸识别的（de）法律规制，对人脸信息作出比一（yī）般个人（rén）信息更为严格的特别保护和特别规（guī）制，更有利（lì）于保护个人的（de）人脸信息。

  在无竞争性的服务领（lǐng）域（yù）（如民航、铁（tiě）路、学（xué）校、社区等）使用人脸识别技术（shù），当（dāng）人们拒绝“刷脸”时，应提供其他（tā）替代性的验证（zhèng）机制（zhì），而不能不“刷脸”就不能使用或（huò）进（jìn）入。即使不全（quán）面（miàn）叫停政（zhèng）府部门安装、使用人（rén）脸识别技术，也应该对其进行（háng）严格的法律规制，防（fáng）范安（ān）全风险（xiǎn），防止被滥用。

  随着技术的（de）发展，人脸（liǎn）识（shí）别（俗称 “刷脸”）在我国（guó）逐渐（jiàn）盛行。我（wǒ）国（guó）目前对（duì）人脸识（shí）别技（jì）术尚（shàng）无专门的法律规定，无论是政府、社区（qū）、事业单位（wèi）还是商（shāng）家，均可以任（rèn）意安装人脸识（shí）别技术，强制人们（men）“刷脸”验证。而人们若拒绝（jué）“刷（shuā）脸（liǎn）”，则（zé）基本上无（wú）法使（shǐ）用相关（guān）服务。如若不服，则投诉（sù）无门，只能对（duì）簿公堂，但诉讼成本高昂。基于此，有必要对人脸识别的法（fǎ）律规制予以（yǐ）深入研究，厘（lí）定人（rén）脸识别技术应遵循的法律底线，明晰人（rén）脸识别（bié）技术法律规制的基（jī）本（běn）要点。

  人脸识别技术的特征、收益与风险

  人（rén）脸识别可（kě）简单地概（gài）括为：机器（qì）对静态或视频中的人脸图像进行特征提取、分类识别，以达（dá）到身份鉴别的目的。人（rén）脸（liǎn）识别技术（shù）的应（yīng）用场景日渐丰富，其功能归纳起来主要（yào）是身份验（yàn）证和监控。这又可以分为政府机构的公共应（yīng）用和非政府（fǔ）机构的商业应用（yòng）与（yǔ）慈善应（yīng）用等（děng）。

  人脸（liǎn）具有如下的特征：独（dú）特性和直接识别性，方便性，不（bú）可更改性，变化性，易采集性，不可匿（nì）名性，多维性。人脸的上（shàng）述特征直（zhí）接决定（dìng）了（le）人脸识别技（jì）术具有复（fù）杂性特征，而现实（shí）中（zhōng）很多（duō）收集人（rén）脸的机构并不具备（bèi）相应的风险防控、安（ān）全保障能（néng）力、组织和机（jī）制。

  人脸识别（bié）技（jì）术的收益是世（shì）所公认的，人脸识别技术（shù）可以应用于（yú）诸多场景（jǐng）。

  但是，另一方（fāng）面，人脸识别技术（shù）的风险也是不可小（xiǎo）觑的（de）。其风险主要有：一是误差风险。如果人脸识（shí）别技术（shù）不够（gòu）成熟，可能出现混淆（xiáo）。此外，由于人脸为非刚体性，人（rén）脸之间的相似性以及各种（zhǒng）变化因素的影响，准（zhǔn）确的人脸识别仍较困难。二是（shì）身份认证被（bèi）破解的风险。密码（mǎ）是（shì）秘密（mì）保存的（de），但人脸却（què）是公（gōng）之于众的。最新的（de）人脸验（yàn）证技术，结合了3D图片进行登录与验（yàn）证，这（zhè）比（bǐ）以前的技术更（gèng）难破解，但（dàn）破解并（bìng）非完全不可能。三是信（xìn）息泄露风险。用于保（bǎo）存人（rén）脸信息的电子计（jì）算机系统（tǒng）存在（zài）被黑（hēi）客入侵、病毒（dú）入（rù）侵的风险，这可能导（dǎo）致信息泄露。此外，内部员工的作案也可（kě）能导致信息泄露。生物信息具有（yǒu）100%的可识别性，一旦被泄露或是被不当（dāng）利（lì）用（yòng），后果无法估（gū）量（liàng）。

  国外人脸识（shí）别（bié）法律规制的经验

  从美国有（yǒu）限的既有立法或立法草案、建议来看，美国对（duì）政（zhèng）府（fǔ）部（bù）门使（shǐ）用人脸识（shí）别的法律（lǜ）规制（zhì），有别于对非政府机构使（shǐ）用人脸识别的法律规制，二者（zhě）是分别立（lì）法、分别（bié）规制的，规（guī）制的具体方法和价值（zhí）取向（xiàng）截然不同。对政府部门使用人脸识别的法律规制主要分为三（sān）种（zhǒng）：第一种是禁止使用（yòng）制度，第二种是特别许（xǔ）可使（shǐ）用制度，第三（sān）种是任意使用制度。禁止使用制度为美国旧金山市（shì）所首创，目前备受关注（zhù）。特别许（xǔ）可使用制（zhì）度目前尚处于民间建议阶（jiē）段。任（rèn）意使用制度即对政（zhèng）府使用人（rén）脸识别尚未特（tè）别（bié）立法，政（zhèng）府（fǔ）部门可以（yǐ）任意（yì）使用（yòng）人脸识（shí）别。而美国对非政府机构使用人脸识（shí）别的（de）法律规（guī）制，主要（yào）是将人（rén）脸信（xìn）息（xī）作（zuò）为生物信息之一加以规制，它也可以分为两种路（lù）径：一种（zhǒng）是比对一般个人信息的保护更为严格的高强度规制路径或特（tè）别规制路径，另一种是与对一般（bān）个人信息的保护没有（yǒu）区分（fèn）的、同等程（chéng）度保护的普通规制路径（jìng）。

  欧盟（méng）与美国对政府部门和（hé）商业部门使用人脸识（shí）别技术分别进行立法不同，欧盟《通用数据保护条例》（以下简称GDPR）是对（duì）公私（sī）部门一体适用的（de）。这就意味着，无论是政府部门还是非政府部门（mén），只要使用人脸（liǎn）识（shí）别技（jì）术，就必须（xū）遵守（shǒu）相同的规范。

  GDPR第4条定义条款对“生物（wù）数据”（biometric data）进行的界定（dìng）包（bāo）括（kuò）“面部图像”（facial images）。GDPR第9条规（guī）定了特殊种类的个人数据处理，其（qí）中就包括生（shēng）物数据。GDPR对生物数据的处理，遵循“原则禁止，特殊例外”的（de）原（yuán）则。数（shù）据（jù）控（kòng）制者可援引“数（shù）据主体的同意”作为个人生物（wù）数据处理的例外，但该同意必须是“自由给予、明确、具体、不含混”的（de），数（shù）据主体的任何被（bèi）动同意均不符合GDPR的规定。

  2019年（nián）7月，欧洲数（shù）据保护委员会（EDPB）颁布了《关于通（tōng）过（guò）视频设备处理个人数（shù）据的3/2019指引》提（tí）供了（le）尽量降低风险的措施，例（lì）如，对原（yuán）始数据进（jìn）行分离存储和（hé）传输；对生物识别数据尤其是（shì）分（fèn）离出（chū）的片段数据进行加密并制定加密和秘钥（yào）管理政策；整合关于反欺诈的组织性（xìng）和技术性措施（shī）；为数据分（fèn）配整（zhěng）合代码；禁止外（wài）部访问生物识别数据；及时删除原（yuán）始数据，如果必须保存则采取添加干扰（noise-additive）的保护方法（fǎ）。

  就政府部（bù）门使用人脸（liǎn）识（shí）别的（de）法律规（guī）制，目前国外（wài）虽然三种制度并存，但任（rèn）意使（shǐ）用制度显（xiǎn）然是大数据时代之（zhī）前的做法，未认（rèn）识到人脸（liǎn）识别技术给人们带来的风（fēng）险；禁止使用制度也太过于激进，不利（lì）于发挥人脸识别技术的优势，扼杀了技（jì）术的发展。相比较而言，特别许可使（shǐ）用制度既发挥人脸识别技术（shù）之利，又防（fáng）范人脸识（shí）别技术之（zhī）弊（bì），是一种更加理性的制度安排，值得我国借鉴。

  就非政府部（bù）门使用人脸识别的（de）法律规制，目前国外虽然两种制度（dù）并存（cún），但（dàn）将人脸信息作为一般个（gè）人信息对待的普通规制路径显（xiǎn）然（rán）是没有认识到人脸信（xìn）息及人脸识别技术（shù）的特（tè）殊（shū）性，将个人置（zhì）于极大的风险（xiǎn）之中。而（ér）对人脸信息作出比对（duì）一般个人（rén）信息更为严（yán）格的特别保护和特别规制（zhì），更有利于保护（hù）个（gè）人的人脸信息，更值得我国（guó）借（jiè）鉴。

  但是，各国的政治、社会（huì）和技术背景存在各自（zì）的（de）特殊性，这就决定了国外对于人脸识别技术的相（xiàng）关制度未必适合于我（wǒ）国，我国（guó）在引进相关（guān）制（zhì）度时需要审慎甄别。

  完善我国人脸识别法律规制（zhì）的建（jiàn）议

  我国（guó）2020年5月（yuè）颁布的民法典（diǎn）第（dì）1034条第1款（kuǎn）规定，“自然人的个人（rén）信息受法律保护”，并（bìng）在该条第2款个人信（xìn）息的定义中（zhōng），明确将生物识（shí）别信息列（liè）举为个人信（xìn）息（xī），但（dàn）也未对个人生物（wù）识别信息（xī）作特别（bié）保（bǎo）护。个（gè）人信息保护法（草案）第27条（tiáo）规定：“在公共场所（suǒ）安装图像采集、个人（rén）身份识别设（shè）备，应当为维护公共安全所必（bì）需（xū），遵守国（guó）家（jiā）有（yǒu）关规定（dìng），并设（shè）置（zhì）显著的提示标识。所（suǒ）收集的（de）个人图像、个人身份（fèn）特征信（xìn）息只能用于维（wéi）护公（gōng）共（gòng）安全的目的，不（bú）得公开或（huò）者向他人提（tí）供；取得个人单独（dú）同意或者法律、行政法规（guī）另有规定（dìng）的除外（wài）。”这里“图像采集”包括人脸（liǎn）识别。个人信息（xī）保护法（fǎ）（草案）第（dì）29条将个人生物信（xìn）息作（zuò）为敏感个人信息加（jiā）以保护，并规定了（le）“充分必要”原则。但总体（tǐ）而言，个人信息保护法（草案）对人脸（liǎn）识别技术的规制（zhì）仍较为简（jiǎn）略。

  我国目前对包括人脸信息在（zài）内（nèi）的生物（wù）识别信息的特别保护呈现出软法先（xiān）行的特（tè）点。2020年2月，全国金融标（biāo）准化技术委员会审（shěn）查通过的《个（gè）人金融（róng）信息（xī）保（bǎo）护技术规范》（JR/T 0171-2020）（以（yǐ）下（xià）简称（chēng）《规范》）将（jiāng）生物识别信息列为敏感性最高（gāo）的C3类信息，并要求金融机构不应委托或（huò）授权无金融业相关资（zī）质（zhì）的机构收集C3类（lèi）信（xìn）息，金（jīn）融机（jī）构及其受（shòu）托（tuō）人（rén）收集、通过公共网络传输、存储C3类信息（xī）时，应使用加（jiā）密措（cuò）施。2020年3月新修（xiū）订的我国国家标准GB/T 35273-2020《信（xìn）息安全技（jì）术个人信息安（ān）全规范》明确规定个（gè）人生物识别信息属（shǔ）于个人（rén）敏感（gǎn）信息，并对个人敏感信息（xī）进行了特（tè）殊保护（hù）。2020年11月27日，工信部组织（zhī）发布了电信终端（duān）产业协（xié）会团体标准（zhǔn）《APP收集使用个人信息最（zuì）小必（bì）要评估规范 人脸信息》，规定（dìng）了移动（dòng）应用软件对人脸信息的收集、使用（yòng）、存储（chǔ）、销毁等活动中的（de）最小必要规范和评（píng）估方法，并（bìng）通过个人信息（xī）处理活动中的典型（xíng）应用场景来说明如何落实最小必要（yào）原则（zé）。

  数据治理的普遍性、技术性、复杂性、应时（shí）性等特点决定了数据治理具有一定（dìng）的（de）软法空（kōng）间，但软法欠（qiàn）缺强制力的特点（diǎn）决定（dìng）了对包括人脸信息在内的个人生（shēng）物（wù）识别信息的特（tè）别（bié）保护离不开硬法（fǎ）的托底。因此，有必要从硬法（fǎ）的角度系统思（sī）考对包括人脸（liǎn）信息（xī）在内（nèi）的个人生物识（shí）别信息的特别法律保护、对（duì）人脸识别的（de）特（tè）别（bié）法律规制问题。

  1、建立健（jiàn）全一体适用的（de）安全与责任底线

  法律规制人脸识别技术的目的（de），不是一味地叫停该项技术的使用，而（ér）是要在确保安全的前提下，倡（chàng）导一种负责任的使用。为此，笔者建议建立如下公私部门一体适（shì）用的安全与责任底线。如果（guǒ）不（bú）符合这些安全与底线原则，则为违法收集个人（rén）信息。

  其一，无（wú）论谁使用人（rén）脸识别技（jì）术，人脸识别系统要经第三（sān）方独立机构（gòu）定期检测，以检测其准（zhǔn）确性（xìng）与非歧视性。必要时，人脸识别系统及其定期检测结果应向监管（guǎn）部门备案。

  其二，无论谁通过公共网络收集、传输、存（cún）储人脸信息，都应（yīng）使用加密措施，并对（duì）收（shōu）集到（dào）的人脸信息进行分片段单独存储，并（bìng）不得公开披露人脸信息。

  其三，无（wú）论谁使用人脸（liǎn）识（shí）别技术，都应（yīng）该（gāi）建立可追踪的技术体系。谁在（zài）何时何地查（chá）询、使用、修改、下载了人脸信（xìn）息，事后都可查（chá）证，以（yǐ）便发生（shēng）侵权时，人脸识别技（jì）术使用主体对侵权人（rén）进行查证和追责。

  其四（sì），法律应（yīng）该规（guī）定，无论是（shì）谁使用人脸（liǎn）识（shí）别技术，如果其收集的信息被证明出（chū）现（xiàn）被盗窃、泄露（lù）、非法使用、非法出售、非法提供等（děng）情形，从而给信息主体（tǐ）造成损（sǔn）失的（de），收集者对（duì）受害人受到的（de）实（shí）际损失承担连（lián）带赔（péi）偿责任；如果受害人（rén）的（de）实际损失难（nán）以证明，则应对每个受害人至少赔（péi）偿（cháng）一定数（shù）额（é）（如2000元人（rén）民币）的法（fǎ）定定额赔偿金。受（shòu）害人受（shòu）到的实际损失小于（yú）该法定定额（é）赔（péi）偿金（jīn）的，受（shòu）害人可直接主张法定定额（é）赔偿金。

  其五（wǔ），无（wú）论是谁使（shǐ）用人（rén）脸识别技（jì）术，人们均有权拒绝“刷脸（liǎn）”。如果是在无竞（jìng）争性的服务（wù）领域（如民航、铁（tiě）路、学校、社区等（děng））使用人脸识别（bié）技术，当人们拒绝“刷脸”时，应（yīng）提供其他（tā）替代性（xìng）的验（yàn）证机制，而（ér）不（bú）能不“刷（shuā）脸”就（jiù）不能使用（yòng）或进入（rù）。毕（bì）竟，每个人（rén）的风险偏好是不尽（jìn）相同的，法律规（guī）则的设置应容忍和尊重那些低风险偏好的人，尤其是在当（dāng）前不能做到（dào）人脸识（shí）别（bié）系统百分（fèn）之百安全的（de）情况下。

  2、区分公私（sī）部（bù）门配置不同的规制重心

  对政府部门使（shǐ）用（yòng）人脸识别技术应以事前（qián）事（shì）中规制为主，对非（fēi）政府部门使用人（rén）脸识别技术（shù）应以（yǐ）事中事后规（guī）制为（wéi）主。

  政（zhèng）府（fǔ）部门执行公务过程中构成侵权，因有国家（jiā）赔偿法（fǎ）的限额赔偿而使当事人难以获得充分赔偿，且（qiě）一（yī）旦政府（fǔ）部（bù）门（mén）涉（shè）嫌侵权对政（zhèng）府（fǔ）部门（mén）的声誉将造成重大不良影（yǐng）响，因此，应着重从（cóng）事前进行风险（xiǎn）防范，即对政府（fǔ）部门安装、使用（yòng）人脸识别技术应坚持有权机构（gòu）批准同意原则，未经（jīng）有权机构批准同意，政府任何部门不得安装、使用人脸识别（bié）技术（shù）。有（yǒu）权机（jī）构在批（pī）准时，应考虑到安（ān）装、使用人脸（liǎn）识（shí）别（bié）技术的必要性、正（zhèng）当性，且（qiě）应通过一定的法律正（zhèng）当（dāng）程序，遵循公（gōng）开、透明、民（mín）主参与等原则予（yǔ）以批准。

  如（rú）果对商业部门安（ān）装、使用（yòng）人脸识（shí）别技术坚持事前（qián）批准的（de）话，因（yīn）政府部门（mén）在技术上往往落后（hòu）于商业部（bù）门，这可能（néng）发展不出来一种有效的审批，更为（wéi）重要的（de）是，还可能遏制（zhì）商业创新和技术（shù）创新。但（dàn）是，如果商业部门的（de）人脸识别（bié）给（gěi）消费者造（zào）成（chéng）损害的话，受害人可以通过事（shì）后的民事诉讼（sòng）来（lái）进（jìn）行追责（zé），执法部（bù）门也可以（yǐ）通（tōng）过事中或（huò）事后的执法进行监管和追责。当然，这需要我（wǒ）们健全法（fǎ）律框架，使执法部（bù）门有法可依，使受害人可以依法维权。

  至于我国是否需（xū）要全面（miàn）禁止政府（fǔ）部门（mén）安装、使（shǐ）用人（rén）脸识别系统，这属于政治过程（chéng）决定的结（jié）果（guǒ）。我国（guó）公安机关（guān）布控的（de）天眼系统，通过安装在城市公共场合的摄像头对人脸进行实时、精准（zhǔn）且快速的（de）甄别（bié），让犯罪分子无处可（kě）逃。但通过人脸（liǎn）识别技术所进行的（de）监控对（duì）个（gè）人（rén）自由的威胁（xié）也（yě）越来越引起（qǐ）人们的重视。人们（men）对（duì）全面监控（kòng）感到压迫和焦（jiāo）虑。即使不全面叫停政府部（bù）门（mén）安（ān）装、使（shǐ）用人脸（liǎn）识别技术，也应该对其进行（háng）严（yán）格的法律规制，防（fáng）范安全风险，防止被滥用。

  3、对人脸信（xìn）息的（de）采集施加比对一般个人信息的采集更强的规制力度

  人脸（liǎn）信息不同于一般个人信息，甚至人脸信息作为生物信息也与（yǔ）其他生（shēng）物信（xìn）息（xī）（如（rú）指纹）也（yě）有较大区别。因此，人脸信息的采集应坚（jiān）持特别规（guī）制即（jí）差异化（huà）规制，即应坚持（chí）更强的知情同（tóng）意原则。

  采（cǎi）集一般个人信息，除（chú）了法定例外情形，一般都需要征得数据主体（tǐ）的知情同（tóng）意。但（dàn）人脸信息具有特殊性，除了法定（dìng）例外情形，其所适用的知情同意（yì）原则，应比一般的个人信息所适用的知情（qíng）同意原则更严格，即（jí）应坚持（chí）书面（written）知情（qíng）同意原则。此外，法律应（yīng）规（guī）定采（cǎi）集人脸信息之前，采（cǎi）集者（zhě）应告知（zhī）被采集（jí）者其采集的（de）信息具体类（lèi）型、目的、保（bǎo）存时间、被采（cǎi）集者的风险与权利，告知（zhī）的（de）方式（shì）必须是书面的。