“刷脸”时代如何“护脸”

◎ 文 《法人》全媒体记者 银昕

今年的央视“3·15”晚会，曝光了科勒卫浴、宝马和MaxMara品牌线下门店在未提前告知消费者的情况下，安装具有人脸识别功能的摄像头，并大量采集消费者人脸信息。随后，科勒公司发布致歉声明，并要求相关门店连夜拆除摄像设备，但宝马、MaxMara品牌未就此发声。

商家采集人脸信息的边界在哪里，相关部门又该如何完善监管职能？

“刷脸”真的安全吗？

要说人脸识别技术是近年来的最热门科技之一，相信没人会反对。这项技术已被应用于日常生活中，在智慧安防领域更是大显身手。随着人脸识别商业化落地加速，云哨智能动态人脸识别系统从人脸布控、身份识别等业务场景出发，以人脸识别技术、行为动作分析技术为核心，通过视频采集和数据分析等技术手段，实现对所管辖区域进行智能视频分析预警和监管。

一位曾参与银行系统与公安部人脸库对接项目的人士告诉《法人》记者，为了确保正确识别，人脸识别机构不会将人脸关键点特征比对后轻易“放行”测试者，而是要求测试者做眨眼、摇头或噘嘴等动作以进一步验证。由于这些动作会产生比人脸关键点信息更复杂的代码，可以避免他人使用照片或视频蒙混过关。虽然每次识别这些动作的指令顺序有所差别，但并不影响数据的最终判断。

尽管识别和鉴别技术如此精准，但还是难以避免出现漏洞。2019年年底，在一家亚洲商店，美国某人工智能公司的Kneron团队使用高质量的3D面具骗过了支付宝和微信支付系统，成功进行购买。近年来，一些根据人脸特征制作的“套头玩偶”或“仿真面具”，也在网络上悄然出现，人脸识别技术迎来各种新挑战。

“仿真面具相较于视频和照片更具有欺骗性，它既可以静态地被检验，也可以做出眨眼、噘嘴或摇头等动作。一旦蒙混过关，以人脸识别解锁的权限会在一瞬间全部被‘撬开’，这非常可怕。”上述人士对记者说。

值得一提的是，目前金融、安防以及考勤门禁是人脸识别应用最广泛的领域，一旦发生误判，系统被攻破，后果往往不堪设想。

商业采集边界在哪里

今年的“3·15晚会”，一共点名了3家人脸识别技术供应商，苏州万店掌网络科技有限公司就是其中之一。据天眼查APP显示，该公司成立于2016年4月，创始人周圣强拥有近20年的图像智能开发及市场应用从业经验。该公司一位薛姓经理称，这套系统能通过人脸识别信息解决精准营销，抓取的人脸数据信息累计上亿。

该公司一位陈姓经理介绍，该公司人脸信息采集系统能轻松掌握消费者的年龄和性别，甚至可以判断消费者被拍照的一瞬间情绪是否稳定、心情如何等。而这些信息应该如何使用、如何有效纳入监管体系，目前尚无相关具体管理规定。

成立于2011年的旷视科技公司，目前是人脸识别领域的翘楚，已于2021年3月12日向上交所提交了IPO招股书。在该公司主营业务中，人脸识别技术被大量使用，但该公司在招股书中却没有一个字提到其使用的人脸是通过何种方式获得。

那么，商业公司是否拥有人脸采集的权利，以及采集的边界在哪里？

在《中华人民共和国个人信息保护法(草案)》和全国信息安全标准化技术委员会于2017年12月29日发布、2018年5月1日实施的《信息安全技术个人信息安全规范》”中，都明确了提前告知并征得信息主体同意的原则。除此之外，《消费者权益保护法》第二十九条规定：经营者收集、使用消费者个人信息，应当遵循合法、正当、必要的原则，明示收集、使用信息的目的、方式和范围，并经消费者同意。

尽管如此，近年来的商业采集人脸信息，似乎并没有被遏制。此前，网络上曝出一些房地产项目售楼处安装摄像头，以人脸识别技术判断到访者属于哪类客户，导致看房者被迫戴头盔前往，此事件曾引发很大争议；被央视“3·15晚会”点名的商家，也没有在摄像头旁给予消费者提示信息；2019年，南都个人信息保护研究中心曾在北京多个商场调查发现，不少商场都装有人脸识别系统，并对顾客进行刷脸，跟踪记录消费轨迹，但没一家商场告知顾客并征得同意。

针对“提前告知并征得消费者同意”的原则，中国铁建某项目售楼处工作人员表示，摄像头摆放在一进门的入口处，等同于提前告知，也相当于获取了看房者的知情同意。“这种说法根本站不住脚，这怎么能称为提前告知？”北京市中闻律师事务所律师赵虎对记者说。

不过，赵虎表示，对于如何执行“提前告知并征得消费者同意”， 既没有统一认识，也没有统一标准，这也是人脸识别技术频频被推上风口浪尖的原因。

建立“比对权”管控机制

人脸识别技术是指利用分析比较的计算机技术识别人脸，属于生物特征识别技术，目前为热门计算机技术研究领域，其中包括人脸追踪侦测、自动调整影像放大、夜间红外侦测、自动调整曝光强度等技术。

较之于其他个人信息，人脸信息更容易被采集。与指纹、证件号码、手机号码和家庭住址不同的是，人脸常年暴露在外，采集人脸不需要当事人主动提供，不需要与当事人的身体进行接触，极易在未告知的情况下被“偷偷”收集。

中国政法大学传播法研究中心副主任朱巍认为，民法典和个人信息保护法草案只对“个人生物识别信息”进行了规定，但没有单独提到人脸的问题，考虑到人脸信息的特殊性，针对人脸识别的特别规定势在必行。

由于人脸具有一定的结构分布特征，即使经历衰老及蜕变，或是扮上妆容，但几乎所有人脸上的64个或128个关键点特征终生不变，人脸识别技术正是将这些关键点特征与“母库”信息进行比对。如果一致，则会判定该人脸对应的就是“母库”中的本人。

那么，既然某些“仿真面具”能够以假乱真，那我们越来越依赖的生物识别工具，其安全性是否不像很多人认为的那么高？

对此，朱巍表示，人脸并不是单独存在的，一张人脸照片用处不大。公安机关应该对人脸“采集权”制定审核制度。同时，公安机关应对拥有人脸信息的“母库”单位建立“比对权”管控机制。

朱巍还建议，为避免人脸识别技术被滥用，公安机关应对人脸信息“采集权”和“比对权”进行限制，并分开管理，即拥有“采集权”的单位不能比对，拥有“比对权”的单位不得采集。让采集单位和比对单位之间自行建立合作关系，而公安机关对拥有这两种不同资质的单位进行严格管理。

“这样一来，对于技术供应商来说，他们只是掌握了几张孤零零的照片，即使有‘人脸’也无法‘识别’。” 朱巍说。

今年两会期间，全国政协委员马进在接受媒体采访时建议，应明确人脸采集使用场景并颁发采集许可证。相关部门应出台人脸采集使用场景的限制性规定，并根据该规定就特定场所人脸采集的必要性、合理性以及场所所属企业的技术能力与管理能力进行评估，对符合条件的企业与场所颁发许可证。取得许可证后，企业方可在规定的场景下进行人脸采集。