人脸识别技术应用的现行规制综述及立法趋势分析

王 鸿

(1.清华大学 智能法治研究院，北京 100084；2.蒙特利尔大学 法学院，加拿大 蒙特利尔 H3T 1J4)

AI技术作为计算机科学的一个分支，是当今世界前沿且极具热点的学科，其包括人脸识别技术、自动驾驶技术和智能机器人等。这些科学技术的应用正在迅速改变着世界，但是其带来的法律风险和道德风险也在逐步显现，不断威胁着人们的个人权益。在AI技术中，人脸识别技术与人们生活联系最为紧密。人脸识别是一项基于人类面部特征的生物识别技术(1)Perrot Raoul，“L’identification faciale du vivant ”，Cahiers Lyonnais d’Anthropo Biométrique，No.1，2012，pp.7-8.。其范围涵盖一系列的技术，包括通过摄影设备采集涵盖人脸画面的图像或视频，自动检测和追踪画面里的人脸，并最终识别已检测到的人脸。该技术也被称为人像识别技术或者面部识别技术(2)Elias Wright，“The future of facial recognition is not fully known：Developing privacy and security regulatory mechanisms for facial recognition in the retail sector”，Fordham Intellectual Property，Media and Entertainment Law Journal，No.29，2019，pp.1-30.。

围绕着人脸识别技术的应用带来的侵权问题，人们对AI技术应用的看法逐步更趋于理性，立法机构也在探索如何规制诸如人脸识别技术之类的AI技术，以使其在服务人民生活的同时，将风险降到最低。

以中国为例，2021年7月28日最高人民法院发布《最高人民法院关于审理使用人脸识别技术处理个人信息相关民事案件适用法律若干问题的规定》，该规定对各级人民法院的案件审理做出明确指导，具有重要意义。2021年8月20日通过的《个人信息保护法》第62条第2项，明确要求国家网信部门统筹协调其他部门，针对人脸识别的应用制定专门的个人信息保护标准和规则，该规定显示出中国权威机构对人脸识别技术的应用持审慎态度。人脸识别技术作为人工智能技术的重要组成部分，已经渗透到人们日常生活的方方面面(3)Andrejevic，Mark & Neil Selwyn，“Facial recognition technology in schools：critical questions and concerns”，Learning，Media and Technology，No.45，2020，pp.115-116.，包括身份识别、手机解锁、人流量统计等(4)Zuo，Kevin J，Tomas J Saun & Christopher R Forrest，“Facial recognition technology：A primer for plastic surgeons”，Plastic Reconstruction Surgery，No.143，2019，pp.1298-1299.。然而，人脸识别技术的法律规制却滞后于其本身技术发展：一方面，人脸信息因其独特的敏感性和复杂性而不同于一般个人信息，比如，人的面部信息不是静态的，而是会随着情绪和年龄等其他因素而变化。另一方面，人脸识别技术作为一项新兴技术，虽被广泛运用，但目前尚无法完全了解和掌握其带来的风险，由人脸识别技术不当应用而引起的社会问题，已在世界各地层出不穷，有待于进一步研究。

一、人脸识别技术的含义与特征

在对人脸识别技术立法时，应当将人脸的特征和人脸识别技术的特征同时考虑在内。人脸的特征以及人脸识别技术的特征是两个不同的概念，前者决定了后者的发展和应用(5)Zhen Chenggang & Su Yingmei，“Research about human face recognition technology” (Paper delivered at the International Conference on Test and Measurement，Hong Kong，China，06 December 2009) [Unpublished].。

人脸有以下几方面的特征：第一，独特性(6)“Commissariat à la protection de la vie privée du Canada”，http：//www.priv.gc.ca/fr/mesures-et-decisions-prises-par-le-commissariat/recherche/consulter-les-travaux-de-recherche-sur-la-protection-de-la-vie-privee/2013/fr_201303/.。每个人的人脸图像都是独特的，世界上不存在两副完全相同的面孔，即便是双胞胎也可以被人脸识别技术所区分。第二，不可更改性。人脸识别技术用于身份认证时，与传统输入密码的方式相比，面部特征在总体上保持一致性，不发生更改。第三，变化性。人脸作为密码是很难被改变的，但是面部特征会随着时间、光线、医美等因素而改变，可能导致识别困难或者发生识别错误。第四，易采集性。摄影设备搜集人脸图像可全自动完成，无须人工手动操作或被搜集人的配合。第五，不可匿名性。很多个人信息可以匿名存在，比如身高、体重和年龄。这些信息在进行匿名化处理后，不再被认为属于个人信息范畴。但是，由于人脸信息的特殊性，人脸信息无法进行匿名化处理，无法匿名存在，从而人脸信息一旦被公开，将会给个人带来难以挽回的后果(7)Paul Ohm，“Sensitive information”，California Law Review，No.88，2015，pp.1125-1184.。

人脸识别技术的主要应用场景是身份认证(8)“Les Notes scientifiques de l’Office-La reconnaissance faciale”，http：//www2.assemblee-nationale.fr/15/les-delegations-comite-et-office-parlementaire/office-parlementaire-d-evaluation-des-choix-scientifiques-et-technologiques/secretariat/notes-scientifiques-de-l-office/la-reconnaissance-faciale-n-14-juillet-2019.，通过迅速检测图像或视频里的人脸，与数据库已存储的图像进行分析比对，从而高效率地验证个人身份。人脸识别技术被认为是该应用场景的最佳解决方案(9)Sarah Chun，“Facial recognition technology：A call for the creation of a framework combining government regulation and a commitment to corporate responsibility”，North Carolina Journal of Law & Technology，No.21，2020，pp.99-105.，并在英国、中国、阿联酋等国家和地区已经逐渐普及使用(10)Arnaud Koenig-Soutière，“ Big Brother aux portes du Canada? ”，Journal de Québec，2020.。从应用目的的角度，可以进一步将其分为两个层次：第一个是政府机构基于公共安全目的的应用；第二个是非政府组织基于商业目的和非商业目的的应用(11)Zhang Xiaozheng & Gao Yongsheng，“Face recognition across pose：A review”，Pattern Recognition，No.42，2009，pp.2876-2881.。

二、人脸识别技术应用的监管是世界性的问题

人脸识别技术在世界范围内广泛应用，导致其带来的问题在世界各地层出不穷。2018年，英国的爱德·布里奇斯(Ed Bridges)向当地法院提起诉讼，诉称在他参加和平游行时被南威尔士警方使用人脸识别技术获取了其人脸信息(12)R (Bridges) v Chief Constable of the South Wales Police，[2019] EWHC 2341.。他声称，他的面部照片是警方在未经他同意的情况下获取的，侵犯了其隐私权，违反了《欧洲人权公约》《2018年数据保护法》《平等法》等法案。此案是英国乃至世界上第一个有关人脸识别技术应用的案件。2019年9月，加的夫最高法院判决：南威尔士警方使用人脸识别技术确实存在侵犯原告隐私权的可能性，但囿于现行法律，南威尔士警方使用人脸识别技术的手段并非违法。

2019年8月，瑞典数据保护局对瑞典北部的谢莱夫特奥市政府处以20万瑞典克朗(约14.8万元人民币)的行政罚款，原因是当地一所高中使用了人脸识别技术记录学生考勤，并未在合理时间内将在学校内应用人脸识别技术的情况告知学生、家长以及瑞典数据保护局，违反了《数据通用保护条例》(GDPR)。

2019年，美国的旧金山、萨默维尔和奥克兰三个城市率先全面禁止政府机构使用人脸识别技术(13)Administrative Code-Acquisition of Surveillance Technology，§ 19 (2019).Ordinance：Banning the Usage of Facial Technology Surveillance in Somerville (2019).Oakland Municipal Code，No.86，pp.12-20.。在商业应用层面，科技巨头微软率先删除了其于2016年发布的全球最大的面部识别数据库MS Celeb，该数据库未经授权访问并使用私人信息的行为侵犯了消费者的隐私权(14)Sarah Chun，“Facial recognition technology：A call for the creation of a framework combining government regulation and a commitment to corporate responsibility”，North Carolina Journal of Law & Technology，No.21，2020，pp.99-105.。随后，社交软件公司脸书(Facebook，后改名为Meta)共计支付6.5亿美元(约42亿元人民币)，以和解伊利诺伊州脸书用户提起的集体诉讼。该案的集体原告诉称，脸书在其“标签建议”(Tag Suggestions)服务中通过使用人脸识别技术，未经用户允许，获取了他们的人脸信息(15)Patel v Facebook，Inc.，932 F (3d) 1264，1277 (9th Cir 2019).，违反了《生物信息隐私法》(16)Biometric Information Privacy Act，740 ILCS 14/1 (2010).。该法律规定，当个人面部信息在未经其书面同意的情况下被采集和存储，个人有权就该侵犯隐私权的行为提起诉讼并主张损害赔偿。

2019年10月，中国杭州野生动物世界有限公司改用人脸识别的入园方式，遭到会员郭兵的拒绝，并起诉杭州野生动物世界有限公司，诉称其无权收集会员面部信息(17)(2019)浙0111民初6971号民事判决书。。本案成为中国人脸识别第一案。当地法院一审判决被告违约，赔偿原告违约损失和交通费共计1 038元，并责令被告删除原告照片等相关个人信息，驳回了原告提出的其他诉讼请求。

2021年2月，加拿大隐私保护办公室委员表示，科技公司Clearview AI在未经大众同意的情况下，从互联网上截取数十亿人的面部图像，此举明显侵犯了加拿大人的隐私权(18)“Communiqué：Les pratiques illégales de Clearview AI représentent une surveillance de masse des Canadiens”，Commissariat à la protection de la vie privée du Canada，http：//www.priv.gc.ca/fr/nouvelles-du-commissariat/nouvelles-et-annonces/2021/nr-c_210203/.。

在世界各地，由人脸识别技术不当使用而引起的社会问题日益增加，当前应从法律监管角度解决这些问题，从而进一步为人脸识别技术未来的发展和应用提供参考。目前，中国是世界上人脸识别技术使用最广泛的国家，北美(美国和加拿大)是人脸识别技术发展最快的地区。本文从比较法角度分析研究这些国家在人脸识别技术应用上的现行规制路径和立法趋势，探索人脸识别技术应用的规制体系，使人脸识别技术的负面影响在降至最低的同时，最大限度地发挥其社会和经济价值。

三、中国、美国、加拿大对人脸识别技术的现行规制和立法趋势

(一)美国：区分规制政府机构与商业领域的应用

在美国，联邦层面尚未对人脸识别技术的应用进行统一规制，无法在全国范围内对个人生物特征信息的收集和使用进行统一监管。然而，在州层面，许多州都有保护个人生物特征信息的立法，例如伊利诺伊州的《生物识别信息隐私法案》(19)Biometric Information Privacy Act，740 ILCS 14/1，2010.。总体上看，州层面的法案要求企业在使用人脸识别技术之前，均需履行告知义务，得到被收集主体的同意，并禁止企业向第三方出售该数据。同时，法案对人脸信息数据的存储时间也有明确限制，州政府有权对使用和储存进行监管。旧金山、萨默维尔、马萨诸塞州和奥克兰相继发布了政府机构使用人脸识别技术的禁令。可以看出，美国地方政府对人脸识别技术的应用持审慎态度。

2020年2月，美国国会参议员提出了《人脸识别道德使用法案》(草案)(20)US，Ethical Use of Facial Recognition Act，Hearing Before the Committee on Homeland Security and Governmental Affairs，116th Cong，2020.，要求政府机构在发布有关人脸识别技术使用准则和限制原则之前，暂时禁止使用人脸识别技术，因为人脸识别技术的使用存在侵犯隐私权的可能性，并侵犯公民宪法第一修正案的自由权利(21)Mary Madden et al，“Privacy，poverty，and big data：A matrix of vulnerabilities for poor Americans”，Washington University Law Review，No.95，2017，pp.53.。

根据现阶段州层面已通过的法案和联邦层面提出的立法议案分析，限制人脸识别技术的使用将成为美国的立法趋势。具体而言，一方面，基于防止公权力滥用的考量，美国将继续限制政府机构使用人脸识别技术。另一方面，基于促进经济发展的考量，美国并未完全禁止人脸识别技术在商业领域的应用。如果美国采取一刀切的做法，势必将会对经济发展和科技创新造成难以估量的负面影响。笔者认为，法律与科技的关系应该是有序引导而非绝对限制，在最大限度保护公民权利的同时，引导科技应用的方向和维度，使其更好地服务于社会，从而反向驱动技术的革新(22)Michèle Guilbot，“Droit et innovations dans l’automobile et la mobilité”，Transports Environnement Circulation，2014，pp.14.。因此，笔者认为，长期来看，美国将有条件地批准人脸识别技术在商业领域的应用。

(二)中国：软法先行，硬法托底

我国法律规定，在出入境管理和刑事侦查等基于公共安全目的的场合，政府机构包括公安部门在内，有权强制收集肖像、指纹等生物信息。比如《居民身份证法》第3条规定，居民身份证的登记信息包括本人相片和指纹信息(23)参见《中华人民共和国居民身份证法》，2003年6月28日第十届全国人民代表大会常务委员会第三次会议通过，2004年1月1日实施。。在这些场合之外，人脸识别技术使用的法律规制正在日渐完善。2020年2月13日，中国人民银行正式发布《个人金融信息保护技术规范》(JR/T 0171—2020)，首次对个人生物信息分类分级、收集和保护做出规定。2020年3月，全国信息安全标准化委员会发布了《信息安全技术 个人信息安全规范》(GB/T 35273—2020)，从技术角度对个人生物信息进行规制。2021年4月23日，全国信息安全标准化技术委员会发布《信息安全技术 人脸识别数据安全要求》国家标准征求意见稿，对《个人信息保护法》草案中人脸识别技术使用相关的规定进一步细化。2021年8月20日，第十三届全国人民代表大会常务委员会第三十次会议通过了《个人信息保护法》，自此形成了以《网络安全法》《数据安全法》《个人信息保护法》三法为核心的网络法律体系，为数字时代的网络安全、数据安全、个人信息权益保护提供了基础制度保障。2021年7月，最高人民法院发布了关于审理使用人脸识别技术处理个人信息相关民事案件的司法解释。

从中国现行的法律法规来看，立法趋势主要表现在以下两个方面。一方面，以规范性指南为出发点，监管人脸识别技术，相关部门先在多个行业领域发布关于人脸识别技术应用的指南，以具体规范此类技术在不同行业中的应用。立法机构根据相关指南的执行情况以及社会状况再进行立法，从而全面规范人脸识别技术的使用，构建平衡且全方位的治理体系。另一方面，针对人脸识别技术的立法将倾向于限制商业用途而不是政府用途，因为这项技术将可能长期应用于政府机构，以维护公共安全。

(三)加拿大：对政府机构与非政府机构分别监管

在加拿大，人脸识别技术最初的目的是维护公共安全和保障执法(24)“Automated facial recognition in the public and private sectors”，https：//www.priv.gc.ca/en/opc-actions-and-decisions/research/explore-privacy-research/2013/fr_201303/.，因此该技术最开始是被政府机构所使用。加拿大和美国就边境使用人脸识别技术进行过洽谈(25)“When Border Security Crosses a Line | The Walrus”，https：//thewalrus.ca/when-border-security-crosses-a-line/.，提出在边境安装人脸识别扫描仪，对出入境人员进行面部扫描，分析比对两国数据库中的人脸图像，以在边境发现罪犯或可疑人员。目前，加拿大政府和特定非政府机构(如金融行业)的人脸识别技术应用适用《隐私法》(26)Privacy Act，RSC 1985，c P-21.，而该技术在商业领域的应用则适用《个人信息保护和电子文件法》(27)Personal Information Protection and Electronic Documents Act，SC 2000，c 5.。根据《隐私法》的规定，为某一特定目的收集的个人信息只能由联邦政府机构及特定非政府机构用于该目的或与该目的一致的使用范围(28)Personal Information Protection and Electronic Documents Act，SC 2000，c 5.。除某些特定情况外，上述机构对所收集信息基于其他目的的使用都必须经过数据主体的同意，以保障数据主体知情知悉的权利(29)Personal Information Protection and Electronic Documents Act，SC 2000，c 5.。但是，在实际操作中，人脸图像在收集或在匹配多个数据库的信息时，很可能会超出所述目的。例如，加拿大移民局所收集的用于移民目的的人脸识别信息，很有可能被公共部门以维护国家安全为目的进行使用，而该等使用是否违法，则有待商榷和进一步论证。

非政府机构使用人脸识别技术适用《个人信息保护和电子文件法》，根据相关规定，从事商业活动的组织必须确保数据主体了解其个人信息的用途和使用方式，这种情况下的知情同意才算真实有效(30)“Principes relatifs à l’équité dans le traitement de l’information de la LPRPDE”，Commissariat à la protection de la vie privée du Canada， http：//www.priv.gc.ca/fr/sujets-lies-a-la-protection-de-la-vie-privee/lois-sur-la-protection-des-renseignements-personnels-au-canada/la-loi-sur-la-protection-des-renseignements-personnels-et-les-documents-electroniques-lprpde/p_principle/.。然而，由于技术的迅速发展和被收集信息二次使用范围的持续扩大，各个机构面临难以让数据主体充分了解其信息将在何种场景以及如何被使用的困境。《个人信息保护和电子文件法》还要求安全保护措施需要与相关信息的敏感程度进行匹配，更敏感的信息应该受到更高级别的保护(31)“Principes relatifs à l’équité dans le traitement de l’information de la LPRPDE”，Commissariat à la protection de la vie privée du Canada， http：//www.priv.gc.ca/fr/sujets-lies-a-la-protection-de-la-vie-privee/lois-sur-la-protection-des-renseignements-personnels-au-canada/la-loi-sur-la-protection-des-renseignements-personnels-et-les-documents-electroniques-lprpde/p_principle/.。

与美国一样，加拿大将政府和非政府机构使用人脸识别技术进行区分规定。加拿大对于人脸识别技术的立法趋势将在很大程度上参照美国，即对政府机构和非政府机构分别进行监管。除特定情况外，加拿大很可能完全禁止政府机构在公共场所使用人脸识别技术。虽然加拿大目前没有关于人脸识别技术应用的具体规定，但其国内已经有了限制人脸识别技术应用的呼声(32)“Des groupes demandent l’interdiction de la reconnaissance faciale au Canada”，Le Soleil-Québec， http：//www.lesoleil.com/actualite/des-groupes-demandent-linterdiction-de-la-reconnaissance-faciale-au-canada-019e2a9bc17f59208c18a9a06e32699d.。

四、结 语

美国越来越多的州和城市将立法禁止政府机构使用人脸识别技术。然而，对于非政府机构，立法趋势将侧重于通过设定人脸识别技术的许可条件来指导其应用。与美国相比，中国采取了松紧适度的探索式立法。具体而言，中国遵循了软法先行之原则。软法规制了包括面部信息在内的生物特征信息的特殊保护。软法是硬法的相对概念，是指无国家强制力保障实施的法律法规(33)Andrew Guzman & Timothy L Meyer，“International soft law”，Journal of Legal Analysis，No.2，2010，pp.171.。软法是相对灵活的。在制定相应的硬法之前，软法先行，可以及时做出调整，以适应社会变化(34)Jaye Ellis，“Shades of grey：Soft law and the validity of public international law”，Law Journal of International Law，No.25，2012，pp.313.。因此，在新兴领域，通过在不同行业发布指南和规定的意见草案，先行实施后，再根据实行的具体情况，制定相关法规，可能会成为人脸识别技术的立法趋势。与美国和中国相比，目前加拿大没有针对人脸识别技术应用的法律法规抑或行业规则，由于地缘政治等多重因素，其立法趋势将更趋近于美国的立法模式。

目前，中国、美国、加拿大在监管人脸识别技术使用方面呈现出不同的立法现状和立法趋势。无论各国在制定相关法律法规时采取何种态度和方式，笔者认为，在最大限度保护个人权利的基础上，立法的目的应当还包括促进科学的发展和技术的创新，使人脸识别技术更好地服务社会，改善民生，造福于民。