人脸识别信息的利用及其限度

华南理工大学 刘阳玲

一、问题的提出

计算机技术的迅猛发展，使人脸识别技术在社会生活中得到了广泛应用。一方面，人脸识别技术简化了社会生活方式，便捷社会交往，如购物时的刷脸支付、上班时刷脸签到和社区的人脸门禁，甚至是医院“人脸识别+身份绑定”系统认定挂号人的身份。人脸生物信息的使用，加快了现代的生活节奏。另一方面，刷脸技术的应用还有着潜在的风险。首先，人脸识别技术的能力参差不齐，例如丰巢快递柜试点的刷脸取件用照片也可以识别；其次，是生物识别信息泄露问题。

如何找到信息利用和信息保护之间的平衡，是学术界学者一直想要回答的问题。支持信息利用一方在强调“技术优先”的同时，支持信息保护的一方则强调人身权益的保障，比如民法典已经明确隐私权为一项独立的人格权。事实上，信息利用和保护是相伴相随的，要想找到二者的平衡点，就要在实践案例中寻找，国内“人脸识别第一案”（以下简称“郭X案”）是一个较好的切入点。

就“郭X案”而言，表面上原被告在讨论经营者处理消费者个人信息，实际上他们是在争论技术效益和隐私保护的平衡问题。野生动物世界认为其收集的个人基本信息是为了企业的日常运转，其思考问题是基于经济法益的角度；而郭X认为动物世界收集的指纹和面部信息都是个人敏感信息，存在侵犯他个人隐私的可能，尤其是动物世界单方升级人脸识别系统加大了他对隐私信息泄露的担忧，这是基于隐私权利的视角。处理该案的关键就是找到平衡经济法益和隐私权利的方式。经济法益和隐私权利之间选择和平衡需要结合具体的场景，具体的情境又与信息价值的利用和隐私权利侵害程度相关联，因此，我们需要先研究人脸识别信息的利用价值问题。

二、兼具个人价值和公共价值的人脸信息

人脸信息是特殊的生物识别信息，它既具有独特的个人价值，也具备公共价值。

之所以说人脸信息有独特的个人价值，是因为它具有专属性、身份表征性、不可更改性、方便性及易采集性等特点，也是基于线性判别分析、非线性向量机分类或神经网络分析等方法进行机器识别后传入数据库的信息。但是，人脸信息的方便性和易采集性，又显现出较为弱隐私的一面，无论是公民主动在一些社交平台公开自己的自拍照还是曾经风靡的“AI换脸”，都证明他人可以通过多种途径获得面部信息。

人脸信息的公共性问题，值得深入讨论。人脸信息是特殊的个人信息，而个人信息的公共性至今还有学者争论。大数据时代的到来，人们逐渐发现个人信息数据背后的经济价值，互联网新兴产业都将个人信息数据作为重要的生产资料。所以，企业家们要求放宽法律对个人信息利用的规制。他们认为，因为利用个人信息使社会整体和社会中的每一位成员都获得了收益，所以个人信息具有公共价值。然而，通过商业价值认证事物的公共性在论据上是不充分的，不能只因某一事物可以带来经济利益，就证成它的公共价值。如果要证成公共价值，就要确认信息利用可以直接促进社会公共福祉的价值。此外，还应将个人信息商用的风险控制在一定范围内，如果无法控制个人信息利用的伴生风险，法律就无法对信息主体的控制权作出限制。以上述标准判断人脸信息可以得出，人脸信息是具有公共价值的。人脸信息的公共性在行政和商业领域都得到了体现：一方面，人脸信息的利用便捷了公共服务，例如火车站利用人脸信息识别乘车人的身份；另一方面，商业机构通过人脸信息技术更好地管理人员，比如企业内部的打卡制度。

因此，人脸信息兼具个人价值和公共价值的属性，意味着人们在基于公共服务和公共便利需要让渡自己的权利时，该权利也应当受到妥善的保护。

三、人脸信息利用中的隐私偏好

任何信息利用主体在利用数据信息时，都会面临信息主体的不同隐私偏好。有学者在分析通讯录数据时，将微信用户的两种隐私偏好分为“内敛型用户”和“外向型用户”。内敛型用户的隐私偏好程度较高，不希望私生活被网络平台打扰；外向型用户则更注重平台扩大社交关系网的技术红利，他们愿意主动分享并让他人转发自己的信息。而人们在面对人脸信息利用时，通常表现出以下的隐私偏好：

首先，当信息主体面对人脸信息的非公共性利用时，呈现出较高的隐私敏感度。该情形多发生在个人和个人之间，信息利用者和信息主体都是个人，也就不存在公共性的利用，实质性的经济受益并不明显。在“刘X龙案”中，原被告双方就因“门外墙安装的360智能门铃”引起了隐私权纠纷，原告认为门铃的录像功能存在监视其私生活的可能，严重打扰私人生活安宁和侵犯个人隐私，诉至法院要求被告拆除。该案的原告显然对私人安装的门铃表现出较高的隐私敏感度。同样的案件也发生在上海的“尤X案”中。个人面对他人安装的具有人脸识别功能的门铃时，总会有私生活被窥探的不安感。其中，信息利用者能通过人脸识别技术监控周围环境，保护自己的人身和财产安全；但被无意收集人脸信息的个人却无法获得实质益处，这也是信息主体在此情形下保持较高的隐私敏感度的原因。

其次，当信息利用者利用人脸信息的公共价值时，信息主体的隐私保护意识似乎并没有这么强烈，对隐私的敏感度也并不是很高。人脸信息的公共性利用一般发生在行政机关和个人、企业和个人之间，行政机关和社会企业在各自领域利用人脸信息的公共性时，信息主体的隐私偏好也会有所差异。首先，我们就公共性利用和非公共性利用下的价值选择进行探讨，无论是“郭X案”中野生动物世界对人脸技术的引入，还是地方社区对面部识别技术的利用，都是对人脸信息的整理和加工，将人脸信息变成他们控制的信息。在此情形下，利用信息的一方和被利用信息的一方都获得了经济收益，即便发生争议，也是受益比例的合理问题，即信息被利用一方所获得的经济受益与隐私暴露的损失能否达到平衡。部分法院在案件审判中会将人脸识别信息作为判案依据，尤其是财产和劳务纠纷，利用人脸信息确认行为人是否是本人。人脸技术的利用极大地提升了办案效率，但利用需要把握限度，同时考虑被利用主体的隐私权利保护问题。当人脸信息的公共价值被利用时，信息主体并非没有意识到隐私暴露的风险，只是默认信息利用带来的生活便利和经济效益。与生物识别信息的非公共性利用相比，信息主体在公共性利用的情形下，似乎更能接受隐私暴露的风险，他们并不是隐私敏感度不高，而是意识到自己潜在地用隐私权利换取了实质性的利益和生活上的便利。毋庸置疑，不是所有人都能接受“用面部隐私换取经济利益和生活便利”的观点，“郭X案”便是如此。

四、人脸信息利用中的限度

（一）信息利用与信息保护

信息利用与信息保护的问题，即经济法益与隐私权利的问题。在原则上，似乎法律的天平会更倾向于保护权利而不是法益。权利乃享受特定利益的法律之力，法益为法律所保护之利益，权利较之于法益受到法律更强和全面的保护。权利总能得到法律的全面关注，法律对权利的保护总是兼具正面的规范和反面的救济。但法益却没受到这种全方位的保护，法律承认法益的正当性和合法性，却并没有对具体的保护措施作出规范，法律对法益的保护力度明显小于对权利的保护，某些权利的确立总是需要经历从法益到权利的过程。

就立法导向和法律原则而言，相比于法益，权利受到了更多照顾和保护。但在现实中，人们对经济利益和隐私权利的选择，可能与原则规定有所出入，有IT界知名人士曾公开表达过“中国人可以更开放，对隐私问题没有那么敏感。如果他们愿意用隐私交换便捷性，很多情况下他们是愿意”的言论，当然也遭到了民众的声讨。或许，在民众心里，的确存在“用隐私换便利”的观念和意识，但每位公民并不是在任何情况下都能够去接受“让渡部分隐私权利去获得经济利益”这一观点的。但是，总体而言，在互联网信息技术高速发展的时代，信息爆发的洪流是不可逆转的，个人信息也是能够且必须被利用的，只是人们对个人信息的利用和开发应当遵循合理合法的守则，且这种利用必须有必要的限度。个人信息被信息处理主体利用的限度与信息利用的判断标准相关联。

（二）敏感度和容忍度

隐私保护的场景理论认为，“场景正义”意味着，信息保护与信息流动在特定的情景中应符合各方的预期。对于不同主体利用人脸识别技术，比如个人在门前装有监控功能的门铃，国家在公共场所布控的监控设施，企业在出入口安装的面部识别装置，人们也会表现出不同的敏感度和容忍度。事实上，这种敏感度和容忍度不仅与文化差异有关，更与经济利益与隐私权利相关。

当面对个人信息的非公共性利用时，比如邻里监控门铃的安装，人们显然会对隐私权利更为敏感，认为自己的私生活暴露在对方的监控之中，且这种隐私权利的让渡似乎并不能得到与对方相对的经济收益，这就使他们的容忍度降低，因此将对方诉至法院。

当面对个人信息的公共性利用时，由于国家机关和社会企业的差异，人们的隐私敏感度和容忍度又有所不同。对于国家在公共场所布控的监控设施，以及国家对人脸识别信息的收集和利用，公民显然表现出较高的容忍度和较低的敏感度。因为国家公共性利用是基于公共管理的正当性基础，且能为公民的生活出行提供较大的便利，为公民带来可视的经济利益，表现出国家和个人的双赢局面。中国早在2015年由公安部等九部委联合发布了《关于加强公共安全视频监控建设联网应用工作的若干意见》，时至今日该项工作快速推进过程中，舆论中鲜有反对的声音。

对于社会企业在出入口安装的面部识别装置和一些工作场所的监控设备，人们表现的隐私容忍度要高于个人信息的非公共性利用，低于国家对信息的公共性利用。一些劳动合同纠纷案例也会将人脸信息作为考勤的证据，说明人们在一定程度上能够接受企业对人脸识别技术的利用。不同的敏感度和容忍度也是与经济利益和隐私权利的对比有关，对企业来说，人脸识别技术能便利企业的管理和提高管理效率，是一种绝对的经济受益；对公民来说，面部识别设备记录的考勤只有在纠纷时才有用，出入口的面部识别虽便利了出行，但也暴露了个人的生物识别信息，是相对的经济利益。因此，企业给予的经济优惠与公民隐私暴露风险之间的比例会影响公民的隐私偏好。

总之，人们在个人信息的公共利用和非公共利用的不同态度，是与经济利益和隐私暴露风险的比例相关联的。

（三）“合法性、正当性、必要性”限度

整理和分析我国的人脸识别纠纷案能够发现，法院在审理相关案件时会引入“合法性、正当性、必要性”的标准。如果对“合法性、正当性、必要性”进行毫无差别地适用，将会使很多民众对信息的利用产生负面情绪。因为个人信息利用存在公共性利用和非公共性利用的区别，民众在面对不同的信息利用场景时，也表现出隐私偏好的差异。“合法性、正当性、必要性”在面对不同主体的不同信息利用场景时，其判断标准也应作出具体的调整。

国家行政机关对人脸信息的应用多处于公共安全维护或行政管理的需要。合法性判断应基于宪法和法律，从内容和程序两方面观察：内容合法要考量不同级别性质的行政机关的法定职责，比如应用的范围和对象是否在管辖范围；程序合法则要求必须按照法律法规和规章制定的程序来确定是否要实施人脸识别行为和利用人脸识别信息。正当性判断是对信息利用目的的考察，国家要求公民让渡个人隐私权利，必须基于正当的目的，即既要看该目的是否违反法律规定，又要保证该目的能使公民受益。最后，必要性判断是指国家对个人信息的利用是出于必要和迫切的，不到这种“必须时刻”，不能滥用公民的人脸信息，其还涉及比例原则的适用。

对社会企业引入人脸识别技术的合法性判断，也必须从程序和内容两方面进行考虑：就内容合法而言，必须考察社会企业对人脸识别的应用是否符合法律的规定，审查企业利用人脸信息是否合规；就程序合法而言，必须考虑相对人的权益，社会企业在利用公众的个人信息时，必须征得他们的同意，并告知他们相应的风险。而必要性判断则应借助比例原则，不仅要将企业的经济利益和公民的隐私权益进行比较，还要对比公民获得的经济收益和失去的隐私权益。前者是双方的平衡问题，后者是公民的选择和接受程度的问题。

个人对人脸信息非公共利用的合法性判断，需要从程序和内容两方面着手。以具有监控功能的门铃安装为例，合法性就必须要求门铃的安装不能侵害他人的隐私权利，即使这种信息的收集可能是无意的，也要考察是否会干扰到他人私生活的安宁。正当性判断要求个人对人脸信息的收集必须出于正当目的，门铃的安装应是为了保证自己的人身和财产安全，如果基于非正当的目的，还有可能涉嫌犯罪。必要性判断是最重要的标准，个人即使是无意收集他人的人脸信息，也有可能对他人的隐私权利产生侵害，只是这种侵害和个人无意利用他人信息之间的比例能否得到平衡，面对这种问题时，就需要考虑信息利用一方的信息收集是否是不能避免的，以及被收集个人信息一方的隐私敏感度和容忍度。因此，个人收集他人人脸信息时，知情同意原则的适用也是十分重要的。