原標題：賓館客房、公共浴室等內部不得安裝人臉識別設備，“強制刷臉”受到規(guī)范
　　人臉信息安全保護有了新辦法（深閱讀）
　　本報記者 金 歆

　　小區(qū)門禁必須“刷臉”才能解鎖，移動支付平臺不知何時開通了“掃臉即付”，人臉信息在不法平臺上“0.5元一張”……人臉識別技術便利人們生活的同時，隨之而來的一些現象也引發(fā)了公眾對個人信息安全的擔憂。

　　以個人信息保護法為代表，各部門從立法、執(zhí)法等多方面不斷加強人臉識別技術應用的治理。3月，國家網信辦、公安部聯合公布了《人臉識別技術應用安全管理辦法》（以下簡稱《辦法》），對應用人臉識別技術處理人臉信息的基本要求和處理規(guī)則、人臉識別技術應用安全規(guī)范等作出規(guī)定，將于6月1日起實施。

　　煩 惱

　　濫用人臉識別，信息儲存不當

　　“告知—同意”是個人信息保護法等確立的個人信息保護核心規(guī)則，將信息主體的“同意”視為人臉信息處理行為的必要條件。但常有商家無視“告知—同意”原則，濫用人臉識別。

　　此前，某裝修企業(yè)被曝光在各門店安裝了具備人臉識別功能的攝像頭，顧客一旦進入該企業(yè)門店，人臉信息就會在不知情的情況下被捕捉、記錄，以后顧客再去哪家店、去了幾次、如何談價，該企業(yè)都能知道。

　　清華大學法學院教授程嘯表示：“該企業(yè)的行為，顯然不符合個人信息保護法中的‘告知—同意’原則。”在很多應用場景，人臉識別設備的安裝和使用既不會明確告知用戶，也不會征求用戶的同意，用戶的人臉信息被悄悄地收集和使用，甚至未經授權就挪作他用。

　　“信息處理者與個人之間存在著明顯的信息不對稱，個人往往缺乏足夠的信息和知識來評估信息收集的風險和后果，有些人也隨意就‘同意’了。”華東政法大學教授張勇說。

　　同時，不當使用人臉識別技術導致的敏感個人信息泄露也廣受關注。

　　一些不法分子利用深度偽造技術和泄露的人臉信息，結合AI（人工智能）換臉，實施犯罪行為。去年夏天，浙江某地公安機關發(fā)現，境外某平臺上有團伙在推廣“幫忙獲取他人網絡信息”的業(yè)務。其宣稱，可以利用大模型技術，結合非法獲取的人臉信息制作視頻，突破平臺登錄的人臉識別驗證，從而強制登錄平臺賬號。

　　公安機關調查發(fā)現，該團伙人員利用外國某AI大模型，結合非法獲取的人臉照片，輸出人臉視頻，進而突破認證，登錄賬號，進一步竊取更多個人信息。很快，相關犯罪嫌疑人被公安機關抓獲。

　　此外，人臉識別系統因技術問題產生誤判、部分人臉信息收集者對所收集信息存儲不當、特定領域人臉信息處理規(guī)定過于寬泛等問題，也困擾著廣大群眾。

　　“這些人臉識別亂象，不利于構建安全清朗的網絡生態(tài)、保護個人權益。”廈門大學法學院教授郭春鎮(zhèn)說，要健全人臉識別的法律規(guī)制模式，回應群眾關切。

　　探 索

　　針對亂象，出臺完善相關規(guī)范

　　如何應對刷臉亂象？

　　“在信息處理中，個人面對的是強大的、組織化的信息處理機構；加之信息時代下個人信息處理往往是動態(tài)化、復雜化的，個人難以在參與及做出選擇的過程中保持知情及自治。因此，國家需要以行政執(zhí)法、公益訴訟等積極行動保護個人信息安全。”北京大學法學院教授王錫鋅說。

　　就在3月28日，中央網信辦、工業(yè)和信息化部、公安部、市場監(jiān)管總局聯合發(fā)布公告，將開展2025年個人信息保護系列專項行動，其中就明確將“公共場所違法違規(guī)收集使用人臉識別信息”作為重點問題之一。近年來的“清朗”系列專項行動，也多次涉及人臉識別的相關問題。

　　人臉識別相關的違法侵權行為，往往存在取證難等問題，個人維權有時尤其難。這類行為侵害的一般又是很多人的利益。因此，根據個人信息保護法規(guī)定，檢察機關等可以提起公益訴訟。

　　“高清頭像”“可過臉”……廣東廣州某區(qū)檢察院在辦理一宗侵犯公民個人信息罪案件時，注意到了卷宗里的一些詞。鄭某等4人出售包括人臉在內的公民個人信息2000余條，造成大量公民個人信息被泄露甚至被冒用。

　　很快，鄭某等受到了刑事處罰。但相關公民的人臉等信息權益還沒有得到復原補償，非法售賣人臉信息造成的危害仍繼續(xù)存在。

　　于是，廣東廣州某區(qū)檢察院以鄭某等4人為被告向法院提起民事公益訴訟。最終，法院要求4人配合切斷違法獲取個人信息售賣的網絡，以個人違法所得為標準支付公益損害賠償金，同時以公益宣傳等方式彌補和修復其對社會公共利益造成的損害。

　　打擊行動見成效，而要從根本上、長遠上解決問題，還需相關規(guī)范的跟進完善。

　　進出小區(qū)只能刷臉，合法嗎？2021年7月，最高人民法院發(fā)布關于審理使用人臉識別技術處理個人信息相關民事案件適用法律若干問題的規(guī)定。其中明確，物業(yè)服務企業(yè)或者其他建筑物管理人以人臉識別作為業(yè)主或者物業(yè)使用人出入物業(yè)服務區(qū)域的唯一驗證方式，不同意的業(yè)主或者物業(yè)使用人請求其提供其他合理驗證方式的，人民法院依法予以支持。

　　立法不會缺位。“處理敏感個人信息應當取得個人的單獨同意”，2021年頒布的個人信息保護法對于人臉識別作出了規(guī)定。

　　“此外，網絡安全法、數據安全法、網絡數據安全管理條例等法律、行政法規(guī)都對包括人臉信息在內的個人信息保護作出了規(guī)定。”中國信息通信研究院互聯網法律研究中心主任何波說。

　　跟 進

　　厘清法律邊界，防范技術風險

　　“此前的法律、行政法規(guī)對個人信息保護的規(guī)定較為原則，缺乏針對人臉識別技術應用的專門規(guī)則。”何波表示。

　　民有所呼，法有所應。《辦法》出臺，對人臉識別技術應用的范圍和要求作出具體規(guī)定。《辦法》聚焦人臉識別技術常見應用場景，為人臉信息的處理劃定了清晰的法律邊界，有效遏制技術濫用風險。

　　“《辦法》的一大特點，就是對人臉識別技術使用中人民群眾反映強烈、社會關注度高的問題，給出明確具體的回應，體現了鮮明的問題導向。”國家網信辦數據與技術保障中心副主任王志成說。

　　去年，有消費者向有關部門反映，上海某區(qū)某游泳館更衣室，采用了人臉識別的方式開啟更衣柜。“屏幕會出現附近來往顧客沒穿衣服的畫面，對個人隱私造成極大危害。”該消費者說。

　　對此，該區(qū)委網信辦協同市場監(jiān)管、公安等有關部門，核實查驗、指導整改，并依法作出行政處罰。

　　王志成介紹，針對社會廣泛關注的公共場所、私密空間濫用人臉識別技術的問題，《辦法》第十三條明確規(guī)定“任何組織和個人不得在賓館客房、公共浴室、公共更衣室、公共衛(wèi)生間等公共場所中的私密空間內部安裝人臉識別設備”。

　　針對社會關注的諸多熱點，《辦法》給出了回應：

　　——針對強制使用人臉識別技術問題，例如某銀行APP強制人臉驗證登錄，某健身房強制會員刷臉入場等，《辦法》確立非唯一驗證原則，第十條明確規(guī)定“實現相同目的或者達到同等業(yè)務要求，存在其他非人臉識別技術方式的，不得將人臉識別技術作為唯一驗證方式”。同時，為了減少人臉信息收集、存儲，第十一條明確規(guī)定“應用人臉識別技術驗證個人身份、辨識特定個人的，鼓勵優(yōu)先使用國家人口基礎信息庫、國家網絡身份認證公共服務等渠道實施，減少人臉信息收集、存儲，保護人臉信息安全”。

　　——針對社會反映強烈的部分弱勢群體的人臉信息權益受損的問題，《辦法》第五條規(guī)定“處理殘疾人、老年人人臉信息的，還應當符合國家有關無障礙環(huán)境建設的規(guī)定”。

　　……

　　“《辦法》通過個人信息保護影響評估機制，要求個人信息處理者事前評估處理活動的合法性和風險；通過備案制度，增強個人信息處理者責任意識并便于監(jiān)管部門開展監(jiān)督；通過數據加密、入侵檢測和防御等要求，促進個人信息處理者持續(xù)改進安全策略和保護措施。”中國法學會網絡與信息法學研究會常務副秘書長周輝介紹。

　　張勇說，保護人臉信息安全，需要社會各方努力，建議加強包括人臉信息在內的個人信息保護宣傳教育，提升個人信息保護法治意識。