21世紀經濟報道記者鐘雨欣北京報道人臉信息又被稱為“生物密碼”，具有特殊屬性。近年來，人臉識別技術普及度不斷提升，隨之而來的風險隱患不容忽視。8月8日，國家網信辦就《人臉識別技術應用安全管理規定（試行）（征求意見稿）》（以下簡稱《征求意見稿》）向社會公開征求意見。

多位受訪專家表示，《征求意見稿》堅持安全與發展并重，通過區分應用場景、環節設定不同的法律義務、監管要求等，促進人臉識別技術應用逐步走向規范化。

(資料圖)

建構流程化治理框架

中國人民大學法學院教授、中國人民大學民商事法律科學研究中心執行主任石佳友此前在接受21世紀經濟報道記者采訪時指出，近幾年人臉識別為個人信息保護帶來的挑戰逐漸被公眾和監管部門重視。在認可人臉識別技術帶來的便利性時，也應注意其背后的風險和隱患。拉網式人臉信息收集的過程可能嚴重威脅個人隱私，造成人身、財產以及心理上的安全隱憂。

實際上，在全球范圍內，關于人臉識別的規制問題存在一定爭議。美國舊金山、波士頓等城市陸續立法禁止政府使用人臉識別技術，波特蘭的人臉識別禁令更是涵蓋了私營機構。今年6月，歐盟議會通過《人工智能法案》草案，其中提到禁止實時遠程生物識別技術，意味著不能在公共場合進行人臉識別。石佳友認為，鑒于中國經濟與社會發展的實際情況，不宜照搬歐美的做法，“一刀切”地完全禁止是不現實的，不如討論如何更有效地進行規制。

北京師范大學法學院博士生導師、中國互聯網協會研究中心副主任吳沈括表示，《征求意見稿》旨在提升人臉識別技術的規范應用與合規水平，進而實現保護個人信息權益及其他人身和財產權益，維護社會秩序和公共安全。

“在機制設計層面，《征求意見稿》注重建構人臉識別技術應用的流程化治理框架，從設備的安裝到圖像的采集，從數據的處理、存儲到數據的提供、刪除，從人臉識別技術應用的準度、精度到置信度閾值，從人臉識別技術使用者到產品或者服務提供者的責任義務，力圖實現場景全要素的流程化合規應用。”吳沈括說。

北京航空航天大學法學院副教授，北京科技創新中心研究基地副主任趙精武分析認為，《征求意見稿》的特色表現在幾個方面：一、安全與發展并重是人臉識別技術應用的監管原則，并不完全限制或禁止該項技術的應用；二、個人信息保護影響評估成為使用人臉識別技術應用的前置性條件，個人信息權益保障得到充分落實；三、細分人臉識別技術應用場景，根據應用場景的不同設定不同的義務內容。

北京大成律師事務所高級合伙人鄧志松表示，《征求意見稿》延續了《個人信息保護法》的基本思路，以“堵不如疏，疏不如引”的辯證思維看待人臉識別技術應用所蘊含的法律風險，并未“一刀切”地全面禁止，也未放任其無序發展，而是通過區分應用場景、環節設定不同的法律義務、監管要求等，促進人臉識別技術應用逐步走向規范化。

對重點場景作出針對性設計

人臉識別技術應用的“合目的性”和“必要性”貫穿《征求意見稿》始終。其中第四條擬規定，“只有在具有特定的目的和充分的必要性，并采取嚴格保護措施的情形下，方可使用人臉識別技術處理人臉信息。實現相同目的或者達到同等業務要求，存在其他非生物特征識別技術方案的，應當優先選擇非生物特征識別技術方案?！?/p>

北京理工大學法學院教授洪延青撰文指出，該條是“最少使用”原則的具體體現。應用人臉識別技術應當具有合法、正當目的，遵循充分必要原則，實現相同目的存在其他可選的非生物特征識別技術方案的，應當優先選擇其他技術方案。

分場景治理是《征求意見稿》的亮點之一。吳沈括表示，《征求意見稿》注重規定針對重點場景的技術應用專門治理規則，涵蓋旅館客房、公共浴室、更衣室、衛生間及其他可能侵害他人隱私的場景，在公共場所安裝圖像采集、個人身份識別設備的場景，組織機構為實施內部管理安裝圖像采集、個人身份識別設備的場景，在公共場所、經營場所使用人臉識別技術遠距離、無感式辨識特定自然人的場景等，及時回應了社會公眾的焦點關切，也為具體合規操作提供了直接、明確的業務規則。

趙精武也指出，《征求意見稿》反映了場景化的監管思路，根據應用場景可能存在的具體風險類型和涉及的特定法律關系確定相應的使用者、提供者義務。這也與我國數據分級分類保護基礎制度相契合，能夠實現更為直接有效的監管效果。

“各場景下人臉識別技術應用所帶來的法律風險各不相同，因此有必要對其進行分場景管控，這也有利于監管資源的合理分配。區分應用場景對法律規則做出針對性設計是個人信息保護領域的全球共識。”鄧志松表示，低風險場景高等級措施所帶來的高昂合規成本，高風險場景低等級措施所具有的高違法風險，對于立法者、監管者與技術使用者都是難以接受的。

21世紀經濟報道記者注意到，對于在公共場所、經營場所使用人臉識別技術遠距離、無感式辨識特定自然人的場景，《征求意見稿》擬要求“應當為維護國家安全、公共安全或者為緊急情況下保護自然人生命健康和財產安全所必需，并由個人或者利害關系人主動提出?！?/p>

此外，“人臉識別技術使用者應個人或者利害關系人請求使用人臉識別技術遠距離、無感式辨識特定個人或者利害關系人的，應當將相關服務限定在最小必要的時間、地點或者人群范圍內，不得關聯與個人請求事項無直接必然相關的個人信息。”

鄧志松表示，公共場所、經營場所等場景中的遠距離、無感式人臉識別設備由于其影響范圍較廣，外溢效應難以控制，其應用是否具有合法性基礎易被質疑，需要設定更為嚴格的合規義務。根據《征求意見稿》規定，實踐中其應用以個人或者利害關系人主動提出為前提，僅限于維護國家安全、公共安全或者為緊急情況下保護自然人生命健康和財產安全所必需等目的，并且僅適用于辨識特定自然人，而不得私自為其他任何目的大規模、無限制地批量對不特定社會公眾進行識別。

吳沈括分析，實踐中判斷“最小必要”的核心依據是業務需求和相關數據顆粒度之間的直接邏輯關聯是否符合比例性和相稱性的要求。而禁止關聯性分析主要是為了保護人臉信息，防止非法的二次處理使用以及可能由此引發的安全問題。

前移監管治理關口

《征求意見稿》第十五條、第十六條分別對事前個人信息保護影響評估、備案機制作出要求。擬規定人臉識別技術使用者處理人臉信息，應當事前進行個人信息保護影響評估，并對處理情況進行記錄，以及在公共場所使用人臉識別技術，或者存儲超過1萬人人臉信息的人臉識別技術使用者，應當在30個工作日內向所屬地市級以上網信部門備案。

“這反映了監管機關前移治理關口、最大限度降低人臉識別技術應用安全風險水平的綜合治理思路?！?/strong>吳沈括說。

鄧志松分析，對于企業而言，相關規定一方面意味著短期內合規投入的增加，需要支付各項成本對自身人臉識別技術應用合規工作進行全面梳理，并依法履行評估、備案等義務；另一方面，這實際上也是在技術應用與監管間相對平衡的較優方案，企業的個人信息保護實體與程序違法風險都能得到有效控制。

“《征求意見稿》僅對兩類重點主體提出了備案要求。而相較于許可，備案給企業的負擔相對較低，相關主體僅需按照規定要求制定相應的制度、履行相應的評估要求即可，而無需另行等待監管機構的審查批準才能從事技術應用活動?！编囍舅烧f。

值得注意的是，《征求意見稿》還在個人信息保護影響評估和年度風險檢測評估內容中對準度、精度、置信度閾值等作出規定。

趙精武認為，這本質上是為了盡可能確保義務主體能夠按照監管要求履行個人信息保護義務。精準度的提出也是為了與人臉識別信息的敏感性相匹配，實現真正意義上的“合目的性”與“必要性”，確保人臉識別信息的采用和使用不至于擴大潛在的個人信息泄露風險。

“在不同的準度、精度、置信度閾值下，可能收集到的人臉信息量不同，對個人權益造成的影響也可能不同。例如，在某些場景下，僅需記錄人流量、各區域擁擠程度等一般信息時，如其采取過高精度的人臉識別技術，顯然超出了實現其目的所需的范疇。同時，不同精度的人臉信息如發生泄露，對個人造成的影響也不同，因此對其相應的安全保障措施也需要有所區分?！编囍舅杀硎?。