人臉識(shí)別法律制度域外比較與借鑒

朱利平，徐東琴，岳楊，朱鈺濤，陳文亮

西南科技大學(xué)

一、引言

人臉識(shí)別技術(shù)源于 20 世紀(jì)中葉，并于 20 世紀(jì)末21 世紀(jì)初開始廣泛普及。如今，人臉識(shí)別技術(shù)正在改革傳統(tǒng)的身份識(shí)別方式，通過與大數(shù)據(jù)和物聯(lián)網(wǎng)聯(lián)動(dòng)，應(yīng)用于公司打卡、地鐵安檢、小區(qū)安保、醫(yī)療機(jī)構(gòu)、快捷支付等不同的場(chǎng)景當(dāng)中。但同時(shí)，人臉識(shí)別技術(shù)的廣泛運(yùn)用也對(duì)公民個(gè)人信息的安全產(chǎn)生了威脅。在我國(guó)的法律規(guī)范中，主要通過《民法典》中人格權(quán)編來進(jìn)行一般性保護(hù)，通過《個(gè)人信息保護(hù)法》進(jìn)行相對(duì)更重點(diǎn)的特別保護(hù)，但對(duì)于實(shí)際人臉信息的保護(hù)遠(yuǎn)遠(yuǎn)不夠，同時(shí)，對(duì)人臉識(shí)別的具體保護(hù)制度規(guī)定的也不夠完善，而這一點(diǎn)在部分國(guó)外法律中是有經(jīng)驗(yàn)可循的。

二、美、歐、加等域外國(guó)家人臉識(shí)別技術(shù)立法情況及其比較

（一）美國(guó)

1.立法背景

美國(guó)國(guó)會(huì)議員于2022 年提出了《面部識(shí)別法》，該法案將限制和禁止執(zhí)法部門使用“ FRT(Facial Recognition Technology)?！备鶕?jù)美國(guó)國(guó)家標(biāo)準(zhǔn)與技術(shù)研究所（NIST）的一項(xiàng)研究，F(xiàn)RT 中使用的算法錯(cuò)誤地識(shí)別了非裔美國(guó)人和亞洲人的臉比白臉多10 到100 倍，算法偏見問題十分突出。為此，紐約頒布的新法案要求紐約市內(nèi)使用算法來幫助招聘決策的企業(yè)在這些算法與有偏見的決策相關(guān)聯(lián)的情況下承擔(dān)責(zé)任。2022 年最新擬議的《面部識(shí)別法》對(duì)美國(guó)50 個(gè)州中的每一個(gè)州的執(zhí)法機(jī)構(gòu)制定新的規(guī)定，要求執(zhí)法人員在任何調(diào)查中使用面部識(shí)別之前，必須獲得法官授權(quán)的逮捕令。

2.主要法條對(duì)比分析內(nèi)容

（1）關(guān)于被采集人臉信息者的被遺忘權(quán)：我國(guó)《個(gè)人信息保護(hù)法》（以下簡(jiǎn)稱《個(gè)保法》）第47 條只有一般的要求刪除的規(guī)定，無特殊規(guī)定。美國(guó)規(guī)定與面部識(shí)別一起使用的逮捕照片數(shù)據(jù)庫(kù)，在每六個(gè)月該數(shù)據(jù)庫(kù)的保管人應(yīng)從該數(shù)據(jù)庫(kù)中刪除每個(gè)人的所有照片。除此之外，美國(guó)的相關(guān)規(guī)定則是針對(duì)特殊人群所設(shè)置特殊規(guī)定：對(duì)于未滿18 周歲；已被無罪釋放；在撤銷或駁回指控后被釋放、被指控的罪行被宣告無罪的人員要進(jìn)行刪除，這也在一定程度上更有利于個(gè)人信息的保護(hù)。（2）有關(guān)人臉識(shí)別中敏感信息和算法歧視的規(guī)定：《個(gè)保法》第28 條只規(guī)定了生物識(shí)別信息、宗教信仰按照敏感個(gè)人信息保護(hù)處理。美國(guó)對(duì)于人臉?biāo)惴ㄆ缫暤姆N類相關(guān)規(guī)定較多，并且為防止根據(jù)人臉識(shí)別信息識(shí)別其他敏感個(gè)人信息進(jìn)行了規(guī)定。如種族、民族、國(guó)籍、宗教、殘疾、性別等。（3）有關(guān)人臉信息的報(bào)告審計(jì)義務(wù)的規(guī)定：《個(gè)保法》第54 條只簡(jiǎn)單規(guī)定了審計(jì)義務(wù)而沒有具體規(guī)定審計(jì)的具體期限和內(nèi)容。美國(guó)在對(duì)人臉信息的報(bào)告審計(jì)義務(wù)進(jìn)行了詳細(xì)規(guī)定。如報(bào)告義務(wù)規(guī)定授權(quán)面部識(shí)別的法官應(yīng)向國(guó)家機(jī)構(gòu)報(bào)告授權(quán)的命令、數(shù)量、授權(quán)是否根據(jù)規(guī)定發(fā)出。（4）對(duì)當(dāng)事人的通知：《個(gè)保法》第57 條規(guī)定在個(gè)人信息泄露、篡改、丟失的情形下通知信息擁有者。美國(guó)則規(guī)定只要使用了相關(guān)人臉信息就需要將使用的相關(guān)信息通知信息主體。（5）準(zhǔn)確性偏差測(cè)試：我國(guó)暫時(shí)沒有規(guī)定無準(zhǔn)確性偏差測(cè)試內(nèi)容。美國(guó)則對(duì)準(zhǔn)確性偏差測(cè)試進(jìn)行規(guī)定：“調(diào)查或執(zhí)法人員不得使用面部識(shí)別系統(tǒng)或從中獲取的信息，除非該系統(tǒng)每年提交給美國(guó)國(guó)家標(biāo)準(zhǔn)與技術(shù)研究院的基準(zhǔn)面部識(shí)別測(cè)試，供執(zhí)法部門確定?！?/p>

3.美國(guó)法案關(guān)于人臉識(shí)別各階段出現(xiàn)問題的解決方式

（1）采集階段：《2020 年國(guó)家生物識(shí)別信息隱私法案》（以下簡(jiǎn)稱《隱私法案》）規(guī)定私人實(shí)體收集人臉信息應(yīng)制定并向公眾提供書面聲明，書面聲明需要規(guī)定永久銷毀人臉信息的時(shí)間表和準(zhǔn)則。這使相關(guān)公眾能更好地行使自己的知情選擇權(quán)，避免出現(xiàn)知情同意原則被架空的情況?！?019年面部識(shí)別技術(shù)授權(quán)法案》還規(guī)定，如果信息采集存在瑕疵，被采集人均可以采取行動(dòng)壓制通過使用面部識(shí)別技術(shù)直接獲得的信息。這使得用戶可以通過抗辯對(duì)瑕疵收集到的信息進(jìn)行行動(dòng)壓制，有效解決采集瑕疵的問題。（2）運(yùn)輸階段：對(duì)最終用戶造成可預(yù)見的重大財(cái)務(wù)損害、可能對(duì)最終用戶高度冒犯的事項(xiàng)進(jìn)行審查，至少一個(gè)合法從事獨(dú)立測(cè)試的第三方能夠?qū)γ娌孔R(shí)別技術(shù)的準(zhǔn)確性和偏差進(jìn)行測(cè)試。通過第三方對(duì)存儲(chǔ)的人臉信息進(jìn)行嚴(yán)密的監(jiān)督與檢查，在一定程度上緩解了存儲(chǔ)單位安全技術(shù)力量薄弱、數(shù)據(jù)安全得不到保障的問題。（3）使用階段：規(guī)定人臉信息使用需為了支持司法活動(dòng)，需申請(qǐng)法院命令并按照命令內(nèi)容使用，期限不得超過30 天。通過司法授權(quán)的方式使人臉信息的使用受到嚴(yán)格限制，期限限制的方式同時(shí)解決了知情同意動(dòng)態(tài)實(shí)現(xiàn)的問題。（4）救濟(jì)階段：美國(guó)對(duì)于違反保護(hù)人臉信息也制定了一定處罰，如按照每次違約金一千美金或者被害人實(shí)際損失較高者定，并且對(duì)于故意或者罔顧后果的給予5000 美元的懲罰性賠償金。通過較高額的賠償金的設(shè)置使被侵權(quán)人得到法律救濟(jì)的同時(shí)使得潛在的侵權(quán)人望而卻步。

（二）歐盟

1.立法背景

在對(duì)人臉識(shí)別規(guī)制方面，歐盟現(xiàn)在沒有專門性的法律，歐盟針對(duì)人臉識(shí)別的法律規(guī)制主要有三個(gè)核心文件，即《通用數(shù)據(jù)保護(hù)條例》（GDPR）《人臉識(shí)別指南》《人工智能法案》，但歐盟對(duì)于人臉識(shí)別信息的保護(hù)在相關(guān)法律規(guī)定上較為嚴(yán)格。

2.主要法條對(duì)比分析內(nèi)容

將歐盟《通用數(shù)據(jù)保護(hù)條例》（GDPR）與我國(guó)《個(gè)人信息保護(hù)法》對(duì)比之后發(fā)現(xiàn)兩者之間有相似之處，也存在許多差別，可以供我國(guó)借鑒學(xué)習(xí)。（1）適用范圍：歐盟在適用上排除了個(gè)人、家庭使用以及為了刑事犯罪和預(yù)防公共危害兩種情形。我國(guó)個(gè)保法則適用于上述兩種情形。（2）處理原則（舉證責(zé)任）：歐盟采用“問責(zé)舉證”原則來處理個(gè)人信息。而我國(guó)規(guī)定在幾種特殊情形下由信息處理者承擔(dān)舉證責(zé)任外，其他情形采用“誰主張誰舉證”原則。（3）涉及犯罪的個(gè)人信息處理：歐盟規(guī)定了處理涉及犯罪的個(gè)人信息處理的被允許的條件。我國(guó)無相關(guān)規(guī)定。（4）不需要識(shí)別的信息：歐盟規(guī)定了不需要識(shí)別即可不依條例進(jìn)行需要個(gè)人信息識(shí)別的一些法定義務(wù)。我國(guó)無相關(guān)規(guī)定。（5）無需告知的處理：歐盟沒有對(duì)無需告知的處理的相關(guān)規(guī)定。我國(guó)法律法規(guī)規(guī)定緊急情況下無需事前告知，但須事后告知。（6）處理活動(dòng)記錄：歐盟對(duì)處理活動(dòng)中所涉及的主體和事項(xiàng)有相應(yīng)的記錄要求。而我國(guó)僅要求公開和向履行個(gè)人信息保護(hù)職責(zé)的部門移送個(gè)人信息保護(hù)負(fù)責(zé)人的相關(guān)信息，并對(duì)處理情況進(jìn)行記錄。（7）監(jiān)管機(jī)構(gòu)設(shè)立規(guī)則及其獨(dú)立性：歐盟對(duì)設(shè)立相應(yīng)的個(gè)人信息的監(jiān)管機(jī)構(gòu)有相應(yīng)的法律規(guī)定，同時(shí)，也確認(rèn)了其監(jiān)管機(jī)構(gòu)的獨(dú)立性地位。我國(guó)法律有規(guī)定履行個(gè)人信息保護(hù)職責(zé)的部門，但我國(guó)尚未建立一個(gè)專門、獨(dú)立的個(gè)人信息保護(hù)監(jiān)管機(jī)構(gòu)。

（三）加拿大

加拿大國(guó)內(nèi)尚未頒布規(guī)范面部識(shí)別技術(shù)的重要立法。隨著關(guān)于面部識(shí)別軟件的對(duì)話繼續(xù)成為全球爭(zhēng)論的焦點(diǎn)，加拿大政府官員已成立最新的監(jiān)管機(jī)構(gòu)，呼吁制定立法，以限制全國(guó)各地使用面部識(shí)別。[1]下議院道德委員會(huì)呼吁聯(lián)邦政府對(duì)使用面部識(shí)別技術(shù)進(jìn)行限制和頒布法律，包括暫停警方不受限制地使用面部識(shí)別技術(shù)。除此之外，有議員還表示如果發(fā)現(xiàn)警方未經(jīng)適當(dāng)授權(quán)使用面部識(shí)別技術(shù)，應(yīng)該面臨“明確的處罰”。一些議員還要求披露在不侵犯公民個(gè)人隱私權(quán)的情況下使用面部識(shí)別技術(shù)的情況。人臉識(shí)別技術(shù)相關(guān)的潛在危害導(dǎo)致許多人建議以更有效和高效的方式監(jiān)管此類技術(shù)。[2]

除了面部識(shí)別技術(shù)對(duì)加拿大個(gè)人隱私造成的擔(dān)憂外，算法偏見是議員們強(qiáng)調(diào)的另一個(gè)討論話題。對(duì)于各類相機(jī)進(jìn)行實(shí)驗(yàn)的相關(guān)研究人員發(fā)現(xiàn)，人臉識(shí)別技術(shù)“錯(cuò)誤地識(shí)別了三分之一以上的深色皮膚女性，但白人男性準(zhǔn)確率為99%”。例如2015 年，谷歌圖片軟件的自動(dòng)標(biāo)記功能，誤將兩名黑人標(biāo)記為“大猩猩”；2016 年，微軟的首個(gè)聊天機(jī)器人Tay 上線，由于事先沒有為它植入規(guī)則，希望它在與人互動(dòng)中產(chǎn)生自己的愿望與想法，結(jié)果Tay一上線聊天就被網(wǎng)民們“教壞”，成了一個(gè)集反猶太人、性別歧視、種族歧視于一身的“不良少女”，如果不加控制，人類固有的偏見將會(huì)轉(zhuǎn)移到創(chuàng)建的軟件程序中。[3]

（四）小結(jié)：域外立法考慮因素的分析

歸納來看，各國(guó)人臉識(shí)別立法規(guī)制主要考慮因素有以下幾個(gè)方面：第一，人臉識(shí)別技術(shù)涉及大面積的隱私泄露，數(shù)據(jù)保護(hù)問題受到各國(guó)廣泛關(guān)注。第二，算法偏見與歧視問題顯現(xiàn)，大量的算法程序都夾雜著歧視與偏見，而這將侵害著公民的基本人權(quán)。第三，人臉識(shí)別技術(shù)極大影響著互聯(lián)網(wǎng)與公眾場(chǎng)所下的公民的匿名權(quán)、加密權(quán)的行使，關(guān)乎著公民的民主政治參與能否良好實(shí)現(xiàn)。第四，執(zhí)法人員在執(zhí)行公務(wù)中使用人臉識(shí)別技術(shù)，可能違反“無罪推定”原則，損害公民基本權(quán)利。

三、域外人臉識(shí)別法律制度對(duì)我國(guó)的借鑒意義

1.對(duì)人臉信息處理活動(dòng)進(jìn)行記錄以及定期公開

通過對(duì)歐盟《通用數(shù)據(jù)保護(hù)條例》（GDPR）進(jìn)行對(duì)比分析可以發(fā)現(xiàn)歐盟比較注重對(duì)處理活動(dòng)中所涉及的主體和事項(xiàng)制定相應(yīng)的專門記錄要求，而我國(guó)僅要求公開向履行個(gè)人信息保護(hù)職責(zé)的部門移送個(gè)人信息保護(hù)負(fù)責(zé)人的相關(guān)信息，這在一定程度上存在著處理活動(dòng)不透明、處理信息缺乏公示的情況。我國(guó)可以加強(qiáng)對(duì)個(gè)人信息處理者進(jìn)行事前個(gè)人信息保護(hù)影響評(píng)估機(jī)制的建立，并對(duì)信息處理情況進(jìn)行記錄和在一定程度上定期公開，這樣也有助于對(duì)數(shù)據(jù)處理主體的監(jiān)督與評(píng)價(jià)。

2.數(shù)據(jù)庫(kù)亟需定期刪除

我國(guó)個(gè)保法在第47 條進(jìn)行了個(gè)人信息刪除的一般表述與規(guī)定，但在刪除期限上還有待進(jìn)行一些細(xì)則的補(bǔ)充說明，可以考慮設(shè)定固定期限（如6 個(gè)月）作為國(guó)家標(biāo)準(zhǔn)，也在一定程度上可以促進(jìn)各行業(yè)人臉識(shí)別信息處理的合規(guī)化。此外，在美國(guó)的法案中可以看到專門性的關(guān)于特殊人群的被遺忘權(quán)的規(guī)定，例如未成年人、被宣告無罪的人等特殊群體的人臉信息在被收集后可以更加注重定期刪除的操作，有助于特殊群體權(quán)益的保護(hù)。

3.設(shè)立獨(dú)立的專門性的監(jiān)管機(jī)構(gòu)

在我國(guó)，履行個(gè)人信息保護(hù)職責(zé)的部門主要是國(guó)家網(wǎng)信部門、國(guó)務(wù)院有關(guān)部門以及縣級(jí)以上地方人民政府有關(guān)部門。而落實(shí)到基層，考慮到政府部門管理事務(wù)的龐雜，如果各省、自治區(qū)、直轄市以及設(shè)區(qū)的市人民政府沒有建立專門進(jìn)行個(gè)人信息監(jiān)督管理的部門和機(jī)構(gòu)，可能會(huì)導(dǎo)致主體責(zé)任不明確，人臉信息主體權(quán)利難以得到救濟(jì)現(xiàn)象。而隨著網(wǎng)絡(luò)化和信息化的加劇，人臉識(shí)別技術(shù)的廣泛應(yīng)用，信息傳播的速度與范圍是十分迅速的，造成的損害也是難以估量的。因此，有必要進(jìn)一步明確各層級(jí)人民政府設(shè)立人臉信息監(jiān)督的專門部門和機(jī)構(gòu)，明確監(jiān)管機(jī)構(gòu)獨(dú)立的地位，才能對(duì)社會(huì)技術(shù)變革帶來的不利影響進(jìn)行有力的防范與應(yīng)對(duì)，從而切實(shí)有效地保護(hù)信息主體的人臉信息權(quán)益。

4.設(shè)立懲罰性賠償金問題

在我國(guó)，對(duì)于侵犯人臉信息的案件多采用賠禮道歉、刪除信息等方式，基本不采取損害賠償?shù)姆绞?。但這種救濟(jì)措施在一定程度上不能對(duì)當(dāng)事人進(jìn)行充分救濟(jì)和制止加害人在未來做出類似的加害行為。而根據(jù)域外賠償金設(shè)立有值得借鑒之處，比如違反人臉信息采集的相關(guān)規(guī)范采集人臉按照每次違約金一千美金或者受害人實(shí)際損失較高者定。對(duì)于故意違反或者罔顧后果的給予5000 美金的懲罰性賠償金。我國(guó)可以結(jié)合實(shí)際情況設(shè)立相關(guān)懲罰性賠償金。

5.適當(dāng)對(duì)采集主體進(jìn)行專門限制性規(guī)定

我國(guó)法律對(duì)于收集人臉信息的主體沒有進(jìn)行特別規(guī)定，基于人臉信息采集后對(duì)于被采集者影響較大并且社會(huì)影響面較大，所以采集時(shí)應(yīng)該較為謹(jǐn)慎，限制其采集主體和采集程序。參考域外有關(guān)法律規(guī)定，一般人臉信息使用需要支持司法活動(dòng)并且需要申請(qǐng)法院命令，并按照法院涵蓋的內(nèi)容使用，并且該命令授權(quán)持續(xù)監(jiān)視時(shí)間不能超過30 天。

6.對(duì)于識(shí)別準(zhǔn)確性進(jìn)行實(shí)時(shí)監(jiān)測(cè)

我國(guó)法律沒有對(duì)于人臉識(shí)別準(zhǔn)確性若出現(xiàn)偏差應(yīng)該采取何種措施的具體規(guī)定，從域外法律規(guī)定來看需要至少一個(gè)從事獨(dú)立性測(cè)試的第三方能夠?qū)θ四樧R(shí)別技術(shù)的準(zhǔn)確性和偏差進(jìn)行合理的測(cè)試，并在測(cè)試不通過時(shí)暫時(shí)停止使用相關(guān)數(shù)據(jù)庫(kù)。這對(duì)于人臉識(shí)別的準(zhǔn)確性具有重大意義，我國(guó)法律可以對(duì)此加以借鑒。