深度解读《人脸识别技术应用安全管理办法》

    作为人脸识别的专门性立法，《人脸识别技术应用安全管理办法》（以下简称《办法》）的出台，意味着人脸识别步入系统性治理新阶段。

    《办法》贯彻以人为本的理念，增强对于个人信息和用户权益的保护，尤其是加强对残疾人、老年人和不满十四周岁未成年人的法律保护。

    第一，人脸识别技术应用处理聚焦个人信息保护。人脸识别技术应用的对象既包括技术应用开发部署的行为，也包括技术应用运行的结果。而人脸信息则是人脸识别技术应用法律治理的“抓手”和“关键”。人脸信息是指在验证个人身份、识别特定个人时应用面部生物特征识别技术，识别人的面部特征而形成的信息。

    从《中华人民共和国网络安全法》的“个人生物识别信息”开始，到《中华人民共和国民法典》和《中华人民共和国个人信息保护法》的“生物识别信息”，我国人脸识别的法律治理的关切就是用户个人信息的保护。

    《办法》目的条款开宗明义“为了规范应用人脸识别技术处理人脸信息活动”，而且相关七个条文也作如此表述，指向“人脸信息”。

    从《办法》对人脸信息的定义来看，保护的是以电子或者其他方式记录的与已识别或者可识别的自然人有关的面部特征生物识别信息，不包括匿名化处理后的信息。

    按照《中华人民共和国个人信息保护法》对个人信息处理的界定，应用人脸识别技术对人的面部进行“识别”，是个人信息处理的一种方式，属于个人信息处理的“收集”行为，识别之后形成的“人脸信息”属于敏感个人信息。同时，将征求意见稿中的主体概念“人脸识别技术使用者”，调整为“个人信息处理者”，体现了治理重点在个人信息与用户权益保护。

    第二，人脸识别技术应用治理关注用户权益保护。人工智能的法律治理同时并存风险治理和权益保护的制度进路，这也同时适用于人脸识别技术应用。《办法》中基于风险的治理思路，主要体现在个人信息保护影响评估的主要内容，包括发生人脸信息泄露、篡改、丢失、毁损或者被非法获取、出售、使用的风险，保护措施与风险程度相适应。但是《办法》更加侧重权利保护的治理进路，主要从三个维度强化对权利保障。

    一是以“个人权益”的概括性表达，尽可能地加大对合法权益的保护，防范人脸识别潜在的监控、歧视、隐私侵害和个人信息泄露等风险。《办法》要求应用人脸识别技术处理人脸信息活动，之前应告知对个人权益的影响、个人依法行使权利的方式和程序，之后应进行对个人权益带来的影响进行评估。尤其是，要采取对个人权益影响最小的方式，以及不得侵害个人合法权益。

    二是在具体条款中与《中华人民共和国个人信息保护法》中的具体条款充分对接。目的条款强调对“个人信息权益”的保护，第五条要求个人信息处理者应用人脸识别技术处理人脸信息前，应当以显著方式、清晰易懂的语言真实、准确、完整地向个人告知相关事项，充分保障“知情权”。第六条对“同意权”作了充分规定，不仅强调处理人脸信息应该基于“个人同意”，而且单独同意应该是在充分“知情”和“自愿”情形下作出，对书面同意作出了引致性规定。除此之外，还重申《中华人民共和国个人信息保护法》中撤回同意的权利，要求个人信息处理者应当提供便捷的撤回同意的方式，充分地为个人提供退出或者不参与的可能性。其中，“便捷的撤回方式”有助于解决实践中出现的“告知-同意”规则适用形式化困境。

    三是《办法》第十七条针对违法应用人脸识别技术处理人脸信息的活动设定了救济机制。任何组织、个人有权向履行个人信息保护职责的部门对前述违法活动进行投诉、举报。为了保障该救济之权得以充分实现，同时规定“收到投诉、举报的部门应当依法及时处理，并将处理结果告知投诉人、举报人”。

    划定红线底线推动人脸识别技术产业高质量发展

    习近平总书记始终将人工智能发展置于国家战略高度，指出“人工智能是引领这一轮科技革命和产业变革的战略性技术，具有溢出带动性很强的‘头雁’效应”。人脸识别技术产业的高质量发展，需要依托立法的引领和推动作用。《办法》从人脸识别技术或设备的应用方式、安装场所和非唯一性，以及排除人脸识别技术产品或服务等方面，为人脸识别技术产业高质量发展扩展空间。

    第一，明确人脸识别技术的应用范围。《办法》通过正向确定和反向排除的方式作了明确规定，有利于相关主体的行为预期。第十条和第十二条体现了“身份验证”，第十一条以并列方式归纳了“验证个人身份”和“辨识特定个人”，相应地在第十九条中分别界定各自法律术语含义。删除征求意见稿中的“分析敏感个人信息”行为，即为维护国家安全、公共安全、紧急情况下保护自然人生命健康和财产安全所必需，以及取得个人单独同意而应用人脸识别技术分析敏感个人信息的情形。除此之外，第二条第二款排除了为从事人脸识别技术研发、算法训练活动而应用人脸识别技术处理人脸信息的情形。如此，将人脸识别技术的应用行为限定为两类，有利于促进研发活动，推动产品市场发展。

    第二，明确了人脸识别设备的安装使用场所。一是《办法》明确了设备范围和安装场所。在设备范围上，一是以“人脸识别设备”替代了征求意见稿中的“图像采集、个人身份识别设备”，二是将“非生物特征识别技术方案”改为“非人脸识别技术方式”。因为人脸识别设备仅仅是众多图像采集、个人身份识别设备中的一类，且人脸识别的范围小于生物特征识别。二是《办法》以“公共性”约束安装场所。首先，以“公共场所的公共安全所必需”为一般规则，即在公共场所安装人脸识别设备，应当为维护公共安全所必需。其次，禁止安装人脸识别设备的场所，由“其他可能侵害他人隐私的场所”缩小到“公共场所中的私密空间内部”，例如，任何组织和个人不得在宾馆客房、公共浴室、公共更衣室、公共卫生间等公共场所中的私密空间内部安装人脸识别设备。这种公共性还体现在，删除征求意见稿第八条“组织机构为实施内部管理所需”条款。如此，划定禁止安装人脸识别设备的红线，其他非公共性空间不受该规则限制，比如为实现个人或家庭之用安装人脸识别设备，有利于拓展人脸识别产品市场。

    第三，明确了人脸识别作为身份验证方式的非唯一性。随着人脸识别技术的应用逐渐成熟，许多场所可能出于效率的考虑，将人脸识别作为唯一的身份验证方式。在为实现相同目的或者达到同等业务要求的情形，存在其他技术方案时，相比征求意见稿的“应当优先选择非生物特征识别技术方案”，《办法》规定“不得将人脸识别技术作为唯一验证方式”，为人脸识别技术产业发展提供了广阔空间。因为在“优先选择”的强制性约束之下，由于“非生物特征识别技术”范围非常之大，意味着绝大多数场景中的身份验证和识别方式都会回归以前，不利于人脸识别技术产业发展。在“非唯一方式”的情况下，只要求提供“非人脸识别技术”作为一种可选择项即可，人脸识别设备依然可以作为首选。

    第四，降低人脸识别技术产品或服务提供者的合规负担。《办法》不仅在适用范围中删除了“提供人脸识别技术产品或者服务”，而且还相应地删除产品或者服务提供者的配合监督检查义务和法律责任，以及列入网络关键设备和网络安全专用产品目录的设备被限制销售或提供。如此，将对人脸识别技术产业发展和相应产品和服务市场繁荣起到促进作用。

    促进人脸识别信息的高水平安全

    高水平安全是推动人工智能健康发展的深刻内涵。在推动人脸识别技术产业高质量发展的同时，既要重视技术治理——“不断提升人工智能技术的安全性、可靠性、可控性、公平性”，也要注重制度治理，《办法》主要从共治体系、一般规则、基础设施和设备内存储等方面促进人脸信息的高水平安全。

    第一，构建人脸识别的多元规则共治体系。相较于以往二元利益比较模式，人脸识别更适宜以整体性利益架构为基础进行动态权衡。《办法》形成了法律、道德伦理、商业道德、职业道德和诚实守信的维度治理规范，以此构建多领域协同共治体系。除了法律治理作为主要治理策略以外，其他治理规范遵从人脸识别技术及其应用的伦理性、商业性和专业性，诚实守信更是体现了对社会主义核心价值观的贯彻落实。

    第二，扩大适用范围为人脸信息提供更高水平法律保障。《办法》通过删除或替代征求意见稿中的特定限定条件，把特定场景规则提升为一般性规则，扩大了适用范围，有利于为人脸信息提供更高水平安全。一是针对个人不同意通过人脸信息进行身份验证问题，在征求意见稿第十四条设定的“应当提供其他合理、便捷的方式”规则基础上，删除“物业服务企业等建筑物管理人”主体限定条件，并整合征求意见稿第四条，形成《办法》第十条的“相同目的和同等业务”条款，实际上是从“物业服务”场景扩大了一般性目的和场景，扩大了人脸信息保护范围。二是禁止强迫接受人脸识别。在设定“不得以办理业务、提升服务质量等为由，误导、欺诈、胁迫个人接受人脸识别技术验证个人身份”规则时，以“任何组织和个人”替代了宾馆、银行、车站、机场、体育场馆、展览馆、博物馆、美术馆、图书馆等经营场所。三是限定人脸识别采集区域。“根据实际需求合理确定采集区域”条款，在征求意见稿中是作为组织机构因内部管理所需而安装识别设备的约束条件，在《办法》中提升为一般性规则，即在公共场所安装人脸识别设备需要确定合理采集区域，不仅扩大了适用范围，而且通过限定物理区域，尽可能少地收集不特定公众的人脸信息。

    第三，鼓励使用可信数字基础设施。《办法》鼓励应用人脸识别技术时，优先使用国家人口基础信息库、国家网络身份认证公共服务等渠道。《办法》设置非强制性规定的积极意义主要在于，通过减少人脸信息收集、存储来加强人脸信息安全，也有利于维持人脸识别技术、产业、市场的竞争性和活力。

    第四，强制人脸信息的设备内存储。《办法》第八条规定，“除法律、行政法规另有规定或者取得个人单独同意外，人脸信息应当存储于人脸识别设备内，不得通过互联网对外传输”。该规定构筑了“物理隔离+最小暴露”的保护屏障，即将人脸信息存储在设备本地，能有效避免云端存储或在线传输过程可能引发的规模化泄露等风险，从源头上实现风险最小化效果。综上所述，技术渗透的边界不断扩张，亟须以法治筑牢网络安全屏障。舒适地拥抱“无感式”的人脸识别，需要法治保驾护航。人脸识别是人工智能的重要应用场景，《办法》在高质量发展和高水平安全之间实现了很好的平衡，这一中国方案或将为全球人脸识别治理提供新的价值坐标。