欧美限制人脸识别技术对我国的启示

吕尧，周千荷

（赛迪研究院网络安全研究所，北京100846）

1 引言

2020年初在抗击新型冠状病毒肺炎疫情期间，人脸识别技术在人口流动管理、体温检测等方面发挥了重要作用。然而同期，人脸识别技术却在欧美等国家和地区遭到越来越多的质疑和限制。欧盟考虑5年内禁止在公共场所使用人脸识别技术，美国40家社会组织联名致信隐私和公民自由监督委员会，并呼吁美国政府暂停应用该技术。当前，人脸识别技术的发展趋势已不可阻挡，如何平衡个人隐私与人脸识别商业化普及、政府广泛征用之间的冲突是当前的核心问题。

2 欧洲和美国有条件限制人脸识别技术应用

美联邦政府层面，已有声音提出立法建议，限制人脸识别技术的使用。2019年，有参议员提出联邦法案《2019年商业面部识别隐私法》，建议禁止在商业上使用面部识别技术来跟踪和收集与消费者有关的数据。2020年2月12日，两名民主党参议员提出《人脸识别道德使用法案》，要求暂时禁止政府机构使用人脸识别，直到委员会形成政府使用准则和限制条件，以防止人脸识别技术侵犯公民隐私权和影响公民自由。美国部分州及地方政府在联邦政府之前，已经开始规范人脸识别技术和软件的使用。俄勒冈州、新罕布什尔州、犹他州及部分城市已开始限制人脸识别技术的使用；旧金山、奥克兰、萨默维尔等市，已将禁止该技术用于城市政府官员以及执法部门；华盛顿州也正在考虑制定立法，以规范私人和企业在公共场所部署的人脸识别应用程序。

欧盟计划执行更严格的监管政策。欧盟希望成为道德AI的领导者，其在2019就发布了人工智能相关技术的道德准则，提出可信赖技术概念及其判定的基本原则。2020年初，欧盟发布了《欧盟人工智能白皮书》，对人工智能开发者提出具有法律约束力的新要求，以确保现代科技的开发和使用符合道德规范，其中明确提出在3～5年内禁止人脸识别技术应用于公共场所，以评估该技术风险，并保留在未来进一步加强该技术监管的可能性。欧盟希望成员国可以任命相关部门监督人工智能政策规则的执行情况。欧盟成员国根据各国实际情况，已开始有限度地限制人脸识别技术的应用。英国脱欧前，其国防部因人脸识别技术存在的未知风险过多，而建议政府在发展人脸识别技术时“放慢脚步”。2019年8月，瑞典数据保护局决定禁止在学校使用人脸识别技术，并对当地的一所高中处以罚款。2019年11月，法国发布《人脸识别指南》，提出了人脸识别技术存在的风险，并对该技术的使用进行了规范，明确了政府、企业等各相关方的责任。

社会组织呼吁限制或谨慎使用人脸识别技术。2020年，美国隐私保护组织、美国电子隐私信息中心等4 0家社会组织，就审慎应用人脸识别技术联名致信隐私和公民自由监督委员会，同时呼吁美国政府在“充分审查人脸识别技术风险”之前暂停应用该技术。互联网巨头积极采取措施，降低人脸识别可能带来的风险。Facebook向人工智能创业公司Clearview AI发送了停止和终止函，要求其停止因执法目的而利用人脸数据识别用户身份。微软也删除了全球最大的公开人脸识别数据库MS Celeb。谷歌也表示在能够阻止人脸识别技术被滥用的政策出台之前，会暂停对外出售相关技术及产品。此外，针对欧盟计划在未来3～5年禁止公共场所使用人脸识别技术的政策，微软、谷歌等均表示支持。

3 欧洲和美国限制人脸识别技术应用的原因

3.1 在用户不知情的情况下采集人脸数据

随着摄像头、智能设备及无线传输技术的发展，再配合模式识别算法的迭代升级，人脸数据收集、分析的难度大幅降低，一些不法分子或企业利用这些先进技术在用户不知情的情况下收集人脸数据，并进行分析、倒卖以牟取利益。这种不顾及用户个人意愿，擅自采集调用脸部特征信息的行为，严重侵害了数据主体的知情权。同时，给使用人脸识别进行身份认证的应用程序（如网银、第三方支付等），带来严重安全威胁。

3.2 在非必要的场景滥用人脸识别技术

人脸识别技术未必适合所有应用场景，但因其涉及人工智能和大数据等新兴热门概念，所以很多企业为蹭热度、赚眼球，强行在其产品或服务中使用人脸识别技术，并以此为噱头进行宣传炒作，导致人脸识别应用泛滥，不仅给该技术的声望造成影响，也给个人隐私保护埋下隐患。

3.3 网络安全问题严重

人脸识别技术仍处在发展完善阶段，从技术底层代码开发到实际应用需经过多个环节，任何环节出现问题，都可能导致整个人脸识别技术被破解。美国人工智能公司Kneron近期就声称攻破了人脸识别系统，通用特制3D面具成功地欺骗了知名支付软件的人脸识别系统，同时还能骗过荷兰机场自助登机终端。当前，一些开发人员在运用人脸识别技术时，并未考虑到其是否满足应用安全需求，使得现阶段一些重要应用的信息系统仅采用人脸识别这一项单一验证技术，并未结合短信、验证码、手机尾号等传统辅助验证手段一并使用，致使系统或程序处于高风险状态，极易被攻破，给系统造成巨大危害。

3.4 个人隐私数据泄露风险高

通过人脸识别技术采集的人脸数据，还存在因后端管理不当而带来的隐私泄露问题。2020年初，为美国联邦调查局等600家执法机构提供人脸识别系统的Clearview AI公司遭遇重大数据泄露，30亿张人脸数据被泄露，引发全美社会巨大担忧。人脸数据作为高敏感生物信息，具有不可变更性，一旦泄露，终身可被利用。目前，对于人脸识别技术，企业更关注于其商业落地后带来的经济利益，而忽视对人脸数据的安全保护。企业只凭借职业道德来确保其使用、存储数据的安全性，缺乏数据保护的刚性要求，个人隐私保护仍存在极大的风险。

3.5 人脸数据被过度、恶意利用隐患大

人脸数据具有较强的关联性，通过数据采集和机器学习来对用户进行“画像”，是人脸数据被过度挖掘的一个典型例子。斯坦福大学的研究人员曾证明，当展示一名同性恋男和一名异性恋男的照片时，算法能够辨别出他们的性倾向，准确率高达81%。被过度挖掘的人脸数据不仅能用来判断用户的特征、偏好，还能关联出用户的生活习性、人际关系、工作单位等隐私信息。如果不对人脸数据的使用进行合理的规范与监管，将会对公众的基本生活带来巨大影响。

4 对我国发展人脸识别技术的启示

4.1 提高认识及战略定位，有条件地支持人脸识别技术的发展

提升对人脸识别技术的重视程度，制定包含人脸识别技术的人工智能国家战略及顶层设计，明确人脸识别技术使用的基本原则，指导引领该技术及其相关技术的研究发展方向，确立技术应用领域的基本思想，统筹考虑技术使用的管理原则，建立“必须、可选、禁止”不同场景的分类、分级管理思路，为开展立法、出台政策、实施监管、促进发展等工作指明方向。

4.2 制定上位法统筹管理，加速出台相关法律

制定关键技术上位法，通过立法规范包含人脸识别的人工智能等关键技术的科学研究、开发利用、产业政策以及监督管理等内容，以保障重大关键技术应用的安全性和健康持续发展。围绕人脸识别技术反映出的个人隐私保护问题，尽快研究出台个人隐私保护法、数权法等相关法律，统筹考虑隐私保护、人权、伦理道德等多方面因素，限定人脸识别技术的使用范围，明确数据保护要求及责任，赋予数据采集对象知情权和追偿权，从法律层面保障个人隐私权、肖像权、数据所有权等相关权利。

4.3 细化管理规定，提升监管能力

针对人脸识别这类涉及个人隐私技术的管理，可考虑在四个方面落实法律要求、细化具体规定。第一，在必要场景中，必须确保用户的知情权，包括明确告知用户所使用的技术、所采集的数据类型以及数据的使用目的；第二，在非必要场景中，尽量避免使用人脸识别等涉及个人隐私的技术方案，如若使用则需提供并行方案供用户选择；第三，对于采集到涉及个人隐私的数据，应综合运用数字签名、区块链等技术对数据进行标识，实现数据在流转中的可追溯；第四，对于数据存储超过一定规模的企业，应通过备案等形式纳入监管。在监管方面，应当提升智能化监管手段，提高执法监管人员基本能力，培养专业化支撑队伍，支持鼓励第三方检测、评测机构发展。对于技术、数据非法滥用行为，严格依法惩处，对于影响国家安全、威胁社会稳定等重大违法行为，由公安机关从重处理。

4.4 加强行业自律，建立长效监督机制

支持人脸识别技术研发及应用单位建立行业组织，研究制定人脸识别技术运用、人脸数据使用方面的行业公约或企业内部制度。就如何在人脸识别领域有效保护个人隐私，可打造行业标杆、树立典范企业、宣传实际案例、推广具体方案，以维护公众对人脸识别技术和行业的信心。建立行业组织内外长效监督机制，扩大监督网络，创设社会监督举报渠道。同时，与国家信用评价体系结合，制定人脸识别技术相关企业信用评价标准及评价程序，由政府或社会第三方组织对相关企业开展评价，将滥用技术和人脸数据的企业纳入信用黑名单，并通过国家信用信息公示系统向全社会予以公示。

4.5 强化公众对人脸识别领域个人隐私的保护意识，为公众提供援助维权途径

在人脸识别领域，加大对个人隐私保护及相关法律规范的宣传，鼓励企业在人脸识别应用中，面向用户添加对个人隐私安全的风险提示。同时，针对不同年龄段人群，制定不同形式的宣传科普音视频，通过传统媒体以及各种自媒体平台进行传播与教育，提高公众对各类涉及人脸识别技术的应用或小程序的警惕性。打造个人隐私保护公共服务体系，建立个人隐私保护维权援助机制，在人脸识别领域搭建高效、便捷、低成本的投诉维权渠道，降低个人隐私保护维权难度，切实维护用户利益，营造个人隐私保护维权社会共治理念。

5 结束语

虽然人脸识别技术存在个人隐私泄露、数据过度挖掘等诸多问题，欧美通过立法、处罚等方式，逐步对人脸识别在部分领域应用进行了限制，但是该技术带来的好处也是显而易见的，不能因为技术存在漏洞或被滥用，就限制其应用。目前，人脸识别技术发展的趋势已经形成，该如何规范、应用好该技术才是关键。本文通过对欧美做法的分析，提出了相关对策建议，为国内技术或行业主管部门规范人脸识别技术提供了参考。