中國民商法律網
本文摘編自趙精武：《<民法典>視野下人臉識別信息的權益歸屬與保護路徑》，載《北京航空航天大學學報(社會科學版)》2020年第5期。本文未經原文作者審核。
【作者簡介】趙精武，北京航空航天大學法學院助理教授，博士，工業和信息化部工業與信息化法治戰略與管理重點實驗室辦公室主任,北京科技創新中心研究員。
全文共3903字，閱讀時間約9分鐘。
刷臉支付等人臉識別技術在推進數字化社會進程的同時，也增加了數據泄露、隱私侵犯等諸多風險。人臉識別信息作為該技術的直接產物，其內在的人格權益屬性顯而易見，但《民法典》“民事權利”一節與“人格權編”中的相應規定在適用過程中仍存諸多疑問：自然人對人臉識別信息相關事項的“知情”范圍如何認定？信息控制者如何在公共場所獲得自然人對面部數據采集和處理的“同意”？“優化用戶產品體驗”“保障其他用戶安全”等理由能否構成信息處理者處理人臉識別信息的免責事由？對此，北京航空航天大學法學院趙精武教授在《<民法典>視野下人臉識別信息的權益歸屬與保護路徑》一文中，作出了解答和回應。
一、人臉識別技術的應用場景與風險定位
（一）人臉識別技術的應用場景
學界普遍認同“人臉識別技術”屬身份核驗的生物識別技術。有學者將該技術應用模式總結為“1對N”的人臉識別，即指通過對比被識別對象的臉部信息與集中數據庫中存儲的多個模板信息來辨識身份。此類技術具有無接觸、交互性強、高效迅速、符合人類識別習慣等優勢，且場景化應用特征明顯。
在金融領域，人臉識別技術應用主要包括安全防控和業務優化兩類。而隨著市場精細化程度的深入，該技術應用領域呈現縱深化趨勢，如表1所示。
(二)人臉識別技術的風險定位：隱私、主體平等與技術獨裁
人臉識別技術的法律風險主要集中于“1對N”模式。從國內外技術實踐來看，人臉識別技術所存在的社會風險主要表現為三類：（1）隱私侵犯風險，即潛在的網絡安全威脅直接影響到數據庫中所存的用戶個人私密信息。（2）主體平等風險，即因該技術常與各類社會公共服務系統鏈接，經由分析可能直接對特定人群標識“警惕”的標簽。（3）技術濫用風險，主要是與“公權力濫用”掛鉤。
中國現行立法對該技術的行政監管與私法規范尚存空白。該技術的法律風險存在于從人臉數據采集到人臉數據關聯比對的信息處理全生命周期。在數據收集階段，主要表現為信息處理者以何種方式采集才能滿足中國現有立法規范。現行法要求收集個人信息需經權利人同意并告知其處理個人信息的方式、范圍和目的，而當下公共場所的數據采集以及網絡平臺公開照片的數據采集似難以在實踐層面尋求每一個人的“同意”。且在“1對N”的模式下，中國現行法亦未承認在網絡公開照片等于默示同意商業化使用照片，信息處理者可能因此侵犯個人信息權益。在數據分析、存儲、更新等階段，信息處理者應當采取必要措施確保個人信息安全。一旦發生數據安全事件時，除非致損原因表現為現有技術水平無法應對、第三方網絡攻擊等形式、未履行《數據安全法(征求意見稿)》第27條規定的數據安全保護義務外，信息處理者極可能面臨以人格權益受損為由的集體索賠。在人臉識別信息維護、更新階段，信息處理者若未能及時更新存在內容偏差的人臉識別信息，且關聯的信息服務對特定自然人產生重大影響時，構成對《民法典》第1037條規定的“更正權益”的損害。
二、技術治理的法理基礎：人臉識別信息的法律屬性
（一）人臉識別信息保護的必要性與特殊性：從“杭州人臉識別第一案”談起
一方面，人臉識別信息保護具有必要性。依據《網絡安全法》第76條可推知，人臉信息的基本性質為“可識別的個人信息”。該技術之所以亟需立法回應，在于此類信息一旦與身份信息關聯，特定自然人就難以采取有效措施徹底消除“識別可能性”。在“杭州人臉識別第一案”中，原告郭兵還認為，人臉識別所收集到的面部特征等個人生物識別信息屬于個人敏感信息，一旦泄露、非法提供或濫用，將極易危害消費者人身和財產安全。人臉信息的不可更改性與無接觸性使得其被濫用的安全隱患呈高危性，因而具有保護之必要。
另一方面，人臉信息保護又具有特殊性。在前述案例中，若從侵權糾紛的角度來看，動物園“脅迫式”收集人臉識別信息顯然構成對“不得非法使用、加工、傳輸個人信息”的違反。可問題在于動物園主張人臉識別之目的是為了提升消費者入園效率且確實有效，能否構成免責事由？此外，動物園的刷臉進入行為實難構成侵權法中的“過錯行為”，因為在刷臉支付的同時，動物園還允許年卡持有人每次入園時進行身份核驗。從合同糾紛的角度來看，郭兵與動物園之間構成年卡服務合同(無名合同)，動物園講“以個人身份證、指紋為入園條件”變更為“刷臉進入”，實屬單方變更合同之行為，理應對購買年卡服務的郭兵不產生法律效力，其也有權要求動物園按照最初約定的方式入園。可見，不同視角下，人臉信息保護的策略和結果均不同。
(二)人臉識別信息的法律屬性
《民法典》《網絡安全法》《數據安全法(征求意見稿)》等法律對人臉識別信息的性質均有所涉獵。在立法層面，意欲梳理人臉識別信息的法律屬性與規制方式，仍應以人臉識別信息的獨特性為規范起點，溯源該類信息的人格利益與財產利益在商業實踐中的表現形式。
從刷臉支付、刷臉進出等具體的商業實踐來看，人臉識別信息并不能簡單地等同于人臉生物特征的數據測量。二者最大的差別在于“識別”之表述。人臉識別信息更強調通過人臉生物識別特征的不可更改性與對應自然人身份信息的關聯比對，通過設備端的圖像采集與數字化處理，驗證自然人的特定身份。這一技術則將傳統個人信息保護理念中的“可識別”轉換為精準識別和持續識別。精準識別，是指人臉識別信息能夠精準地定位特定自然人；持續識別，則是指面部特征的不可更改性決定了人臉識別信息的識別能力不會因為行為人的日常行為模式劇變而失去。如圖1所示。
這種精準且持續的識別能力在立法層面表現為人格利益在信息空間的異化與延伸。《民法典》人格權編具體條款中“等權利”“人格利益”之表述在實質上確定了中國民法體系中人格權利保護的開放性。在此背景下，人臉識別信息的可識別利益顯而易見是《民法典》所確認的信息空間人格權益。因為該類信息能夠直接影響到自然人對識別自身身份可能性的控制能力，無法實現信息空間中的“個人自由”。但自然人對人臉識別信息享有人格權益并不是承認存在所謂的“人臉識別信息權”。同時，也并不排除信息處理者對人臉識別信息享有財產權益。因為人臉識別信息的形成需信息處理者支付各種信息處理環節的成本，這種“勞動支出”決定了要在兩個層面強化對人臉識別信息的事前保護，避免因信息復制成本低廉和指數式傳播等基本特性導致的損害結果不可彌補：一是明確規范信息處理者在各個處理環節的具體義務，明確人臉數據與特定自然人身份信息比對的必要性與合比例性；二是要細化人臉識別技術應用的合法標準和例外情形，包括用戶表示同意和撤回同意等實際方式。
三、人臉識別技術應用的修繕式解釋與填補式標準設計
(一)《民法典》第1035條的修繕式解釋
人臉識別信息作為“個人信息”的子概念，也要遵循《民法典》第1035條確立的“知情同意”一般規則，但其在適用中仍需進一步完善。從個人信息保護實踐來看，通過“同意”來實現充分的信息自決或意思自治僅是理想法益狀態，該項制度在商業實踐中已經演變為信賴的重新建構。一方面，自然人通過知情同意原則建構起對信息處理活動的初步信賴；另一方面，信息處理者在遵守前述“信賴”內容的基礎上完成信息的自由流動。因此，以“知情同意”規制該技術應用是通過信息處理活動的規范化確保個人信息的合理使用。立法所需明確的是如何判斷信息處理者是否采取必要措施規避個人信息處理活動的安全風險和法律風險。此外，法律法規所要規定的“同意”應當為一般理性人的概括式同意。
(二)人臉識別技術安全標準的“填補式”風險治理
對于人臉識別技術相關的破解技術與安全問題，立法者所要明確的是如何解釋圍繞人臉識別信息的權利義務關系，避免行政監管可能造成的技術創新枷鎖。這意味著要以技術標準的方式規范人臉識別信息的處理活動，且該標準是否被遵守也將成為審判中判斷責任歸屬之依據。技術標準與法律責任的關聯意味著技術標準自身需以個人信息保護的“安全、合法、正當且必要”基本原則為核心理念。
在人臉識別技術應用中，安全風險的產生根源還在于技術本身的不確定性。因此，在技術標準中，或可借鑒歐盟《通用數據保護條例》的“經由設計的數據保護”思路，強化人臉識別技術對個人信息安全的影響評估，包括人臉大數據建構的合規性評估、人臉識別技術更新的安全評估、人臉識別信息及其數據庫的更新維護評估等。這種評估可嵌入至《數據安全法(征求意見稿)》第四章“數據安全保護義務”中。
四、結論
人臉識別技術作為諸多商業活動的主流技術架構，天然地具備民商法調整的必要性和優先性，如若將行政管制主義置于優先順位，只會促成行政監管對技術應用的制度束縛。自然人對人臉識別信息所享有的民事權益可從《民法典》第126條“其他民事權利和利益”尋求正當性基礎，這是對《民法典》第1034條的合理解讀和延伸。在“后民法典”時代，對于特殊個人信息保護，還有賴于法院擴大解釋相應的具體規則。同時，借助技術安全標準等可操作性規范性文件補足“是否履行個人信息保護義務”的判斷標準，達成“經設計的信息保護”之法律效果。