“自愿式强制”刷脸、戴头盔看房，人脸识别信息采集边界在哪？

　　文／蒋澆

　　编辑／张硕

　　你在某App上搜索一款商品，打开其余App时发现全是类似推荐内容，商家们可能比你还了解你；不接受人脸识别，将无法进入商场、小区、公园，这种看似自愿的强制性行为，正在成为常态。

　　这周末，两件信息安全事件牵动着公众的敏感神经。其一是，法学教授起诉杭州野生动物世界案宣判获胜诉，这也是“国内人脸识别第一案”；其二是，为保护个人信息，男子戴头盔进售楼处看房。

　　这份敏感并不多余。有专家指出，面部信息、指纹、虹膜在内的民众生物信息，不像数字密码那样可以更改，数据一旦泄露危害极大。

图片来源：视觉中国

　　法学教授起诉野生动物园

　　11月20日，法学教授郭兵诉杭州野生动物世界有限公司一案宣判。杭州市富阳人民法院一审判决，野生动物世界删除郭兵办理年卡时提交的面部特征信息，赔偿郭兵合同利益损失及交通费共计1038元。

　　该案于去年11月1日被法院受理，由于涉及人脸识别信息采集、使用等问题，受到舆论广泛关注，被称为中国“人脸识别第一案”。

　　去年4月，郭兵支付1360元购买了杭州野生动物世界双人年卡，当时确定指纹识别入园方式。郭兵与其妻子留存了姓名、身份证号码、电话号码等，并录入指纹、拍照。之后，野生动物世界两次向郭兵发送短信，通知年卡入园识别系统更换事宜，要求激活人脸识别系统，否则将无法正常入园。

　　郭兵认为面部特征信息属于个人敏感信息，一旦泄露或滥用将极易危害人身和财产安全，不同意接受人脸识别，要求园方退卡，但双方协商未果。2019 年 10 月 28 日，郭兵向杭州市富阳区人民法院提起诉讼。

　　法院审理判决认为，此案的争议焦点实为对经营者处理消费者个人信息，尤其是指纹和人脸等个人生物识别信息行为的评价和规范问题。野生动物世界单方面将指纹识别强制升级为刷脸入园的做法“超出必要，不具正当性”。

　　历时一年，此案终于落锤，郭兵胜诉。不过，由于其关于确认动物世界店堂告示、短信通知中相关内容无效等诉讼请求并未得到法院支持，郭兵表示还会考虑继续上诉。

　　一旦泄露就是终身泄露

　　事实上，人脸识别导致信息泄露的风险并非杞人忧天，现实生活中的案例随处可见。此前，央视报道称，在某网络交易平台上只需花2元钱就能买到上千张人脸照片，而5000多张人脸照片标价还不到10元。这些被明码标价的素材，全都是真人生活照等充满个人隐私的内容。

　　无独有偶。近日，一则“为保护个人信息，戴着头盔去看房”的视频在网上流传。导致看房者出此奇招的，正是某售楼处的人脸识别系统。据南都报道，同一套房屋，消费者从不同渠道购入，差价在几万元到几十万元不等，而售楼处正是通过人脸识别系统来对消费者进行区分对待。事实上，大多数消费者并不知晓购房处人脸识别的存在。

　　此类案例已成为社会共同的隐患。全国信息安全标准化技术委员会发布的《人脸识别应用公众调研报告（2020）》提到，有六成受访者认为人脸识别技术有滥用趋势，还有三成受访者表示，已经因为人脸信息泄露、滥用而遭受到隐私或财产损失。

　　裁判文书网公开信息显示，自2018年起，就有犯罪分子非法购买公民个人信息，并制作换脸视频，突破了支付宝的人脸识别认证；2019年，某二手平台卖家称，通过换脸技术，可花钱定制女星淫秽视频；2020年，有投机分子，将人脸技术应用到借贷之后，获取不义之财。

图片来源：视觉中国

　　“很多推动人脸识别落地的机构，可能并没有意识到随之而来的风险有多大。”清华大学法学院教授劳东燕曾表示，如果人脸数据被泄露、被滥用，不仅不会改善社会治安，反而可能使相关的违法犯罪活动激增。

　　另有学者指出，人脸数据是一辈子不能篡改的关键数据，一旦泄露就是终身泄露，会造成极大的安全隐患。

　　人脸识别信息采集有没有边界？

　　大量人脸识别信息泄露的背后，实则是因为人脸识别技术已应用于各类生活服务当中。舆论热议的背后值得思考的是，录入人脸之后数据存储是否足够安全？相关企业运用人脸识别技术，要不要告知用户？是否什么场景都要加一个“刷脸”？

　　专家认为，人脸识别技术应用的底线是，除了特定部门的执法活动之外，任何机构、企业和个人都无权通过人脸识别调查和追踪个人的私人生活。像小区、公园等一般场所，刷门禁卡、二维码等就能起到安全防护的效果，并不需要获取公众具有唯一性的指纹、人脸等个人生物信息。还有一些生活服务平台，为绑定用户、精准营销，就让人们“刷脸”，不符合法定的收集个人信息的必要原则。

　　那对于上述售楼处无感抓拍看房者的类似行为，企业需要告知用户吗？根据《消费者权益保护法》第29条，“经营者收集、使用消费者个人信息，应当遵循合法、正当、必要的原则，明示收集、使用信息的目的、方式和范围，并经消费者同意”。

　　“法律保护的整体框架急需做出调整，不应以同意机制为基础。采用以同意机制为主的模式来保护个人信息，就等于是将数据的相应风险主要放在作为数据主体的个人身上。”劳东燕认为，当前的主要问题在于，相应的风险是由实施收集、使用行为的数据控制者与处理者所制造，而因收集、使用个人数据的收益也主要由后者所享有。

　　目前，国内还没有专门的人脸识别应用立法来有针对性的管辖。绝大部分的人群无法无力应对数据入侵，想要获得信息安全感，不仅需要实操性更强的法律依据，也需要企业保护和尊重公众隐私。