記者 | 周伊雪

8月中旬的一天，住在北京昌平區(qū)回龍觀某小區(qū)的王軼在業(yè)主群中收到了一則來自居委會的通知。

這則通知中寫到，隨著新冠疫情工作轉(zhuǎn)入常態(tài)化，為了加強(qiáng)居家隔離人員管理，有效降低外來輸入型病例傳播風(fēng)險，小區(qū)計劃安裝智慧社區(qū)門禁系統(tǒng)，需要居民通過手機(jī)APP或到居委會現(xiàn)場上傳包括手機(jī)號碼、身份證以及人臉照片等信息，辦理新的出入權(quán)限。

王軼所在的業(yè)主群共有近500人，群內(nèi)成員包括小區(qū)的業(yè)主和租戶。這個群是在今年年初國內(nèi)爆發(fā)新冠疫情后才由居委會建立的，平時的主要功能是傳達(dá)疫情相關(guān)信息。

看到這則通知后，在互聯(lián)網(wǎng)公司有過數(shù)據(jù)分析工作經(jīng)歷的王軼感到有些不安。他發(fā)現(xiàn)雖然通知中寫到安裝智慧社區(qū)門禁后可以使用人臉識別（也就是“刷臉”）或者手機(jī)APP兩種方式來開門，但在辦理權(quán)限時都必須要錄入人臉照片。

他還注意到負(fù)責(zé)安裝人臉識別門禁系統(tǒng)的第三方公司曾經(jīng)曝出過負(fù)面信息，自然開始擔(dān)憂個人信息尤其是人臉照片被收集后會如何存儲和使用，以及是否會存在信息安全問題。

王軼和其他住戶在業(yè)主群中提出了這些疑問，小區(qū)居委會的回應(yīng)是，新的智慧門禁設(shè)備已經(jīng)在公安備案，并且會與公安聯(lián)網(wǎng)，試圖以此打消居民的顧慮。但卻一直未能出示相關(guān)文件證明。

除了個人信息安全方面的擔(dān)憂外，業(yè)主們對于在小區(qū)安裝人臉識別設(shè)備的必要性和實際中的可操作性也提出質(zhì)疑。有住戶問到，小區(qū)已經(jīng)有一套刷卡的門禁系統(tǒng)，為什么還有搞人臉識別？并且，這套系統(tǒng)針對居住在該小區(qū)的居民，只采集小區(qū)居民的信息，那么快遞員、外賣員進(jìn)入小區(qū)是否需要刷臉呢？

與王軼的經(jīng)歷類似，12月中旬，在北京東二環(huán)嘉誠有樹產(chǎn)業(yè)園上班的劉歡也被告知由于新冠疫情防控轉(zhuǎn)入常態(tài)化，園區(qū)要安裝新的人臉識別門禁系統(tǒng)。

在一場由設(shè)備安裝方主辦的說明會上，劉歡及其他人被告知，新系統(tǒng)需要采集在該園區(qū)上班的人的手機(jī)、身份證和人臉信息，系統(tǒng)投入使用后，他們可以且僅可以通過刷臉方式進(jìn)入辦公區(qū)。

當(dāng)劉歡及其他在場的參會者提出，如何對收集的個人信息做保密管理，以及公司是否具備相關(guān)資質(zhì)時。“設(shè)備方的人要么答非所問，要么幾個人相互確認(rèn)，說應(yīng)該取得相應(yīng)資質(zhì)了會發(fā)過來。但直到現(xiàn)在，我們還沒看到資質(zhì)文件。”劉歡對界面新聞?wù)f。 

“誰掌握了你的臉，誰就掌握了你的身份標(biāo)識”

王軼和劉歡的擔(dān)憂并非少數(shù)個例。近年來，以深度學(xué)習(xí)為核心的人工智能技術(shù)飛速發(fā)展，其中國內(nèi)以視覺識別技術(shù)最為成熟，應(yīng)用落地最為廣泛。出于商業(yè)前景考慮，無論是互聯(lián)網(wǎng)大公司、傳統(tǒng)安防公司以及新興的人工智能技術(shù)公司都在這一領(lǐng)域大舉投入。

人臉識別（視覺識別技術(shù)的一種應(yīng)用）在國內(nèi)的應(yīng)用大致經(jīng)歷從公共安全領(lǐng)域擴(kuò)展到商業(yè)領(lǐng)域的過程。最初，機(jī)場、高鐵站以及酒店等場景使用這項技術(shù)對個人身份進(jìn)行驗證，隨后商業(yè)銀行也開始采用人臉識別實現(xiàn)遠(yuǎn)程開戶。再之后，刷臉支付、刷臉門禁也相繼出現(xiàn)，人臉識別逐漸從少數(shù)有限場景滲透到人們的日常生活之中。

人臉識別在國內(nèi)快速且廣泛的應(yīng)用，背后既有政府部門對于維護(hù)公共安全的訴求，也有商業(yè)機(jī)構(gòu)應(yīng)用新技術(shù)提效降本的需求，更有人工智能技術(shù)公司尋求業(yè)務(wù)增長的沖動。而今年以來新冠肺炎疫情的流行更是加速了這一過程。

如今，你大概已經(jīng)對商場、辦公樓等場所入口處的測溫設(shè)備習(xí)以為常。通常這類設(shè)備融合了人臉檢測與紅外測溫技術(shù)，能夠?qū)崿F(xiàn)“非接觸式測溫”，在疫情防控中被廣泛鋪開。 

[[359429]]

很多人開始意識到這項技術(shù)正在被不加節(jié)制地應(yīng)用。今年10月份，一項兩萬人參與的調(diào)查顯示，有超過六成以上的受訪者認(rèn)為人臉識別技術(shù)存在濫用趨勢。其中，在交通安檢、實名登記、開戶銷戶、支付轉(zhuǎn)賬和門禁考勤等場景中存在突出的“強(qiáng)制使用”問題。

與此同時，一些受訪者最為關(guān)注的問題——比如人臉原始信息是否會被收集方保留以及會被如何處理，數(shù)據(jù)收集方采取何種技術(shù)和管理措施來保證收集的人臉信息安全，以及人臉信息目前被應(yīng)用在什么場景，是否變更了使用目的——在絕大多數(shù)時候都是不透明的，目前尚無相關(guān)的法律法規(guī)進(jìn)行規(guī)范。

與其他個人信息不同，人臉信息屬于生物識別信息，具備唯一性。“它不像密碼，一旦泄露無法修復(fù)。未來一旦人臉成為進(jìn)入互聯(lián)網(wǎng)世界的入口，那么某種程度上誰掌握了你的臉，誰就掌握了你的身份標(biāo)識。”北京安理律師事務(wù)所高級合伙人王新銳對界面新聞?wù)f。

他認(rèn)為，現(xiàn)在很多場合過分強(qiáng)調(diào)這項技術(shù)的便利性，卻對人臉數(shù)據(jù)泄露可能產(chǎn)生的后果考慮不足。“有人問你要銀行卡密碼，你肯定特別警覺，對不對？但如果要人臉信息，好像很多人就覺得沒什么，但實際上這兩者很多情況下是沒區(qū)別的。”

今年2月份，浙江省衢州市中級人民法院公布的一份裁決書顯示，自2018年7月開始，浙江紹興一名叫做張富的大專畢業(yè)生通過非法渠道購買到2000萬條公民身份信息，其后使用軟件將照片制成3D頭像，在案發(fā)時，注冊成功至少547個通過人臉識別的實名支付寶賬戶。

值得一提的是，并非所有使用人臉識別技術(shù)的設(shè)備都會收集人臉原始照片。一些技術(shù)較為領(lǐng)先的公司會提取面部的特征值來替代原始照片，這些特征值是匿名性數(shù)據(jù)，經(jīng)過加密處理后即使被泄露也無法重新定位至某個具體的人。采用這種方式能夠在一定程度上實現(xiàn)對于個人信息的保護(hù)。

但現(xiàn)實情況是，當(dāng)大公司們將深度學(xué)習(xí)算法框架開源之后，人臉識別技術(shù)的門檻已經(jīng)大大降低。很多技術(shù)實力一般的公司通過開源平臺擁有了算法能力，但在數(shù)據(jù)的收集和存儲環(huán)節(jié)卻無法保證同樣的安全性。這些公司的做法往往是直接收集和存儲原始的面部信息。

一位從事旅游行業(yè)數(shù)字化的人士告訴界面新聞，新冠疫情發(fā)生后，行業(yè)內(nèi)提倡非接觸式入園，很多旅游景點都安裝了人臉識別設(shè)備，當(dāng)游客在景區(qū)入口錄入人臉信息后，可以實現(xiàn)在不同景點刷臉進(jìn)入。游客的人臉信息就存儲在本地服務(wù)器中，而這種服務(wù)器的安全性是極低的。

“已經(jīng)曝出的人臉數(shù)據(jù)泄露事件，有的是因為存儲照片的數(shù)據(jù)庫被攻擊，這是技術(shù)層面的原因。但其實在非技術(shù)層面也會有，比如有不法分子能夠接觸到數(shù)據(jù)庫，可能會將信息拷出去販賣獲利等等。”北京瑞萊智慧科技有限公司副總裁唐家渝說。瑞萊智慧是一家主打安全特色的人工智能技術(shù)公司。

唐家渝告訴界面新聞，現(xiàn)在的人臉識別算法由于先天原因存在漏洞，在與工信和公安等部門合作進(jìn)行的多個測試中，瑞萊智慧可以憑借一張照片就“攻破”手機(jī)、閘機(jī)和考勤機(jī)等門禁。“基于深度學(xué)習(xí)算法的模型是黑盒，先天存在脆弱性，攻擊者總能找到漏洞。”

除了對個人信息安全層面的擔(dān)憂外，人臉識別技術(shù)在某些場景的應(yīng)用也被質(zhì)疑有侵犯個人隱私之嫌。去年，中國藥科大學(xué)（江蘇南京）引入人臉識別系統(tǒng)，可以識別出學(xué)生是否翹課、玩手機(jī)、打瞌睡等行為，一時引發(fā)了對于人臉識別技術(shù)使用邊界的討論。

在上述調(diào)查中，受訪者最不能夠接受的人臉識別使用場景包括：“商城運(yùn)用人臉識別技術(shù)，收集顧客的行為和購買手段”、“高校運(yùn)用人臉識別技術(shù)收集學(xué)生的抬頭率、微表情、上課的姿態(tài)”等，相對而言，公眾對公共安全場景下人臉識別技術(shù)較為接受。 

應(yīng)明確安全與責(zé)任底線

有人正在對隨處泛濫的人臉識別做出抵抗，其中最受關(guān)注的是浙江理工大學(xué)特聘副教授郭兵起訴杭州野生動物園的“人臉識別第一案”。

去年4月份，郭兵在杭州野生動物園辦了一張年卡，憑年卡和指紋可一年內(nèi)不限次游園。但隨后，他收到動物園發(fā)來的一則短信，要求他注冊人臉信息，且被告知“未在規(guī)定日期前注冊人臉識別信息的用戶將無法正常入園。”

隨后，郭兵將動物園告上法庭，請求法院判定動物園刪除其在辦理年卡時提交的面部信息并且確認(rèn)動物園短信中告知的內(nèi)容無效。今年11月，杭州富陽法院對該案做出一審判決，責(zé)令動物園賠償郭兵由于變更合同造成的經(jīng)濟(jì)損失、刪除其個人面部信息，同時駁回了郭兵的其他訴訟請求。郭兵對此提出了上訴。

“我認(rèn)為杭州野生動物世界無論是將指紋識別還是人臉識別，通過格式條款的方式確定為唯一的入園方式，都是不公平不合理的，這是我最核心的訴訟請求，也是上訴中要求法院進(jìn)一步認(rèn)定的訴訟請求。”郭兵對界面新聞解釋上訴原因時說。

今年以來，地方立法層面開始關(guān)注或已經(jīng)對人臉識別的應(yīng)用場景作出一定限制。

不久前天津人大表決通過《天津市社會信用條例》，其中第十六條規(guī)定，市場信用信息提供單位不得采集自然人的生物識別信息。近期，杭州公開《杭州市物業(yè)管理條例（修訂草案）》，其中規(guī)定物業(yè)服務(wù)人不得強(qiáng)制業(yè)主通過指紋、人臉識別等生物信息方式使用共用設(shè)施設(shè)備。該草案目前已提請杭州市人大常委會審議。

“這些條例并不是專門規(guī)范人臉識別技術(shù)應(yīng)用的，但表明地方立法已經(jīng)意識到生物識別信息需要加以特別保護(hù)。”郭兵說。

信通院互聯(lián)網(wǎng)法律研究中心研究員楊婕告訴界面新聞，我國目前雖然沒有出臺專門針對人臉識別技術(shù)的法律規(guī)范，但是采用國際通行做法，將人臉數(shù)據(jù)劃入敏感個人信息進(jìn)行從嚴(yán)監(jiān)管。

正在審議中的《個人信息保護(hù)法（草案）》（以下簡稱《草案》）是我國首部針對個人信息保護(hù)的專門立法?！恫莅浮分幸?guī)定，要有特定的目的和充分的必要性，方可處理敏感個人信息；收集敏感個人信息要經(jīng)過個人單獨(dú)同意，向個人告知處理敏感個人信息的必要性以及對個人的影響。

王新銳認(rèn)為，《草案》中對敏感個人信息（包括人臉在內(nèi)的生物識別信息）規(guī)定很嚴(yán)，需要單獨(dú)同意且進(jìn)行事前評估，這意味著收集個人生物識別信息的門檻非常之高，可能大部分企業(yè)就會知難而退。

《草案》中與人臉識別技術(shù)相關(guān)的第27條規(guī)定，“在公共場所安裝圖像采集、個人身份識別設(shè)備，應(yīng)當(dāng)為維護(hù)公共安全所必須……所收集的個人圖像、個人身份特征信息只能用于維護(hù)公共安全的目的，不得公開或者向他人提供……”

“這條規(guī)定的是公共安全領(lǐng)域的圖像采集，并不是針對商業(yè)化運(yùn)行的人臉識別。”郭兵對界面新聞?wù)f。他建議將收集臉部特征信息的人臉識別相關(guān)技術(shù)納入行政許可范圍，“只有獲得相應(yīng)許可，才能從事或者提供相應(yīng)的技術(shù)，這對刷臉場景的濫用能有一定的遏制作用。”

楊婕認(rèn)為下一步，一方面，法律要明確人臉識別技術(shù)的安全與責(zé)任底線；另一方面也要解決人臉識別在不同場景應(yīng)用下的差異性問題。比如，各行業(yè)主管部門需要根據(jù)使用場景出臺應(yīng)用人臉識別技術(shù)的實施細(xì)則，包括明確不同場景下應(yīng)用人臉識別技術(shù)的必要性、安全水平要求等具體問題。

在業(yè)主們表達(dá)反對意見之后，嘉誠有樹產(chǎn)業(yè)園的運(yùn)營方在“刷臉”之外新增了手機(jī)掃碼入園的方案，這種方式只需要錄入基本信息，不需要錄入人臉信息。劉歡告訴界面新聞，現(xiàn)在他們還在爭取增加采集個人信息更少的刷IC卡入園的方案。

（應(yīng)受訪者要求，王軼、劉歡為化名）