■ 记者 张帆 整理
　　编者按
　　小区门禁、账号登录、超市付款……只需轻轻一扫人脸，方便又快捷。如今，人脸识别在日常生活中的应用场景越来越多。
　　然而便捷的背后，滥用人脸识别带来的风险也不容忽视。滥用人脸识别将带来哪些隐患和危害？使用人脸识别的法律边界在哪？8月8日，为规范人脸识别技术应用，国家互联网信息办公室起草、发布《人脸识别技术应用安全管理规定（试行）（征求意见稿）》（以下简称《征求意见稿》），向社会公开征求意见。意见反馈截止时间为2023年9月7日。
　　相关专家学者表示，《征求意见稿》在遵循上位法治理路径的同时，进一步细化上位法规定，具有较强的可操作性，为人脸识别技术应用的精细化治理提供明确指引。本期就《征求意见稿》主要亮点等内容进行梳理分析，以飨读者。
　　【案例】“刷脸”后个人信息泄露
　　随着人脸识别技术在社会生活中的广泛运用，与人脸识别相关的纠纷也日益增多，人脸识别的安全风险不容忽视。近日，广州的杨女士在某健身房办理会员卡后发现，该店要求会员必须使用人脸识别才可以进入。杨女士要求健身房提供除人脸识别以外的其他认证方式，并向当地消费者委员会进行投诉。据悉，随着“无感式”人脸识别技术的不断成熟，一些商家在未经同意的情况下擅自采集消费者人脸信息用于营销分析，带来了个人信息泄露的新风险。
　　除隐私权、名誉权被侵害外，因人脸信息等身份信息泄露导致“被贷款”“被诈骗”等问题也时有发生。近日，内蒙古自治区包头市公安局电信网络犯罪侦查局发布一起使用智能AI换脸技术进行电信诈骗的案件，警银联动成功紧急止付涉嫌电信诈骗资金330多万元。据了解，诈骗者通过智能AI换脸技术，佯装成受骗者好友赢得受骗者信任，企图骗取巨额财产。
　　业内人士认为，人脸信息泄漏的隐患主要在存储环节。目前人脸数据一般存储于人脸识别应用的运营方或技术提供方的数据库中。无论是在本地服务器还是在云端，一些企业缺乏有效的安防措施，一旦服务器遭到入侵，人脸数据就面临着泄露风险。
　  【亮点一】提出人脸识别技术使用备案制度
　　《征求意见稿》第十六条规定，在公共场所使用人脸识别技术，或者存储超过1万人人脸信息的人脸识别技术使用者，应当在30个工作日内向所属地市级以上网信部门备案。
　　“备案制度是较审批制度灵活且较评估制度严格的管理机制。”中国政法大学数据法治研究院教授、中国法学会网络与信息法学研究会副会长王立梅认为，在人脸识别技术应用领域作出备案制度设计，是继APP备案、个人信息出境标准合同备案、算法备案之后的又一备案制度，它逐渐成为我国在个人信息保护、数据安全等领域常态化的监管手段之一。
　　“在大型文体活动的入场核验等环节，‘刷脸’规模动辄以万人计，且演出活动等一旦结合巡回、连场等形式，涉及人脸信息体量更庞大。”王立梅表示，这是对具有规模性、公共性的人脸识别应用作出的特别要求。
　　“备案制度能有效降低人脸采集信息可能被滥用的风险。”上海政法学院教授张继红表示，《征求意见稿》规定的备案制度扩大义务主体范围，要求备案义务主体是“人脸识别使用者”，而不是单纯的“技术提供方”，将之前常忽略的线下主体如宾馆、商场、办公楼宇、电影院、博物馆等，都纳入备案范围。从使用企业角度看，人脸技术的使用门槛和合规要求大幅度提升，大部分企业可能会降低人脸识别技术采集个人信息的使用频率。
　　【亮点二】对不同场景设定差异化合规要求
　　除“精细化”规定外，“场景化”也是《征求意见稿》的一大亮点。比如第六条规定，旅馆客房、公共浴室、更衣室、卫生间及其他可能侵害他人隐私的场所不得安装图像采集、个人身份识别设备；第九条规定，宾馆、银行、车站、机场、体育场馆、展览馆、博物馆、美术馆、图书馆等经营场所，除法律、行政法规规定应当使用人脸识别技术验证个人身份的，不得以办理业务、提升服务质量等为由强制、误导、欺诈、胁迫个人接受人脸识别技术验证个人身份。
　　王立梅表示，实践中一些场所常以“管理要求”“提升服务质量”等为由，要求用户在验证个人身份时接受人脸识别技术验证。《征求意见稿》对以上述理由强制、误导、欺诈、胁迫个人“刷脸”的行为作了原则性禁止规定。
　　张继红表示，《征求意见稿》第九条对“经营场所”的列举，与2021年8月1日起实施的《最高人民法院关于审理使用人脸识别技术处理个人信息相关民事案件适用法律若干问题的规定》中对应条款相比，所列的范围更广，但有所差异，后者仅列举了“宾馆、商场、银行、车站、机场、体育场馆、娱乐场所”。
　　此外，《征求意见稿》第七条规定，在公共场所安装图像采集、个人身份识别设备，应当为维护公共安全所必需，遵守国家有关规定，设置显著提示标识；第十四条对物业只以“刷脸”作为出入门禁的情形也作了禁止性规定。张继红认为，这都是针对人脸识别技术的不同应用场景提出的差异化合规要求。
　　王立梅表示，这些规定紧密结合场景，呈现出鲜明的针对性。
　  【亮点三】针对“最小必要”原则的亮点设计
　　《征求意见稿》第四条第一款规定，只有在具有特定的目的和充分的必要性，并采取严格保护措施的情形下，方可使用人脸识别技术处理人脸信息。
　　王立梅表示，该规定采取以“特定目的+充分必要性+严格保护措施”方式，对采用“刷脸”作为身份识别机制的方案进行了前提性限制，这对实践中存在的强制或诱导用户优先或必须使用人脸识别完成身份验证等现象进行了有效规制。
　　《征求意见稿》第四条还规定“存在其他非生物特征识别技术方案的，应当优先选择非生物特征识别技术方案”“鼓励优先使用国家人口基础信息库、国家网络身份认证公共服务等权威渠道”。
　　在王立梅看来，这是颇具亮点的设计，分别意味着默认“刷脸后置”和“非权威渠道后置”。
　　张继红表示，除第四条规定外，《征求意见稿》第八条、第十条、第十八条的相关规定，都贯彻落实了个人信息保护法规定的“最小必要”原则，并对“最小必要”原则进行细化。比如，第八条要求“应当根据实际需求合理确定图像信息采集区域”；第十条要求对使用人脸识别技术远距离、无感式辨识的，“应当将相关服务限定在最小必要的时间、地点或者人群范围内”；第十八条规定，“应当尽量避免采集与提供服务无关的人脸信息”“应当及时删除或者进行匿名化处理”人脸信息。
　　【亮点四】细化落实上位法规定
　　当前，我国对人脸识别的规制散见于民法典、个人信息保护法等法律中。受访专家学者表示，《征求意见稿》延续了我国民法典、个人信息保护法等上位法中有关人脸识别的法律规定。如，《中华人民共和国个人信息保护法》第六十二条规定，国家网信部门统筹协调有关部门针对小型个人信息处理者、处理敏感个人信息以及人脸识别、人工智能等新技术、新应用，制定专门的个人信息保护规则、标准。此外，围绕人脸识别重点安全问题，国家市场监管总局、国家标准化管理委员会发布的国家标准《信息安全技术人脸识别数据安全要求》（以下简称《安全要求》）于今年5月1日正式实施。
　　王立梅表示，相较于《安全要求》对人脸信息处理规则的详细规定，《征求意见稿》更宏观，适用范围更广泛。
　　“系统来看，《征求意见稿》的条款总体上与上位法及《安全要求》等形成较为清楚的层级划分，设计较为科学，属于我国推进人脸识别技术应用治理规划的关键动作之一。”王立梅说。
　　受访专家学者表示，《征求意见稿》在延续上位法规定基础之上，在多方面作出了更精细的规定。比如，《个人信息保护法》第五十五条规定，处理敏感个人信息的个人信息处理者，应当事前进行个人信息保护影响评估，并对处理情况进行记录。《征求意见稿》第十五条则对事前个人信息保护影响评估作了具体明确的要求。
　　张继红表示，《征求意见稿》将“事前进行个人信息保护影响评估”具体到了人脸识别技术应用场景，具有较强的可操作性。具体而言，《征求意见稿》第十五条在合法性上补充了国家标准的强制性要求以及伦理道德要求，在必要性上补充了“处理人脸信息是否具有特定的目的和充分的必要性”“是否限于实现目的所必需的准度、精度及距离要求”，在危害性上补充了“发生或者可能发生人脸信息泄露、篡改、丢失、毁损或者被非法获取、非法利用的风险以及可能造成的危害”。
　　王立梅表示，《征求意见稿》结合人脸识别场景进行更具有针对性的细化规定，既为人脸识别技术使用者提供了更具有操作性的指引，也为监管部门实施监管提供了更加明确的抓手。