給人臉識別運(yùn)用加上“安全鎖”

　　小區(qū)門禁、超市付款、賬號登錄……如今，人臉識別在日常生活中的應(yīng)用場景越來越多，輕輕一掃人臉，方便又快捷。然而，濫用人臉識別帶來的風(fēng)險也不容忽視。比如，有的商家暗中對人臉信息進(jìn)行統(tǒng)計分析，用于商業(yè)營銷；有的不法分子將人臉信息用于電信詐騙等。

　　為規(guī)范人臉識別技術(shù)應(yīng)用，國家網(wǎng)信辦近日公布《人臉識別技術(shù)應(yīng)用安全管理規(guī)定（試行）（征求意見稿）》。專家認(rèn)為，此舉有利于更好保護(hù)個人信息權(quán)益，維護(hù)社會秩序和公共安全。

　　嚴(yán)格限定使用條件

　　只要提供個人身份證照片，無需經(jīng)過當(dāng)事人同意，就能讓其成為一家公司的法定代表人或股東。這事聽上去不可思議，但在現(xiàn)實(shí)生活中確實(shí)發(fā)生了。

　　今年3月底，家住遼寧大連的張女士到當(dāng)?shù)卣?wù)服務(wù)中心辦理一項業(yè)務(wù)時，被告知自己名下有一家“公司”，而這家“公司”遠(yuǎn)在湖南株洲。張女士此前從未去過株洲，也沒有申請過開辦公司，名下的這家公司是從哪來的？一頭霧水的張女士向株洲市蘆淞區(qū)市場監(jiān)督管理局反饋了情況，得到答復(fù)稱，她名下注冊的“公司”是通過網(wǎng)上辦理的，而且她本人做了“四級實(shí)名”驗證。

　　所謂“四級實(shí)名”，是指企業(yè)登記實(shí)名制度中，確?！叭?、證”一致性的技術(shù)手段，包括身份證信息核驗和人臉識別驗證，以此確保申請人的身份信息真實(shí)和本人意愿真實(shí)。最終經(jīng)過溝通，張女士名下的“公司”被蘆淞區(qū)市場監(jiān)督管理局撤銷。

　　像張女士這樣的情況并不少見。在網(wǎng)絡(luò)中，一些不法中介非法獲取公民身份信息和人臉照片后，再利用人工智能換臉技術(shù)，破解相關(guān)政務(wù)APP的“人臉識別”認(rèn)證，在當(dāng)事人毫不知情的情況下，幾分鐘就能利用他人信息注冊公司。

　　為更好保護(hù)公民隱私，打擊非法使用人臉識別信息行為，《人臉識別技術(shù)應(yīng)用安全管理規(guī)定（試行）（征求意見稿）》（以下簡稱征求意見稿）公布，涵蓋人臉識別技術(shù)的使用條件、使用禁則、備案要求、數(shù)據(jù)保護(hù)、設(shè)備管理等內(nèi)容。

　　比如針對使用條件，征求意見稿規(guī)定，只有在具有特定的目的和充分的必要性，并采取嚴(yán)格保護(hù)措施的情形下，方可使用人臉識別技術(shù)處理人臉信息。使用人臉識別技術(shù)處理人臉信息應(yīng)當(dāng)取得個人的單獨(dú)同意或者依法取得書面同意。法律、行政法規(guī)規(guī)定不需取得個人同意的除外。這些規(guī)定相當(dāng)于給人臉識別運(yùn)用增加了“安全鎖”。

　　“相較于數(shù)字密碼等信息，人臉信息等生物特征具有唯一性、難以改變的特性。濫用人臉識別，將讓人更‘透明化’。無論是個人經(jīng)濟(jì)價值，還是個人隱私，都將被精確計算?！北本┐髮W(xué)法學(xué)院教授薛軍認(rèn)為，人臉數(shù)據(jù)的準(zhǔn)確抓取，疊加強(qiáng)大的算法分析，個人的經(jīng)濟(jì)價值被精準(zhǔn)定義，或用于實(shí)現(xiàn)精準(zhǔn)營銷、“大數(shù)據(jù)殺熟”等利潤攫取。此外，如果人臉抓取無處不在，個人的出行軌跡、人際關(guān)系、財產(chǎn)利益等個人信息都將暴露。

　　焦點(diǎn)場景合規(guī)操作

　　為防止外來人員穿越小區(qū)，上海市某小區(qū)居民一直希望加強(qiáng)對外來人員的進(jìn)出管理。小區(qū)業(yè)主委員會聯(lián)合物業(yè)決定對門禁系統(tǒng)進(jìn)行升級，安裝人臉識別系統(tǒng)。由于需要拍攝并上傳業(yè)主的臉部照片，輸入業(yè)主姓名、家庭住址、手機(jī)號碼等，一些擔(dān)心個人信息泄露的業(yè)主持反對意見。

　　經(jīng)過向居民征求意見，該小區(qū)業(yè)委會最終選定了3種門禁方式供居民使用。一是使用IC卡，卡片進(jìn)行了加密，具有不可復(fù)制性。二是通過APP二維碼進(jìn)行遠(yuǎn)程開門，方便業(yè)主的朋友或者親戚進(jìn)入小區(qū)。三是支持人臉識別，方便居民通過“刷臉”進(jìn)入小區(qū)。

　　該物業(yè)公司技術(shù)負(fù)責(zé)人說，物業(yè)在選擇供應(yīng)商時將進(jìn)行把關(guān)，并簽署合作協(xié)議，約定相應(yīng)責(zé)任和義務(wù)。如果出現(xiàn)業(yè)主信息被泄露問題，物業(yè)將承擔(dān)相應(yīng)責(zé)任，同時會向合作方追責(zé)。物業(yè)自身并不存儲業(yè)主人臉信息，業(yè)主所錄入的信息會直接上傳到門禁系統(tǒng)供應(yīng)商的平臺。

　　征求意見稿指出，物業(yè)服務(wù)企業(yè)等建筑物管理人不得將使用人臉識別技術(shù)驗證個人身份作為出入物業(yè)管理區(qū)域的唯一方式，個人不同意通過人臉信息進(jìn)行身份驗證的，物業(yè)服務(wù)企業(yè)等建筑物管理人應(yīng)當(dāng)提供其他合理、便捷的身份驗證方式。中國政法大學(xué)數(shù)據(jù)法治研究院教授張凌寒認(rèn)為，這有利于物業(yè)公司和供應(yīng)商共同承擔(dān)個人信息處理者的法律責(zé)任，明確知道相應(yīng)行為可能會帶來的風(fēng)險，設(shè)置好相關(guān)運(yùn)行機(jī)制。

　　近年來，有景區(qū)強(qiáng)制消費(fèi)者“刷臉”入園、知名衛(wèi)浴品牌被曝抓拍消費(fèi)者人臉信息、售樓處普遍安裝人臉識別設(shè)備等新聞引發(fā)熱議。征求意見稿提出，賓館、銀行、車站、機(jī)場、體育場館、展覽館、博物館、美術(shù)館、圖書館等經(jīng)營場所，除法律、行政法規(guī)規(guī)定應(yīng)當(dāng)使用人臉識別技術(shù)驗證個人身份的，不得以辦理業(yè)務(wù)、提升服務(wù)質(zhì)量等為由強(qiáng)制、誤導(dǎo)、欺詐、脅迫個人接受人臉識別技術(shù)驗證個人身份。中國互聯(lián)網(wǎng)協(xié)會研究中心副主任吳沈括說，相關(guān)規(guī)定及時回應(yīng)了公眾關(guān)切，也為焦點(diǎn)場景的合規(guī)操作提供了直接、明確的規(guī)則。

　　強(qiáng)化數(shù)據(jù)保護(hù)措施

　　今年夏天，“人、證、臉”三合一的強(qiáng)實(shí)名制已經(jīng)成為不少演唱會進(jìn)場的標(biāo)配，甚至預(yù)約科技館門票也得先進(jìn)行人臉識別認(rèn)證。所謂“人、證、臉”三合一的強(qiáng)實(shí)名制，指消費(fèi)者在買票的時候，就要綁定個人身份信息，入場時掃描對應(yīng)人員的身份證和臉部信息，以打擊“黃?！钡蛊毙袨?。有觀眾擔(dān)心，完成人臉識別后，這些收集到的人臉照片信息是否會被及時刪除和銷毀，如何確保個人信息不被再進(jìn)行交易和流轉(zhuǎn)，甚至泄露給第三方進(jìn)行人工智能模型的訓(xùn)練。

　　在征求意見稿中，“安全”是關(guān)鍵詞。例如明確除法定條件或者取得個人單獨(dú)同意外，人臉識別技術(shù)使用者不得保存人臉原始圖像、圖片、視頻。同時，組織機(jī)構(gòu)為實(shí)施內(nèi)部管理安裝圖像采集、個人身份識別設(shè)備的，應(yīng)當(dāng)根據(jù)實(shí)際需求合理確定圖像信息采集區(qū)域，采取嚴(yán)格保護(hù)措施。

　　專家建議，進(jìn)一步細(xì)化制度機(jī)制設(shè)計，如針對重點(diǎn)場景中的人臉識別算法運(yùn)用，引入或明確專門的合規(guī)要求等；相關(guān)行業(yè)盡快在分類分級場景明確上達(dá)成業(yè)內(nèi)共識，重視數(shù)據(jù)安全儲存，嘗試采取云端分離、數(shù)字加密、提取局部特征等方式來存儲數(shù)據(jù)，最大限度保證原始數(shù)據(jù)的安全性。