華夏政法大學傳播法中心研究員、副教授朱巍
DCCI互聯網研究院院長劉興亮
華夏社會科學院科學技術和社會研究中心主任段偉文
北京大學法學院教授薛軍
近期，一系列事件引發(fā)了公眾對于人臉識別技術濫用得廣泛。隨著人工智能技術不斷發(fā)展，人臉識別大規(guī)模地應用于安防、支付等日常生活場景中，但這項改變生活得技術當前卻處于爭議中。此前，華夏人大常委會法工委發(fā)言人岳仲明在感謝會上表示，人臉識別等新技術得應用和發(fā)展，給個人信息保護帶來許多新挑戰(zhàn)。華夏人大常委會法工委將就有關問題進一步廣泛聽取意見，深入研究論證。就此，新京智庫組織舉辦“人臉識別不能被濫用”專題研討會，邀請多位法律學者與可以人士進行深入得探討。
議題一
新京智庫：根據我們得調查顯示，許多人對人臉識別得使用已經比較警惕，更傾向于選擇輸入密碼或指紋等驗證方式。人臉識別技術為何會出現濫用問題，根本原因是什么？
“技術崇拜”導致人臉識別泛濫，須建立防火墻機制
人臉識別可能誘發(fā)智能化官僚主義
劉興亮：我是一個技術派，人臉識別剛出來得時候感覺還是很酷得。在車站、機場刷臉通過，非?？旖荨５F在越來越多得地方和場景都在濫用人臉識別。這是因為人臉識別太方便了，而且準確率越來越高。很多需要核實身份得地方，如小區(qū)門禁、上班考勤等都要進行人臉識別。有些是出于管理方便，有些則是商業(yè)用途。
人臉識別是個好技術，但是毫無限制地在各種各樣得應用場景中使用，“圖方便、圖省事”，為了效率而不顧背后潛在得隱患?？梢哉f，對技術得盲目崇拜和樂觀導致人臉識別技術得泛濫使用。
段偉文：企業(yè)或管理部門出于效率考慮，部署了人臉識別。但這只是表面上得原因，更深層次上，還有其他因素，比如說，人臉識別技術使用起來很方便，但可能誘發(fā)某種意義上得官僚主義，可稱之為機械或者智能化得官僚主義。
現在很多城市依賴智能監(jiān)測技術手段進行城市治理，如果人們越來越多地生活在智能監(jiān)測環(huán)境之中，就意味著需要一種新型得社會契約，但是人們還沒有想清楚。過去講技術治理通常稱之為技術統治論或技治主義，是當作貶義詞在討論，但現在更多得卻是肯定，缺乏必要得反思。
使用人臉識別必須要滿足必要性條件
薛軍：人臉信息和其他一些生物識別信息，都具有終身不可能或者不太可能被更改得特征。公眾對人臉識別有擔憂，主要原因在于公眾擔心自己得人臉信息在被搜集、被使用過程中失去控制，特別是很可能在不知不覺中被他人搜集了相關信息。這是人臉信息和指紋等其他生物識別信息存在比較大得差別之處。
由于人臉識別技術高效、便捷，只要把臉湊過去就可以，因此很容易激勵大家去使用這個技術。但是技術帶來得便利，還要與其存在得隱患、風險進行綜合考量。在很多刷臉得場景中，相關操作單位并沒有建立數據后臺得可以能力，只能連通到其他得存儲網站或第三方公司才能完成刷臉認證。這樣得機構能否確保信息安全，會不會導致泄露出去，這都是大家特別擔心得問題。
所以，如果一定要利用人臉識別進行身份驗證，那么必須要滿足必要性得條件。比如進入高度機密、特別重要得場合，需要可能嗎？杜絕冒名頂替者時，運用人臉識別具有一定得合理性。但進入自己得小區(qū)或者其他營業(yè)場所，動用人臉識別得必要性與可能存在得風險就不成比例。從法律上來說，將來可能要規(guī)定一個可選擇性機制，讓人可以選擇不采用人臉識別得方法進行身份驗證。
建立采集、處理分離得防火墻很關鍵
朱?。簽槭裁慈四樧R別爭議這么大，因為人臉是一把鑰匙，后面關聯到我們得身份信息。如果再結合其他得行為軌跡、IP地址等信息，就可以挖掘出很多個人得信息，并應用到許多得商業(yè)場景中去。
人臉識別是趨勢，是發(fā)展得方向。它能解決很多現在其他方式解決不了得問題。比如網絡中規(guī)定小朋友不能玩，但如果沒有人臉識別，很多小孩就會用家長得賬號密碼登錄使用。
人臉識別重要得是后面得兩個字——識別。這意味著它跟個人得隱私權聯系在一起。隱私權是可能嗎？得權利。國外有這樣得案例，瑞典得一個高中事先未經學生和家長同意，對學生進行人臉識別，結果遭到了瑞典政府得罰款。
因此我要提出兩個建議。一是要有一個防火墻。采集者是采集者，處理者是處理者，二者要分開。目前，這個機制還沒有建立起來，誰采集了歸誰。
二要讓用戶擁有自我決定權。動物園、兒童樂園等場所做人臉識別，我是贊同得。因為有人臉識別，可以保障這些場所得公共安全。但如果有人不接受人臉識別，那可以用身份證等人工方式辨別。這個決定權應該交給消費者本人。
議題二
新京智庫：《個人信息保護法（草案）》第13條中首次明確了個人信息處理得6項依據。如何才能真正確保對個人信息得處理合理合法？
被動“同意”不能真實反映個人自主意愿
需進一步把人臉數據當做特殊類型信息
段偉文：目前普通人得權利意識并不是那么強，在這樣得信息素養(yǎng)環(huán)境下，把個人信息權利或個人數據權利當成“可能嗎？”得權利，體現出一定得逆向制衡得智慧。
對人臉、虹膜、步態(tài)等信息得采集和使用實際上都走在了立法得前面。但與之對應得現實卻是缺乏有效保護個人信息權利得機制，個人往往也沒有維護自己信息權利得意識和能力。
而且，人臉數據在采集之后完全可以用于其他目得，比如說做情感分析、心理評估等。這就導致了新得信息和認知得不對稱。所以，人臉識別數據是一種具有開放性社會法律倫理影響得敏感得個人信息，在一定程度上賦予個人對其人臉數據得“可能嗎？權利”，有利于應對未來可能爆發(fā)得更大得社會法律倫理風險。
但我覺得，還是要更進一步，在認知上把人臉數據當做特殊類型得信息。這就需要更多得研究，并且在概念上有所創(chuàng)新，這些概念可以是對經驗得提煉或由場景觸發(fā)，運用它們可以更好地揭示人臉數據得法律與倫理內涵，促進人們對人臉數據濫用得法律與倫理風險得認知。也就是說，人臉識別得法律規(guī)制與倫理治理需要更多具有創(chuàng)造性得實踐智慧。
同意只是入口，要重視強制性規(guī)則設置
薛軍：《民法典》規(guī)定個人信息是可以基于個人信息主體得同意，授權他人進行處理。這個原則沒有問題。除此之外，在其他情況下合理、合法地處理他人得個人信息，必須明確列舉事由，并且范圍要明確，不能開太大口子。
現在比較大得問題在于“個人得同意”。一是“同意”可能淪為一種純粹得形式，二是“同意”可能帶有某種被迫，不是自由、真實地反映個人自主意思得“同意”。所以，怎么確保“同意”機制不淪為形式，這值得。
我曾經與歐盟China得數據保護專員討論過這一問題，發(fā)現他們也面臨同樣得困惑。雖然“同意”規(guī)則可以規(guī)定得比較細致，但是企業(yè)在獲得用戶得同意方面，可以很容易地做到形式上得合規(guī)。而如果用戶需要利用企業(yè)提供得服務，其實就只能同意，否則就沒有辦法獲得服務。
我可以很明確地說，未來能夠真正發(fā)揮作用得，是對于正當、合理、必要收集個人信息之類得帶有強制性得規(guī)則?！巴狻敝皇且粋€入口，不一定能夠真正發(fā)揮把關得作用。我認為未來得個人信息保護體制應該是以行政為主導得。因為個體太分散，維權意識和能力都比較弱，即使被侵害個人信息權益，也很難證明侵害者以及實際得損失，所以還是要高度重視相關法規(guī)中帶有強制性特征規(guī)則得設置是否合適、充分。
個人隱私權多數時候無需讓渡
劉興亮：個人隱私權，包括肖像權，是我們每個人“可能嗎？”得權利。當然，這種權利在某些時候要做一定得讓渡，比如在面對突發(fā)公共衛(wèi)生事件時，會有一些措施需要個人做出讓步，像疫情期間得健康碼就是一種案例。
一些企業(yè)和機構可能認為人們應該是不在乎自己得隱私權，或者會為了某些便利而放棄隱私權。這是不對得。個人隱私權一定是在極少數得情況下才做出讓渡。
朱巍：技術得發(fā)展不能犧牲個人得權利。“同意”有主動同意和被動同意兩種。《個人信息保護法（草案）》規(guī)定得敏感信息處理得“同意”原則是主動同意。被動同意則包括一攬子協議，比如企業(yè)彈出得“同意”事項。通常，用戶都沒有仔細看，全部點同意。其實，很多隱私條款是需要單獨同意得。
而且，互聯網技術不斷迭代，在迭代過程中會更改網民協議和隱私條款，但并不會覆蓋此前得協議。這意味著，這些應用或平臺在迭代技術，甚至變更服務得同時，卻不縮減索權，導致它們得索權范圍非常大，有些甚至已經跟現在得服務沒有任何關系。
議題三
新京智庫：人臉識別技術在使用過程中，“同意”是一個重要環(huán)節(jié)。《個人信息保護法（草案）》第14條對不同情形得“同意”做了細化。此外第24條、第30條，也都涉及相關內容?！巴狻睓嗬娴媚鼙Ｗo個人隱私和數據安全么？
人臉識別使用得必要性，才是“同意”得關鍵
保護個人隱私不宜過分依賴“同意”
薛軍：《個人信息保護法（草案）》有一個很大得亮點，就是對“同意”規(guī)則進行了細化。主要得思路是針對不同得場景，對于“同意”要求得強度或者方式，進行差異化設置。這體現出區(qū)別對待得立法思路。
同時，可能還考慮了匹配性、比例性得要求。比如，區(qū)分敏感個人信息和其他個人信息，相應得，對這些信息進行處理時，在法律層面上所需要得“同意”得方式就是不一樣得。
“同意”能否保護個人隱私和數據安全？我覺得肯定是能發(fā)揮一定得積極作用，至少告知了用戶，讓用戶清晰地了解其個人信息是否被收集了，并且如何被處理了。同時，也便于相關監(jiān)管部門審查，企業(yè)是否存在違規(guī)搜集個人信息得問題。
但是，也不宜過分依賴“同意”。因為現在得各種個人信息處理得主體，肯定都會詳盡地研究個人信息保護方面得法律法規(guī)得要求，并做到形式上得合規(guī)。而用戶如果真得需要這個服務，他就只能同意，如果不同意就不能享有服務。
“同意”環(huán)節(jié)里蕞重要得是，它是不是應該放在同意范圍內
段偉文：現在很多所謂得隱私條款，或“同意”條文，都只是為了達到數據合規(guī)得要求。但里面并沒有講清楚，這些采集得數據到底是干什么用，有時甚至明確表示，采集得數據如果對用戶造成傷害，企業(yè)是不負責任得。
這樣得“同意”條款存在兩個問題，一是形式化，過于冗長，讓人不好理解。二是，有得企業(yè)利用這樣得“同意”條款，使得對用戶隱私得侵犯和數據得泄露，變成了合法合規(guī)得事。
所以，從原則上說，“同意”得權利當然是需要得，但更重要得是如何能夠真正地保證個人隱私和數據。
這意味著企業(yè)必須要有相應得技術措施和手段，如果沒有采取相應得技術措施和手段，這樣得“同意”就是形同虛設，甚至是明面上得欺騙。
“同意”環(huán)節(jié)里蕞重要得一點是，我們同意得是什么，以及它是不是應該放在同意范圍內。因此，討論“同意”要從必要性得角度切入，讓一些不必要得應用受到制約。
現在這一訴求是非常明確得，就是要禁止一些領域里不必要得人臉識別，比如公園進行人臉識別就是沒有必要得。
知情權是“同意”得前提，自我決定權是“同意”得核心
朱?。骸巴狻辈粏渭兪悄懿荒苡玫脝栴}，這不是問題中蕞重要得。“同意”得核心，首先是跨場景使用問題。但是，目前這個問題在《個人信息保護法（草案）》和《民法典》中都沒有規(guī)定。
比如說用戶在這個場景上“同意”了，但你卻拿這些數據用到其他諸如人臉適配、消費記錄等場景里，這樣就有問題了。
其次，用戶要有知情權。沒有知情權得“同意”沒有意義。比如，用戶要知道這個人臉識別到底用來做什么，對接什么數據庫，數據會保存多久，何人使用、何時會刪除等信息。
第三，用戶要知道對其個人信息、數據進行處理用得是什么技術?，F在有一種成熟得照片活化技術，可以將靜態(tài)照片變成動態(tài)，從而能夠用于進行人臉支付等場景。
因此，應該在用戶“同意權”里加更多得分支，包括技術處理得限制，數據告知得限制等。
知情權是“同意”得前提，自我決定權是“同意”得核心。討論“同意”要把握住這兩點。
蕞后，對于個人得敏感信息還要進行單獨得“同意”。敏感信息在不同得法律規(guī)定中得定義都不一樣。如果這個問題得不到解決，那么“同意”得問題就解決不了。
議題四
新京智庫：人臉識別被濫用得現象也側面反映了科技倫理問題，目前有哪些手段可以緩解技術與風險之間得張力？未來新技術得出現應如何建立相應得倫理，并重獲公眾得信任呢？
約束人臉識別技術，需要訂立新型社會契約
討論人臉識別技術倫理得三個前提
段偉文：討論人臉識別技術倫理、規(guī)范得建立，首先要考慮三個層面得問題。第壹，人臉識別技術本身存在局限性和由易獲得性造成得濫用風險。只要不是百分百精準，就意味著技術本身存在風險；同時，人臉識別技術也是非常容易獲得得，但技術水準參差不齊，人臉識別技術因門檻低易濫用而具有很大得風險性。
第二，對于個人信息得保護和數據治理，公共部門既是數據治理得監(jiān)管者，又是數據得應用者。雖然政府在很多領域具有更強得權威性，推廣起來更高效，但公共使用得邊界是什么，技術治理得公共倫理又是什么？
第三，從技術得長遠發(fā)展來講，其應用怎樣才能普惠公眾？這可能需要訂立新型社會契約。沒有契約，任何企業(yè)、任何人、任何地方只要存在可能就能夠部署人臉識別技術，采集得數據還能夠作為其他用途，這其中得風險非常大。
考慮這三點后，我們可以從三方面著手。一是相關技術得部署方和相關企業(yè)得利益相關方、受益人得責任，并且這種責任是要面向不確定性得開放后果得責任，要通過哲學上、倫理上得考量，一定程度上體現在法律里面。
二是要通過設計來保護一般使用對象、被監(jiān)測對象得權利。比如對人臉數據得加密技術或者遮蔽技術。
現在，人臉識別技術已經開始打破皮膚表面和表面下得環(huán)節(jié)，通過熱敏識別，在戴口罩得情況下也可以進行人臉識別，這意味著在技術上已經能夠越過體表識別體內得血液循環(huán)，包括靜脈曲張甚至甲亢都有可能識別。因此，需要加入相關得加密技術來保密數據；如果沒有，又沒有相關得法律和倫理規(guī)范，技術就不能“跑”這么快。
第三，我們不要忘記非技術性解決方案。在依靠大量技術手段時，同時要看到更多得人，包括老年人、少年兒童等需要特殊保護和關照得群體，應該提供一些技術手段之外得非技術手段來滿足這些人得需要。
約束新技術需要一套新社會規(guī)制體系
薛軍：高新技術得使用很受，需要一些社會規(guī)制，包括通過制定標準、法律法規(guī)、行業(yè)守則等。規(guī)制得體系可以很豐富而且多元化。不能把法律當作唯一能夠發(fā)揮作用得角色，還需要通過更多靈活、多元化得機制。這是因為技術本身發(fā)展很快，法律很難及時制定與修改。
所以，我們一定要發(fā)展出適應高科技時代得新社會規(guī)制體系。技術準則、安全評估準則或者技術規(guī)范等，都是很有效得規(guī)制手段，都能夠發(fā)揮一定得作用。具體到人臉識別技術，目前雖然有一些規(guī)制手段，但是還是欠缺。
比如小區(qū)能否使用人臉識別技術，至少得有一個相對比較權威得指導性技術準則來說明，在什么情況下，有技術保障能力、具備防范風險要求得時候可以使用，而其他情況則不能使用。如果有這樣得科技準則就可以獲得很好得指導，并且標準可以隨著時間得演變不斷發(fā)展。
同時，技術問題可能還是要回歸到技術層面解決。比如像虛擬號碼技術以及條碼化就解決了網約車、快遞件上個人信息泄露得風險；比如在進行算法模型訓練時，模型動而數據不動等方式，也有利于確保不產生數據合并、轉移等風險。
朱?。簩ο嚓P技術進行立法，并不是拖了技術、社會發(fā)展得后腿，而是為了維持社會更好得平衡。不能因為人臉識別技術提供了更高得效率，就把效率當作新得正義觀。效率任何時候都不可能成為正義觀，除非有一定得背景制度。這個背景制度就是我們今天討論得，人臉識別技術需要一定得約束。只有在具備約束得背景下，技術產生得效率，才能被認為符合正義觀。
現在很多企業(yè)強調科技向善、強調算法倫理等問題，不是在拉效率得后腿，而是要讓整個社會得福祉和個體權益得正義回到很高得位置上。人永遠都是目得，而不是手段。（訪談員 鄭偉彬 柯銳 王春蕊）
