中国民商法律网
本文摘编自赵精武：《<民法典>视野下人脸识别信息的权益归属与保护路径》，载《北京航空航天大学学报(社会科学版)》2020年第5期。本文未经原文作者审核。
【作者简介】赵精武，北京航空航天大学法学院助理教授，博士，工业和信息化部工业与信息化法治战略与管理重点实验室办公室主任,北京科技创新中心研究员。
全文共3903字，阅读时间约9分钟。
刷脸支付等人脸识别技术在推进数字化社会进程的同时，也增加了数据泄露、隐私侵犯等诸多风险。人脸识别信息作为该技术的直接产物，其内在的人格权益属性显而易见，但《民法典》“民事权利”一节与“人格权编”中的相应规定在适用过程中仍存诸多疑问：自然人对人脸识别信息相关事项的“知情”范围如何认定？信息控制者如何在公共场所获得自然人对面部数据采集和处理的“同意”？“优化用户产品体验”“保障其他用户安全”等理由能否构成信息处理者处理人脸识别信息的免责事由？对此，北京航空航天大学法学院赵精武教授在《<民法典>视野下人脸识别信息的权益归属与保护路径》一文中，作出了解答和回应。
一、人脸识别技术的应用场景与风险定位
（一）人脸识别技术的应用场景
学界普遍认同“人脸识别技术”属身份核验的生物识别技术。有学者将该技术应用模式总结为“1对N”的人脸识别，即指通过对比被识别对象的脸部信息与集中数据库中存储的多个模板信息来辨识身份。此类技术具有无接触、交互性强、高效迅速、符合人类识别习惯等优势，且场景化应用特征明显。
在金融领域，人脸识别技术应用主要包括安全防控和业务优化两类。而随着市场精细化程度的深入，该技术应用领域呈现纵深化趋势，如表1所示。
(二)人脸识别技术的风险定位：隐私、主体平等与技术独裁
人脸识别技术的法律风险主要集中于“1对N”模式。从国内外技术实践来看，人脸识别技术所存在的社会风险主要表现为三类：（1）隐私侵犯风险，即潜在的网络安全威胁直接影响到数据库中所存的用户个人私密信息。（2）主体平等风险，即因该技术常与各类社会公共服务系统链接，经由分析可能直接对特定人群标识“警惕”的标签。（3）技术滥用风险，主要是与“公权力滥用”挂钩。
中国现行立法对该技术的行政监管与私法规范尚存空白。该技术的法律风险存在于从人脸数据采集到人脸数据关联比对的信息处理全生命周期。在数据收集阶段，主要表现为信息处理者以何种方式采集才能满足中国现有立法规范。现行法要求收集个人信息需经权利人同意并告知其处理个人信息的方式、范围和目的，而当下公共场所的数据采集以及网络平台公开照片的数据采集似难以在实践层面寻求每一个人的“同意”。且在“1对N”的模式下，中国现行法亦未承认在网络公开照片等于默示同意商业化使用照片，信息处理者可能因此侵犯个人信息权益。在数据分析、存储、更新等阶段，信息处理者应当采取必要措施确保个人信息安全。一旦发生数据安全事件时，除非致损原因表现为现有技术水平无法应对、第三方网络攻击等形式、未履行《数据安全法(征求意见稿)》第27条规定的数据安全保护义务外，信息处理者极可能面临以人格权益受损为由的集体索赔。在人脸识别信息维护、更新阶段，信息处理者若未能及时更新存在内容偏差的人脸识别信息，且关联的信息服务对特定自然人产生重大影响时，构成对《民法典》第1037条规定的“更正权益”的损害。
二、技术治理的法理基础：人脸识别信息的法律属性
（一）人脸识别信息保护的必要性与特殊性：从“杭州人脸识别第一案”谈起
一方面，人脸识别信息保护具有必要性。依据《网络安全法》第76条可推知，人脸信息的基本性质为“可识别的个人信息”。该技术之所以亟需立法回应，在于此类信息一旦与身份信息关联，特定自然人就难以采取有效措施彻底消除“识别可能性”。在“杭州人脸识别第一案”中，原告郭兵还认为，人脸识别所收集到的面部特征等个人生物识别信息属于个人敏感信息，一旦泄露、非法提供或滥用，将极易危害消费者人身和财产安全。人脸信息的不可更改性与无接触性使得其被滥用的安全隐患呈高危性，因而具有保护之必要。
另一方面，人脸信息保护又具有特殊性。在前述案例中，若从侵权纠纷的角度来看，动物园“胁迫式”收集人脸识别信息显然构成对“不得非法使用、加工、传输个人信息”的违反。可问题在于动物园主张人脸识别之目的是为了提升消费者入园效率且确实有效，能否构成免责事由？此外，动物园的刷脸进入行为实难构成侵权法中的“过错行为”，因为在刷脸支付的同时，动物园还允许年卡持有人每次入园时进行身份核验。从合同纠纷的角度来看，郭兵与动物园之间构成年卡服务合同(无名合同)，动物园讲“以个人身份证、指纹为入园条件”变更为“刷脸进入”，实属单方变更合同之行为，理应对购买年卡服务的郭兵不产生法律效力，其也有权要求动物园按照最初约定的方式入园。可见，不同视角下，人脸信息保护的策略和结果均不同。
(二)人脸识别信息的法律属性
《民法典》《网络安全法》《数据安全法(征求意见稿)》等法律对人脸识别信息的性质均有所涉猎。在立法层面，意欲梳理人脸识别信息的法律属性与规制方式，仍应以人脸识别信息的独特性为规范起点，溯源该类信息的人格利益与财产利益在商业实践中的表现形式。
从刷脸支付、刷脸进出等具体的商业实践来看，人脸识别信息并不能简单地等同于人脸生物特征的数据测量。二者最大的差别在于“识别”之表述。人脸识别信息更强调通过人脸生物识别特征的不可更改性与对应自然人身份信息的关联比对，通过设备端的图像采集与数字化处理，验证自然人的特定身份。这一技术则将传统个人信息保护理念中的“可识别”转换为精准识别和持续识别。精准识别，是指人脸识别信息能够精准地定位特定自然人；持续识别，则是指面部特征的不可更改性决定了人脸识别信息的识别能力不会因为行为人的日常行为模式剧变而失去。如图1所示。
这种精准且持续的识别能力在立法层面表现为人格利益在信息空间的异化与延伸。《民法典》人格权编具体条款中“等权利”“人格利益”之表述在实质上确定了中国民法体系中人格权利保护的开放性。在此背景下，人脸识别信息的可识别利益显而易见是《民法典》所确认的信息空间人格权益。因为该类信息能够直接影响到自然人对识别自身身份可能性的控制能力，无法实现信息空间中的“个人自由”。但自然人对人脸识别信息享有人格权益并不是承认存在所谓的“人脸识别信息权”。同时，也并不排除信息处理者对人脸识别信息享有财产权益。因为人脸识别信息的形成需信息处理者支付各种信息处理环节的成本，这种“劳动支出”决定了要在两个层面强化对人脸识别信息的事前保护，避免因信息复制成本低廉和指数式传播等基本特性导致的损害结果不可弥补：一是明确规范信息处理者在各个处理环节的具体义务，明确人脸数据与特定自然人身份信息比对的必要性与合比例性；二是要细化人脸识别技术应用的合法标准和例外情形，包括用户表示同意和撤回同意等实际方式。
三、人脸识别技术应用的修缮式解释与填补式标准设计
(一)《民法典》第1035条的修缮式解释
人脸识别信息作为“个人信息”的子概念，也要遵循《民法典》第1035条确立的“知情同意”一般规则，但其在适用中仍需进一步完善。从个人信息保护实践来看，通过“同意”来实现充分的信息自决或意思自治仅是理想法益状态，该项制度在商业实践中已经演变为信赖的重新建构。一方面，自然人通过知情同意原则建构起对信息处理活动的初步信赖；另一方面，信息处理者在遵守前述“信赖”内容的基础上完成信息的自由流动。因此，以“知情同意”规制该技术应用是通过信息处理活动的规范化确保个人信息的合理使用。立法所需明确的是如何判断信息处理者是否采取必要措施规避个人信息处理活动的安全风险和法律风险。此外，法律法规所要规定的“同意”应当为一般理性人的概括式同意。
(二)人脸识别技术安全标准的“填补式”风险治理
对于人脸识别技术相关的破解技术与安全问题，立法者所要明确的是如何解释围绕人脸识别信息的权利义务关系，避免行政监管可能造成的技术创新枷锁。这意味着要以技术标准的方式规范人脸识别信息的处理活动，且该标准是否被遵守也将成为审判中判断责任归属之依据。技术标准与法律责任的关联意味着技术标准自身需以个人信息保护的“安全、合法、正当且必要”基本原则为核心理念。
在人脸识别技术应用中，安全风险的产生根源还在于技术本身的不确定性。因此，在技术标准中，或可借鉴欧盟《通用数据保护条例》的“经由设计的数据保护”思路，强化人脸识别技术对个人信息安全的影响评估，包括人脸大数据建构的合规性评估、人脸识别技术更新的安全评估、人脸识别信息及其数据库的更新维护评估等。这种评估可嵌入至《数据安全法(征求意见稿)》第四章“数据安全保护义务”中。
四、结论
人脸识别技术作为诸多商业活动的主流技术架构，天然地具备民商法调整的必要性和优先性，如若将行政管制主义置于优先顺位，只会促成行政监管对技术应用的制度束缚。自然人对人脸识别信息所享有的民事权益可从《民法典》第126条“其他民事权利和利益”寻求正当性基础，这是对《民法典》第1034条的合理解读和延伸。在“后民法典”时代，对于特殊个人信息保护，还有赖于法院扩大解释相应的具体规则。同时，借助技术安全标准等可操作性规范性文件补足“是否履行个人信息保护义务”的判断标准，达成“经设计的信息保护”之法律效果。