數字化、智能化時代,技術迅速發展,在此過程中如何保護個人信息成為公共命題?;厮?020年,人臉識別是輿論場中的高頻詞匯,敏感的人臉信息應如何保護?能在哪些場景下應用?應用后如何保障我的“臉”存儲安全?
今年北京兩會上,不少委員提到對人臉識別進行規范。
朱良委員建議,條件具備時,北京市人大常委會制定關于人臉識別數據管理的地方法規。高警兵委員提出,對人臉識別作出專項規定,明確人臉識別的有權使用主體、使用目的、使用范圍、使用禁區等,以及被識別對象的救濟路徑、追責手段。
人臉識別技術應用“一次泄露,終身風險”
從人臉識別第一案到“戴頭盔看房”,人臉識別應用以及背后的個人信息保護成為熱議話題。
北京市政協委員、中國石化北京化工研究院教授級高級工程師朱良關注人臉識別已經有幾年的時間,他注意到,人臉識別先是在高校管理中應用,疫情防控期間,開始進入社區。
“這是一個有爭議的社會現象?!敝炝颊f,盡管人臉識別技術在安全管理、金融服務、反恐、治安等方面確有很多便利之處,但也是雙刃劍,管理不好會帶來隱患。
人臉識別技術應用的風險很大程度是因為“人臉”的敏感性。朱良說,人臉識別特征是個人不能更改的敏感信息,涉及個人隱私。一旦泄露,損失無法挽救?!安幌袷倾y行密碼丟了可以換一個,你是沒辦法換臉的?!?br />
“人臉具有獨特性、直接識別性、方便性、不可更改性、變化性、易采集性、不可匿名性、多維性?!北本┦姓f委員、北京天馳君泰律師事務所管理委員會主任高警兵表示,這些特征直接決定了人臉識別技術具有復雜性,而現實中很多收集人臉的機構并不具備相應的風險防控、安全保障能力、組織和機制。
北京市政協委員陳小兵也談到,人臉作為生物識別的一種,具備唯一性,一旦發生信息泄露,風險很大。這也被稱為“一次泄露,終身風險”。
陳小兵在調研時發現,人臉識別技術還遠遠達不到指紋或虹膜等生物識別技術那么高的準確度。人臉識別目前有兩大風險問題難以解決。第一個風險是可復制性。人每天都暴露在外面,通過拍照完全可以獲得一個人的臉部特征,并進行復制。另一個風險是不穩定性。臉部化上濃妝、過敏、受傷、整容等都會導致臉部特征發生很大變化,影響人臉識別準確率甚至無法識別。
在他看來,隨著仿真頭套、全息投影、人臉跟蹤等技術的發展,未來人臉識別攻擊的成本將大大降低,由此產生的黑客攻擊將大量發生。不法分子會通過偽造人臉識別攻破系統,進而竊取機密信息。這會造成數據泄露事件頻發,給數據安全帶來嚴峻挑戰。
“隱私”還是“便捷”,應用背后存爭議
人臉識別技術應用的爭議背后存在“隱私”與“便捷”之間的選擇。
家住亦莊的林先生告訴記者,小區去年年初便在單元樓安裝了人臉識別設備,去年下半年開始啟用。但是出于對個人信息安全的考慮,自己一直沒錄入信息。
前天,林先生還是去錄入了信息,加入人臉識別應用使用者的大軍。“現在疫情反復,我不太想接觸門禁。另外,有一天搬東西非常費勁,還得放下東西刷門禁,覺得很不方便?!?br />
當然,反對者認為隱私高于便捷。比如清華大學法學院教授勞東燕此前在接受采訪時便直言,“刷臉省的幾秒鐘,對我沒有多大的價值?!?br />
在朱良看來,人臉識別的應用給生活帶來了便利,技術本身沒有問題,關鍵在于誰來控制這項技術,如何保障這些信息的安全?!安皇遣蛔屓四樧R別系統捕捉信息,是保證系統掌握的數據不被泄露、不被濫用。”
陳小兵則認為,對人臉識別應用需秉持謹慎態度。他認為,原則上,只有公安部門可依法采集,使用場景也應僅限于政府相關部門,且對其使用的必要性有嚴格的條件限制,以防止僅為工作方便而使用該技術,從而最大限度地防止該技術擴大濫用。
建議1
推進人臉識別等信息采集的相關立法
多位委員指出,目前人臉識別應用存在法律空白。
根據《民法典》規定,采集個人信息,必須符合必要性、合法性、正當性三原則,同時要征得信息主體的明確同意?!秱€人信息保護法(草案)》第六條明確,處理個人信息應當具有明確、合理的目的,并應當限于實現處理目的的最小范圍,不得進行與處理目的無關的個人信息處理。
但目前法律規定仍較為原則。朱良稱,如果沒有在法律法規、政府規章中作出明確而有針對性的具體規定,各政府部門、企事業單位難免各行其是,根據自己的需要自行處理人臉識別數據?!斑@會造成許多不確定的風險,必須及早應對?!?br />
記者注意到,人臉識別應用規范在地方立法中已有突破。在杭州,早先提交審議的《杭州市物業管理條例(修訂草案)》中擬規定,物業服務人不得強制業主通過指紋、人臉識別等生物信息方式使用公用設施設備。
去年年底,天津通過的《天津市社會信用條例》中明確,市場信用信息提供單位不得采集自然人的宗教信仰、血型、疾病和病史、生物識別信息等。
高警兵建議,立法部門有必要積極收集有關人臉識別的案例,研判吸收相關管理辦法、經驗。在此基礎上,對人臉識別作出專項規定,明確人臉識別的有權使用主體、使用目的、使用范圍、使用禁區等,以及被識別對象的救濟路徑、追責手段?!耙M快推進北京有關人臉識別等生物信息采集的相關立法工作,禁止企事業單位、行業協會等采集人臉、指紋、聲音等生物識別信息?!标愋”粲?。
建議2
使用人臉識別技術應遵循事前申請原則
地方立法也需實踐鋪墊,朱良表示,可以先從政府規章開始,對人臉識別應用做出規范。高警兵也指出,目前政府監管力量不夠?!霸谝恍┤粘J褂脠鼍爸校杉缴踔廖唇洷徊杉咄饩褪褂萌四樧R別。僅靠居民個人隱私保護意識提高是遠遠不夠的,必須嚴格把控人臉識別設備生產、使用門檻?!?br />
如何嚴格把關人臉識別的應用?高警兵與朱良都提到對事前風險的防范。
朱良認為,使用人臉識別技術需遵循事前申請原則,事前向政府主管部門申請,經批準后才能開始進行。申請單位可以委托第三方進行技術操作,但申請時應將第三方一并列入申請材料,經批準才可操作。
對于大家都關注的數據安全問題,朱良認為,與個人身份關聯的人臉識別數據應受政府主管部門監管,存儲在事前申報并經過批準的地點和設備內,并應有合理的防災害備份。進行人臉識別的單位和受委托的第三方都應確保數據安全,未經批準不得轉移到其他地點和設備。
高警兵也談到,需要有專業機構對人臉識別劃定使用邊界,即對人臉識別的適用范圍、使用過程中落實“事先告知、事后刪除”等條款作出持續的規范和跟進。
此外,朱良提出數據的追溯既往原則。他表示,在相關法規、規章生效后,過去已經形成的所有人臉識別數據都應按照法規、規章的規定納入管理。