記者 | 周伊雪

8月中旬的一天，住在北京昌平區回龍觀某小區的王軼在業主群中收到了一則來自居委會的通知。

這則通知中寫到，隨著新冠疫情工作轉入常態化，為了加強居家隔離人員管理，有效降低外來輸入型病例傳播風險，小區計劃安裝智慧社區門禁系統，需要居民通過手機APP或到居委會現場上傳包括手機號碼、身份證以及人臉照片等信息，辦理新的出入權限。

王軼所在的業主群共有近500人，群內成員包括小區的業主和租戶。這個群是在今年年初國內爆發新冠疫情后才由居委會建立的，平時的主要功能是傳達疫情相關信息。

看到這則通知后，在互聯網公司有過數據分析工作經歷的王軼感到有些不安。他發現雖然通知中寫到安裝智慧社區門禁后可以使用人臉識別（也就是“刷臉”）或者手機APP兩種方式來開門，但在辦理權限時都必須要錄入人臉照片。

他還注意到負責安裝人臉識別門禁系統的第三方公司曾經曝出過負面信息，自然開始擔憂個人信息尤其是人臉照片被收集后會如何存儲和使用，以及是否會存在信息安全問題。

王軼和其他住戶在業主群中提出了這些疑問，小區居委會的回應是，新的智慧門禁設備已經在公安備案，并且會與公安聯網，試圖以此打消居民的顧慮。但卻一直未能出示相關文件證明。

除了個人信息安全方面的擔憂外，業主們對于在小區安裝人臉識別設備的必要性和實際中的可操作性也提出質疑。有住戶問到，小區已經有一套刷卡的門禁系統，為什么還有搞人臉識別？并且，這套系統針對居住在該小區的居民，只采集小區居民的信息，那么快遞員、外賣員進入小區是否需要刷臉呢？

與王軼的經歷類似，12月中旬，在北京東二環嘉誠有樹產業園上班的劉歡也被告知由于新冠疫情防控轉入常態化，園區要安裝新的人臉識別門禁系統。

在一場由設備安裝方主辦的說明會上，劉歡及其他人被告知，新系統需要采集在該園區上班的人的手機、身份證和人臉信息，系統投入使用后，他們可以且僅可以通過刷臉方式進入辦公區。

當劉歡及其他在場的參會者提出，如何對收集的個人信息做保密管理，以及公司是否具備相關資質時。“設備方的人要么答非所問，要么幾個人相互確認，說應該取得相應資質了會發過來。但直到現在，我們還沒看到資質文件。”劉歡對界面新聞說。 

“誰掌握了你的臉，誰就掌握了你的身份標識”

王軼和劉歡的擔憂并非少數個例。近年來，以深度學習為核心的人工智能技術飛速發展，其中國內以視覺識別技術最為成熟，應用落地最為廣泛。出于商業前景考慮，無論是互聯網大公司、傳統安防公司以及新興的人工智能技術公司都在這一領域大舉投入。

人臉識別（視覺識別技術的一種應用）在國內的應用大致經歷從公共安全領域擴展到商業領域的過程。最初，機場、高鐵站以及酒店等場景使用這項技術對個人身份進行驗證，隨后商業銀行也開始采用人臉識別實現遠程開戶。再之后，刷臉支付、刷臉門禁也相繼出現，人臉識別逐漸從少數有限場景滲透到人們的日常生活之中。

人臉識別在國內快速且廣泛的應用，背后既有政府部門對于維護公共安全的訴求，也有商業機構應用新技術提效降本的需求，更有人工智能技術公司尋求業務增長的沖動。而今年以來新冠肺炎疫情的流行更是加速了這一過程。

如今，你大概已經對商場、辦公樓等場所入口處的測溫設備習以為常。通常這類設備融合了人臉檢測與紅外測溫技術，能夠實現“非接觸式測溫”，在疫情防控中被廣泛鋪開。 

[[359429]]

很多人開始意識到這項技術正在被不加節制地應用。今年10月份，一項兩萬人參與的調查顯示，有超過六成以上的受訪者認為人臉識別技術存在濫用趨勢。其中，在交通安檢、實名登記、開戶銷戶、支付轉賬和門禁考勤等場景中存在突出的“強制使用”問題。

與此同時，一些受訪者最為關注的問題——比如人臉原始信息是否會被收集方保留以及會被如何處理，數據收集方采取何種技術和管理措施來保證收集的人臉信息安全，以及人臉信息目前被應用在什么場景，是否變更了使用目的——在絕大多數時候都是不透明的，目前尚無相關的法律法規進行規范。

與其他個人信息不同，人臉信息屬于生物識別信息，具備唯一性。“它不像密碼，一旦泄露無法修復。未來一旦人臉成為進入互聯網世界的入口，那么某種程度上誰掌握了你的臉，誰就掌握了你的身份標識。”北京安理律師事務所高級合伙人王新銳對界面新聞說。

他認為，現在很多場合過分強調這項技術的便利性，卻對人臉數據泄露可能產生的后果考慮不足。“有人問你要銀行卡密碼，你肯定特別警覺，對不對？但如果要人臉信息，好像很多人就覺得沒什么，但實際上這兩者很多情況下是沒區別的。”

今年2月份，浙江省衢州市中級人民法院公布的一份裁決書顯示，自2018年7月開始，浙江紹興一名叫做張富的大專畢業生通過非法渠道購買到2000萬條公民身份信息，其后使用軟件將照片制成3D頭像，在案發時，注冊成功至少547個通過人臉識別的實名支付寶賬戶。

值得一提的是，并非所有使用人臉識別技術的設備都會收集人臉原始照片。一些技術較為領先的公司會提取面部的特征值來替代原始照片，這些特征值是匿名性數據，經過加密處理后即使被泄露也無法重新定位至某個具體的人。采用這種方式能夠在一定程度上實現對于個人信息的保護。

但現實情況是，當大公司們將深度學習算法框架開源之后，人臉識別技術的門檻已經大大降低。很多技術實力一般的公司通過開源平臺擁有了算法能力，但在數據的收集和存儲環節卻無法保證同樣的安全性。這些公司的做法往往是直接收集和存儲原始的面部信息。

一位從事旅游行業數字化的人士告訴界面新聞，新冠疫情發生后，行業內提倡非接觸式入園，很多旅游景點都安裝了人臉識別設備，當游客在景區入口錄入人臉信息后，可以實現在不同景點刷臉進入。游客的人臉信息就存儲在本地服務器中，而這種服務器的安全性是極低的。

“已經曝出的人臉數據泄露事件，有的是因為存儲照片的數據庫被攻擊，這是技術層面的原因。但其實在非技術層面也會有，比如有不法分子能夠接觸到數據庫，可能會將信息拷出去販賣獲利等等。”北京瑞萊智慧科技有限公司副總裁唐家渝說。瑞萊智慧是一家主打安全特色的人工智能技術公司。

唐家渝告訴界面新聞，現在的人臉識別算法由于先天原因存在漏洞，在與工信和公安等部門合作進行的多個測試中，瑞萊智慧可以憑借一張照片就“攻破”手機、閘機和考勤機等門禁。“基于深度學習算法的模型是黑盒，先天存在脆弱性，攻擊者總能找到漏洞。”

除了對個人信息安全層面的擔憂外，人臉識別技術在某些場景的應用也被質疑有侵犯個人隱私之嫌。去年，中國藥科大學（江蘇南京）引入人臉識別系統，可以識別出學生是否翹課、玩手機、打瞌睡等行為，一時引發了對于人臉識別技術使用邊界的討論。

在上述調查中，受訪者最不能夠接受的人臉識別使用場景包括：“商城運用人臉識別技術，收集顧客的行為和購買手段”、“高校運用人臉識別技術收集學生的抬頭率、微表情、上課的姿態”等，相對而言，公眾對公共安全場景下人臉識別技術較為接受。 

應明確安全與責任底線

有人正在對隨處泛濫的人臉識別做出抵抗，其中最受關注的是浙江理工大學特聘副教授郭兵起訴杭州野生動物園的“人臉識別第一案”。

去年4月份，郭兵在杭州野生動物園辦了一張年卡，憑年卡和指紋可一年內不限次游園。但隨后，他收到動物園發來的一則短信，要求他注冊人臉信息，且被告知“未在規定日期前注冊人臉識別信息的用戶將無法正常入園。”

隨后，郭兵將動物園告上法庭，請求法院判定動物園刪除其在辦理年卡時提交的面部信息并且確認動物園短信中告知的內容無效。今年11月，杭州富陽法院對該案做出一審判決，責令動物園賠償郭兵由于變更合同造成的經濟損失、刪除其個人面部信息，同時駁回了郭兵的其他訴訟請求。郭兵對此提出了上訴。

“我認為杭州野生動物世界無論是將指紋識別還是人臉識別，通過格式條款的方式確定為唯一的入園方式，都是不公平不合理的，這是我最核心的訴訟請求，也是上訴中要求法院進一步認定的訴訟請求。”郭兵對界面新聞解釋上訴原因時說。

今年以來，地方立法層面開始關注或已經對人臉識別的應用場景作出一定限制。

不久前天津人大表決通過《天津市社會信用條例》，其中第十六條規定，市場信用信息提供單位不得采集自然人的生物識別信息。近期，杭州公開《杭州市物業管理條例（修訂草案）》，其中規定物業服務人不得強制業主通過指紋、人臉識別等生物信息方式使用共用設施設備。該草案目前已提請杭州市人大常委會審議。

“這些條例并不是專門規范人臉識別技術應用的，但表明地方立法已經意識到生物識別信息需要加以特別保護。”郭兵說。

信通院互聯網法律研究中心研究員楊婕告訴界面新聞，我國目前雖然沒有出臺專門針對人臉識別技術的法律規范，但是采用國際通行做法，將人臉數據劃入敏感個人信息進行從嚴監管。

正在審議中的《個人信息保護法（草案）》（以下簡稱《草案》）是我國首部針對個人信息保護的專門立法。《草案》中規定，要有特定的目的和充分的必要性，方可處理敏感個人信息；收集敏感個人信息要經過個人單獨同意，向個人告知處理敏感個人信息的必要性以及對個人的影響。

王新銳認為，《草案》中對敏感個人信息（包括人臉在內的生物識別信息）規定很嚴，需要單獨同意且進行事前評估，這意味著收集個人生物識別信息的門檻非常之高，可能大部分企業就會知難而退。

《草案》中與人臉識別技術相關的第27條規定，“在公共場所安裝圖像采集、個人身份識別設備，應當為維護公共安全所必須……所收集的個人圖像、個人身份特征信息只能用于維護公共安全的目的，不得公開或者向他人提供……”

“這條規定的是公共安全領域的圖像采集，并不是針對商業化運行的人臉識別。”郭兵對界面新聞說。他建議將收集臉部特征信息的人臉識別相關技術納入行政許可范圍，“只有獲得相應許可，才能從事或者提供相應的技術，這對刷臉場景的濫用能有一定的遏制作用。”

楊婕認為下一步，一方面，法律要明確人臉識別技術的安全與責任底線；另一方面也要解決人臉識別在不同場景應用下的差異性問題。比如，各行業主管部門需要根據使用場景出臺應用人臉識別技術的實施細則，包括明確不同場景下應用人臉識別技術的必要性、安全水平要求等具體問題。

在業主們表達反對意見之后，嘉誠有樹產業園的運營方在“刷臉”之外新增了手機掃碼入園的方案，這種方式只需要錄入基本信息，不需要錄入人臉信息。劉歡告訴界面新聞，現在他們還在爭取增加采集個人信息更少的刷IC卡入園的方案。

（應受訪者要求，王軼、劉歡為化名）