中國消費者報報道(記者武曉莉)工業(yè)和信息化部信息通信研究院的一份報告指出，以人臉識別為主要對象的用戶生物識別信息,，在用戶不知情或未明示同意的情況下被收集使用,，以用戶可感知的方式呈現(xiàn)。但信息是如何被收集,、通過何種渠道共享傳播,，普通用戶難識別、難舉證,。較多應(yīng)用并未通過隱私政策或其他途徑告知用戶收集使用信息的目的,、方式和范圍，也未向用戶提供明確的允許和拒絕的選擇,，這種累積性的權(quán)益侵害在日常生活中普遍存在,，引發(fā)了用戶的嚴重擔憂。生物識別信息過度收集,、使用的亂象亟待解決,。
在立法和消費者權(quán)益保護層面，現(xiàn)狀,、手段以及未來趨勢如何?用戶在什么層面可以說“不”?公共安全采集的界限在哪里?生物識別信息能“閱后即焚”嗎?本報記者就此進行了采訪,。
常被要求刷臉令人焦慮
最近，記者用一個下午的時間集中辦了幾件事,。在辦事過程中記者發(fā)現(xiàn),，不知從何時起，人臉識別應(yīng)用已經(jīng)普遍到令人驚訝的地步了,。
先是補手機卡,。記者記得商場里有運營商的營業(yè)廳，就先去了商場,。進門的時候被要求查驗健康碼,，然后通過架設(shè)好的人臉識別機器測試溫度。進去后發(fā)現(xiàn)商場里沒有營業(yè)廳,，但看見商場旁邊有銀行,，便想去打印個賬單，結(jié)果又被刷臉一次,。
后來找到的營業(yè)廳是一個小小的門臉,，進門不用健康碼也不用刷臉，但補卡信息填完后,，營業(yè)員拿出一個手持刷臉掃描儀說：“正對著,，慢慢眨眼,，向左轉(zhuǎn)頭、向右轉(zhuǎn)頭,，低頭,、抬頭，好了,。”她解釋說,，這是運營商要求的實名制辦理流程，不刷臉就不能補卡,。
補完卡往回走,，以前穿過一個小區(qū)是近路，但由于疫情的原因,，小區(qū)已經(jīng)封閉了,。此時記者看見一個家長接放學的孩子，孩子一溜小跑沖到門口,，對著門上的人臉識別門禁掃了一下,，門開了，孩子很興奮地喊媽媽一起進去,。
繞行的路上有一個學校,，兩個學生模樣的人在試門禁卡，打不開,。路邊的快遞小哥喊：“別試了,，昨天就關(guān)了，要刷臉才行,。”
……
不僅如此,，手機上的APP也會不時跳出“開通人臉識別功能”的提示,。“人臉識別技術(shù)顯然正在被加速應(yīng)用到生活的方方面面,，已經(jīng)由不得你了。”中國新聞社一位人士對記者說,，“我們小區(qū)馬上要安裝人臉識別門禁了,，不刷就回不了家。機場,、商場,、小區(qū)、銀行到處都要求人臉識別,，如果拒絕,，就進不去，但這些很難說都是出于公共安全的需要,。我個人覺得目前的主要安全隱憂不是刷臉本身,，而是采集范圍過度,、強制采集以及儲存、使用,、銷毀等層面不能充分告知,，導(dǎo)致大家對這個事情很焦慮。”
期待更強有力的法律保護
如何界定收集行為是否出于公共安全的需要?個人可以說“不”嗎?個人對生物信息的收集,、存儲,、共享、轉(zhuǎn)讓是否有知情權(quán)?
北京師范大學網(wǎng)絡(luò)法治國際中心執(zhí)行主任,、中國互聯(lián)網(wǎng)協(xié)會研究中心秘書長吳沈括認為,，生物識別信息固有的特殊性和敏感性，決定了此類信息的濫用更容易產(chǎn)生嚴重的社會危害,。事實上,，生物識別信息被各類主體違法收集、惡意使用以及非法買賣等安全事件頻頻發(fā)生,，與之伴生的電信網(wǎng)絡(luò)詐騙甚至人身傷害等惡性案件,，都讓公眾廣泛期待更強有力的法律保護。
據(jù)吳沈括介紹,，《個人信息保護法(草案)》(以下簡稱《草案》)提出了更高水平保護要求的解決方案,。
首先，立法者明確規(guī)定生物識別信息屬于“敏感個人信息”,，也就是說,，只要是“一旦泄露或者非法使用,可能導(dǎo)致個人受到歧視或者人身、財產(chǎn)安全受到嚴重危害的個人信息”,包括種族,、民族,、宗教信仰、個人生物特征,、醫(yī)療健康,、金融賬戶、個人行蹤等,，都屬于敏感個人信息,。對這些信息的處理，立法者要求基于個人同意,，并且要求信息處理者不僅應(yīng)當取得個人的單獨同意,，還應(yīng)當向個人告知處理敏感個人信息的必要性以及對個人的影響。
此外,，《草案》還針對在公共場所安裝圖像采集,、個人身份識別設(shè)備的特殊場景做出專門規(guī)定，強調(diào)應(yīng)當為維護公共安全所必需,，并設(shè)置顯著的提示標識,。所收集的個人圖像,、個人身份特征信息，只能用于維護公共安全的目的,，不得公開或者向他人提供,。
今年10月1日起，由國家市場監(jiān)督管理總局和國家標準化管理委員會聯(lián)合制定的《信息安全技術(shù)個人信息安全規(guī)范(GB/T35273-2020)》(以下簡稱新版《規(guī)范》)正式生效,。業(yè)內(nèi)人士認為,，與2017年的舊版相比，新版《規(guī)范》最顯著的變化是對使用生物識別信息的各個環(huán)節(jié)做出了較為詳細的規(guī)定,，尤其是在使用知情權(quán)方面,，對個人生物識別信息的收集、存儲,、共享,、轉(zhuǎn)讓等各個環(huán)節(jié)都提出了具體要求。
從收集方來看,，按新版《規(guī)范》要求,，企業(yè)要單獨向個人用戶告知收集和使用生物識別信息的目的、方式和范圍,、存儲時間等規(guī)則,，取得個人用戶明示同意。原則上不應(yīng)共享或轉(zhuǎn)讓個人生物識別信息,，確需共享和轉(zhuǎn)讓的,，仍應(yīng)當單獨向用戶告知目的、信息類型等內(nèi)容,，并征得個人用戶的同意,。此外，還要求企業(yè)不應(yīng)公開披露個人生物識別信息,。
從被收集方來看,，新版《規(guī)范》規(guī)定不能通過功能捆綁強迫用戶接受個人信息收集，而應(yīng)該逐一告知用戶擴展業(yè)務(wù)功能,，逐項獲得用戶明示同意后再開啟;用戶拒絕開啟擴展業(yè)務(wù)功能收集個人信息,，企業(yè)不得拒絕提供基本業(yè)務(wù)功能或者降低服務(wù)質(zhì)量,，并且不得在48小時內(nèi)再次征得用戶同意;用戶有權(quán)關(guān)閉或退出業(yè)務(wù)功能,，相應(yīng)的途徑或方式應(yīng)與選擇使用該項業(yè)務(wù)功能的途徑或方式一樣方便。
“閱后即焚”暫難實現(xiàn)
“數(shù)據(jù)即力量已經(jīng)成為各方奉為圭臬的業(yè)務(wù)信條,。”吳沈括認為,，在個人信息已成為基礎(chǔ)性戰(zhàn)略資源和社會創(chuàng)新原動力的當下，海量個人信息的處理挖掘有助于經(jīng)濟發(fā)展和社會運行的創(chuàng)新升級,，個人信息處理活動的爆炸式發(fā)展,，將深度重塑現(xiàn)時的經(jīng)濟發(fā)展,、社會治理、人民生活,。
在一些采集場合,，會有數(shù)據(jù)如何處置的提示，但更多場合數(shù)據(jù)的存儲以及后續(xù)處置是一個黑箱,。“一想到我的人臉信息被不知道哪家企業(yè)存著,，或者還賣掉了，就很不安,，不知道什么時候會出問題,。”上述中新社人士說。
新版《規(guī)范》規(guī)定個人生物識別信息與個人身份信息應(yīng)分開存儲,，原則上不應(yīng)存儲原始個人生物識別信息(指樣本和圖像),，企業(yè)可采取的措施包括但不限于：存儲個人生物識別信息的摘要信息;在采集終端中直接使用個人生物識別信息實現(xiàn)身份識別、認證等功能;在使用面部識別特征,、指紋等實現(xiàn)識別身份,、認證等功能后，刪除可提取個人生物識別信息的原始圖像,。
也就是說,，按新版《規(guī)范》的建議，企業(yè)如果需要存儲個人生物識別信息,，應(yīng)僅存儲摘要信息,，刪除原始圖像。從技術(shù)上說,，這樣就不能還原人臉,，因此個人面部信息就能得到有效保護。但該規(guī)定是非強制性規(guī)定,，技術(shù)上的特征導(dǎo)致企業(yè)很可能并不會刪除原始圖像,。據(jù)業(yè)內(nèi)人士介紹，例如在一些智慧城市項目中,，可能會用到多家設(shè)備，而由于AI算法不兼容,，如果刪除了原始圖像,，就意味著每增加一個公司就要采集一次人臉信息，這顯然是不現(xiàn)實的,。
吳沈括認為,，對于目前的問題，應(yīng)該鼓勵研發(fā)升級生物識別信息保護應(yīng)用技術(shù),，豐富專門技術(shù)支撐,，例如生物識別信息的特別標示機制以便于溯源留痕,。為了切實保護消費者權(quán)益，還可以通過提升第三方(例如消費者保護組織)社會監(jiān)督介入水平,，促進社會多方參與治理生態(tài)的形成,，以及建設(shè)針對特殊高風險場景(如暗網(wǎng)平臺交易、境外平臺監(jiān)控以及勒索軟件攻擊等)的風險預(yù)警與安全響應(yīng)特別機制,，有效應(yīng)對生物識別信息泄露等嚴重安全問題,。
官方微信公眾號
官方微博
