肖飒团队 | 人脸识别监管难，到底差在哪儿？

与其他个人信息相比，人脸信息具有不可更改性，人脸数据能准确、真实、无法更改地识别信息主体；人脸识别技术具有无接触性，人脸信息的收集可以通过远距离、无感知的方式实现，因此人脸信息滥用的安全隐患呈现高危性。

这种风险隐患表现在以下两个方面。其一，隐私风险提升。人脸信息是一种敏感个人信息，间接关涉公民隐私与自由。当人脸所携带的信息与它所出现的时空信息相结合时，就能破解个人隐私，从而侵犯个人隐私。其二，安全风险恶化。人脸识别技术特点之一是“非受控制性”，这意味着人脸信息一旦被收集，信息控制者对信息使用将脱离信息主体控制，从而加剧信息被滥用的风险。

商业主体可基于此，形成线上与线下对消费者的全过程监控，获取数据，进行精准营销，消费者将面临无休止的商业推广轰炸，不法之徒可以此窃取盗刷公民的数字财产等。且人脸数据一旦泄露将导致不可逆的危害后果，因为人脸数据具有不可更换性，一旦泄露就是终身泄露，即便采取法律手段维权成功，也难以恢复原状，在救济效果上大打折扣。可见人脸识别信息不仅仅是对自然人生理特征的识别，而且将生物识别信息与个人身份、金融、行为、位置、偏好等信息对接，使得该信息具有更强的人身属性和财产属性。

人脸信息是个人核心隐私，也是敏感个人信息。从法理和学理来看，人脸识别信息在个人信息与隐私权之间存在交叉关系。法理上，《民法典》通过人格权而非肖像权对人脸信息予以保护，肯定了人脸信息的生物信息属性；在学理上，人脸识别信息不仅包括人脸信息，亦包括基于人脸信息采集的诸如个人标识型信息以及住址、电话号码等其他信息，将人脸识别信息认定为敏感个人信息乃至隐私，有利于降低自然人人格尊严被侵害的风险。《民法典》考虑到了个人信息与隐私的区别，但并未像规定个人信息一样对隐私的采集、处理等各个环节进行具体规定，故其更侧重于事后救济，在事前预防和事中限制中效力不强。当隐私权没有规定或无法有效救济受害人时，《个人信息保护法》可以弥补《民法典》之不足，比如查阅复制权、异议更正权、删除权，这些权利既可利用亦可防御。

在商业人脸识别技术应用中，自然人被人脸识别设备采集的信息应当是隐私权和个人信息的交叉概念，即“私密信息”。隐私权和个人信息的双重保护要求事前、事中阶段适用《个人信息保护法》以弥补《民法典》效力不足的缺陷。即当侵权事实发生时，适用《民法典》 隐私权相关规定；当隐私权没有受到《民法典》保护或无法有效救济受害人时，适用《个人信息保护法》相关规定，力求全面维护自然人的合法权益。因此，当人脸识别侵权发生时，受害人有权依照法律规定请求行为人承担民事责任，其不仅可以主张对个人信息权益进行救济，还可以主张对隐私权进行救济。同时应当在技术和法律上提高人脸信息收集、储存、使用的准入门槛，加强信息保护力度。