中國消費者報報道(記者武曉莉)工業和信息化部信息通信研究院的一份報告指出，以人臉識別為主要對象的用戶生物識別信息，在用戶不知情或未明示同意的情況下被收集使用，以用戶可感知的方式呈現。但信息是如何被收集、通過何種渠道共享傳播，普通用戶難識別、難舉證。較多應用并未通過隱私政策或其他途徑告知用戶收集使用信息的目的、方式和范圍，也未向用戶提供明確的允許和拒絕的選擇，這種累積性的權益侵害在日常生活中普遍存在，引發了用戶的嚴重擔憂。生物識別信息過度收集、使用的亂象亟待解決。
在立法和消費者權益保護層面，現狀、手段以及未來趨勢如何?用戶在什么層面可以說“不”?公共安全采集的界限在哪里?生物識別信息能“閱后即焚”嗎?本報記者就此進行了采訪。
常被要求刷臉令人焦慮
最近，記者用一個下午的時間集中辦了幾件事。在辦事過程中記者發現，不知從何時起，人臉識別應用已經普遍到令人驚訝的地步了。
先是補手機卡。記者記得商場里有運營商的營業廳，就先去了商場。進門的時候被要求查驗健康碼，然后通過架設好的人臉識別機器測試溫度。進去后發現商場里沒有營業廳，但看見商場旁邊有銀行，便想去打印個賬單，結果又被刷臉一次。
后來找到的營業廳是一個小小的門臉，進門不用健康碼也不用刷臉，但補卡信息填完后，營業員拿出一個手持刷臉掃描儀說：“正對著，慢慢眨眼，向左轉頭、向右轉頭，低頭、抬頭，好了。”她解釋說，這是運營商要求的實名制辦理流程，不刷臉就不能補卡。
補完卡往回走，以前穿過一個小區是近路，但由于疫情的原因，小區已經封閉了。此時記者看見一個家長接放學的孩子，孩子一溜小跑沖到門口，對著門上的人臉識別門禁掃了一下，門開了，孩子很興奮地喊媽媽一起進去。
繞行的路上有一個學校，兩個學生模樣的人在試門禁卡，打不開。路邊的快遞小哥喊：“別試了，昨天就關了，要刷臉才行。”
……
不僅如此，手機上的APP也會不時跳出“開通人臉識別功能”的提示。“人臉識別技術顯然正在被加速應用到生活的方方面面，已經由不得你了。”中國新聞社一位人士對記者說，“我們小區馬上要安裝人臉識別門禁了，不刷就回不了家。機場、商場、小區、銀行到處都要求人臉識別，如果拒絕，就進不去，但這些很難說都是出于公共安全的需要。我個人覺得目前的主要安全隱憂不是刷臉本身，而是采集范圍過度、強制采集以及儲存、使用、銷毀等層面不能充分告知，導致大家對這個事情很焦慮。”
期待更強有力的法律保護
如何界定收集行為是否出于公共安全的需要?個人可以說“不”嗎?個人對生物信息的收集、存儲、共享、轉讓是否有知情權?
北京師范大學網絡法治國際中心執行主任、中國互聯網協會研究中心秘書長吳沈括認為，生物識別信息固有的特殊性和敏感性，決定了此類信息的濫用更容易產生嚴重的社會危害。事實上，生物識別信息被各類主體違法收集、惡意使用以及非法買賣等安全事件頻頻發生，與之伴生的電信網絡詐騙甚至人身傷害等惡性案件，都讓公眾廣泛期待更強有力的法律保護。
據吳沈括介紹，《個人信息保護法(草案)》(以下簡稱《草案》)提出了更高水平保護要求的解決方案。
首先，立法者明確規定生物識別信息屬于“敏感個人信息”，也就是說，只要是“一旦泄露或者非法使用,可能導致個人受到歧視或者人身、財產安全受到嚴重危害的個人信息”,包括種族、民族、宗教信仰、個人生物特征、醫療健康、金融賬戶、個人行蹤等，都屬于敏感個人信息。對這些信息的處理，立法者要求基于個人同意，并且要求信息處理者不僅應當取得個人的單獨同意，還應當向個人告知處理敏感個人信息的必要性以及對個人的影響。
此外，《草案》還針對在公共場所安裝圖像采集、個人身份識別設備的特殊場景做出專門規定，強調應當為維護公共安全所必需，并設置顯著的提示標識。所收集的個人圖像、個人身份特征信息，只能用于維護公共安全的目的，不得公開或者向他人提供。
今年10月1日起，由國家市場監督管理總局和國家標準化管理委員會聯合制定的《信息安全技術個人信息安全規范(GB/T35273-2020)》(以下簡稱新版《規范》)正式生效。業內人士認為，與2017年的舊版相比，新版《規范》最顯著的變化是對使用生物識別信息的各個環節做出了較為詳細的規定，尤其是在使用知情權方面，對個人生物識別信息的收集、存儲、共享、轉讓等各個環節都提出了具體要求。
從收集方來看，按新版《規范》要求，企業要單獨向個人用戶告知收集和使用生物識別信息的目的、方式和范圍、存儲時間等規則，取得個人用戶明示同意。原則上不應共享或轉讓個人生物識別信息，確需共享和轉讓的，仍應當單獨向用戶告知目的、信息類型等內容，并征得個人用戶的同意。此外，還要求企業不應公開披露個人生物識別信息。
從被收集方來看，新版《規范》規定不能通過功能捆綁強迫用戶接受個人信息收集，而應該逐一告知用戶擴展業務功能，逐項獲得用戶明示同意后再開啟;用戶拒絕開啟擴展業務功能收集個人信息，企業不得拒絕提供基本業務功能或者降低服務質量，并且不得在48小時內再次征得用戶同意;用戶有權關閉或退出業務功能，相應的途徑或方式應與選擇使用該項業務功能的途徑或方式一樣方便。
“閱后即焚”暫難實現
“數據即力量已經成為各方奉為圭臬的業務信條。”吳沈括認為，在個人信息已成為基礎性戰略資源和社會創新原動力的當下，海量個人信息的處理挖掘有助于經濟發展和社會運行的創新升級，個人信息處理活動的爆炸式發展，將深度重塑現時的經濟發展、社會治理、人民生活。
在一些采集場合，會有數據如何處置的提示，但更多場合數據的存儲以及后續處置是一個黑箱。“一想到我的人臉信息被不知道哪家企業存著，或者還賣掉了，就很不安，不知道什么時候會出問題。”上述中新社人士說。
新版《規范》規定個人生物識別信息與個人身份信息應分開存儲，原則上不應存儲原始個人生物識別信息(指樣本和圖像)，企業可采取的措施包括但不限于：存儲個人生物識別信息的摘要信息;在采集終端中直接使用個人生物識別信息實現身份識別、認證等功能;在使用面部識別特征、指紋等實現識別身份、認證等功能后，刪除可提取個人生物識別信息的原始圖像。
也就是說，按新版《規范》的建議，企業如果需要存儲個人生物識別信息，應僅存儲摘要信息，刪除原始圖像。從技術上說，這樣就不能還原人臉，因此個人面部信息就能得到有效保護。但該規定是非強制性規定，技術上的特征導致企業很可能并不會刪除原始圖像。據業內人士介紹，例如在一些智慧城市項目中，可能會用到多家設備，而由于AI算法不兼容，如果刪除了原始圖像，就意味著每增加一個公司就要采集一次人臉信息，這顯然是不現實的。
吳沈括認為，對于目前的問題，應該鼓勵研發升級生物識別信息保護應用技術，豐富專門技術支撐，例如生物識別信息的特別標示機制以便于溯源留痕。為了切實保護消費者權益，還可以通過提升第三方(例如消費者保護組織)社會監督介入水平，促進社會多方參與治理生態的形成，以及建設針對特殊高風險場景(如暗網平臺交易、境外平臺監控以及勒索軟件攻擊等)的風險預警與安全響應特別機制，有效應對生物識別信息泄露等嚴重安全問題。
