人脸识别技术风险该如何应对？
作者简介
李泽宁，22岁，山西省长治市人，中国石油大学（华东）2017级法学系学生，现保研至中国政法大学法学院宪法学方向。
原创文章，已得到独家授权，转载请添加公共微信“qmfmggwx2”进行接洽，取得许可后方可转载。对未经许可转载导致的侵权，本编辑部保留追究的权利。
目录
第1章 引言
第2章 人脸识别技术法律规制概述
第3章 我国人脸识别技术法律规制现状及存在的问题
第4章 国外人脸识别技术法律规制借鉴
第5章 我国人脸识别技术法律规制的完善对策
第6章 结语
摘要：作为新型生物特征识别技术，人脸识别技术具有易收集性、秘密性、复杂性等不同于传统身份识别技术和一般生物特征识别技术的特点，因具有较高的效率而在行政监管、公共服务、商业交易等社会各方面广泛应用。同时人脸识别技术带来了个人信息权、人权、国家信息安全三方面的法律风险，我国现行人脸识别技术法律规制体系存在立法体系不完善、行政监管缺位、被侵权人救济困难、行业自律孱弱的问题，难以应对人脸识别技术带来的法律风险。通过借鉴国外人脸识别技术法律规制的有益经验，我国人脸识别技术法律规制的完善应当从完善立法体系、加强行政监管、保障权利救济、促进行业自律四方面着手，在保障公民权益和国家信息安全的基础上充分发挥人脸识别技术的效率价值。
关键词：人脸识别；人脸信息；个人信息权
第1章 引言
随着生物特征识别技术的不断发展，人体的生物信息得到了大量的开发以满足大数据时代的信息需求，DNA识别、指纹识别、视网膜识别、虹膜识别、人脸识别等生物特征识别技术高速发展。1964 年，布莱索首创人脸识别技术算法，开启了人脸识别技术研究的大门，随着大数据时代的到来，互联网技术、算法处理技术、生物感应技术等高智能科技的出现，为人脸识别技术的大规模应用提供了成熟的技术基础。近年来从商业领域到公共领域都大量地应用了人脸识别技术。在行政监管领域，人脸识别技术在户籍管理、交通管制、治安管理、刑事侦查、国家安全、公共场所监控、失踪人口追踪、考生监管等工作中均被应用；在公共服务领域，“刷脸就医”、“刷脸入校”、社区出入、公积金查询、税费申报等方面也逐渐扩大对人脸识别技术的应用；在商业交易方面，人脸识别技术因具有的高效率得到了各大商业组织的青睐，自2018年支付宝率先启用“刷脸支付”试行“无人超市”以来，基于人脸识别技术的支付系统逐渐扩展到电影院、停车场、超市、零售店等各类商事体系中。此外，人脸识别技术还被开发出了娱乐应用价值，“刷脸相亲”、“换脸秀”等各类娱乐功能层出不穷。人脸识别技术对于建设智慧政府、智慧社会具有重要价值，2019年工信部发布《关于促进网络安全产业发展的指导意见（征求意见稿）》，对人脸识别技术等身份识别技术的发展予以政策支持，人脸识别技术的应用需求、应用规模不断升级。
人脸识别技术具有的高效率不仅方便企业进行商业交易和政府执行公务，也节省了民众消费、享受服务的时间成本，因此具有较高的接受度和使用率。但人脸识别技术的飞速发展也产生了安全风险，利用人脸识别技术的技术缺陷和管理漏洞进行的违法行为给人们的生活和社会秩序造成了巨大威胁。2019年，美国一家人工智能公司使用高仿制的3D面具在世界多地成功欺骗了人脸识别系统，其中就包括我国微信和支付宝的人脸识别支付程序。微软总裁布拉德·史密斯曾向世界发出警告，对人脸识别技术等面部特征技术的应用将会深化社会矛盾；谷歌母公司首席执行官桑达尔·皮查伊呼吁暂停人脸识别技术的应用。2021年4月9日，被称为“国内人脸识别第一案”的郭兵诉杭州野生动物世界有限公司案二审于杭州中院公开宣判。该案历时近两年之久，其中涉及的“人脸识别”问题引发国内舆论广泛关注。2019年4月27日，郭兵与妻子向野生动物世界购买双人年卡，并留存相关个人身份信息、拍摄照片及录入指纹。后野生动物世界向包括郭兵在内的年卡消费者群发短信，表示将入园方式由指纹识别变更为人脸识别，要求客户进行人脸激活，遂引发该案纠纷。相较于一般的服务合同纠纷，该案的重要意义在于引发了全社会对“人脸识别技术”这一新型身份识别技术的反思和检视。
我们身处大数据时代，信息就是社会发展的石油，信息技术则是挖掘石油的机器。人脸识别技术蛰伏着巨大经济利益，一味地停止使用并非合理选择。我国自党的十六大会议试用人脸识别技术以来，开启了人脸识别技术崭新的发展前景，构建完善的人脸识别技术法律规制体系对于我国大数据治理体系的发展具有关键作用。应当及时完善人脸识别技术法律规制体系，在保障技术安全的基础上充分发挥人脸识别技术的效率价值。社会技术日新月异，人脸识别技术已发展出不同于传统身份识别技术的诸多特性，现有法律规制体系难以适应人脸识别技术所带来的变革，亟需根据我国人脸识别技术的应用现状，借鉴国外人脸识别技术法律规制的有益经验，探寻我国人脸识别技术法律规制的完善策略。
第2章 人脸识别技术法律规制概述
2.1 人脸识别技术的概念
人脸识别技术是指通过生物感应器搜集人的面部图像或视频，与数据库中存储的人脸信息进行对比和匹配从而识别个人身份的一种生物特征识别技术，人脸信息指将人的面部图像经过算法处理后形成的数字化信息数据。人脸识别技术的运行包括信息采集、图像匹配和结果输出三个阶段。
在信息采集阶段，人脸识别技术无需借助被识别对象的配合，可以自行提取人脸信息，早期的人脸识别技术使用2D识别技术，被识别人需要保持静止以提供脸部静态图像，其精确度和安全度较低。晚近的人脸识别技术已相对成熟，可以应用3D识别技术。不仅可对静态面部状态进行识别，还可以对表情和脸部动作进行识别，其准确度已经远超肉眼，安全性也得到了提升。
在图像匹配阶段，人脸识别技术通过特殊算法处理，将所采集的人脸信息与预先获取的人脸信息标本进行比对。识别算法将采集的人脸图像数字化，在排除无关要素后提取其中的核心特征作为匹配素材与数据库中的人脸信息标本进行匹配，人脸特征的提取和处理能力直接影响到识别的准确度。
在结果输出阶段，根据采集信息和信息标本的匹配程度输出相应的结果，当匹配度高于某一标准值时则认定被识别者的身份为信息标本提供者，反之则输出否定结果。
2.2 人脸识别技术的特征
相较于其他生物特征识别和传统身份识别技术，人脸识别技术具有易收集性、秘密性、复杂性、不可脱敏性、不可修改性五大特征。
（1）易收集性
人脸识别技术采集的信息与自然生物识别采集的信息相同（即人与人之间的识别），无需被识别人提供诸如姓名、身份证号码等其他信息，只需要采集人们自然具有的面部信息就可以实现身份识别。因人脸识别技术较易采集信息，其可以同时对多个人脸进行识别，这在公共场所监控中极具应用价值。
（2）秘密性
人脸识别技术通过数字影像机器采集人脸信息，不需要被识别人的接触，只需要被识别人进入影像机器的捕捉范围即可。在实际应用中，影像机器往往置于特定场所入口处，被识别人在自然经过时即可完成识别从而不会引起被识别人的注意和感知，被识别人处于被动的配合状态，因此人脸识别技术可以在被识别人不知情的情况下秘密应用。其他生物特征识别技术则要求被识别人采取主动的配合行为，指纹、虹膜的采集都需要被识别人主动地与识别机器进行近距离的接触。人脸识别的秘密性一方面具有平和的属性，对被识别人的侵扰较少。另一方面，人脸识别的秘密性也可能导致对被识别人信息权益的秘密侵犯。
（3）复杂性
在技术要求方面，人脸识别技术远超其他生物特征识别技术。指纹识别、虹膜识别、DNA识别等所采集的对象都是稳定性极强的生物信息，即使受到严重损伤或经过较长时间都基本保持不变，而人脸并非固定不变的图像，因表情或脸部状态的不同都会产生不同的人脸信息。此外，人脸信息的识别对外界环境的要求也相较其他生物特征识别技术更为苛刻，天气、光线、识别角度的不同都可能影响人脸信息的识别过程，甚至被识别人的衣着、脸部装饰和发型的不同都可能产生不同的识别结果。人脸识别技术因而具有高度的复杂性以识别极易多样化的人脸信息，其算法处理的智能程度直接决定了人脸识别的准确度。目前，人脸识别技术供应商的成功率参差不齐，亚马逊的准确率为52.66%，谷歌和 IBM 分别为 40.43%和 39.36%, 微软只有 17.55%。准确度的限制使得人脸识别技术产生了极大的安全风险。
（4）不可脱敏性
数据脱敏是指对某些敏感信息通过脱敏程序进行处理，对敏感隐私数据“去标识化”以消除其中的人格指向，例如对个人简历数据中的家庭住址、身份证号等信息进行省略或遮蔽。脱敏旨在保障数据的可识别基础上去除数据中的人格属性，即使得被识别对象的隐私信息不会被暴露于公众视野当中。人脸识别技术所采集的人脸信息并不具备脱敏的可能性，人脸信息本身就是一种完全的人格表征，如果对其进行脱敏（对某一部分人脸图像进行遮挡）将导致人脸识别技术的不可执行，其本身就拒绝了人脸识别技术的应用。
（5）不可修改性
相较于非生物特征识别信息，生物特征识别信息普遍具有不可修改性。非生物特征识别信息例如账户的密码可以由账户所有者修改以保障账户安全，但生物特征信息则不具有可修改性，人的指纹、DNA都是无法修改的。人脸信息同样无法修改，在信息泄露后被识别人无法通过修改人脸信息以防止损害的发生。
2.3 人脸识别技术的法律风险
2.3.1 个人信息权风险
（1）人脸信息采集中“知情同意原则”的失效
“知情同意原则”是现代个人信息权保障的重要基本原则，用户知情同意与否是判断对个人信息和数据使用是否正当的标准。“知情同意原则”要求个人信息采集和使用主体明确告知用户并征求其同意，但在人脸识别技术应用中“知情同意原则”因用户弱势地位的外在因素和人脸识别技术秘密性的内在因素而难以发挥作用。
第一，用户弱势地位虚置“知情同意原则”。随着人脸识别技术应用的规范化，大部分服务供应商都会积极地执行“知情同意原则”，将人脸识别技术的应用告知用户并与其签订应用许可协议，ZAO、微信、支付宝、中国银行网银等软件都在启动人脸识别技术之前要求用户勾选相应的协议。但在当前市场环境内，用户实际上并不享有自主选择权。服务供应商往往将人脸识别技术的授权与其提供的服务进行捆绑，用户若不同意人脸识别技术应用协议，供应商将同时拒绝提供服务。用户如果以个人信息保护为理由拒绝提供人脸信息，将被排除在网络信息服务对象之外。在郭兵诉杭州野生动物世界有限公司案中，引发郭兵诉讼的动因即为野生动物世界要求郭兵接受人脸识别认证才可入园，否则不予提供服务。人脸识别技术本身只是身份识别技术的一种，用户本应可以通过多种途径验证自己的身份以获得相关服务，但服务供应商为获取人脸信息而利用其强势地位变相强制用户同意，使得“知情同意原则”难以发挥实效。
第二，人脸识别技术的秘密性逃脱了“知情同意原则”的约束。如前所述，人脸识别技术无需被识别人的配合，可以秘密应用。传统身份识别技术需要被识别人的积极配合，因此告知并征求同意成为服务供应商获得个人信息的当然前置程序，“知情同意原则”可以得到供应商的自觉履行。但人脸识别技术可以在不被用户察觉的情况下自动获取并识别其人脸信息，使得供应商可以绕开“知情同意原则”擅自使用人脸识别技术。知名“换脸软件”ZAO被叫停的原因之一就是未明确告知用户人脸识别技术的采集和使用权限。中国消费者协会发布的《100款软件个人信息收集与隐私政策测评报告》中指出，有10款软件在进行人脸识别信息等生物特征识别信息采集前并未告知用户并征求其同意。人脸信息本身就较易被采集，服务供应商对人脸识别技术的秘密使用将使其可以绕过“知情同意原则”直接采集用户的人脸信息，对用户的个人信息安全构成巨大威胁。
（2）人脸识别技术的误判风险
人脸识别技术具有极强的复杂性，在其完善至臻前对人脸信息的识别具有一定的误判风险。2017年发布的苹果iPhoneX被证实，只要花费200美元制作一张3D面具就可以欺骗其人脸识别系统以解锁手机。2019年美国《财富》杂志报道Kneron公司使用高仿制的3D面具欺骗了包括支付宝和微信在内的大量人脸识别支付程序。同年亚马逊的一项人脸识别产品误将美国众议院21位议员错误识别为罪犯。2019年《都市快报》报道，浙江嘉兴的一位小学生，用一张打印的照片骗过了丰巢快递柜，无需取件码就顺利取出了快递柜内的包裹。人脸识别技术虽然发展迅速，但其精确度仍未达到较高水平，使用Thatsmyface、ＲEAL－f等3D面具就可以实现30%的人脸识别系统破解率。除人脸仿制技术对人脸识别技术的负面影响外，人脸本身的相似性也给人脸识别技术带来较大的应用困难，长相相似的人很可能使人脸识别系统发生误判，从而侵犯本人的个人信息权。
（3）人脸信息使用和流转权的泛化
在人脸信息的使用和流转阶段中，服务供应商往往不当利用人脸识别技术，擅自扩张使用和流转权限侵害用户的个人信息权。服务供应商权利的泛化主要包括权利主体的泛化和权利内容的泛化两方面。
第一，权利主体的泛化。人脸识别技术的商业应用会形成一个由多家服务供应商组成的商业链条，与用户直接接触的往往只是其中一个服务供应商，通常是人脸信息的采集者。在用户与其签订的人脸识别技术应用协议中往往只告知用户该服务供应商对人脸信息的采集和使用，未对后续的人脸信息使用主体进行披露。在采集者对人脸信息的使用中，可能将用户的人脸信息提供给其他服务供应商，从而超出了用户最初的授权范围。这将使用户的人脸信息面临后续的多重泄露和非法流转风险，每一个非法获得人脸信息的主体都有可能再次将用户的人脸信息进行一次甚至多次流转，从而使用户面临的信息安全风险呈指数式增长。
第二，权利内容的泛化。人脸识别技术本身只是一种身份识别工具，即识别某一个体是否为相关服务的享有者，但在大数据时代下信息和数据就是使大数据分析系统运转的“石油”，人脸信息在大数据分析中具有极高的经济价值。服务供应商往往将用户的人脸信息用于身份识别之外的用途，联合用户在网络购物、社交平台等信息网络中的其他信息进行用户的行为特征分析、心理画像、地理坐标分析等等进行“杀熟”。由于算法的“黑箱”状态，用户对于服务供应商的一系列行为难以感知，从而使得服务供应商极易滥用人脸信息，侵犯用户的权利。政府部门则有可能利用通过公务活动获得的人脸信息对公民进行监控，侵犯公民自由。
（4）人脸信息泄露的不可逆性
人脸识别技术具有不可修改性，人脸信息一旦发生泄露将使权利主体难以获得有效的救济。一般的个人信息和数据发生泄露时，用户可以通过修改密码等方式及时止损。但人脸信息则不具有修改的可能，一旦发生泄露用户只能坐视损害的发生，对人脸信息泄露的事后救济困难重重。2019年2月，我国深网视界公司就曾发生重大信息泄露事件，因其信息数据系统存在的漏洞导致数百万人的人脸识别信息被泄露，虽及时修复系统漏洞，但给用户造成的巨大损失已难以挽回。
2.3.2 基本权利风险
（1）私权力监控下的差异化歧视
网络监控是大数据时代下的企业获得经济效益的重要方式，通过对用户电子邮件、浏览历史、位置数据等等个人信息进行监控以榨取用户的剩余价值。企业通过算法监控和分析获得了足以影响用户行为的“私权力”。人脸信息作为重要的用户画像信息也难逃被监控的命运，但因人脸信息具有强烈的人格属性，对人脸信息的监控和利用造成了大量的差异化歧视。大量企业利用用户的人脸信息进行“杀熟”，为用户量身定做购物价格；美国迈阿密的公共秩序监控系统重点监控黑人群体和西班牙移民；美国麻省理工学院对微软等知名企业人脸识别技术的研究发现，人脸识别技术识别女性时的出错率要比男性高约35%。企业滥用人脸识别技术分析用户的种族、性别、年龄等信息，极易造成种族歧视、性别歧视、价格歧视等差异化歧视。
（2）公权力监控下的基本权利减损
公权力主体对人脸识别技术的应用可能减损公民的基本权利。人脸识别技术能够识别群体当中某一个具体的个人，个体在群体当中的隐匿性是激励人们进行群体政治活动的重要因素，如果公权力主体滥用人脸识别技术将限制公民行使集会、游行、示威等基本权利的意愿。如果公民时刻处于被识别的可能当中，其人身自由和言论自由的表达意愿也将被缩减，公民基本权利受到实质上的减损。在全球首宗人脸识别技术执法应用案－英国南威尔士警方使用人脸识别技术执法案中，一审、二审法院均指出了警方对参加游行的原告使用人脸识别技术所造成的人权风险。美国众议院曾有7位议员发起请愿禁止政府使用人脸识别技术，认为该项技术将极大地限制公民的言论自由。人脸识别技术对于建设智慧政府具有重要意义，但若放任公权力主体对人脸识别技术的应用将使社会堕入乔治·奥威尔在《1984》中描写的极权监控状态，摧毁法治秩序。当公权力可以具体监控到每一个个体，将造成寒蝉效应。人民因恐惧于遭受国家处罚，或是无力承受所必将面对的预期耗损，放弃行使其正当权利，进而打击公共事务、社会道德、个人信心。随着公、私权力的融合，公民的权利和自由面临双重威胁，构建完善的人脸识别技术法律规制体系对于避免公民暴露于双重监控之下具有重要意义。
2.3.3 国家信息安全风险
据IDC预测，2019年中国网络安全市场总体支出达到73.5亿美元，2019年至2023 年预测期内的年复合年均增长率（CAGR）为25.1%。近年来，国外间谍机构和反华势力积极从事窃取我国信息的违法活动，人脸信息作为一种识别性和人格性极强的个人信息，若被境外机构和势力窃取将对我国信息安全造成重大威胁。目前我国人脸识别技术缺乏统一、规范的规制体系，给国家信息安全带来巨大隐患。
2.4 人脸识别技术法律规制的价值定位
法律规制指通过国家制定或认可的行为规范来调整部分社会关系或者社会现象，包括静态意义上行为规范的制定和动态意义上行为规范的执行。法律是社会最后的调节器，社会关系只有具备一定的调整必要才会进入法律规制的范围。人脸识别技术的应用浪潮已经席卷社会各个领域，在为社会提供高效率服务的同时，人脸识别技术也带来了诸多风险，有必要对其进行法律规制。在进行具体的法律规制设计前，应当明确人脸识别技术法律规制所具有的价值属性，在基本价值的引导下最优化规制功能。人脸识别技术法律规制的价值定位包括安全和效率两个层面。安全价值是人脸识别技术法律规制的基础价值，任何新兴技术只有在安全有序的轨道上发展才能为社会带来正外部性产出。如果无法保障公民权利和国家信息安全，人脸识别技术将加剧社会矛盾，甚至危及国家安全。效率价值是人脸识别技术法律规制的导向价值，安全不是人脸识别技术的最终目标，安全要求只是实现人脸识别技术效率价值的必要条件，是手段而非目的。人脸识别技术的发明和应用都是服务于社会进步的效率目标，效率既是其诞生的原因，亦是其追求的结果。因此，对人脸识别技术的法律规制不能简单粗暴地牺牲效率以保障安全，一味地禁止或者禁用固然可以一劳永逸地实现技术安全，但已经违背了法律规制的初衷。应当在保障必要的安全前提下，最大化人脸识别技术的发展空间，充分实现其效率价值。
第3章 我国人脸识别技术法律规制现状及存在的问题
3.1 我国人脸识别技术法律规制现状
我国人脸识别技术法律规制体系如表3-1所示。
在立法方面，我国人脸识别技术最早的规制文件是国家标准GB/T30268~30269，该两项国家推荐性标准规定了信息技术生物特征识别应用程序接口（BioAPI）的符合性测试方法和规程。该标准实行时人脸识别技术尚未展开应用，其主要针对的是指纹、DNA等传统生物特征识别信息。最早对人脸识别技术进行规制的法律是刑法中对侵犯公民个人信息犯罪的规定，但该罪只是对公民的个人信息群概括保护，尚未针对性的规制人脸识别技术。网络安全法和电子商务法同样是对公民个人信息概括保护，两法首先确立了合法原则、正当原则、必要原则、公开原则、明示同意原则、保密原则等一系列约束网络运营者和电子商务经营者的规制原则，对于指导人脸识别技术的应用具有重要意义。作为民事领域基本法的民法典最晚出台，其将公民的个人信息和数据作为民事基本权利进行保护，具有划时代意义。《信息安全技术个人信息安全规范》、《个人金融信息保护技术规范》、《互联网个人信息安全保护指南》则有针对性地对人脸识别技术进行了规定，从相关信息的界定、收集、储存、使用、各方权利义务等方面进行了详细阐述，为人脸识别技术的规制提供了相对明确的执行标准。此外，针对包括人脸信息在内的公民个人信息专门立法《个人信息保护法》已纳入立法规划当中，其草案已经向社会公开征求意见。
在行政监管方面，人脸识别技术法律规制体系并未有专门的监管立法，行政部门主要以行政执法领域的三大基本法《中华人民共和国行政许可法》《中华人民共和国行政处罚法》《中华人民共和国行政强制法》为依据，结合前述规范性文件对人脸识别技术的应用进行监管。实际上，由于缺少具体明确且具有效力的执行规则，行政部门对于专业性极强的人脸识别技术的应用处于被动执法状态。当发生严重社会事件时行政部门才能依据极其基础的规则进行监管，难以发挥事前和事中监管作用，使人脸识别技术的应用过程几乎处于零监管状态。
3.2 我国人脸识别技术法律规制存在的问题
3.2.1 立法体系不完善
（1）人脸信息的法律性质界定不明确
除《信息安全技术个人信息安全规范》将人脸信息明确界定为个人敏感信息外，其他法律或国家标准均未对人脸信息的法律性质进行明确界定，导致实务界和学界关于人脸信息的法律性质意见不一。一种解释认为人脸信息具有强烈的人格属性，应界定为民法典中肖像权、隐私权的权利客体，并通过传统的侵权责任法进行规制。另一种解释认为人脸信息并不直接表现为公民的肖像，而属于算法处理过程中的信息数据，应当界定为民法典中个人信息权的权利客体，通过网络安全法、电子商务法等信息权利法进行规制。针对上述两种解释还有主张兼采传统侵权路径和信息权利保障路径同时进行规制的观点，对人脸信息的法律性质界定不明确使得现行法律体系内部缺乏规范的逻辑结构，难以发挥有效的规制作用。
（2）未形成有机统一的立法体系
我国法律规制体系并未对人脸识别技术等生物特征识别技术进行专门立法，只是对公民个人信息概括保护。但生物特征识别技术本身不同于传统身份识别技术，而人脸识别技术又具有一般生物特征识别技术所不同的特点，概括保护难以发挥实际的规制作用，甚至可能因内涵不清导致规制的空白。此外，我国关于个人信息的立法体系纷繁复杂，各个法律之间存在交叉规范的情形。网络安全法和电子商务法均从不同角度对人脸信息等个人信息予以规制，但实际上属于重复立法，而且两法之间存在互相准用的情形，形成了“推诿扯皮”的紊乱状态。
（3）可操作性与强制性不匹配
我国人脸识别技术法律规制体系呈现出“管得着的难操作、可操作的管不着”的特点，具有强制性效力的法律不具有明确的可操作性，而具有可操作性的规范性文件则缺乏强制性效力。刑法和民法典对个人信息的规定仅仅是一种基础性规则，旨在为人脸识别技术法律规制体系提供正当性来源，本身并不具有可操作性。网络安全法和电子商务法也只规定了规制原则和极其简单的法律规则，例如网络安全法第四十一条第一款规定：“网络运营者收集、使用个人信息，应当遵循合法、正当、必要的原则，公开收集、使用规则，明示收集、使用信息的目的、方式和范围，并经被收集者同意。”同样不具有可操作性。国家标准GB/T30268~30269、《信息安全技术个人信息安全规范》等国家标准虽提供了相对具体甚至稍显繁琐的操作规范，但其均不具有强制性效力，同样难以发挥规制作用。
3.2.2 行政监管缺位
从人脸识别技术法律规制本身的需求来看，相对专业的行政机关或者行政机关委托的专业机构更适合对快速发展的新兴技术进行规制，甚至主要规制功能都需要依靠行政监管来实现。网络安全法和电子商务法均采用准用性规则的立法模式，将其他法律、行政法规作为规制人脸识别技术的具体依据，电子商务法第二十三条规定：“电子商务经营者收集、使用其用户的个人信息，应当遵守法律、行政法规有关个人信息保护的规定。”网络安全法第四十一条第二款规定：“网络运营者不得收集与其提供的服务无关的个人信息，不得违反法律、行政法规的规定和双方的约定收集、使用个人信息，并应当依照法律、行政法规的规定和与用户的约定，处理其保存的个人信息。”电子商务法甚至将法律责任交由其他法律来规定，其第七十九条规定：“电子商务经营者违反法律、行政法规有关个人信息保护的规定，或者不履行本法第三十条和有关法律、行政法规规定的网络安全保障义务的，依照《中华人民共和国网络安全法》等法律、行政法规的规定处罚。”可见行政监管是人脸识别技术法律规制的关键环节，而我国目前尚未有行政监管领域的人脸识别技术立法，由于未有专门的人脸识别技术监管主体、审查标准和处罚程序，行政监管几乎处于休眠状态。
3.2.3 被侵权人救济困难
无救济则无权利，不论通过何种路径规制人脸识别技术都需要完善的权利救济规则才能有效规制人脸识别技术的应用，但现行侵权责任路径和信息权利路径都难以充分救济被侵权人的权利。
第一，肖像权和隐私权的救济路径有违法理。人脸识别技术应用过程中并不涉及对肖像权概念下肖像的利用，而是将权利人的肖像转化为一种信息数据加以使用，因此肖像权的救济规则难以约束人脸识别技术的应用。此外，在一般情况下人脸都是公开展示的，不属于隐私权的客体范畴。人脸识别技术的应用赋予了人脸图像以数字识别功能，其技术指向对象并不是人脸而是人脸信息所对应的身份信息，人脸信息本身只是被识别人通过识别程序获取其他权利或许可的“钥匙”。将人脸信息解释为隐私权客体来规制人脸识别技术较为牵强，且人脸识别技术本身具有的特点也难以被隐私权所涵盖。
第二，个人信息权保护困难重重。侵权责任法、网络安全法和电子商务法都对人脸识别技术侵权的归责原则采过错原则。人脸识别技术具有秘密性和复杂性的特点，即便要求服务供应商披露相关算法和信息，被侵权人也难以证明其存在过错。更何况服务供应商往往以商业秘密为由拒绝公开算法程序，甚至直接否定其曾对被侵权人应用人脸识别技术。由于人脸信息的泄露带来的实际损害可能具有滞后性，被侵权人也难以证明实际损失的存在，但人脸信息具有不可修改性，其一旦造成损失就难以挽回，因此存在被侵权人“未受损则无法救济，已受损亦难以救济”的困境。古罗马法彦云“举证之所在，败诉之所在”，现行证明标准使得被侵权人承担较高的败诉风险，得不到有效救济。
3.2.4 行业自律孱弱
国家标准GB/T30268~30269、《信息安全技术个人信息安全规范》等国家推荐性标准虽然为人脸识别技术应用行业提供了规范指引，但我国尚未形成统一的行业规范。支付宝曾在2019年提出《生物识别用户隐私与安全保护倡议》开启了我国人脸识别技术等生物特征识别技术行业规范的形成道路，但我国人脸识别技术的行业自律体系尚未形成，不具有现实规制作用。
第4章 国外人脸识别技术法律规制借鉴
4.1 国外人脸识别技术法律规制的考察
美国和欧盟最早对人脸识别技术进行法律规制，其人脸识别技术法律规制体系相对完善，其他国家在对人脸识别技术进行法律规制时亦多借鉴美国和欧盟的规制模式。美国的区别化规制模式和欧盟的统一化规制模式已成为国际上两大人脸识别技术法律规制的典型样本。
4.1.1 美国的区别化规制模式
美国人脸识别技术法律规制采用“地方专门立法、主体区别对待”的区别化规制模式，未制定联邦层级的统一法律而由各州根据地方情况自行制定专门法律对人脸识别技术进行规制，并且根据人脸识别技术的应用主体是公权力主体还是商业性机构进行区别化规制。
（1）地方专门立法
伊利诺伊州是美国最早对人脸识别技术进行法律规制的州，2009年伊利诺伊州通过《伊利诺伊州生物特征信息隐私法案》（Illinois Biometric Information Privacy Art，以下简称 IBIPA），随后华盛顿州、得克萨斯州、加利福尼亚州等相继出台规制人脸识别技术的法案。美国各州的人脸识别技术规制法案均将人脸信息作为传统隐私权的客体加以保护，通过制定专门的人脸识别技术隐私法案或将其纳入已有的隐私法案中进行规制，例如加利福尼亚州就是通过《加利福尼亚消费者隐私法案》（California Consumer Privacy Act，以下简称CCPA）对人脸识别技术进行规制。IBIPA是美国各州中最完备和成熟的法案，其他各州基本沿用了伊利诺伊州的立法进路，研究IBIPA对于我国人脸识别技术法律规制具有重要借鉴意义。
IBIPA对立法目的、专业概念、各方权利义务关系、被侵权人救济途径以及行政监管体系都进行了详细的规定。IBIPA明确了只有经过人脸识别技术识别和转化后的信息数据才属于规制的对象，将人脸本身排除出规制范围。IBIPA指出人脸信息等生物特征信息本身具有强烈的人格属性且带有财产权性质，因而有特别立法保护的必要。针对人脸识别技术应用中各方的权利义务，IBIPA赋予了信息权利主体知情权、同意权、信息自决权，同时设定了人脸识别技术应用主体的通知义务、安全保障义务和合法处理义务。IBIPA还设置了人脸识别技术的三重禁止：禁止购买人脸信息、禁止从人脸信息中获利、禁止擅自使用人脸信息（将人脸信息与不具有隶属关系的第三方共享或超出授权之外的其他目的的使用）。为平衡对人脸信息的利用需要，IBIPA还规定了三种豁免情形作为三重禁止的例外：权利主体授权豁免、立法授权豁免、司法授权豁免，人脸识别技术应用主体在三种豁免情形下可以不受三重禁止的限制使用人脸信息。除以上较为详实的规定外，IBIPA最具开创意义的是赋予了公民对于违反IBIPA的行为向地方法院提出诉讼的权利，而在得克萨斯州该项权利则由司法部长行使，公民并没有提出诉讼的权利。关于被侵权人的证明责任，IBIPA持一种宽容的态度，并不要求被侵权人证明实际损害的存在，而是赋予其可以在实际损害和法定赔偿金中选择较高者请求赔偿的权利。在2019年的一个案件中，伊利诺伊州最高法院裁定原告即使未证明实际损害也有权请求赔偿。伊利诺伊州最高法院认为人脸信息具有不可修改性，只要被告违反了IBIPA对原告造成的损害就是“现实和重大的”，如果要求原告在受到实际损害之后才能获得损害赔偿的话，则与IBIPA的立法目的相悖。为保障IBIPA的有效实施，IBIPA设置了专门的执行机构“生物特征信息隐私调查委员会”对人脸识别技术应用主体进行监管。IBIPA对于人脸识别技术应用的具体规范、救济权利、监管体系进行了全面、详尽的规定，建构起“法律－政府－公民”三位一体的规制模式，切实有效地保障了公民的人脸信息权益。
（2）主体区别对待
根据应用人脸识别技术主体的不同，美国各州对公权力主体和商业性机构采取了区别化对待的规制模式。各州对于公权力主体应用人脸识别技术进行较为严格地限制，采“禁止是原则，许可是例外”的规制原则，对于商业性机构的态度较为缓和，采“许可是原则，禁止是例外”的规制原则。
2015年加利福尼亚州旧金山市通过《禁止秘密监控法令》（Stop Secret Surveillance Ordinance），禁止一切公权力主体应用人脸识别技术。2019年马萨诸塞州萨默维尔市通过《禁止面部技术监控法令》（Banning the Usage of Facial Technology Surveillance in Somerville），禁止一切公权力主体应用面部监控技术或者其他任何技术获取和使用人脸信息。2019年加州奥克兰市通过了新修订的《奥克兰政府法典》（Oakland Municipal Code），同样对公权力主体应用人脸识别技术采取严厉禁止的态度。对于商业性机构应用人脸识别技术，各州法律均未严格禁止，而是规定了相应的先决条件和规范程序以在保障公民信息安全的基础上发挥人脸信息的价值。IBIPA和CCPA均采此种模式，在商业性机构充分履行通知义务、安全保障义务等法定义务的情形下允许其应用人脸识别技术，并且规定了可以免责的豁免条件。
4.1.2 欧盟的统一化规制模式
欧盟人脸识别技术法律规制采用“欧盟统一立法、主体统一对待”的统一化规制模式，通过欧盟《通用数据保护条例》（General Data Protection Regulation，以下简称GDPR）进行欧盟层面的统一规制，各国根据GDPR分别立法，并且不区分人脸识别技术的应用者是公权力主体还是商业性机构而对应用主体进行统一规制。
GDPR并未针对人脸信息进行单独立法，而是将各类生物特征信息置于个人信息数据保护体系之下。不同于美国将生物特征信息的法律性质界定为隐私权的客体，GDPR将生物特征信息界定为个人敏感信息，视为一项具有人格利益和财产利益的综合性权利，甚至将其上升为一项宪法权利。在Michael Schwarz v. Stadt Bochum案中，原告的请求权基础即为个人数据权利而非隐私权，欧洲联盟法院也认为生物特征信息应视为公民的一项宪法性权利。GDPR对于人脸识别技术采取较为严格的限制态度，基本持与美国对公权力主体应用人脸识别技术相同的“禁止是原则，许可是例外”的规制原则，GDPR规定了“禁止处理”、“明示同意”、“法定必须”三大基本原则作为个人敏感信息的规制原则。“禁止处理”原则禁止一切主体对可唯一识别公民身份的生物特征信息进行采集、使用、流转、储存等处理行为；“明示同意”原则要求一切主体在将生物特征信息用于商业性使用前必须获得信息权利主体的明示同意；“法定必需”原则规定了可以不经过信息权利人同意就可以处理生物特征信息的情形，例如社会公共利益的需求、法律授权等。此外，GDPR授权欧盟成员国可以对生物特征信息的处理增设额外的限制条件，但不可缩减GDPR规定的限制条件，对人脸识别技术的应用形成了极为严格的规制体系。
4.2 国外人脸识别技术法律规制的启示
4.2.1 安全和效率的平衡
欧盟对于人脸识别技术的应用采取了非常严格的限制，虽然有利于保障公民的信息安全，但是不利于发挥人脸识别技术的效率价值，欧盟互联网和信息技术之所以呈欠发达状态，对人脸识别技术等信息技术的限制过于严格就是一个重要因素。美国虽然对人脸识别技术的商业性利用持相对宽容的态度，但对公权力主体的限制亦未免太过严苛。人脸识别技术在行政监管和公共服务领域均能提供高效的技术支持，对于提升政府效率具有重要意义。应当兼顾安全和效率，赋予公权力主体和商业性机构有限的应用权限，以最大化人脸识别技术的收益。
4.2.2 监管与救济的完善
法律的生命在于实施，美国伊利诺伊州的IBIPA得益于其完善的监管制度和救济程序，欧盟的CDPR则得益于其明确的操作规范可供各国执行。我国人脸识别技术法律规制存在的两大问题即行政监管的缺位和被侵权人救济困难，导致相关法律规范不能发挥实效，徒成具文。在制定人脸识别技术法律规范的同时，应当完善相应的监管和救济等配套制度，赋予法律规范以生命。
第5章 我国人脸识别技术法律规制的完善对策
我国人脸识别技术法律规制存在诸多问题，难以应对人脸识别技术所带来的个人信息权风险、基本权利风险和国家信息安全风险。应当在对欧美人脸识别技术法律规制的实践借鉴的基础上结合我国语境，通过完善我国人脸识别技术立法体系、加强人脸识别技术的行政监管、保障被侵权人的权利救济、促进人脸识别技术应用行业的行业自律四方面来完善我国人脸识别技术法律规制。
5.1 完善立法体系
5.1.1 规制模式的选择
就立法体系方面，我国更宜采用欧盟式统一化规制模式，由中央统一立法主导人脸识别技术法律规制。人脸识别技术的应用涉及个人信息权、基本权利甚至国家安全，有必要由中央进行统一立法，且其本身受地域影响不大，普遍性较强，采用统一化规制模式能实现更高效、协调一致的规制效果。实际上美国已经开始探索建立统一化规制模式，美国国会于2019年开始《商业人脸识别隐私法案》（Commercial Facial Recognition Privacy Act）的审议工作，试图制定联邦层面的统一规制法案。就国情而言，我国作为单一制国家更适合采用欧盟式的统一化规制模式，构建中央统一立法、地方细化立法的人脸识别技术法律规制体系。
就应用主体方面，我国更宜采用美国式区别化规制模式，针对公权力主体和商业性机构应用人脸识别技术进行不同的规制。公权力主体和商业性机构滥用人脸识别技术所带来的损害是不同的。商业性机构滥用人脸识别技术无非追求更高的经济利益，只能侵犯公民的财产性权利和体现人格尊严的隐私权，公权力主体滥用人脸识别技术则可能侵犯公民的集会、游行、示威自由、人身自由、言论自由等基本权利，其造成的损害将远远超乎商业性使用的程度，危及法治国家的建设。应当对公权力主体应用人脸识别技术采取更为严格的限制。
5.1.2 明确人脸信息的法律性质
概念是法律体系的基础，明确人脸信息的法律性质是完善人脸识别技术立法体系的先决条件，对人脸信息法律性质的界定将直接决定所采取的规制进路。美国将人脸信息作为隐私权的客体加以保护，欧盟则将其作为公民个人信息权的客体，我国人脸识别技术法律规制体系未对人脸信息等生物特征信息的法律性质进行明确界定，仅有部分国家标准或行业标准进行了界定。隐私权是一种精神性的人格权，而个人信息权则是一种兼具人格利益和财产利益的权利，隐私权的价值定位在于维护私人的私密空间不被公开，而个人信息权的价值定位在于充分保障权利主体的信息自决权。隐私权是一项消极被动的防御性权利，个人信息权则是一项积极主动的功能性权利。人脸图像被人脸识别技术转化为信息数据后已经不再以肖像的形态存在，而是属于存在于虚拟网络空间的信息，将人脸信息作为个人信息权客体更符合民事权利体系的内在逻辑。美国之所以将人脸信息作为隐私权客体予以保护是因其具有完善和发达的隐私权保护体系，且其隐私权的内涵非常宽泛，依靠美国发达的法解释学就可以实现对个人信息权的保护，无需增设新制度进行规制。但我国的隐私权保护体系本身并不发达，而且隐私权的内涵非常狭窄不能涵盖个人信息权，如果扩张隐私权的内涵，则会破坏本不发达的隐私权保护体系，应当将人脸信息界定为个人信息权的客体予以专门保护，并在法律层级上对人脸信息的性质进行明确界定。民法典已经将个人信息权作为一项与隐私权并列的基本民事权利，体现了大数据时代下隐私权与个人信息权功能分化的发展态势。从现实意义上看，《信息安全技术个人信息安全规范》等国家标准已建构起以个人信息为定位的人脸识别技术规范体系，电子商务法、网络安全法亦对新型个人信息权利进行了基础性规范，将人脸信息作为个人信息予以规制能够充分发挥现行规制体系的实践经验。
5.1.3 制定专门立法
（1）个人信息权区别于隐私权的专门立法
民法典第一百一十一条之规定是我国人脸识别技术法律规制体系的地基，其将隐私权与个人信息权予以分别规定，旨在突出个人信息权的特性。下位立法应当遵循民法典确立的规制进路对人脸信息等个人信息进行专门立法，以区别于传统的隐私权规制进路。当前个人信息权益的立法主要为网络安全法和电子商务法，但其存在重复立法的情形。网络安全法第四十一条规定：“网络运营者收集、使用个人信息，应当遵循合法、正当、必要的原则，公开收集、使用规则，明示收集、使用信息的目的、方式和范围，并经被收集者同意。”电子商务法第三十二条规定：“电子商务平台经营者应当遵循公开、公平、公正的原则，制定平台服务协议和交易规则，明确进入和退出平台、商品和服务质量保障、消费者权益保护、个人信息保护等方面的权利和义务。”然网络运营者和电子商务平台经营者实际上是包含与被包含的关系，两法之规定重复琐碎，应当以个人信息为核心进行专门立法以系统规定，我国正在制定的个人信息保护法实为必要。但并无针对人脸识别技术进行单独立法规制的必要，人脸信息属于个人信息的子概念，其具有一般个人信息的共性，宜将其作为个人信息专门立法的专章予以规制。
（2）人脸信息区别于一般个人信息的专门规定
虽无对人脸识别技术进行单独立法规制的必要，但应在个人信息保护法中对人脸信息进行单独规定。人脸识别技术具有不同于传统个人信息技术和生物特征识别技术的易收集性、秘密性、复杂性、不可脱敏性特点，应当在个人信息的共性规定之外，针对人脸信息的特点进行单独规定。我国于2020年10月公布的《中华人民共和国个人信息保护法（草案）》中将个人生物特征信息作为敏感个人信息区别于一般个人信息予以单独规定，但“敏感个人信息的处理规则”一节仅有四条原则性和准用性规则，“国家机关处理个人信息的特别规定”一节中亦仅有五条类似的规则。个人信息保护法将个人生物特征、医疗健康、金融账户、个人行踪等多项特殊信息统一作为敏感个人信息予以概括规定难以应对人脸识别技术所带来的法律风险。应当对人脸信息的使用进行单独和具体的规定或者建立“民法典－个人信息规制法－生物特征信息规制法－人脸信息规制法”的一般法与特殊法协调规制体系，以应对人脸识别技术所带来的各项法律风险。
5.1.4 合理配置立法权限
我国人脸识别技术法律规制体系“管得着的看不见、看得见的管不着”的问题主要是由相关法律和国家标准的可操作性与强制性不匹配造成的，其根本问题在于立法权限的分配。全国人民代表大会和全国人民代表大会常务委员会并不具有专业的人脸识别技术立法能力，其制定的网络安全法、电子商务法包括正在审议的个人信息保护法均只进行了原则性和基础性的规定，缺乏可操作性。应当吸收专业组织或行政机关所制定的GB/T30268~30269、《信息安全技术个人信息安全规范》等国家推荐性标准中的具体规定，通过法律授权赋予其强制执行的效力，或者将其上升为国家强制性标准强制实施。为适应技术专业化的需求，最适宜的方案是赋予相关专业组织或行政机关以起草法律或者制定法律法规规章的权限，以最大化地发挥其专业优势，使相关法律法规规章具备可操作性。
5.1.5 人脸识别技术应用中的权利义务配置
（1）配置理念：以安全为基础、以效率为导向
人脸识别技术在行政监管、公共服务、商业交易等领域都有大量的应用，对人脸识别技术的规制应当落脚于“有序使用”而非“严格禁止”。严格禁止人脸识别技术的应用固然可以解决其所带来的法律风险，但也抹杀了人脸识别技术所带来的社会效益，不利于技术的发展和社会的进步。如果过分偏向权利保障则不利于人脸识别技术效率价值的实现。单个的人脸信息对于信息权利主体的价值和其存在于集合的人脸信息中对于公权力主体和商业性机构的价值是不同的，通过人脸识别技术的应用能发挥单个人脸信息识别功能之外的大数据处理功能。人脸信息作为大数据时代的一种信息石油，应当通过资源最优化配置以分配信息权利。同样亦不能过分偏向人脸信息的公务使用或商业使用，而忽略了信息权利人的人格利益和财产利益期待，使公民完全暴露于私权力监控和公权力监控之下。对人脸识别技术应用中各方权利义务的配置应当抱持以安全为基础、以效率为导向的理念，在保障信息安全的情况下，尽可能地发掘人脸识别技术的效率价值。
（2）配置原则：比例原则
人脸识别技术应用主体包括公权力主体和商业性机构两大主体，大数据时代的到来催生了商业性机构的“私权力”。私权力虽不是严格意义上的权力（Power）但具有相类似的特性，都属于一种强制性影响力，只不过私权力的这种属性不是由法律所赋予而是由事实上的强势地位产生的。针对人脸识别技术应用中存在的强制性关系，应当采用公法领域的基本规制原则——比例原则来对人脸识别技术应用中的权利义务进行配置，包括合目的性、手段侵害最小性、狭义比例原则三项子原则，以平衡安全与效率之间的紧张关系。
第一，合目的性原则。人脸识别技术的应用应当符合法律所规定的目的，即实现人脸识别技术的效率价值，超出此项目的的应用应当予以禁止，例如利用人脸识别技术进行“杀熟”、歧视对待甚至兜售人脸信息均不符合人脸识别技术的应用目的。
第二，手段侵害最小性原则。如果通过其他更温和的技术手段可以实现身份识别功能及效率价值，则不应当应用人脸识别技术。例如当视网膜识别或指纹识别在某一场景中的应用效果与人脸识别相同时，则应当应用视网膜识别而不能应用人脸识别。在郭兵诉杭州野生动物世界案中，动物世界本可以采取其他手段实现入园身份认证，却强制郭兵接受人脸识别技术服务协议就违反了手段侵害最小性原则。
第三，狭义比例原则。应用人脸识别技术所获得的效率价值应当大于给信息权利主体所带来的权益风险或实际损害，否则就不应当应用人脸识别技术。例如人脸识别技术应用主体在人脸信息的流转中擅自将用户的人脸信息与第三方主体共享，虽然能获得较大的经济价值但因使用户面临超出原始授权的巨大侵权安全风险而应当被禁止，人脸信息一旦在流转中泄露或被不当利用将给用户带来难以挽回的巨大损失。
（3）配置内容：人脸信息的采集、使用、流转
对人脸识别技术应用中具体权利义务的配置包括人脸信息的采集、使用和流转（包括储存）三个范畴。
第一，在人脸信息的采集阶段落实知情同意。首先，应当平衡服务供应商与用户之间的实质不平等地位，禁止服务供应商利用其强势地位将所提供的服务与人脸识别技术应用协议进行捆绑。对于人脸识别技术服务协议中以用户同意应用人脸识别技术应用协议作为获得服务的条件的条款，应当认定为不合理限制用户权利的格式条款而无效，以消除用户只享有“知情权”不享有“同意权”的尴尬境地。其次，应当建立技术监测制度以禁止秘密应用人脸识别技术的行为。服务供应商可能利用人脸识别技术的秘密性绕过告知和征求同意程序直接对用户进行人脸识别，应当设定技术监测制度授权专业的行政机关或者第三方机构对人脸识别技术的应用进行监测，一旦发现人脸识别技术的应用立即审查其是否具有用户的授权许可，同时为用户提供监测服务，用户可以主动申请其对某一服务进行监测。
第二，在人脸信息的使用阶段防止不当利用。服务供应商对人脸信息的使用应仅限于用户初始的授权范围，接受合目的性原则的规制。人脸识别技术的应用不得超出用户的授权范围对人脸信息进行处理，禁止通过用户的人脸信息分析其种族、行为轨迹、心理画像等敏感特征，防止私权力监控对公民造成差异化歧视。公权力主体不得超出法律授权范围对被识别人进行人身监控，防止公权力监控减损公民的基本权利。对人脸信息的使用是算法程序的处理过程，被识别人无法辨别其人脸信息是否被不当利用，应当引入第三方监控制度，授权专业的行政机关或者第三方机构对人脸识别技术的算法程序进行审查以监控人脸信息的使用过程。此外，为减少人脸识别技术的误判风险，在应用人脸识别技术的同时应当参照其他合法获得的信息共同对被识别人的身份进行判断。
第三，在人脸信息的流转阶段禁止越权共享。服务供应商擅自与其他主体共享其所获得的人脸信息已经超出用户的原始授权，给用户带来极大的安全风险。但服务供应商之间擅自流转用户的人脸信息同样难以被用户察觉，用户作为终端接受者只能识别服务供应商输出的信息而不能识别参与该信息形成的输入信息。例如某网购平台为用户推送个人推荐商品时，用户无法识别商品推送种类是根据其消费记录得出的还是根据其人脸信息进行心理画像得出的。因此当服务供应商之间共享用户的人脸信息时，用户无法识别某一服务供应商提供给他的服务是基于该服务供应商独立的数据分析作出的还是借助其他服务供应商提供的人脸信息作出的。应当设定人脸信息标识制度对人脸信息的流转进行规制，设置人脸信息的编码程序，授权行政机关登记公民户籍信息程序中采集个人信息时应用编码程序对其人脸信息进行编码，使公民的人脸获得一个数字化的“身份证号”。在用户授权服务供应商对其人脸信息进行采集时通过编码程序再对用户的基础人脸信息编码进行加码，使得公民的授权可以被算法识别，当公民并未授权给某一服务供应商时，即使其获得了其他服务供应商提供的人脸信息也无法使用，同时编码程序将对未授权的流转行为予以识别并进行处罚。通过人脸信息标识制度可以剥夺人脸信息非法流转的可得利益，并使相关的处罚得以落实，从而限制人脸信息的非法流转。
此外，针对公权力主体对人脸识别技术的应用应当采取更严格的规制措施。个体在公共场合之合理权利期待是判断公权力主体使用人脸识别技术是否合法之重要前提，若个体有权主张其具有合理权利期待时，公权力主体之识别行为必须要有立法之授权或法院之裁定。是否具有合理权利期待应以个体的主观感受为标准，即个体是否明确知悉相关公共场景处于人脸识别技术的监控之下，禁止公权力主体进行秘密监控。在人脸识别技术运用终结后，公权力主体应当立即销毁人脸信息数据库，禁止重复利益，以防止其利用先前合法获得的人脸信息对公民的人身自由和言论自由进行监控。同时禁止公权力机关设立秘密的人脸信息数据库，必须公布其保存的人脸信息情况。
5.2 加强行政监管
行政监管是我国现有人脸识别技术法律规制体系的实施和完善的重要手段，前述技术监测制度、第三方监控制度、人脸信息标识制度都需要行政监管予以实现。目前行政监管缺位的主要原因是缺乏相应的授权规定和可执行的操作规范，在完善立法体系形成明确的可操作性规范后，应当授予行政机关监管权限，并组织专门的信息技术监控部门对人脸识别技术的应用进行审查。同时赋予行政机关相应的委托权限，允许其可以将部分审查事务委托给专业的社会机构以最优化监控效率。专门的信息技术监控部门还可以与公安机关配合协作，为公安机关侦查侵犯公民个人信息类犯罪提供专业协助，形成行政、刑事一体化监管体系。此外，应当建立境外应用特别许可制度，对境外组织或者个人在我国应用人脸识别技术进行专项规制，以保障国家信息安全。境外组织或个人在我国应用人脸识别技术之前，应当向我国政府提出应用申请，经由专门的信息技术监控部门、国家安全机关等政府部门的审查，得到专项许可之后方可在我国应用人脸识别技术。境外组织或个人应当在许可期限终结或者许可项目完成时停止应用人脸识别技术，并立即销毁相关的人脸信息，若需要延长许可期限或者实施新项目，应当重新提出许可申请。同时应当禁止境外组织或个人自行应用人脸识别技术，应当要求将人脸识别技术的应用委托我国的行政机关或者专业机构代为执行，执行期间由专门的信息技术监控部门予以监督。
在加强行政监管的同时也应当关注对行政机关本身的约束，应当建立审查汇报制度引入第三方调查机构对行政机关应用人脸识别技术的行为进行审查，将审查结果直接向权力机关汇报以规制行政机关对人脸识别技术的应用。
5.3 保障权利救济
5.3.1 降低实际损害证明标准
人脸信息具有不可修改性，泄露人脸信息所带来的损失是难以挽回的，只能通过事后赔偿来填补被侵权人的损失。而且实际损害可能不会立即出现，这种滞后性使得被侵权人在实际损害发生之前无法对侵权行为进行诉讼。应当降低被侵权人对实际损害的证明标准，以使其能在实际损害出现之前及时获得救济。只要被侵权人能够证明存在人脸信息泄露等侵权行为，就应当认定人脸识别技术应用主体已经侵犯了被侵权人的个人信息权，使被侵权人的个人信息暴露于未知的危险当中，侵害了个人信息权所保护的法益，从而使其能够提前获得损害赔偿。我国可以借鉴国外的法定损害赔偿金制度，只要侵权行为出现，被侵权人无需证明实际损害的出现就可以向侵权人索求法定赔偿金。如果实际损害已经出现，被侵权人可以在法定赔偿金和实际损害之间选择较高的赔偿数额以充分保障其个人信息法益。
5.3.2 适用过错推定归责原则
被侵权人对人脸识别技术并不了解，难以证明侵权人存在过错，现有的过错责任归责原则使得被侵权人难以获得救济。人脸识别技术应用主体对人脸识别技术的具体构造和运作程序更加熟悉，由其证明自己在人脸识别技术的应用过程中不存在过错是更有效率的证明责任分配方式。但亦不宜对人脸识别技术应用主体苛以严格的无过错责任，人脸识别技术本身还在发展完善当中，在其具体应用中难免存在应用主体无法控制的风险，且人脸信息的应用往往是以集群形式出现，如果采纳无过错责任归责原则将使人脸识别应用主体面临巨大的侵权风险。应当对人脸识别技术侵权行为采用过错推定的归责原则，如果人脸识别技术应用主体通过披露、解释相关处理记录来说明算法处理程序符合相关规定，则可以免除其因技术意外而产生的侵权责任。
5.4 促进行业自律
人脸识别技术应用主体是最熟悉人脸识别技术的专家，其自觉遵守人脸识别技术应用规范的效率要远远高于行政监管的效率，成本也最低。因人脸识别技术所具有的经济价值，目前我国人脸识别技术应用行业自觉建构行业规范的意愿较低，可以在行政监管体系完善之后由政府牵头引导企业形成人脸识别技术应用的行业规范。并通过组建专门的行业自律协会来监督各企业执行国家法律法规和行业规范，设置人脸识别技术应用黑名单对违反行业道德的企业进行内部制裁，建构成熟的行业自律体系。
第6章 结语
黑格尔曾说：“法律绝非一成不变的，相反地，正如天空和海洋因风浪而起变化一样，法律也因情况和时运而变化。”法学作为社会科学的下游产业，必须对日新月异的社会事实进行回应。人脸识别技术的成熟与发展为人类享受便捷生活和维持社会秩序带来了巨大的效益，但同时也招致了大数据时代下的法律隐忧。尼尔·波兹曼在《娱乐至死》中发出警告：“两种方法可以让文化精神枯萎，一种是奥威尔式的——文化成为一个监狱，另一种是赫胥黎式的——文化成为一场滑稽戏。”随着大数据技术的快速发展，私权力主体和公权力主体对个体的监控不断加强，社会逐渐滑向《1984》中被“老大哥”时刻监控的极权秩序中。面对人脸识别技术这一极具侵略性的身份识别技术，必须铭记“人只能是目的而不是纯粹的工具”的道德律令，尽快完善我国人脸识别技术法律规制体系，以保障个体在大数据监控下的安全感和幸福感。同时应当意识到人脸识别技术对于社会和国家发展所具有的巨大潜力，正如遗传学家杰荷姆·雷杰所说：“科学本身并不值得我们惧怕，重要的是我们如何运用科学。科学能产生最好和最坏的结果。真正的危险在于人自己。”应当引导人脸识别技术进入有序的发展道路，为建设智慧社会和科技强国发挥其效率价值。
人脸识别技术的应用和规制在国外已相对成熟，我国近几年才展开对人脸识别技术的关注。我国人脸识别技术法律规制刚刚起步，仍有诸多问题亟待解决。虽已经将人脸信息等个人信息权益的保护列入立法规划，但距离人脸识别技术法律规制体系的建成和落地仍然山高路远，完善我国人脸识别技术法律规制任重而道远。
参考文献
[1] 罗斌,李卓雄.个人生物识别信息民事法律保护比较研究——我国“人脸识别第一案”的启示[J].当代传播,2021(01):77-81.
[2] 孙道锐.人脸识别技术的社会风险及其法律规制[J].科学学究,2021,39(01):12-20+32.
[3] 邢会强.人脸识别的法律规制[J].比较法研究,2020(05):51-63.
[4] 商希雪.生物特征识别信息商业应用的中国立场与制度进路——鉴于欧美法律模式的比较评价[J].江西社会科学,2020,40(02):192-203+256.
[5] 王俊秀.数字社会中的隐私重塑——以“人脸识别”为例[J].探索与争鸣,2020(02):86-90+159.
[6] 潘林青.面部特征信息法律保护的技术诱因、理论基础及其规范构造[J].西北民族大学学报(哲学社会科学版),2020(06):75-85.
[7] 郭春镇.数字人权时代人脸识别技术应用的治理[J].现代法学,2020,42(04):19-36.
[8] 林凌,贺小石.人脸识别的法律规制路径[J].法学杂志,2020,41(07):68-75.
[9] 许静文.人脸识别技术与安全风险治理问题研究[J].甘肃政法大学学报,2020(06):135-146.
[10] 文铭,刘博.人脸识别技术应用中的法律规制研究[J].科技与法律,2020(04):77-85.
[11] 孙楠. 人脸识别技术应用的法律规制研究[D].吉林大学,2020.
[12] 陶悦平. 人脸识别技术的安全风险及法律规制[D].山东大学,2020.
[13] 周坤琳,李悦.回应型理论下人脸数据运用法律规制研究[J].西南金融,2019(12):78-87.
[14] 本刊讯.亚马逊、微软、谷歌、IBM人脸识别技术对比分析[J].数据分析与知识发现,2018,2(09):9.
[15] 张凌寒.算法权力的兴起、异化及法律规制[J].法商研究,2019,36(04):63-75.
[16] 蒋洁.人脸识别技术应用的侵权风险与控制策略[J].图书与情报,2019(05):58-64.
[17] 王利明.论个人信息权的法律保护——以个人信息权与隐私权的界分为中心[J].现代法学,2013,35(04):62-72.
青苗法鸣长期&专题征稿：
青苗法鸣向全体青年学人进行长期征稿和专题征稿！
一、长期征稿：
主要推送法学、文学、哲学、政治学、社会学、经济学等人文社会科学学科的学术类、思想类稿件，体裁不限，论文、时评、书评、影评、案例分析、译文等皆可。
以来稿质量为采用之标准，欢迎篇幅适中、论证详实、观点独到的稿件，来稿字数原则上不少于3000字。不对作者身份做要求，鼓励本科生练笔发声、交流进步。
为规范用稿，提高编辑质量和效率，来稿请以Word文档通过附件发至投稿邮箱：qmfmbjb@163.com，并在邮件标题注明“投稿青苗法鸣”，邮件正文中附上150字内的作者简介（内容不限，需包含作者姓名等基本信息，亦可附上照片）。对于所收稿件，我们会尽快安排评审，并在3天内回复审稿结果。
稿酬等详情请点击：累计5000人投稿的平台征稿了
二、专题征稿：
1.针对本次的短期专题征稿，我们将对收稿文章的基础稿酬提高200%，激励性稿酬不变。收稿的质量要求仍保持不变。务必在来信标题中注明“投稿青苗法鸣+专题征稿+xxxx”。期限及文章要求请点击：投稿，一键擦亮你的520曝光值
2.本轮专题征稿聚焦的主题
民法典时代的民法学术与实务
人工智能领域相关法律问题
互联网平台反垄断的理论与实务问题
同性情侣同居期间的人身与财产关系
中国共产党百年的法治建设史
传染病防治领域的法治发展
以骑手为例的新型劳务（劳动）关系的法律适用
离婚冷静期适用的理论与实务分析
推荐阅读
投稿邮箱：qmfmbjb@163.com
主题；篇幅；体例
青苗学人交流群
长按扫描二维码添加青苗微信号，加入青苗学人交流群，一同交流、分享！
本文责编 ✎ 稻壳豚
本期编辑 ✎ 倩妹儿