■ 7月28日，最高人民法院发布了《关于审理使用人脸识别技术处理个人信息相关民事案件适用法律若干问题的规定》，8月1日起施行。在《个人信息保护法》即将于本月中旬三审之际，这一文件的出台引发了社会强烈关注。其也因事关所有人切身利益，而迅速成为社会焦点。各方评论踊跃，为此，“小贝说安全”团队的核心成员、中国信息安全研究院副院长左晓栋以国家标准《信息安全技术 人脸识别数据安全要求》责任专家身份，发表对此事的解读。
《关于审理使用人脸识别技术处理个人信息相关民事案件适用法律若干问题的规定》（后文简称《规定》）制定的背景是：人脸识别数据属于敏感个人信息中的生物识别信息，是生物识别信息中社交属性最强、最易采集的个人信息，具有唯一性和不可更改性，一旦泄露将对个人人身财产安全造成极大危害，甚至可能威胁公共安全。近年来因滥用人脸识别数据出现大量民事诉讼，很多属于新问题，审判难度较大，故最高法此次发文，对相关问题作出司法统一规定。
《规定》发布以来，很多机构和专家都作了详细解读，对外界了解文件内容、依法维护自身权益以及企业机构正确实施人脸识别技术起到了很好的效果。无疑，《规定》是以保护安全为目的的文件，现有解读也多侧重于如何理解人脸识别数据处理规则。但安全从来不是发展的对立面，《规定》的出台也不是为了迟滞技术应用。要从技术角度避免两类对《规定》的“误读”，切实促进新技术的正确应用。
一、“人脸识别”不等同于“摄像头”，对人脸识别技术的限制不是对摄像头的限制
摄像头不就是拍脸的吗？这不是一回事吗？至少脸是在里面的。区分这两者有什么意义？
大有意义。《规定》规范的是人脸识别，而不是摄像头。因为随着对人脸识别数据保护意识的增强，技术上已经实现了，不用采集人脸等生物特征信息，通过摄像头采集其他信息便可完成对身份的识别，再辅以强有力的安全措施，便可达到既保护个人身份信息也辅助智能决策的目的。
例如，《规定》指出，在宾馆、商场、银行、车站、机场、体育场馆、娱乐场所等经营场所、公共场所违反法律、行政法规的规定使用人脸识别技术进行人脸验证、辨识或者分析，人民法院应当认定属于侵害自然人人格权益的行为。这意味着，在经营场所、公共场所使用人脸识别技术，应主要是为维护公共安全等之所需。这样的话，房企利用人脸识别技术甄别消费者来源这样的恶性事件就可以得到有效治理，用户再也不用“戴着头盔去看房”了。
但现实中，至少存在三种在公共场所通过摄像头识别个体而开展业务的合理应用：
一是新零售中的“客流数据分析”。一般情况下，这是通过在商业区域入口安装摄像头进行智能统计，实现统计客流数据的智慧化，此时尚不涉及对单个个体的识别。但也有需识别个体的场景，例如商场可能会统计每一个人在各楼层逗留的时间，甚至关心个人分别在各楼层、各专柜逗留的时间，以此对销售策略进行调整。在线下实体经济遭遇寒冬情况下，数字化营销被认为是行业未来发展方向。怎么识别出位于不同楼层、专柜的是同一个人？最初的确是使用人脸识别技术，但目前最先进的人工智能技术已经可以做到通过衣着（完全不是生物特征）识别一个人，且系统中只存储临时分配给该人的一段随机代号，该人离开商场后所有信息完全擦除。
二是快速通行。某人在完成一次身份核验后（核验未必涉及人脸识别），那么在后续需要验证身份的场合，经摄像头识别后可以直接通行。由于快速通行场景简单，通行完毕后所有信息即刻删除。
三是轨迹重建。有时候需要为用户重建其行经的路线，这就必须能够识别不同位置的同一个人，典型如停车场寻车。用户在大型购物商场返回停车场时，停车场就可以提示用户，其汽车停在哪里，因为自用户停车入位开始，摄像头就已经开始对该用户进行识别。用户驱车离开后，所有信息也不会留存。不要小看这项技术，想一想山城重庆。重庆某大型购物中心有四栋停车楼，A栋的3楼和B栋的3楼可能差着2层，每天曾有100多人找车找到怀疑人生，目前找不到车的人数已经下降到每天5人之内，那还是因为其中一栋楼没有使用这项技术。
以上这些功能都可以不再通过人脸识别技术实现，而是识别人的非生物特征，且系统中不存储个人标识信息，所有信息也不离开封闭空间，用户离开后信息自动删除。
这些有意义的应用为人工智能技术的发展揭示了无限的可能，它使用了摄像头，但没有使用人脸识别技术，识别的不是生物特征，这是我们强调必须将两者区分的原因。
这也反映了技术发展与法律规制之间的辩证关系。规制并不一定是坏事，规制可以促进新技术的产生。所以技术界不要总去怪法律，是你技术界没有找到新的突破点。而法律也不要总想通过限制技术应用而防范风险，要意识到一些风险是可以通过技术进步化解的。
二、经个人同意扫描其人脸，不等于就可以随意使用人脸识别技术
《规定》有很大篇幅对使用人脸识别技术的使用条件作了规范。例如，物业以人脸识别作为业主出入小区的唯一验证方式的，业主可以拒绝，或要求其提供其他合理验证方式。但反过来，如果业主同意物业使用人脸识别技术，那物业就可以放飞自我了吗？
当然不是。
这正是当前各方解读《规定》时疏漏的第二点。《规定》以不太容易被人注意的方式提到了人脸“验证、辨识、分析”这几个字（“违反法律、行政法规的规定使用人脸识别技术进行人脸验证、辨识或者分析”）。而这恰恰是人脸识别技术的三种应用方式。在不同场景下，三种应用方式涉及的具体技术要求截然不同，不等于可以随便使用。
人脸验证是将采集的人脸识别数据与特定自然人的人脸识别数据进行比对（称为1：1比对），以确认特定自然人是否为其所声明的身份。典型应用包括机场、火车站的人证比对。这种情况下，系统内部并不存储个人身份信息，而是现场证明某人是某人，事后系统内也不应该存储人脸识别数据。
人脸辨识是将采集的人脸识别数据与已存储的指定范围内的人脸识别数据进行比对（称为1：N比对），以识别特定自然人。典型应用包括公司门禁、小区门禁、公园入园等。这种情况下，系统里需要先期录入用户的人脸识别数据，形成人脸识别数据库。应用人脸识别技术的目的是证明现场这张脸是库里的若干张脸之一。
人脸分析是指不开展人脸验证或人脸辨识，仅对采集的人脸图像进行统计、检测或特征分析。典型应用包括体温检测、图片美化等。
显然，不同场景下，人脸识别技术应用各有不同的严格限制。例如，对小区门禁这种“人脸辨识”场景，其属于一种1：N比对。那么，系统只要返回“这张脸是库里的其中一张脸”就可以了，即证明了这张脸是业主的，业主可以进去。但至于这是库里的哪一张脸，姓甚名谁，家住几楼几门几号，则完全不必要显示，因为现实中也不需要作这样的验证。否则，物业就完全掌握了小区业主家里有没有人、住户外出了几天等敏感信息。
因此，不是满足了“个人同意”这一前提条件，就可以随便使用人脸识别技术了。《规定》所暗指的三种人脸识别技术应用方式，是最应该向外界解读清楚的。这在国家标准《信息安全技术 人脸识别数据安全要求》中也有明确规定。
三、牢记“四个坚持”，始终将保发展作为安全的最终目标，以更高站位做好政策解读
习近平总书记指出，党的十八大以来，我们的网信事业取得了历史性成就，其中一个原因是把握好了安全和发展、自由和秩序、开放和自主、管理和服务的辩证关系。2019国家网络安全宣传周期间，总书记进一步作出了“四个坚持”的重要指示：
“国家网络安全工作要坚持网络安全为人民、网络安全靠人民，保障个人信息安全，维护公民在网络空间的合法权益。”
“要坚持网络安全教育、技术、产业融合发展，形成人才培养、技术创新、产业发展的良性生态。”
“要坚持促进发展和依法管理相统一，既大力培育人工智能、物联网、下一代通信网络等新技术新应用，又积极利用法律法规和标准规范引导新技术应用。”
“要坚持安全可控和开放创新并重，立足于开放环境维护网络安全,加强国际交流合作，提升广大人民群众在网络空间的获得感、幸福感、安全感。”
近几年，为防范人脸识别等人工智能技术快速应用带来的安全风险，中央网信办牵头起草了关于人脸识别技术应用的管理政策，并指导全国信息安全标准化技术委员会制定了国家标准《信息安全技术 人脸识别数据安全要求》。在参与这些工作的过程中，我始终感到，我们都不是预言家，对技术发展要足够敬畏。一百多年前，爱迪生为了证明交流电不安全，当众电死了一头大象，并拍下电影巡回播放。当我们在面对新技术带来的一个又一个安全风险时，会比当年看到大象被电死的人感到更多的恐惧吗？
天下大势，浩浩荡荡。顺之者昌，逆之者亡。在历史的大潮中，为了对新技术发展少犯错、不犯错，我们需要永远牢记总书记的重要指示：坚持促进发展和依法管理相统一。
｜小贝结语｜
■ 《关于审理使用人脸识别技术处理个人信息相关民事案件适用法律若干问题的规定》无疑是一份重要的文件，但其作为司法解释，主要目的是为了指导人民法院审判个人信息相关民事案件。对人脸识别技术的全面规范，可能还需要一个较长的过程。目前，《信息安全技术 人脸识别数据安全要求》仍在征求意见稿阶段，政策文件甚至还没有对外征求意见。这都显示了这个问题的复杂性。但我们相信，只要科学处理安全与发展的关系，只要坚持“以人民为中心”的发展思想，任何新技术终将会沿着正确轨道发展，造福国家与人民。
声明：本文来自小贝说安全，版权归作者所有。文章内容仅代表作者独立观点，不代表安全内参立场，转载目的在于传递更多信息。如有侵权，请联系 anquanneican@163.com。
