人臉識別濫用現象有望得到遏制。4月23日，《信息安全技術 人臉識別數據安全要求》 國家標準（征求意見稿）開始面向社會公開征求意見。
南都記者對比發現，《個人信息保護法》草案中人臉識別相關的規定在此次擬出臺的國標中幾乎都有體現，收集人臉識別數據時應征得數據主體明示同意、機構場所應同時提供非人臉識別的身份識別方式等。此外，國標還規定人臉識別數據不應用于評估或預測數據主體工作表現、經濟狀況、健康狀況、偏好、興趣等，劍指無感抓拍人臉背后的精準營銷。
有專家分析，國標的制定將對行業發展起到重要引導作用，為執法檢查提供依據。不過，目前的難點還是在于如何平衡信息保護與產業發展的關系，“不能一禁了之。”
2019年1月21日，旅客在武漢火車站“刷臉”進站乘車。 新華社發（彭琦 攝）
刷臉須征得明示同意，不應用于預測經濟狀況
國標總結了當前涉及人臉圖像處理的三類場景，包括人臉驗證（1：1比對，常用于機場、火車站的人證比對）、人臉辨識（1：N比對，常用于公園入園、小區門禁等）、和人臉分析（不用于開展人臉驗證或辨識，常用于人流量統計、體溫檢測等）。對于這三類場景，國標規定了基本安全要求、安全處理要求和安全管理要求，涉及人臉信息的收集、存儲、使用、委托等各環節。
尚處于審議階段的《個人信息保護法》草案第二十七條對人臉識別也有相關規定：在公共場所安裝圖像采集、個人身份識別設備，應當為維護公共安全所必需，遵守國家有關規定，并設置顯著的提示標識。所收集的個人圖像、個人身份特征信息只能用于維護公共安全的目的，不得公開或者向他人提供；取得個人單獨同意或者法律、行政法規另有規定的除外。第三十條規定，基于個人同意處理敏感個人信息的，個人信息處理者應當取得個人的單獨同意。
南都記者觀察發現，《個人信息保護法》草案中人臉識別相關的規定在國標中幾乎都有體現，如收集人臉識別數據時，應向數據主體告知收集規則，包括但不限于收集目的、數據類型和數量、處理方式、存儲時間等，并征得數據主體明示同意；不應收集未授權自然人的人臉圖像；應設置數據主體主動配合人臉識別的機制（注：主動配合指要求數據主體直視收集設備并做出特定姿勢、表情，或者通過標注“人臉識別”的專用收集通道等。）；不應公開披露人臉識別數據，原則上不應共享、轉讓人臉識別數據。
此前，媒體曾多次報道零售商店、售樓處等公共場所安裝帶有人臉識別功能的監控攝像頭，收集用戶信息。如今，不論是“征得同意”，還是“數據主體主動配合”的規定，都將遏制人臉識別系統在監控功能中的濫用。
此外，國標對此前的法規中沒有提到的內容做了明確。例如，該標準規定，應同時提供非人臉識別的身份識別方式，并提供數據主體選擇使用。這意味著，機構或場所不得強制個體進行人臉識別。
國標還對人臉識別的用途做了限制，規定人臉識別數據不應用于除身份識別之外的其他目的，包括但不限于評估或預測數據主體工作表現、經濟狀況、健康狀況、偏好、興趣等。標準提到，處理人臉識別數據時應遵循最小必要原則。不應存儲人臉圖像，經數據主體單獨書面授權同意的除外。
個人授權人臉識別之后能否撤銷？國標規定，當數據主體明示停止使用功能、服務或撤回授權時，數據控制者應刪除人臉識別數據或進行匿名化處理。
值得注意的是，除了個人信息保護的層面，國標也對開發商的技術安全性做了要求，規定數據控制者應具備防護呈現干擾攻擊的能力。干擾攻擊主要包括使用人臉照片、紙質面具、人臉視頻、人臉合成動畫、仿真人臉三維面具等攻擊和干擾人臉識別。此前，媒體曾報道多起使用“活照片”破解人臉識別的案件。此次國標的出臺，算是為人臉識別市場設置了一個技術門檻。
專家：濫用問題得到國家層面重視，將有助于解決無法可依
國標于去年下半年通過國家立項，實際制定已歷時一年有余。
信安標委在同步公布的編制說明中建議，國標可作為國家推薦性標準發布，主要用于通過標準化的形式來將人臉識別數據安全等進行規范，有助于促進和規范當前人臉識別工作的推進和管理。
“目前，由于相關標準規范缺失，人臉識別數據濫采、存儲、使用方面沒有明確的安全要求，造成安全防護措施薄弱，未經用戶明確授權或超范圍使用人臉信息的情況普遍存在挑戰。”編制說明解釋，人臉識別在金融、交通、人社、醫療等等行業均得到廣泛的落地應用，創造了巨大的社會以及經濟價值。但同時，人臉識別信息有著不易改變，一旦丟失可能永遠失去的特點，是個人敏感信息的一種。制定相應標準，將有助于解決人臉數據濫采、泄露丟失、過度存儲使用等問題。
“標準所強調的知情同意，以及不得對外提供等的條款，其實就是把一些不太合理的應用方式排除在外了。”中國電子技術標準化研究院信息安全研究中心測評實驗室副主任何延哲告訴南都，國標條款相對嚴格，說明人臉識別濫用的問題已經得到國家層面的重視，標準規范的制定與個人信息保護法等法律條文的出臺齊頭并進、相互配合，將極大改善目前對人臉識別執法檢查實踐中無法可依的現狀。
中國人民大學法學院副教授、未來法制研究院社會責任和治理研究中心主任郭銳也表示，在新的立法尚未確定的情況之下，制定國標對行業發展具有實際上的指導意義。在出現民事侵權，需要確定過錯及侵權責任要件時，也會起到重要參考作用。
國標有多處提到，在不符合應用條件的情況下，數據控制者應當刪除此前所掌握的人臉數據。數據大多由控制者后臺掌握，刪除環節該如何監督？郭銳認為，刪除數據確實是在技術上有挑戰的內容，但也正因為如此，國標中給出了較為具體的指引，這是我國探索實現數據主體自主權的重要方面。雖然具體監督方法標準中并未提及，但隨著標準的實施，可以根據具體問題，找到相適應的監督方法。
何延哲分析，相關標準和法律等明文規定的出臺，將對執法檢查起到重要支撐作用。比如，針對是否刪除數據的問題，執法人員就可以要求數據控制者來舉證已經刪除，或者經授權運用技術手段取證。
“目前的難點還是在于如何平衡信息保護與產業發展的關系。”何延哲說，保護個人信息是相關標準制定的第一取向，但同時也會兼顧促進人臉識別產業向給用戶創造價值、給社會創造效益的角度發展。如果一禁了之，個人當然不會受損，但同時也失去了便捷。“所以現在的征求意見稿也并不一定就是最完美的方案，需要全社會集思廣益，在一個全新的領域，找到更有效的監管方法。”
南都記者馬嘉璐 實習生李婭寧 李夢涵
