一、人臉識別技術介紹
1、人臉識別技術定義
生物特征識別技術
是對生物體（一般特指人）本身的生物特征來區分生物體個體。生物特征識別技術所研究的生物特征包括臉、指紋、手掌紋、虹膜、視網膜、聲音（語音）、體形、個人習慣（例如敲擊鍵盤的力度和頻率、簽字）等，相應的識別技術就有人臉識別、指紋識別、掌紋識別、虹膜識別、視網膜識別、語音識別（用語音識別可以進行身份識別，也可以進行語音內容的識別，只有前者屬于生物特征識別技術）、體形識別、鍵盤敲擊識別、簽字識別等。
人臉識別
是基于人的臉部特征信息進行身份識別的一種生物識別技術。用攝像機或攝像頭采集含有人臉的圖像或視頻流，并自動在圖像中檢測和跟蹤人臉，進而對檢測到的人臉進行臉部識別的一系列相關技術，通常也叫做人像識別、面部識別。一般來說，人臉識別系統包括圖像攝取、人臉定位、圖像預處理、以及人臉識別（身份確認或者身份查找）。系統輸入一般是一張或者一系列含有未確定身份的人臉圖像，以及人臉數據庫中的若干已知身份的人臉圖象或者相應的編碼，而其輸出則是一系列相似度得分，表明待識別的人臉的身份。
2、人臉識別技術流程
a.人臉圖像采集及檢測
b.人臉圖像預處理
c.人臉圖像特征提取
d.人臉圖像匹配與識別
3、人臉識別技術基本模式
| 模式 | 別稱 | 內容簡介 |
| 1:1 | 人臉驗證對比 | 比如入住酒店，前臺要求在一臺機器面前，將身份證的與現場照片進行對比，只有結果符合才可以入住，這是一個較為簡單的1:1人臉識別應用 |
| 1:N | 靜態人臉對比 | 1為采集人臉識別目標，N為數據庫庫內人臉的數量。例如，人臉門禁應用，在辦公室門口設置攝像頭，并將員工庫作為N，每當一個人經過，系統在庫中做特征比對，以確認此人是否為員工，靜態人臉比對使用的頻率比較低，只有當客戶要做一次搜索的時候它才會使用。簡單說就像一個搜索引擎，在搜索結果里挑一個認為對的。 |
| M:N | 動態人臉對比 | 攝像頭每看到一個人后，就在庫里去比對這個人是誰，“M”代表的就是攝像頭，或者網絡里所有攝像頭抓到的人臉數目?！癗”就是對比庫中的目標數目，抓到的每一張臉都得查詢對比一遍，然后對于這個臉對比N+1次，對比總次數為M(N+1)次。動態人臉使用頻率非常高，因為是一個全自動體系。這些應用里，N的數量級有很大區別，比如某城市部署了上千個攝像頭用來拍攝人臉，每個攝像頭每秒鐘都會抓取數張人臉，那么系統每秒鐘便抓拍了上千張，每天四千萬張，每個月十幾億張。當某個應用需我們在十幾億的人臉抓怕庫中進行對比時，將使用一個新技術——視頻大數據處理 |
4、人臉識別技術的優缺點
優點
非接觸性、非侵擾性
自然性
硬件基礎完善
采集快捷便利、可拓展性好
缺點
臉部特征變化較大
相似性
隱私安全風險
5、人臉識別技術主要產品
數碼相機
門禁系統
身份辨識
網絡應用
娛樂應用
二、我國的行業實踐
1、人臉識別技術在我國發展的進程
2、我國人臉識別技術主要集中領域
3、我國人臉識別技術應用現狀
| 應用領域 | 具體應用 |
| 公共安全 | 刑偵追逃、罪犯識別、邊防安全 |
| 信息安全 | 計算機和網絡的登陸、文件的加密和解密 |
| 政府職能 | 電子政務、戶籍管理、社會福利和保險 |
| 商業企業 | 電子商務、電子貨幣和支付、考勤、市場營銷 |
| 場所進出 | 軍事機要部門、金融機構的門禁控制和進出管理等 |
三、我國與人臉識別相關的法律規定及執法案例
1、法律規定
我國尚未出臺專門針對人臉識別技術或生物識別技術的法律，但通過人臉識別技術所收集的面部特征信息作為生物識別信息，屬于個人信息的范疇，應受與個人信息保護相關法律的規范。以下為我國與人臉識別有關聯的法律規定，除此之外，我國也出臺了與生物識別信息或人臉識別信息相關的國家標準，例如《信息安全技術 個人信息安全規范》《信息技術 生物特征識別應用程序接口》系列標準、《公共安全人臉識別應用圖像技術要求》等。
| 序號 | 名稱 | 主要內容 |
| 1 | 《民法總則》 | 第一百一十一條 自然人的個人信息受法律保護。任何組織和個人需要獲取他人個人信息的，應當依法取得并確保信息安全，不得非法收集、使用、加工、傳輸他人個人信息，不得非法買賣、提供或者公開他人個人信息。 |
| 2 | 《侵權責任法》 | 第六條 行為人因過錯侵害他人民事權益，應當承擔侵權責任。 |
| 3 | 《刑法》 | 第二百五十三條 侵犯公民個人信息罪 |
| 4 | 《網絡安全法》 | 第四十一條 網絡運營者收集、使用個人信息，應當遵循合法、正當、必要的原則，公開收集、使用規則，明示收集、使用信息的目的、方式和范圍，并經被收集者同意。 |
| 5 | 《消費者權益保護法》 | 第二十九條 經營者收集、使用消費者個人信息，應當遵循合法、正當、必要的原則，明示收集、使用信息的目的、方式和范圍，并經消費者同意。經營者收集、使用消費者個人信息，應當公開其收集、使用規則，不得違反法律、法規的規定和雙方的約定收集、使用信息。 |
| 6 | 《電商法》 | 第二十三條 電子商務經營者收集、使用其用戶的個人信息，應當遵守法律、行政法規有關個人信息保護的規定。 |
| 7 | 《互聯網個人信息安全保護指南》 | 6.1 e)個人生物識別信息應僅收集和使用摘要信息，避免收集其原始信息 |
| 8 | 《數據安全管理辦法》（征求意見稿） | 網絡運營者以經營為目的收集重要數據或個人敏感信息的，應向所在地網信部門備案。備案內容包括收集使用規則，收集使用的目的、規模、方式、范圍、類型、期限等，不包括數據內容本身。 |
| 9 | 《個人信息出境安全評估辦法》(征求意見稿) | 個人信息出境前，網絡運營者應當向所在地省級網信部門申報個人信息出境安全評估。 |
2、政策支持
| 序號 | 名稱 | 生效 | 主要內容 |
| 1 | 《2017年政府工作報告》 | 2017.03 | 指出要加快培育壯大包括人工智能在內的新興產業。 |
| 2 | 《關于落實個人銀行賬戶分類管理制度的通知》 | 2016.11 | 對II、III類賬戶的開立、變更、注銷、個人信息驗證辦法、視頻及人臉識別等技術手段以及不同賬戶的使用功能和限制作了詳細的規定。 |
| 3 | 《“互聯網+人工智能三年行動實施方案》 | 2016.05 | 到2018年，打造人工智能基礎資源與創新平臺，人工智能產業體系創新服務體系、標準化體系基本建立。這項政策的發布將人工智能普及到政府和企業之間。 |
| 4 | 《中國人民銀行關于改進個人銀行賬戶服務加強賬戶管理的通知》 | 2015.12 | 提供個人銀行開立服務時，有條件的銀行可探索生物特征識別技術和其他有效的技術手段作為核驗。 |
| 5 | 《安全防范視頻監控人臉識別系統技術要求》 | 2015.05 | 適用于以安全防范為目的的視頻監控人臉識別系統的總體規劃、方案設計、設備生產、質量控制等。其他領域可參考使用。 |
| 6 | 《關于加強社會治安防控體系建設的意見》 | 2015.04 | 提出網格化管理要求，以精確信息做到矛盾化解，未來網格化精細管理是平安城市和智能交通管理的發展方向。 |
| 7 | 《關于銀行業金融機構遠程開立人民幣賬戶的指導意見（征求意見稿）》 | 2015.01 | 堅持柜臺開戶為主，運程開戶為輔；實施客戶身份識別機制的自證。 |
3、我國與人臉識別相關的執法案例
某換臉軟件
近日某換臉應用一夜之間爆火，它使用AI技術，用戶只需要一張正臉照，就可以替換為影視作品或者小視頻中的人物，生成以自己為主角的視頻片段。然而，此應用的用戶協議中隱藏了很多對用戶不利的條款，并印發了極大的爭議。8月31號該應用軟件的用戶協議被修改。9月1號，此AI換臉App已被微信屏蔽分享鏈接，提示的理由是“網頁存在安全風險，被多人投訴”。9月3日，針對此App用戶隱私協議不規范，存在數據泄露風險等網絡數據安全問題，工信部約談負責人，要求其依法依規收集使用用戶個人信息強化網絡數據和用戶個人信息安全保護。
高校采用人臉識別
中國某高校日前在校門口、學生宿舍大門口、圖書館、實驗樓等場所安裝了人臉識別門禁，并在部分試點教室安裝了人臉識別系統用于日常考勤和課堂紀律管理。通過把學校學生和教職工信息儲存在后臺數據庫，學生和教職工通過人臉識別門禁時，可以實現一秒“刷臉”進校，與老式門禁相比，既方便又安全。目前學校在兩間教室試點安裝的人臉識別系統，除了能自動識別學生的出勤情況外，還能夠實現對學生課堂聽講情況的全程監控。學生是否認真聽講，課堂上是否抬頭低頭，抬頭低頭了幾次，抬頭低頭了多長時間，低頭是否在玩手機，是否閉眼打瞌睡，都逃不過人臉識別系統的“法眼”。學校有關人士表示，學校之前已向公安部門和法務部門咨詢，由于教室屬于公開場所，因此不存在“侵犯隱私”的說法。
四、美國與歐盟人臉識別法律體系和實踐
1、美國關于人臉識別的立法
對公共部門使用人臉識別技術的限制
在過去的幾個月中，美國的三個城市, 加州舊金山市、馬薩諸塞州薩默維爾市、加州奧克蘭市分別通過了禁止政府部門使用人臉識別技術的法令。
2019年5月，加州舊金山市監事會通過法令，禁止政府部門獲取、保存、訪問、使用“人臉識別技術”和“使用人臉識別技術獲取的信息”。該法令稱，“人臉識別技術危及公民權利和公民自由的可能性遠遠超過其聲稱的利益”。
2019年6月，馬塞諸塞州薩默維爾市議會通過法令，禁止薩默維爾市政府部門和官員獲取、保存、訪問、使用“人臉監控系統”和“人臉監控系統獲得的信息”。
2019年7月，加州奧克蘭市通過法令，禁止市政府部門和工作人員獲取、保存、訪問“人臉識別技術”和“使用人臉識別技術獲取的信息”。
限制商業使用的聯邦層面的法律
目前，美國沒有一個較為全面地規制私有企業收集、使用以及銷售個人信息的隱私保護的法律。除此之外目前也沒有任何明確規制人臉識別技術的聯邦法律。
但是，在三個領域里，特定的聯邦法律（解決隱私和消費者保護的法律）可能會適用人臉識別的商業運用。這三個領域分別為：
1、面部信息的抓拍 （Video Voyeurism Prevention Act of 2004）
根據聯邦法律Video Voyeurism Prevention Act of 2004, 如在個人的私人領域或者個人有合理隱私期望的地方抓拍, 構成刑事犯罪，這個act會影響到商業空間特定位置camera的放置位置，例如不會放在試衣間里面。
2 、收集、使用與分享個人信息 （針對特定的目的、情形、信息的類型或者具體的領域和實體）
Driver’s Privacy Protection ACT(1994)：禁止出于商業目的使用與披露機動車記錄中所包含的特定的個人信息，該法案中的個人信息的定義包含了司機的人臉識別信息、駕駛證件照以及其他能夠識別出個人的信息。
Gramm-Leach-Bliley ACT(GLBA)：限制披露公開金融機構所收集的以及從金融機構所收集的信息，分享數據給非關聯第三方時需要給消費者同意，并且給他們退出的機會。沒特別提到臉部數據，但包含臉部數據。
Health Insurance Portability and Accountability Act：保護一個人的醫療信息 只有在經過個人的書面授權之后才能轉移醫療信息，如果披露醫療信息的話，必須移除有全臉的圖片和其他生物特征信息。
3 、不公平與欺騙性的行為與實踐（Federal Trade Commission Act ）
該法案是目前美國在個人信息保護領域主要的法律法規，主要針對：
企業違反其制定并公布的隱私政策的；
企業在對其隱私政策進行重大修改時沒有充分通知用戶的；
企業沒有對其持有的用戶敏感信息進行合理且適當的保護的。
該法案同時發布了隱私和數據安全指南。該法案在下列兩種情形下的處罰標準分別是：
欺詐性貿易行為：在用戶通過合理的方式解釋的情況下條款的表述或者缺失會誤導用戶，且該誤導行為屬于可能影響用戶是否選擇該產品的重大誤導行為。
不公平貿易行為：造成或者可能造成用戶重大的經濟或者安全健康方面的損失；用戶無法采用合理手段避免該損失；使用該產品所帶來的收益未超過客戶產生或者可能產生的損失。
限制商業使用的各州立法
美國目前有三個州通過立法來專門規范生物識別技術的商業應用，這其中當然也包括人臉識別技術，分別為伊利諾伊州、德克薩斯州、華盛頓州。
伊利諾伊州
企業制定有關生物數據收集、儲存、以及銷毀的相關政策并對外公開。
在收集生物信息前，需要向信息主體提供有關信息收集目的及期限的通知。
該法律要求在獲取生物信息前獲得信息主體的書面同意。
禁止售賣此類信息獲利。
禁止擁有生物信息的實體與第三方分享生物信息， 除非該披露是出于執法部門的需要或者是為了完成個人所要求或授權的金融交易。
伊利諾伊州是三個州中唯一賦予個人依據此法進行訴訟或集體訴訟的權利的州。
伊利諾伊州法案主要針對在商業活動或者雇傭過程中收集Illinois州居民的生物特征識別數據的公司。如果一家公司違反BIPA法案，在過失侵權案件中公司應當賠償每位原告1000美元，在故意侵權或者間接故意侵權案件中應當賠償每位原告5000美元。
德克薩斯州
法律規定，在未獲取同意之前，不得獲取信息主體的生物識別信息，除了滿足一定條件外，生物識別信息不能被售賣或者是被披露給其他方。該法律要求信息控制者對于生物識別信息的存儲、轉移與保護采取reasonable care.如果雇主因為雇傭的原因聘請了員工而需要采集他們的生物信息，那么該類信息的儲存期限不能超過雇傭期限。
華盛頓州
華盛頓州法律2017年通過，規定了商業企業收集與使用生物特征信息的有關內容，該法中也有與前面所述兩州一樣的內容：需要在收集信息前向信息主體告知并獲得同意。
美國正在立法進程中的法案（關于人臉識別技術的使用）
| 法案 | 最新進度 | 主要內容 |
| S. 847 Commercial Facial Recognition Privacy Act of 2019 | 2019年3月14日向參議院提交 | 除非獲得終端用戶的積極同意，禁止商業實體通過人臉識別技術辨認或跟蹤終端用戶，禁止用人臉識別技術對終端用戶進行非法的區別對待、禁止將收集的人臉識別技術數據用于其他目的。 |
| H.R.4021 | 2019年7月25日向眾議院提交 | 禁止聯邦機構在沒有聯邦法庭命令的情況下使用人臉識別技術。不允許將在法庭命令下使用人臉識別技術獲取的信息分享給其他沒有獲得聯邦法庭命令的聯邦機構。 |
2、美國企業對于人臉識別的監管建議
微軟的監管建議
微軟總裁兼首席法務官Brad Smith呼吁立法解決人臉識別的偏見、隱私、侵犯民主自由問題。具體的監管建議有：
應對偏見，法律可以：要求透明度；允許第三方測試和比較；保證有意義的人類審查（在作出法律認為“產生重大后果”的決定的情況下，由人類進行審查）；禁止用于非法歧視。
保護公民隱私，可以由立法規定：（1）保證通知；（2）要求消費者同意。
為保護民主自由的人權，必須使政府對人臉識別的使用受制于法治，由法律限制目前政府對特定個人的監控。只有下列情況，才允許執法機關在公共場合使用人臉識別監控特定個體：存在法庭令允許使用人臉識別監控；存在某人死亡或嚴重物理傷害的迫切危險或風險的緊急情況。
亞馬遜網絡服務（AWS）建議的準則
人臉識別的使用必須遵守法律，包括保護公民權利的法律。
在執法情侶下使用人臉識別技術時，必須有人類審查，以保證使用預測來做決策不侵犯公民權利。
當執法部門使用人臉識別技術進行辨認、或可能威脅公民自由時，推薦99%的置信度閾值（confidence threshold）。
執法機構對于人臉識別技術的使用應該保持透明。
公共和商業場景下，當視頻監控和人臉識別同時使用時，應當有通知。
3、歐盟GDPR對于人臉識別的影響
第4條第14項
“生物識別數據”是通過對自然人的物理、生物或行為特征進行特定的技術處理的得到的個人數據。這類數據生成了那個自然人的唯一標識，比如人臉圖像或指紋識別數據。
第6條 處理的合法性
1.只有在適用以下至少一條的情況下，處理視為合法：
a.數據主體同意他或她的個人數據為一個或多個特定目的而處理；
b.處理是為履行數據主體參與的合同之必要，亦或處理是因數據主體在簽訂合同前的請求而采取的措施；
c.處理是為履行控制者所服從的法律義務之必要；
d.處理是為了保護數據主體或另一個自然人的切身利益之必要；
e.處理是為了執行公共利益領域的任務或行使控制者既定的公務職權之必要；
f.處理是控制者或者第三方為了追求合法利益的之必要，但此利益被要求保護個人數據的數據主體的利益或基本權利以及自由覆蓋的除外，尤其是數據主體為兒童的情形下。
第7條 同意的要件
如處理是基于同意，則控制者應能證明數據主體已經同意處理他或她的個人數據。
如數據主體通過書面聲明的方式作出同意，且書面聲明涉及其他事項，那么同意應以易于理解且與其他事項顯著區別的形式呈現。構成違反本法的聲明的任何部分，均不具約束力。
數據主體有權隨時撤回他或她的同意。同意的撤回不應影響在撤回前基于同意作出的合法的數據處理。在作出同意前，數據主體應被告知上述權利。撤回同意應與作出同意同樣容易。
當評估同意是否是自由作出時，應盡最大可能考慮，還應考慮合同的履行，包括服務的提供是否是基于對履行合同不必要的個人數據的同意。
第9條 特殊種類的個人數據處理
對揭示種族或民族出身，政治觀點、宗教或哲學信仰，工會成員的個人數據，以及以唯一識別自然人為目的的基因數據、生物特征數據，健康、自然人的性生活或性取向的數據的處理應當被禁止。
如果符合以下情形，則第一款不適用：a) 數據主體對以一個或數個特定目的對上述個人數據的處理給予了明確同意，但依照歐盟或者成員國的法律規定，第1款規定的禁止情形不能被數據主體援引的除外。
第12條 數據主體行使權利的透明度、交流和模式
控制者應當以一種簡單透明、明晰且容易獲取的方式，通過清楚明確的語言，采取合適措施提供第13條和第14條所提到的任何信息，以及根據第15條到第22條和第34條所提及的關于數據主體處理過程的溝通信息（尤其是關于兒童的任何信息）?？刂普邞斕峁娌牧?，在其他情況下，若有必要，可以采用電子方式。如果數據主體能夠通過其他方式得到認證，那么在數據主體的要求下，能夠以口頭方式提供信息。
第21條 拒絕權
數據主體擁有拒絕權，在關于他/她的特定情形下，在任何時間處理關系到他/她第6條第1款第（e）或第（f）項規定的個人數據，包括基于這些條款的分析?？刂普卟荒芴幚韨€人數據，除非控制者能夠證明不顧數據主體的利益、權利和自由處理數據或者建立、行使或維護這種法律權利具有令人信服的正當化理由。
個人數據因為直接營銷的目的被處理的，數據主體應當有權利拒絕在任何時間因為這種商業目處理關系到他/她的個人數據，這種商業目的包括分析達到有關這種直接營銷的程度。
數據主體拒絕因直接的商業目的處理數據的，個人數據不應該因任何這種目的被處理。
從以上來看，GDPR對于人臉識別系統對于人臉數據的收集提出了較為嚴格的條件，為了做好相應合規，在GDPR出臺后，相關的人臉識別技術企業應做好以下準備：
GDPR明確說明，在使用新技術處理數據時，如果該新技術有極大的風險造成對于個人的權利與自由的侵害的話，需要進行數據保護影響評估（Data Protection Impact Assessment）,相應的執法單位會在限定時間內做出評估并給出建議。
加強對于人臉識別數據的保護力度，防止泄露。
對于數據進行脫敏化和匿名化處理，能夠較大地減少侵犯隱私的風險。
采取更加嚴格的保存數據的措施。
4、歐盟GDPR生效后的執法案例
比利時
某公司向比利時監督部門報告了一起數據泄露事件，稱由于其韓國某供應商的安全漏洞導致2000名員工的生物識別數據（指紋）泄露。目前該起泄露事件正在調查中。
瑞典
瑞典監督部門對當地一市政當局處以20,000歐元的罰款，原因是該市政當局通過捕捉影像和匹配學生姓名，使用人臉識別技術監督學生考勤。監督部門認為，學校使用人臉識別存在以下問題：（I）將其用于前述目的過于侵犯隱私；（II）無第9條下所述的有效法律依據，以及（III）不滿足數據保護影響評估以及事前征求意見的要求（第35-36條）
英國
英國信息專員辦公室就媒體報道的關于中倫敦國王十字區使用實時人臉識別技術的問題開展調查。據報道，在2016年至2018年期間，兩部攝像頭使用人臉識別技術收集影像，且在某些情況下，收集的數據被共享給執法部門，用以幫助“發現犯罪和確保公共安全”。
五、實踐中主要法律問題及合規建議
1、現實中主要存在的與人臉識別相關的法律問題
目前我國針對人臉識別的法律相對比較空白，相關執法部門對于人臉識別技術在實踐應用中涉及的法律問題答復也比較模糊，關于人臉識別技術在實踐中的應用主要存在以下可能的法律問題：
在商場或私人營利場所安裝人臉識別系統獲取客人面部特征的合法合規性；
在收集面部圖像前，是否需要獲得信息主體的明示同意，實踐中應如何獲取信息主體同意才能最大限度地規避法律風險；
在不同場景下運用不用技術原理進行的人臉圖像信息收集，分別對應的法律風險及風險規避手段。
2、關于人臉識別的合規建議
使用人臉識別技術收集與使用人臉信息時，遵守合法、正當、必要原則。
收集與使用人臉信息前采取適當的方式獲取信息主體的明示同意。
承擔更高的數據安全保護義務，確保數據安全。
密切關注行業立法與監管態勢，積極應對相關主管部門對人臉識別技術應用有關的規范出臺情況。
