11月1日，被媒體稱為“中國人臉識別第一案”的消費者起訴杭州野生動物世界案，正式在杭州市富陽區人民法院立案。

據報道，10月28日，一位年卡用戶將杭州野生動物世界（以下簡稱動物世界）告上法庭，稱動物世界引進了人臉識別技術并強制用戶注冊，導致未注冊人臉識別的用戶無法入園這一行為違反了《消費者權益保護法》并且侵犯了用戶隱私。

圖|人臉識別攝像頭（來源：Pixabay）

動物世界的年卡認證方式本來是通過年卡和本人指紋的雙重認證，由于指紋認證比較耗時且容易出故障。所以在今年7月，動物世界開始謀劃“智慧旅游”，引進了人臉識別技術并向所有年卡用戶發送了一條信息：園區年卡系統已經升級為人臉識別入園，原指紋識別已取消。即日起，未注冊人臉識別的用戶將無法正常入園。如尚未注冊，請您攜帶指紋年卡盡快至年卡中心辦理。

浙江大學法學博士郭兵質疑其安全性和隱私性，前往動物世界退卡卻遭拒。“采指紋，我是同意的。但是采集人臉信息，我是拒絕的，難道因為我拒絕人臉信息采集，作為年卡用戶的我就不能享受入園的權利嗎？”郭兵說。

必要嗎？合法嗎？

根據《消費者權益保護法》第 29 條規定，經營者收集、使用原告個人信息，應當遵循合法、正當、必要的原則，明示收集、使用信息的目的、方式和范圍，并經原告同意。而且，被告收集、使用原告個人信息，應該公開其收集、使用規則，不得違反法律、法規的規定和雙方的約定收集、使用信息。

圖 |《消費者權益保護法》第29條（來源：中華人民共和國中央人民政府官網）

那么，動物世界搜集人臉信息是否必要和合法？

郭兵在接受媒體采訪時表示：“人臉信息的手機和使用存在極不確定的安全風險，公安等政府部門處于一定的公共利益考慮采集人臉信息我還可以接受，但是一家動物娛樂游樂場也能采集人臉信息，安全性、隱私性我都表示懷疑，萬一信息泄露誰能負責？”

DeepTech 就合法、正當和必要問題咨詢了該動物世界，截至發稿前未接通電話。

北京德恒律師事務所徐凱律師向DeepTech表示：我國關于個人信息的采集和使用，主要還是依據《網絡安全法》的三原則，也就是合法、正當、必要。在這個案子中，它（刷臉）只是作為入園的身份識別，采用一般的身份證件就可以了，所以很可能就必要性來講，不是必要的采集。在正當性問題上，肯定要經過用戶同意，人臉識別可以是一種輔助的選項，讓用戶自愿去進行人臉識別，不能要求用戶必須進行。所以，“這個案子應該違反了網絡安全法三個條件里的兩個，即正當和必要。”

調研機構 Gen Market Insights 發布的數據顯示，全球人臉識別設備市場價值在 2018 年至 2025 年期間將以 26.8% 的速度增長，到 2025 年底將達到 71.7 億美元。中國是人臉識別設備最大的消費區域，2023 年占全球比例將達到 44.59%，在 2018-2023 年復合年增長率為 29.53%。

一般來說，人臉識別有兩種用途：驗證“你是不是你”;識別“你是誰”。因為這一技術屬于非接觸式識別技術，操作方便快捷，推廣成本低，所以應用場景越來越多。被用來進出地鐵安檢、被安裝在教室監控學生注意力、甚至被安裝在天壇公園的公共廁所用來防止“偷紙大盜”。

目前，人們對人臉識別的倫理問題并沒有達成共識，人臉識別的合法性和道德可持續性遭到越來越多的質疑。該技術的應用范圍是什么？地鐵、小區、寫字樓、街道、互聯網服務都會采集信息，進行個人身份捆綁，怎樣使用人臉識別技術才算合規？

“可以說它（動物世界刷臉進園）是一種違法行為，但法律上并沒有明確禁止，個人信息保護的法律還沒有出臺，可以說是灰色地帶，各種機構都在這么做，將人臉識別用于學校和住宅樓小區進門等等，這是一個很普遍的現象”，中國政法大學法學院副教授王建勛說：“我覺得只有公權力機構，出于必要性，比如公安機關要制作身份信息等，可以這么做。其他的這些私人機構，都不應該這樣做。”

徐凱則認為，很多公共場所的人臉識別系統是個值得討論的問題。大多數需要身份認證的地方，實際上可以采用刷身份證件+刷臉的雙重模式，如果用戶不愿意刷臉，就有權利提出要求，有身份證就可人認定。如果管理方要求必須刷臉，就應該是可訴的、侵犯權益的行為。”

“據我所知，目前還沒有相關的明確規范（規定單位企業采用人臉識別技術需具備什么資質），就像之前的 ZAO 收集人臉信息也是自己制定的隱私條款”，曾在 GeekPwn2019 國際安全極客大賽奪冠的 RealAI 公司認為，“應盡快出臺相關規范，明確人臉信息收集的資質、權限、數據安全等要求。”

安全嗎？

動物世界采用的人臉識別技術是否有完備的數據保護系統防止信息泄露？目前尚不清楚動物世界采用的是哪家人臉識別公司的技術。

近年來的數據泄露事件屢有發生，如果采集到的大量數據沒有密碼保護，一旦被不法分子惡意利用，公民的信息安全將受到極大危害，部分黑產、灰產將從中獲益。

如果發生信息泄露，誰來負責呢？

360 公司家庭安全大腦產品線某工程師表示：“核心還是在于標準和規范。相關部門應該建立一個審核機構以及一套認證標準，人臉識別機器、模塊和數據庫安全性只有經過機構和標準認證之后才能被市場應用，這樣就會淘汰一部分存在風險的人臉識別公司。就像合格的指紋識別公司在市場上只有十家左右，有問題很容易追查。人臉識別做到可溯源的話，問題會簡單得多。”

徐凱稱：“因為民法總則里有相關的規定，這里面就涉及到侵犯隱私權的問題，侵犯公民個人信息的問題，這兩個都是可訴的侵權行為，用戶可以以侵權起訴這些單位，包括違法采集、利用都是可訴侵權行為，用戶可以去法院去訴。如果情節嚴重的，也可能構成刑法上的犯罪行為，就是侵犯公民個人信息罪。”

另一方面，站在技術角度。盡管人臉識別技術在業界的準確率已經可以達到 99%。但從 315 曝光刷臉漏洞，到 DeepFake 用 AI 換臉干擾美國政壇，再到戴一副簡單的眼鏡就能破解手機面部識別，人臉識別技術本身并不完善。

人臉識別通過攝像頭獲取信息之后，將通過信息網絡轉化為計算機代碼，所提取的數據將存儲于企業數據庫。人臉不能復制，但是代碼是可以被獲取和重構的。普通的字符和字串密碼在丟失之后可以設置新密碼，但是生物信息是不能“重置”的，一旦泄露便很難找回。換句話說，生物信息泄露后，用戶在使用生物信息作為身份認證的場合，可能被“李鬼”冒名頂替，身份安全形同裸奔。

RealAI 表示：“人臉信息屬于敏感信息，當前的人臉識別算法存在被攻擊的風險，人臉識別這一應用在推廣的同時也應該注重技術的迭代升級，避免因技術漏洞造成惡劣后果。”

所以，盡管人臉識別技術相對快捷和安全，目前來看也是利大于弊，但是技術的應用和信息安全的管理需要“兩條腿走路”，為避免信息泄露，加強數據安全是一個必然工作。

王建勛表示，個人信息安全保護法已經被呼吁很長時間了，人臉識別第一案對推動其進程的影響很難說。中國的立法受到很多因素的影響，要看官方是不是認為有必要，是不是到了要出臺的時候。

法學博士的“一紙訴狀”掀起了公民熱議隱私權的熱潮，“刷臉”技術已成大勢。如何在必要、安全和合法的前提下使用這項技術，有效規避“有人模仿我的臉”所帶來的安全隱患？這恐怕是相關部門、人臉識別公司、運營主體和諸多工程師們需要冷思考的問題。

責任編輯：ct