划重点 高法人脸识别新规8月1日实施 商家应用不宜误读

7月28日，最高人民法院发布了《关于审理使用人脸识别技术处理个人信息相关民事案件适用法律若干问题的规定》(后文简称《规定》)，8月1日起施行。在《个人信息保护法》即将于本月中旬三审之际，这一文件的出台引发了社会强烈关注。

人脸识别和人脸支付在商业领域拥有较为广泛应用，此次《规定》出台是否会影响商业领域相关技术发展和应用，商业企业后续应如何操作?CCFA特邀中国信息安全研究院副院长左晓栋以国家标准《信息安全技术 人脸识别数据安全要求》责任专家身份，发表对此事解读。

左晓栋表示，“近年来因滥用人脸识别数据出现大量民事诉讼，很多属于新问题，审判难度较大，故最高法此次发文，对相关问题作出司法统一规定。但安全从来不是发展的对立面，《规定》的出台也不是为了迟滞技术应用。要从技术角度避免两类对《规定》的“误读”，切实促进新技术的正确应用。”

一、“人脸识别”不等同于“摄像头”，对人脸识别技术的限制不是对摄像头的限制

摄像头不就是拍脸的吗?这不是一回事吗?至少脸是在里面的。区分这两者有什么意义?

大有意义。《规定》规范的是人脸识别，而不是摄像头。因为随着对人脸识别数据保护意识的增强，技术上已经实现了，不用采集人脸等生物特征信息，通过摄像头采集其他信息便可完成对身份的识别，再辅以强有力的安全措施，便可达到既保护个人身份信息也辅助智能决策的目的。

例如，《规定》指出，在宾馆、商场、银行、车站、机场、体育场馆、娱乐场所等经营场所、公共场所违反法律、行政法规的规定使用人脸识别技术进行人脸验证、辨识或者分析，人民法院应当认定属于侵害自然人人格权益的行为。这意味着，在经营场所、公共场所使用人脸识别技术，应主要是为维护公共安全之所需。这样的话，房企利用人脸识别技术甄别消费者来源这样的恶性事件就可以得到有效治理，用户再也不用“戴着头盔去看房”了。

但现实中，至少存在三种在公共场所通过摄像头识别个体而开展业务的合理应用：

一是商业场所中的“客流数据分析”。一般情况下，这是通过在商业区域入口安装摄像头进行智能统计，实现统计客流数据的智慧化，此时尚不涉及对单个个体的识别。但也有需识别个体的场景，例如商场可能会统计每一个人在各楼层逗留的时间，甚至关心个人分别在各楼层、各专柜逗留的时间，以此对销售策略进行调整。在线下实体经济遭遇寒冬情况下，数字化营销被认为是行业未来发展方向。怎么识别出位于不同楼层、专柜的是同一个人?最初的确是使用人脸识别技术，但目前最先进的人工智能技术已经可以做到通过衣着(完全不是生物特征)识别一个人，且系统中只存储临时分配给该人的一段随机代号，该人离开商场后所有信息完全擦除。

二是快速通行。某人在完成一次身份核验后(核验未必涉及人脸识别)，那么在后续需要验证身份的场合，经摄像头识别后可以直接通行。由于快速通行场景简单，通行完毕后所有信息即刻删除。

三是轨迹重建。有时候需要为用户重建其行经的路线，这就必须能够识别不同位置的同一个人，典型如停车场寻车。用户在大型购物商场返回停车场时，停车场就可以提示用户，其汽车停在哪里，因为自用户停车入位开始，摄像头就已经开始对该用户进行识别。用户驱车离开后，所有信息也不会留存。不要小看这项技术，想一想山城重庆。重庆某大型购物中心有四栋停车楼，A栋的3楼和B栋的3楼可能差着2层，每天曾有100多人找车找到怀疑人生，目前找不到车的人数已经下降到5人之内，那还是因为其中一栋楼没有使用这项技术。

以上这些功能都可以不再通过人脸识别技术实现，而是识别人的非生物特征，且系统中不存储个人标识信息，所有信息也不离开封闭空间，用户离开后信息自动删除。

这些有意义的应用为人工智能技术的发展揭示了无限的可能，它使用了摄像头，但没有使用人脸识别技术，识别的不是生物特征，这是我们强调必须将两者区分的原因。

这也反映了技术发展与法律规制之间的辩证关系。规制并不一定是坏事，规制可以促进新技术的产生。所以技术界不要总去怪法律，是技术界没有找到新的突破点。而法律也不要总想通过限制技术应用而防范风险，要意识到一些风险是可以通过技术进步化解的。

二、经个人同意扫描其人脸，不等于就可以随意使用人脸识别技术

《规定》有很大篇幅对使用人脸识别技术的使用条件作了规范。《规定》以不太容易被人注意的方式提到了人脸“验证、辨识、分析”这几个字(“违反法律、行政法规的规定使用人脸识别技术进行人脸验证、辨识或者分析”)。而这恰恰是人脸识别技术的三种应用方式。在不同场景下，三种应用方式涉及的具体技术要求截然不同，不等于可以随便使用。这正是当前各方解读《规定》时疏漏的第二点。

不同场景下，人脸识别技术应用各有不同的严格限制。例如，对小区门禁这种“人脸辨识”场景，其属于一种1：N比对。那么，系统只要返回“这张脸是库里的其中一张脸”就可以了，即证明了这张脸是业主的，业主可以进去。但至于这是库里的哪一张脸，姓甚名谁，家住几楼几门几号，则完全不必要显示，因为现实中也不需要作这样的验证。否则，物业就完全掌握了小区业主家里有没有人、住户外出了几天等敏感信息。

因此，不是满足了“个人同意”这一前提条件，就可以随便使用人脸识别技术了。《规定》所暗指的三种人脸识别技术应用方式，是最应该向外界解读清楚的。这在国家标准《信息安全技术 人脸识别数据安全要求》中也有明确规定。