“刷臉”享受科技進(jìn)步給生活帶來(lái)便利時(shí)，也不能忽視個(gè)人生物信息被泄露、濫用等風(fēng)險(xiǎn)

    “刷臉”的風(fēng)險(xiǎn)，你知道多少?

    伴隨著生物醫(yī)學(xué)研究的進(jìn)步，人體的指紋、虹膜、面容、DNA等個(gè)人生物信息的獲取、采集、存儲(chǔ)和應(yīng)用越發(fā)便利和普及。不少平臺(tái)通過(guò)收集個(gè)人生物信息作為用戶登錄密鑰，如人臉識(shí)別、指紋識(shí)別等，甚至連支付也進(jìn)入了“刷臉”時(shí)代。

    據(jù)悉，“刷臉支付”的模式采用了人工智能、生物識(shí)別、大數(shù)據(jù)風(fēng)控技術(shù)，使用戶憑借“一張臉”就能輕松、高效、便利地完成支付。從2018年以來(lái)，“刷臉”支付在全國(guó)多地落地應(yīng)用，有“刷臉”功能的自助收銀機(jī)已在零售、餐飲、醫(yī)療等大型商業(yè)中得到廣泛運(yùn)用。

    近日，記者在購(gòu)物時(shí)看到，不少商店超市都開(kāi)始試行“刷臉識(shí)別支付”的付款方式，于是現(xiàn)場(chǎng)體驗(yàn)了一把。按照流程，將購(gòu)買(mǎi)的物品放在自助付款設(shè)備上，待屏幕顯示已購(gòu)買(mǎi)的商品信息，即可點(diǎn)擊“刷臉支付”，記者將臉對(duì)準(zhǔn)攝像頭進(jìn)行“人臉識(shí)別”后，再輸入手機(jī)號(hào)碼，幾秒鐘后即成功支付。記者經(jīng)觀察發(fā)現(xiàn)，雖然選擇“刷臉支付”不用排隊(duì)等候，但選擇該付款方式的顧客并不多。

    隨著人工智能應(yīng)用的成熟，越來(lái)越多的生物識(shí)別技術(shù)被廣泛應(yīng)用到生活和工作中，人們也越來(lái)越關(guān)注自己的生物信息安全問(wèn)題。不久前，一種“人工智能測(cè)面相”的小程序走紅于朋友圈，用戶掃碼進(jìn)入應(yīng)用界面后，上傳個(gè)人照片或是實(shí)時(shí)拍照來(lái)進(jìn)行下一步的面相測(cè)試，最后轉(zhuǎn)發(fā)至朋友圈即可得出測(cè)試結(jié)果。但同時(shí)，也有不少用戶體驗(yàn)完后轉(zhuǎn)發(fā)稱，“不要進(jìn)行掃碼面相測(cè)試，小心你的用戶面部信息被盜用”。

    除了這些使用場(chǎng)景，人臉識(shí)別技術(shù)還在“互聯(lián)網(wǎng)+政務(wù)”領(lǐng)域被廣泛應(yīng)用。有媒體報(bào)道，在湖北武漢，一臺(tái)“刷臉”繳費(fèi)機(jī)在武漢市公安局出入境窗口上線，辦事群眾只需掃描出入境回執(zhí)單，完成“刷臉”，輸入手機(jī)號(hào)確認(rèn)，就能完成辦證繳費(fèi);在寧夏回族自治區(qū)，退休老年人通過(guò)手機(jī)客戶端輸入身份證號(hào)等信息，進(jìn)行“刷臉”認(rèn)證，即可完成社保待遇資格認(rèn)證;在浙江，省直住房公積金中心與合作銀行進(jìn)行數(shù)據(jù)聯(lián)網(wǎng)，繳存客戶無(wú)需再到銀行開(kāi)具流水證明或現(xiàn)場(chǎng)排隊(duì)辦理，只需輕點(diǎn)鼠標(biāo)、刷臉認(rèn)證便可完成還貸提取網(wǎng)上申請(qǐng)……

    “人臉和指紋都在裸奔”

    對(duì)于此類(lèi)“刷臉”操作模式帶來(lái)的便利，不少用戶給出“好評(píng)”稱：“太厲害了，以后出門(mén)帶張臉就行，門(mén)鎖都靠臉部識(shí)別，吃飯都不用再帶手機(jī)了”“刷臉比掃二維碼方便多了，未來(lái)是人臉識(shí)別的時(shí)代，一臉走遍天下!”

    但也不少用戶表示擔(dān)憂。一位網(wǎng)友稱：“人臉和指紋都在裸奔，只有密碼在你的腦里。”另一位網(wǎng)友評(píng)論道：“當(dāng)我們走到大街上，我的臉就已經(jīng)被記錄到數(shù)據(jù)庫(kù)中了。”也有網(wǎng)友表示：“祈禱我的臉不要被壞人們利用。”

    那么，“刷臉”技術(shù)是否成熟、安全是否有保障呢、隱私是否會(huì)被泄露呢?

    “人臉識(shí)別的便捷性與安全性不可兼得。”在電子科技大學(xué)信息與通信工程學(xué)院副教授曾遼原看來(lái)，不管什么技術(shù)總有其特有的使用場(chǎng)景，人臉識(shí)別技術(shù)應(yīng)該作為核實(shí)身份的輔助手段，而不是唯一的、關(guān)鍵的手段，特別是在安全性要求高的領(lǐng)域，更不能作為單一的識(shí)別手段。

    “個(gè)人生物信息直接采集于人體、且是個(gè)人生理特性的直接體現(xiàn)并唯一對(duì)應(yīng)……”今年兩會(huì)期間，全國(guó)人大代表、北京科學(xué)學(xué)研究中心副主任伊彤提交了一份《關(guān)于開(kāi)展公民個(gè)人生物信息保護(hù)立法的建議》，伊彤認(rèn)為，個(gè)人生物信息與我們平時(shí)設(shè)定的密碼不同，如果密碼泄露，我們可以隨即換一個(gè)密碼;而個(gè)人生物信息一旦泄露，就是終身泄露，會(huì)將用戶個(gè)人信息安全置于更大的不確定性中，進(jìn)而引發(fā)一系列風(fēng)險(xiǎn)。

    曾遼原同時(shí)指出，“一旦帶有唯一性的生物特征數(shù)據(jù)被他人盜取利用，會(huì)造成個(gè)人信息安全、生命財(cái)產(chǎn)安全等相關(guān)問(wèn)題，而且會(huì)導(dǎo)致大量深層信息被挖掘、曝光，給公民造成物質(zhì)和精神上的極大損害。”

    2018年11月28日，中國(guó)消費(fèi)者協(xié)會(huì)曾發(fā)布《100款A(yù)pp個(gè)人信息收集與隱私政策測(cè)評(píng)報(bào)告》。報(bào)告顯示10類(lèi)(通訊社交、影音播放、網(wǎng)上購(gòu)物、交易支付、出行導(dǎo)航、金融理財(cái)、旅游住宿、新聞閱讀、郵箱云盤(pán)和拍攝美化)100款A(yù)pp中，多達(dá)91款A(yù)pp列出的權(quán)限涉嫌“越界”，即存在過(guò)度收集用戶個(gè)人信息的問(wèn)題。其中，10款A(yù)pp對(duì)可識(shí)別生物信息的收集未能向用戶明確重點(diǎn)告知，涉嫌過(guò)度收集個(gè)人生物識(shí)別信息。比如美圖秀秀就遭到“點(diǎn)名”。作為一款以修圖為主的App，美圖秀秀不聚焦主業(yè)，卻涉嫌過(guò)度收集可識(shí)別生物信息等。不少用戶表示：我只想安安靜靜地美個(gè)顏，你卻偷偷惦記我的生物信息，還能不能愉快地玩了?對(duì)此，中消協(xié)表示，個(gè)人財(cái)產(chǎn)信息、個(gè)人生物識(shí)別信息屬于個(gè)人敏感信息。個(gè)人敏感信息一旦泄露，將導(dǎo)致個(gè)人信息主體及收集、使用個(gè)人信息的組織和機(jī)構(gòu)喪失對(duì)個(gè)人信息的控制能力，造成個(gè)人信息擴(kuò)散范圍和用途的不可控，可能對(duì)個(gè)人信息主體人身和財(cái)產(chǎn)帶來(lái)重大風(fēng)險(xiǎn)。因此，中消協(xié)建議，有關(guān)部門(mén)綜合考慮當(dāng)前App隱私保護(hù)方面的嚴(yán)峻形勢(shì)，加強(qiáng)隱私保護(hù)立法，落實(shí)具體措施，提高立法立規(guī)水平，為消費(fèi)者個(gè)人信息安全提供更好的法律和制度保護(hù)。

    而在今年2月份，中國(guó)就發(fā)生了一起廣受爭(zhēng)議的隱私安全事件——一家專注安防領(lǐng)域的人工智能企業(yè)被曝發(fā)生大規(guī)模數(shù)據(jù)泄露事件，超過(guò)250萬(wàn)人的數(shù)據(jù)可被獲取，有680萬(wàn)條數(shù)據(jù)疑似泄露，包括身份證信息、人臉識(shí)別圖像及圖像拍攝地點(diǎn)等。據(jù)悉，該企業(yè)主要研發(fā)“人臉識(shí)別技術(shù)”，與不少部門(mén)機(jī)構(gòu)都有人工智能的安防合作。

    目前，個(gè)人生物信息的安全問(wèn)題是不可控的。”曾遼原表示，人臉和其他生物特征數(shù)據(jù)間的一個(gè)巨大區(qū)別是，它們可以遠(yuǎn)距離起作用，這意味著我們?cè)诰W(wǎng)上自拍或在街上走路時(shí)，都有可能不自覺(jué)交出了自己的個(gè)人生物信息。可以說(shuō)，隨著攝像頭越來(lái)越普及，我們將真正進(jìn)入“弱隱私”時(shí)代。如今，人臉、聲紋、虹膜、指紋，甚至是步態(tài)都已經(jīng)成為重要的個(gè)人身份信息，隨著生物特征識(shí)別技術(shù)在生活中的廣泛使用，極有可能成為個(gè)人隱私的泄露方式。

    中國(guó)法學(xué)會(huì)網(wǎng)絡(luò)與信息法學(xué)研究會(huì)副秘書(shū)長(zhǎng)周輝此前在接受媒體采訪時(shí)建議，人們應(yīng)提高風(fēng)險(xiǎn)防范認(rèn)知水平，了解“人臉識(shí)別”類(lèi)應(yīng)用可能存在的風(fēng)險(xiǎn)。對(duì)于應(yīng)用方，應(yīng)當(dāng)增加風(fēng)險(xiǎn)提示說(shuō)明。另外，監(jiān)管部門(mén)也應(yīng)加強(qiáng)消費(fèi)者教育，對(duì)應(yīng)用方依法加強(qiáng)管理。如果應(yīng)用方存在非法利用采集到的相關(guān)信息，可依據(jù)網(wǎng)絡(luò)安全法第64條等有關(guān)規(guī)定進(jìn)行處罰。

    個(gè)人生物信息被濫用

    據(jù)了解，當(dāng)前個(gè)人生物信息保護(hù)的相關(guān)法律法規(guī)，散見(jiàn)于民法總則、網(wǎng)絡(luò)安全法、消費(fèi)者權(quán)益保護(hù)法以及最高法、最高檢和國(guó)務(wù)院頒布的相關(guān)司法解釋和規(guī)定中，遠(yuǎn)未形成完整體系。伊彤代表稱，我國(guó)行政機(jī)關(guān)和特定行業(yè)針對(duì)個(gè)人生物信息也有一些規(guī)定，如公安機(jī)關(guān)對(duì)犯罪分子、刑事被告人的相關(guān)生物信息有保密義務(wù)，安保服務(wù)、征信行業(yè)對(duì)個(gè)人生物信息收集也有所規(guī)定，但這類(lèi)規(guī)定的涵蓋范圍比較有限。

    “我國(guó)目前的刑事法律主要以‘侵犯公民個(gè)人信息罪’為切入點(diǎn)，對(duì)向他人提供、出售以及非法獲取個(gè)人信息的行為予以處罰。”北京師范大學(xué)刑事法律科學(xué)研究院副教授、中國(guó)互聯(lián)網(wǎng)協(xié)會(huì)研究中心副秘書(shū)長(zhǎng)吳沈括介紹說(shuō)，一些民事類(lèi)以及行政類(lèi)規(guī)定，則對(duì)一般事業(yè)性單位以及網(wǎng)絡(luò)服務(wù)提供者作出了義務(wù)性規(guī)定，要求其對(duì)公民個(gè)人信息收集、使用等活動(dòng)遵循合法、正當(dāng)?shù)纫话阍瓌t。

    在伊彤代表看來(lái)，目前我國(guó)個(gè)人生物信息的法律保護(hù)面臨著以下三個(gè)問(wèn)題，一是個(gè)人生物信息權(quán)作為具有人格權(quán)屬性的私權(quán)，尚未明確納入私法保護(hù)范圍;二是針對(duì)個(gè)人生物信息在刑事偵查、治安管理、人口治理、醫(yī)療衛(wèi)生等領(lǐng)域的非商業(yè)應(yīng)用，以及政府和相關(guān)機(jī)構(gòu)的責(zé)權(quán)利，特別是個(gè)人生物信息權(quán)保護(hù)邊界等急需明確;三是針對(duì)個(gè)人生物信息商業(yè)應(yīng)用和相關(guān)產(chǎn)業(yè)侵權(quán)風(fēng)險(xiǎn)及不正當(dāng)競(jìng)爭(zhēng)，目前缺乏相應(yīng)的特殊規(guī)制，法律救濟(jì)、行政處罰也無(wú)法律依據(jù)。

    “大數(shù)據(jù)相關(guān)技術(shù)的發(fā)展以及云計(jì)算和人工智能技術(shù)的廣泛應(yīng)用，使得生物信息泄露方式多樣化，監(jiān)管技術(shù)難度會(huì)更高。”吳沈括指出，立法如何規(guī)定生物信息的使用范圍或標(biāo)準(zhǔn)，既能使技術(shù)得以發(fā)展，又能使信息得到保護(hù)，這個(gè)重要問(wèn)題亟待解決。

    目前，規(guī)范人臉識(shí)別技術(shù)都在強(qiáng)調(diào)個(gè)人生物信息的保密、防止泄露等問(wèn)題。而北京師范大學(xué)法學(xué)院教授、亞太網(wǎng)絡(luò)法律研究中心主任研究員劉德良則持不同觀點(diǎn)，他認(rèn)為目前個(gè)人生物信息所面臨的問(wèn)題并不是需要保護(hù)，而是信息被濫用的問(wèn)題。“未來(lái)立法重點(diǎn)應(yīng)放在包括個(gè)人生物信息在內(nèi)的各種身份信息被利用時(shí)，該如何嚴(yán)管相關(guān)機(jī)構(gòu)。”

    “我們的個(gè)人生物信息已經(jīng)存在于社會(huì)中無(wú)數(shù)個(gè)節(jié)點(diǎn)，所謂的泄露往往是在某一個(gè)特定的濫用環(huán)節(jié)上，很難去確定是哪一個(gè)節(jié)點(diǎn)。我們總是一味地強(qiáng)調(diào)保密，防止泄露等安全問(wèn)題，但在很多情況下我們必須使用這些信息，因此強(qiáng)調(diào)保密不如去有效地防范個(gè)人生物信息的濫用，去打擊濫用。”劉德良補(bǔ)充道，目前公眾的焦點(diǎn)應(yīng)該集中在個(gè)人生物信息被濫用或在使用過(guò)程中的規(guī)范問(wèn)題。

    吳沈括還表示，對(duì)于個(gè)人信息的非商業(yè)應(yīng)用行為，鑒于信息適用主體為政府相關(guān)機(jī)構(gòu)，相對(duì)一般的網(wǎng)絡(luò)服務(wù)提供者來(lái)說(shuō)，公民提供給政府機(jī)構(gòu)的個(gè)人生物信息的真實(shí)性以及準(zhǔn)確性更高，因此，建議對(duì)該類(lèi)機(jī)構(gòu)應(yīng)當(dāng)予以更為嚴(yán)格的規(guī)范，應(yīng)當(dāng)明確規(guī)范相關(guān)機(jī)構(gòu)在個(gè)人信息處理行為中的權(quán)利以及義務(wù)范圍，避免個(gè)人信息的過(guò)度使用。同時(shí)，相關(guān)部門(mén)對(duì)于個(gè)人DNA生物信息的使用應(yīng)當(dāng)進(jìn)行嚴(yán)格的審核，考量使用目的是否具有必要性以及適當(dāng)性。此外對(duì)于存儲(chǔ)的時(shí)長(zhǎng)等問(wèn)題應(yīng)當(dāng)向個(gè)人信息主體作出必要的說(shuō)明，以確保個(gè)人信息主體對(duì)其信息所享有的一般權(quán)利。

    曾遼原同樣也認(rèn)為規(guī)范人臉識(shí)別，重點(diǎn)在于“濫用信息”的問(wèn)題上。“獲得人們同意的簡(jiǎn)單規(guī)則具有非常大的意義，而不應(yīng)該濫用人臉識(shí)別技術(shù)。”曾遼原稱，目前在如何規(guī)范人臉識(shí)別方面，美國(guó)的伊利諾伊州和德克薩斯州是有先例的，相關(guān)法律法規(guī)要求私企使用人臉識(shí)別技術(shù)必須得到用戶同意，但中國(guó)還沒(méi)有制定相關(guān)法律。

    期待立法發(fā)力

    “為避免法律滯后對(duì)科技發(fā)展的不利影響，建議對(duì)個(gè)人生物信息權(quán)進(jìn)行相關(guān)立法規(guī)劃和研究，并注意與隱私權(quán)保護(hù)的區(qū)別與銜接，構(gòu)建和完善符合中國(guó)實(shí)際的個(gè)人生物信息保護(hù)制度。”伊彤代表建議，政府應(yīng)在法律、法規(guī)中明確公權(quán)力與個(gè)人生物信息權(quán)的邊界，并加強(qiáng)商業(yè)應(yīng)用領(lǐng)域的市場(chǎng)管理、規(guī)制及法律救濟(jì)。“希望相關(guān)部門(mén)能重視，提前作出部署，以免產(chǎn)生問(wèn)題后陷入被動(dòng)。”

    在個(gè)人生物信息保護(hù)方面，立法該如何發(fā)力呢?“首先，應(yīng)要求相關(guān)企業(yè)必須擔(dān)負(fù)起社會(huì)責(zé)任，進(jìn)一步規(guī)范行業(yè)標(biāo)準(zhǔn)，自覺(jué)維護(hù)所采集、儲(chǔ)存的公民隱私數(shù)據(jù)安全。”曾遼原表示。同時(shí)他進(jìn)一步指出，政府也應(yīng)該有所作為，建立準(zhǔn)入制度、評(píng)估制度等。“以人臉識(shí)別為例，政府相關(guān)部門(mén)應(yīng)盡快設(shè)定人臉識(shí)別技術(shù)的各類(lèi)標(biāo)準(zhǔn)和公民隱私的保護(hù)標(biāo)準(zhǔn)，并加強(qiáng)商業(yè)應(yīng)用領(lǐng)域的市場(chǎng)管理、規(guī)制及法律救濟(jì)，從而推動(dòng)人臉識(shí)別技術(shù)規(guī)范性地進(jìn)入各行各業(yè)。”

    吳沈括建議，立法要考慮商業(yè)領(lǐng)域應(yīng)用與非商業(yè)領(lǐng)域應(yīng)用兩方面。他表示，一方面對(duì)于商業(yè)領(lǐng)域應(yīng)用而言，應(yīng)當(dāng)對(duì)有關(guān)個(gè)人生物信息的技術(shù)研發(fā)問(wèn)題予以規(guī)制，更為重要的是，應(yīng)當(dāng)對(duì)個(gè)人生物信息應(yīng)用的具體場(chǎng)景作出明確性限制，防止生物信息技術(shù)與個(gè)人生物信息結(jié)合產(chǎn)生具有一定社會(huì)危害性的行為。另一方面對(duì)于非商業(yè)領(lǐng)域應(yīng)用而言，最主要是加強(qiáng)對(duì)個(gè)人生物信息的安全保護(hù)問(wèn)題，“加強(qiáng)個(gè)人生物信息的保護(hù)措施與技術(shù)手段，強(qiáng)化信息收集主體的義務(wù)更為重要。”吳沈括說(shuō)道。

    “在個(gè)人生物信息被濫用環(huán)節(jié)中，我國(guó)立法大部分都是空白的，或是缺乏一些可操作性的條款。”而劉德良告訴記者，他正在起草一個(gè)專家建議稿，重點(diǎn)關(guān)注個(gè)人生物信息濫用的防治問(wèn)題，即可以把個(gè)人信息分為幾種類(lèi)型，需要將那些濫用的個(gè)人信息厘清，針對(duì)每一個(gè)濫用的種類(lèi)，分別從民事立法如侵權(quán)責(zé)任法，以及行政、刑事立法對(duì)它進(jìn)行規(guī)制。他指出，“我們未來(lái)的立法，如果不從這個(gè)方面去努力，仍然試圖按照傳統(tǒng)的思路去保密、防止泄露，那么我們的問(wèn)題永遠(yuǎn)得不到真正的解決。”