引例：2020年6月，杭州市富阳区人民法院开庭审理郭兵诉杭州市野生动物园服务合同纠纷案。该案是由2019年杭州市野生动物园入园系统升级导致的纠纷。入园方式升级后，原告之前购买的年卡所采用的入园方式由指纹验证变更为人脸识别。原告诉称人脸信息作为敏感个人信息，对信息主体影响重大，被告就改变入园方式进行的短信、公告通知无效，且变相强制收集人脸信息，违反《消费者权益保护法》，要求动物园退还购卡费用，赔偿相关交通费用并且删除已采集的信息。被告则辩称其进行的个人信息收集符合知情同意原则，因此双方服务合同依然合法有效。一审法院判决支持原告请求。该案并非我国首次因人脸技术而产生争议。早在2017年，城市公共交通路口设置人脸识别查处违反交通规则人员的做法就引发了关于公共安全和公民个人隐私权如何进行价值平衡的热烈讨论。
一、人脸识别技术的概念
人脸识别，通常亦称为人像识别、面部识别，是基于人的脸部特征的信息加以身份验证识别的一种生物识别技术。人脸识别系统主要涵盖人脸图像采集连同检测、人脸图像预处理、人脸图像特征之提取、人脸图像匹配同识别四个组成部分，关键是针对人脸里面不易出现变化之部分如眼眶、颧骨周围连同嘴部边沿区域等加以图像处理。
人脸识别的研究初始于二十世纪六十年代。二十世纪九十年代初，美国麻省理工学院的研究人员提出了特征脸人脸识别的理论和方法，标志着人脸识别技术作为新兴学科正式开始研究。2014年，“深度学习”被应用于人脸识别范畴，人脸识别的准确率有了新的飞跃。2018年后“刷脸支付”应用于全世界，更充分地体现出人脸识别技术广阔之发展潜力。
二、人脸识别技术应用的主要场合
目今，人脸识别主要被用于在安防、支付系统、交通以及门禁等方面。在安防方面，人脸识别与大数据及人工智能等技术相结合，在犯罪的侦查同预防、出入境的管理、安全保障等方面已经有了比较广泛的应用。在金融支付方面，刷脸支付成为一种崭新的支付方式，有取代扫码支付从而成为主要之支付方法之趋向。这样，消费者就能够摆脱忘记带现金抑或手机的麻烦，减短支付时间，提高消费之便捷。在交通方面，人脸识别已应用于机场里自助登机系统与安检、网约车驾驶员身份识别等范畴。在门禁方面，具有身份识别的智慧门禁可以通过把摄像头采集的需要检测的人脸图像同数据库进行对比，加以实现身份识别，从而对门禁给以控制要求，方便迅速，容易操作。除此之外，在紧急情形下有利于加强执法。
三、包括人脸识别的个人信息的规范发展的历史
在美国《隐私法》中，个人信息属于“个人记录”类目，此处“记录”指的是“由相关机构保存之有关个人信息之项目、集合以及归类。这之中涵盖然而不限于他的教育背景、财务流水、病史、犯罪以及受雇的记录，还涵盖了其名字或者特别给以个人之识别号码、符号或者另外的一些识别特征，譬如手指、声纹或者照片”。从该法名称能够看出，此处个人信息或个人记录从属于隐私。对于个人信息之保护，关键在于限制联邦机构，防止公权力对于有识别性之个人信息之传播来维系个人隐私。在这以后，经济合作发展组织在1980年颁布《隐私保护与个人数据跨境流通指南》。《指南》把个人信息加入到“个人数据”术语名下，希望数据自动化的处理技术快速发展之背景里面，不但对个人信息与隐私加以保护，又不对国际数据流动过分影响。“个人信息”的概念源于澳大利亚1988年发布的《隐私法》，将之定义成“可识别或者于理论上可以识别身份之信息连同观点”，并对于不管个人信息是不是真实、是不是以物质形式记录，都属于该法规定的个人信息。这以后，欧盟《个人数据处理保护与自由流动指令》、英国《数据保护法》、日韩《个人信息保护法》同新加坡《个人数据保护法》等皆对于个人数据、个人信息等概念加以法律界定。
我国法律有关个人信息内容出现比较晚。它初始出现于工信部在2011年12月颁布的《规范互联网信息服务市场秩序若干规定》。《规定》第11条强调未经用户同意，互联网信息服务提供者不得收集与用户相关、能够单独或者与其他信息结合识别用户的信息，并将这些信息称为“用户个人信息”。2013年4月发布的《最高人民法院、最高人民检察院、公安部关于依法惩处侵害公民个人信息犯罪活动的通知》首次对“公民个人信息”的内容作出规定，即“包括公民的姓名、年龄、有效证件号码、婚姻状况、工作单位、学历、履历、家庭住址、电话号码等能够识别公民个人身份或者涉及公民个人隐私的信息、数据资料”。2016年11月颁布的《网络安全法》首次对个人信息的概念作出界定，即“以电子或其他方式记录的能够单独或者与其他信息结合识别自然人个人身份的各种信息”。2017年通过的我国《民法典》第111条则明确规定“自然人的个人信息受法律保护。任何组织和个人需要获取他人个人信息的，应当依法取得并确保信息安全，不得非法收集、使用、加工、传输他人个人信息，不得非法买卖、提供或者公开他人个人信息。”到目今来看，据不完全统计，我国大陆地区已经有3部民事法律、21部宪法和行政法领域法律、16部经济法和社会法领域法律、3部诉讼法、2个刑法修正案、11部行政法规和数十个国务院规范性文件和部门规章对个人信息予以规制。
四、人脸信息的相关规范
从前述关于个人信息的规则来看，都没有在个人信息定义当中直接列举人脸。这就需要对人脸识别连同人脸的属性予以分析。有关规范都把“可识别性”当作界定个人信息之要素。同时在《通知》里面，以列举之方式确定了个人信息之外延，同时用“等”字将其他能识别公民个人身份或牵涉公民个人隐私之信息、数据资料加以概括式界定。与有效证件号码、电话号码和学历等信息相对的，人脸更加是更容易识别与确定个人身份之个人信息。在熟人社会当中，人的年龄、身份证号或住址或许不为人知，然而一看脸就能识别身份。在陌生人社会当中，就算了解前述很多的信息，依然需要参照人脸，加以验证与确认。所以，从立法技术上来看，“等”字里面涵盖了人脸信息。自法律解释来看，对“等”字能够运用当然解释之手法，就是“等”中当然涵盖了人脸信息。把此类解释延续至法律上，那么意味着《民法典》与相关法律法规、规章里面的个人信息应当包括人脸。
从中国法律对于个人信息之界定来看，人脸信息应当属于个人生物识别信息的范围，为个人信息之重要组成部分。依照《网络安全法》第七十六条第五款规定，个人信息涵盖却不限于“自然人的姓名、出生日期、身份证件号码、个人生物识别信息、住址、电话号码等”。其中生物识别信息指的是与自然人之身体、生理或者行为特征有关之基于特定技术处理产生之个人数据，此类数据能够确认人的独特的身份。生物识别信息一般来讲共分为两类，其一是基于人的身体或者生理特征之信息，譬如虹膜信息、指纹信息、人脸信息、声音信息、体味信息等;其二是指基于行为之信息，譬如移动方式、手写签名、步态分析等。我国有关规定明确加以指出，个人生物识别信息涵盖“个人基因、指纹、声纹、掌纹、耳廓、虹膜、面部特征等”如此在规则方面认可了人脸信息之生物识别信息之特性，它受到个人信息保护相关规则之规范。
五、人脸识别的法律规制之三大模式
如何合理运用人脸识别，全世界未形成统一之认知。目今来看，对于人脸识别的运用关键形成了“禁止使用”、“基于公共利益而使用”、“严格限制企业使用”三大法律规制之模式。
(一)禁止使用之模式
美国目今在联邦范畴内没有统一的规范法律。2019年5月以后，美国旧金山、萨默维尔市及奥克兰市皆出台法令，全方位禁止警方和市政部门使用人脸识别，此处意味着警方难以把于公共场合的摄像机与犯罪照片的数据库相连结。这些地区以为，人脸识别的应用于政府部门弊多于利，所以必须加以禁用，缘由包含两个方面。一方面，技术方面存在偏见。旧金山法令提出，很多人用人脸监控的数据库皆有多种偏见之困境。第二，侵犯公民自由连同隐私权利。美国禁止政府使用人脸识别技术，目的是为了阻止人脸识别被用来当作监视公众的工具，进而保护公民之隐私连同言论自由。为防止政府利用人脸识别来监视人民的生活，美国部分地区宁愿在一定的程度方面牺牲人脸识别对于提高破案效率的帮助，对于公民的隐私和自由加以妥协。
(二)基于公共利益而正当使用模式
以“英国人脸识别第一案”来说明。2019年9月，英格兰和威尔士等高等法院行政庭对于布里奇斯诉南威尔士警方一案进行判决，认同了警方使用人脸识别之合法性。其核心问题是公民隐私保护与政府维系公共利益之冲突的研究。首先，南威尔士警局利用AFR定位违反了《欧洲人权公约》(ECHR)第八条第四款的规定，侵犯了布里奇斯之隐私权。AFR技术可以提取个人独特的生物信息及标志符，进而于各类情况下精细准确地识别人的身份。所以，来源于AFR的生物特征的数据为个人信息之重要来源，为一类“内在的私人的信息”，它能影响人的私生活，倘若未经过个人同意保存此类信息并不是中立或者没有任何关系的。侵犯隐私权不要求生物特征被长久地保留，仅仅被发现、处理以及储存就足够了，尽管是暂时的，就初始收集信息就已然触犯该项条款了。所以，警局侵犯了布里奇斯之隐私权。其次，警方对于AFR的使用符合英国2018年《数据保护法》六项数据保护原则和有关“敏感处理”的规定，英国现有的法律足以规制AFR的使用，不需要加以专门立法。判决指出，在该案涉及的两次行动中，第一，AFR不用于秘密地拦截批量数据，警局已经替公开使用AFR监控系统采取了充足之措施。第二，它每一次皆于有限度的时间以内覆盖有些足迹，它的部署之目的特定而明确。该行为仅仅为寻找出现于此区域之犯罪嫌疑人，符合维系公共安全与追查犯罪之需要。第三，AFR把原告之生物数据加以及时之算法处理与删除，没有保留什么人的数据，任何人包括警方都难以获取到原告相关的个人信息。布里奇斯诉南威尔士警方一案的判决要旨在于：其确认警方使用AFR是正当的，尽管该技术侵犯了原告之隐私权，然而它对于原告隐私的侵犯非常有限。因此，该案件明显保护了公民隐私权和维系公共利益之边界，对于政府于依照数据保护的相关立法之前提下有限度地使用人脸识别的允许，在发展新技术破案之同时保障人民正常安静的生活，个人隐私不被搅扰。
(三)严格限制企业使用人脸识别的模式
2018年5月25日，欧盟《通用数据保护条例》正式宣布实施，给以了欧盟民众的个人数据保护，该条例把生物特征数据划分到个人数据的“特殊类别”，强调公民对于人脸识别数据的全流程的控制，严格地对网络运营商在个人信息收集、存储、使用、流动、删除等方面的行为加以规范，人脸识别所收集的和其他生物数据皆列入特殊数据类别，非常严格地限制其用途。首先，该条例加强了对于“事先明确同意”原则的保护。人脸识别仅在个人明确加以同意之情形下方可以商用，同时同意必须符合“自由、明确、具体、不含混之给予”等条件。其次，该条例新增加了被遗忘权、数据的可以携带权等个人信息保护权利。被遗忘权指的是数据主体以为个人数据对初始收集证据目的无价值或者于撤回同意之情形下，能够请求删除其个人数据之权利。2014年5月“冈萨雷斯案”在欧盟最高院的审判中，被遗忘权作为一项权利在欧盟立法中被加以固定。由此，人脸识别数据的主体能够于一定条件满足的情形请求数据控制机构删除其个人的人脸数据。再次，该条例创设了完善的数据监管的方式，不但要求成员国皆建立负责监督数据保护规则执行的独立机构;并且要组建欧盟数据保护委员会，对数据保护规则的执行的程序加以明确，对于欧盟内部违法行为加以审查。倘若数据主体以为某机构处理人脸识别的数据行为违反该条例之规定，则有权限向监督机构提出申诉。倘若对监督机构决定不服，数据主体能够要求消费保护机构代行私法救济权。最后，处罚较为严厉。该条例规定，违规处罚额度最高为两千万欧元或者全球营业额的百分之四。应当注意，企业对于人脸识别的收集及运用并非限制新技术的变革，而是希望可以尽可能规避新技术之负面影响，发挥利于社会之效果，最后实现人脸识别之健康发展与妥善利用。
六、人脸识别应用的风险与困境
(一)损害的不可逆
人脸识别侵权出现之损害后果有不可逆的特点。人脸信息一发被相关技术处理，就一发的不可收拾，潜藏并且散布于网络各角落的个人信息会被迅速汇聚、分析与整合，同时面临随时可能扩散。这对于隐私的损害是不可逆的。
(二)存在误差
人脸识别进行时，有时会遇到较为相似的两个或多个个体，倘若人脸识别技术不成熟，可能出现混淆。除此以外，因为人脸是非刚体性，人脸间的相似连同各类变化因素的影响，准确的人脸识别较为难于进行。为了满足人脸识别之要求，必要时应当结合指纹、虹膜、语音等识别技术。但很多验证单凭人脸，未能结合其他认证手段。误差的负面影响很明显。在比对犯罪嫌疑人之时，这种误差会导致错判，导致无辜者入狱。这种误差还会给无辜者带来骚扰或其他各种不便。
(三)身份认证被破解
密码是秘密地加以保存的，人脸却是公之于众的。人脸识别验证最早出现于2009年，但很快被证明不可信的，因为黑客可以通过打印的照片解锁。这以后，人脸识别结合了动态监测如眨眼，但是也容易被规避。最新的验证结合3D图片加以登陆和验证，虽然比以往难破解，但破解之不是不可能。
(四)导致信息的泄漏
保存人脸信息的计算机可能被黑客偷袭，病毒可能入侵，或许会导致信息泄漏。另外，内部员工不利也会导致信息的泄露。
(五)带来财产风险
对个人来说，许多银行和网络金融产品的支付应用，小区门禁乃至个人住宅房门的打开，都会应用到人脸识别，而这些人脸被人脸识别生产商、小区物业获得后，难于保障其不被泄露和滥用。
(六)面临尊严遭到贬损
有人以为没有经过知情同意而进行刷脸是对人的尊严的一种冒犯。认为基于知情的同意体现当事人经过自己的真实意思为自己设定权利义务，使得个人信息被被使用或者被刷脸之行为具有了正当性基础。然而这种同意仅仅是知情而非同意，缺乏真实的理解与考量。另外，即便知情，有时不得不同意，受制于强制力不得不同意。人脸背后的人格因素和它所承载的信任与尊严等价值被稀释。
