疫情之下，人臉識別信息處理有哪些必要性？

人臉識別技術屬于生物識別技術的一種。隨著人工智能、大數據技術的發展，人臉識別技術開始在商業領域以及社會生活中得到廣泛應用。例如，支付、旅游、交通、銀行等行業的經營者和一些網絡服務提供者往往采用人臉識別的方式進行身份識別或要求用戶注冊進行人臉識別認證等。新冠肺炎疫情發生以來，人臉識別技術在疫情防控等社會管理方面也得到應用。例如，全國各地在健康碼中普遍采用人臉識別方式進行身份識別并采取相應的防控措施。

人臉識別技術的應用在精準確定用戶身份、提高效率節約成本、公共場所安全保障、社會管理精細化等方面確實有其積極的作用，這是技術進步帶來的便利。技術是中立的，但技術的應用是否需要管控以及管控的程度，取決于社會對某種技術應用的安全的風險以及控制能力的判斷上。與其他個人信息比較，人的生物信息具有唯一性和終身不變性，人臉識別等通過生物識別技術收集的信息一旦被泄露，受害人便無法通過更改信息加以防控和補救，因而具有不可逆性，而人臉識別與指紋識別、虹膜識別、脈搏識別等其他生物識別技術相比，通過非接觸性、遠程、不自覺收集的方式就可以實現，應用更加廣泛、直觀，收集成本和難度較低，信息和隱私被侵害的風險遠遠大于其他類型的個人信息，而人臉信息一旦被泄露，對受害人造成的侵害或危險將是長期的、全面的、不可消除的。因此，相對于特定身份、行程軌跡、金融賬戶等敏感信息，人臉識別信息應當更加嚴格保護，對于人臉識別技術的應用，應當在個人信息保護法的基礎上，進一步增強安全保護嚴格性，細化完善相關制度和機制，以最大可能地保護個人信息、隱私以及人身安全。

首先，應當明確人臉識別信息處理充分必要性的標準。由于互聯網技術的普遍應用和網絡平臺經濟雙邊市場的特性，用戶選擇經營者的余地有限，用戶同意原則在實踐中往往流于形式，難以單靠告知同意手段解決。因此，除了用戶同意以外，對于人臉識別技術的應用，通過強制性規定的形式，明確應用的具體范圍和條件，對人臉識別技術的應用領域加以限制，細化判斷人臉識別信息處理具有充分必要性的標準。筆者認為，充分必要性應分為必要性和充分性兩個層面。必要性應同時具備個人信息處理目的的正當性和人臉識別技術應用的必須性兩個要件。人臉識別技術應用的必須性應以“非此不能”為標準，即如果不采取人臉識別技術，將難以實現信息處理目的或極大地增加識別成本。具體而言，應從身份識別精確度、識別成本、識別效率等方面判斷。充分性應以具備人臉識別信息的安全保護能力為標準。僅有必要性，不具備充分性，也不得收集使用人臉識別信息。為此，應實行一定的市場準入要求，對于不具備安全保護能力或風險難以控制的情形，禁止使用人臉信息識別技術。

其次，實行類型化安全保護制度。個人信息處理目的和適用范圍不同，應按照類型化處理的原則對安全保護程度方面進行區分。對于沒有明確授權同意期限但個人信息處理目的為完成特定事項或具有期限性的情形，在該目的實現后，不再具有人臉識別信息處理的必要性，應當確立個人信息處理者主動刪除人臉識別信息的義務，防止因長期存儲導致的次生損害。

最后，建立人臉信息識別和其他身份識別的用戶選擇機制。除了實現公益目的或個人信息處理技術上必須外，經營活動中出于效率和成本的必要性使用人臉信息識別技術的，應當同時設置非人臉識別的身份信息驗證渠道，允許用戶可選擇是否接受人臉識別方式。另外，在強化人臉識別信息安全義務的同時，應完善侵犯人臉識別信息的刑法規制。目前，我國刑法制度中沒有專門針對實施人臉識別信息犯罪認定標準的直接規定，涉及非法收集、泄露、利用人臉識別信息的犯罪通過其侵犯公民個人信息罪統一調整。但在針對侵犯人臉識別信息方面缺乏認定是否構成犯罪的具體標準。由于侵害人臉識別信息犯罪屬于新型犯罪領域且對用戶人身財產安全的影響持久，有必要通過相關司法解釋，把侵犯人臉識別信息明確列入侵犯公民個人信息犯罪的主要類型，并明確相應的定罪量刑標準，以加強人臉識別信息的刑法保護。

標簽： 信息處理 人臉識別 生物識別技術 侵犯公民個人信息