中国对面部识别技术的法律回应：仍在寻求平衡

《Computer Law & Security Review》：Legal response to facial recognition technologies in China: still seeking the balance

中国面部识别技术应用与法律保护研究，通过立法分析、行政执法评估和司法案例研究，发现现行法律存在独立知情同意规则缺失、公共部门FRTs监管不足、执法力度薄弱等问题，司法实践因制衡缺失倾向于维护产业发展。建议构建立法、行政、司法协同的全方位保护体系。

　　

杨峰|程圆圆|严星宇

浙江大学光华法学院与立法研究院，310008，杭州，中国

摘要

中国在大规模部署面部识别技术（FRTs）方面处于全球领先地位。随着该国数据保护立法的加强，FRTs的广泛使用引发了对其合法性的日益关注。为了研究中国对FRTs的法律应对措施，我们通过规范视角分析了立法框架，采用定量描述统计和定性案例研究相结合的混合方法评估了相关的行政执法决定，并通过一个案例研究探讨了司法机构对FRTs监管的态度。我们发现，尽管在立法方面取得了一些进展，但现行法律框架在保护面部信息方面存在不足：缺乏有效的单独同意规则，对公共部门中FRTs使用的监管严重缺失，且现有面部信息保护法律的执行力度薄弱。此外，法院似乎不愿处理FRTs的滥用问题，这可能是出于对阻碍FRTs产业发展的担忧。我们建议采取包括立法、行政和司法措施在内的综合方法来保护面部信息。

引言

面部识别技术（以下简称FRTs）是指捕捉和处理面部图像以提取特定生物特征模板的技术。这些模板随后与存储在数据库中的大量面部信息进行比对，从而产生具有经济或社会价值的结果。¹21世纪初，FRTs在美国首次得到广泛应用，尤其是在反恐和各种执法场景中。²此后，FRTs的部署在全球范围内显著扩展。全球COVID-19危机进一步加速了FRTs的普及³，中国成为私营和公共部门应用FRTs的领先国家。深度学习技术的融入显著提高了FRTs的准确性、处理速度和可扩展性。⁴预计到2030年，全球面部识别市场的规模将从2023年的59.8亿美元增长到约158.4亿美元。⁵中国的FRTs产业也经历了快速发展，2020年的市场规模达到45亿元人民币，预计2024年将达到104亿元人民币。⁶

FRTs的日益普及具有重要的法律意义。与普通个人数据不同，面部信息属于需要加强法律保护的生物特征数据类型。⁷现有研究表明，FRTs的使用可能带来一系列负面社会影响，包括损害尊严和隐私、不公正的歧视、错误识别以及对社会活动的抑制作用。⁸人工智能技术（尤其是深度伪造技术）的出现给面部信息保护带来了重大挑战，包括未经授权的访问和身份验证的规避。⁹

世界各国在监管FRTs方面采取了截然不同的法律和法规措施。¹⁰例如，美国采用分散的立法模式，多个州和地方政府率先制定了限制FRTs使用的法律。¹¹然而，目前尚无专门针对FRTs的联邦立法。¹²相比之下，欧盟采取了更为统一的立法方式。相关的次级法规包括《通用数据保护条例》、《执法指令》和《欧盟人工智能法案》。¹³然而，无论是欧盟还是美国的立法似乎都未能充分防范FRTs的潜在滥用。¹⁴中国则采取了独特的监管方式来管理FRTs。¹⁵

最近的数据保护立法进展表明，中国立法者越来越意识到需要在保护个人权利与促进经济发展和公共安全之间找到平衡。¹⁶鉴于中国政府重视国家安全、社会稳定和经济发展，在FRTs问题上达成适当平衡是一项艰巨的任务。2021年颁布的《个人信息保护法》（以下简称PIPL）借鉴了GDPR的许多规定，为包括面部信息在内的敏感个人数据提供了更强的保护。然而，尚不清楚该法律能否有效保护面部信息并遏制公共机构的FRTs滥用行为；也不清楚行政当局是否会严格执法。此外，由于缺乏有效的制衡机制和司法独立性，法院可能不愿对FRTs的使用进行严格的法律审查。在中国政策框架下，法院更多地被视为推动国家治理的工具¹⁷，FRTs在维护社会稳定和促进经济发展方面的作用被置于个人信息保护之上。¹⁸因此，全面审视中国对FRTs的法律应对措施对于加强面部信息的法律保护至关重要。现有文献大多采用比较视角¹⁹，重点关注立法发展和司法执法²⁰，而对行政执法的现状则较少探讨。

本文旨在对中国对FRTs的法律应对措施进行全面评估。为此，我们从三个方面进行分析：（1）通过教义法律研究方法，批判性地评估PIPL如何规范私营和公共部门中FRTs的使用；（2）采用定量和定性分析相结合的混合方法，评估地方政府如何监管FRTs的使用；（3）通过一个具有里程碑意义的司法案例研究，探讨法院如何处理FRTs相关纠纷。这三个方面的分析相辅相成，各自涵盖了 China 对 FRTs 法律应对措施的不同但关键维度，共同构成了关于面部信息法律保护充分性的全面报告。本文的其余部分结构如下：第2节概述了中国蓬勃发展的FRTs产业与个人面部信息保护之间的矛盾；第3至5节分别进行上述三个方面的分析；第6节提出若干加强面部信息保护的措施；第7节总结全文。

章节摘录

中国面部识别技术的应用与个人数据保护

在本章中，我们首先描述了中国FRTs应用的迅速发展，同时介绍了个人信息法律的相关进展。这有助于更深入、更有针对性地理解在中国加强面部信息保护的必要性和合法性。

不完善的法律框架和法规

保护面部信息对于维护个人自主权和实现可持续的数字经济发展至关重要。问题是现有立法和执法措施是否足以提供足够的保护。为了解答这个问题，本章采用了两步教义研究方法：首先确定相关法律来源，然后对法律条文进行解释和批判性分析。⁴¹

薄弱的行政执法

前一章指出了现有法律在保护面部信息方面的不足。本章进一步探讨了行政执法在应对FRTs非法使用方面的缺陷。

法院对首例面部识别案件的回应：错失的机会

司法机构是管理FRTs的法律框架的重要组成部分。有关个人信息保护的某些法律规定较为抽象和模糊，需要法院在具体案件中加以解释。本节通过2019年的郭冰诉杭州 Safari 公园公司（以下简称“该公园”）案进行评论，提供了法院如何处理此类案件的详细分析。

改进面部信息保护的建议

针对上述挑战，我们建议采取包括立法、行政和司法措施在内的综合方法来保护面部信息。鉴于现有法律框架对公共和私营部门中FRTs的使用有不同的规定，因此需要采取差异化的措施来加强这两个领域的面部信息保护。

首先，应强调通知的独立价值。⁷⁴

结论

本文系统地分析了中国对FRTs的法律应对措施。我们指出了在保护个人面部信息方面存在的立法、行政和司法方面的不足。从立法角度来看，PIPL 中的单独同意规则未能有效保障个人在商业场景中使用FRTs时的自主权，且该法律对公共实体使用FRTs并未施加实质性限制。在缺乏专门的数据保护监管机构的情况下，行政