数据合规{人脸识别} | 一边是便捷，一边是风险?

当下，越来越多的便捷式“刷脸”技术被应用于各个现实场景。看起来,人们仿佛是在享受“刷脸”带来的便捷体验，追求着轻轻一扫便能完成预定事项的轻松氛围感，但与此同时,“刷脸”技术带来的隐匿法律合规风险却难以为人所知, 更别提对于有关风险的预防及救济。 

对此，你可能会问，上述人脸识别技术行为如何引发风险呢？ 

答案是：便捷背后，是经营者们对人脸识别技术的滥用，而这种滥用则被广泛运用在各个社会活动中，例如，经营者们偷偷启用人脸信息收集技术,并对收集到的信息进行再加工处理后实现客源的精准营销；再例如，有些服务行业经营者将人脸识别应用在其服务终端的首要环节，让人脸识别成为其为消费者提供服务的前置“强制”手段……往往,这样的滥用因其应用范围太广、消费者无法及时获知、获知后侵权证据较难收集等现实难点,对消费者在寻求个人信息保护的法律救济时造成一定的困境。而同时,相关技术应用者也并非仅获利而无责任。 

依据

从数据合规风险层面来看,人脸识别技术有关数据风险的大体现是在其应用层面，往往是违法或违规收集存储个人信息后带来相应的侵权效果，造成对个人财产权利和人身权利的侵害，使有关该技术应用者承担相应的侵权责任。 

从立法层面来看，我国数据合规立法体系是以《网络安全法》、《数据安全法》、

《个人信息保护法》三大基本法组成。 

本文将研究以上述三大基本法为基石，由国家网信办于2023年8月起草的《人脸识别技术应用安全管理规定（试行）（征求意见稿）（“以下简称“本稿”）的相关内容对数据合规风险中其一模块--人脸识别技术展开观点交流,供读者参阅。 

本稿解读(主要涉及三点要求） 

一、基本应用原则：本稿要求人脸识别技术仅在具体特定目的及充分的应用必要性的前提下，以采取严格的保护措施，方可运用至有关现实场景。在能实现相同目的条件下，如存在其他非生物特征识别技术方案的，应当优先选择非生物特征识别技术方案。 

二、遵循自愿原则：本稿要求应用人脸识别技术处理人脸信息应当取得个人单独同意或者依法取得书面授权。在充分保障个人充分对人脸识别信息应用的知情权的前提下进行，该点应用技术主要体现在验证环节，如应当以清晰显著的语音或者文字等方式对身份识别方进行明确提示标识。 

三、存储量小化原则：除获得个人单独同意外，人脸识别技术应用者不得擅自保存人脸原始图像、图片、视频等敏感信息，且应用同时应当尽大可能避免采集与提供服务无关的人脸信息--即实现信息存储量小化，无法避免的，应当及时删除或者进行匿名化处理。 

实践案例(来源于上海地区) 

2024年4月,由上海网信部门办理的首起人脸识别滥用案件(刊发至解放日报): 案件聚焦上海部分公共场所,如游泳馆、培训机构、体育馆、小型商户等经营场所内,以办理业务或提升服务质量的名义强制采集消费者人脸的信息。其中,主要发现的风险经营场所为上海市松江区某游泳馆。 

在案件发生后，由市级网信部指导，区委网信办联合市场监管、公安、网安等多部门，对该馆进行勘验核查、下发整改。并由此产生了本稿背景下产生的上海地区多部门协同开展人脸识别技术领域执法首案。 

故而,该案的产生也为经营者在社会活动中如何实现人脸识别技术应用风险小化,并为其规避数据合规风险,预防法律法规对其经营行为的强制规制提供了范本。 

合规建议 

针对防止相关技术应用者滥用人脸识别技术,并为依法保护个人人脸信息，相关法律虽已明确了其有关经营活动的基本原则。但不可否认的是,人脸识别技术应用仍存在许多现实的合规风险点,如消费者难以感知,集中式违法或违规收集存储信息等,针对此类风险则仍需采取更多、更有效的法律措施加以规制。 

例如: 

◎明确技术应用者的行为义务:如可设置单独提示框或跳转单独提示页面等方式以确保单独同意的授权完成，且可允许授权方撤销授权等，避免强制人脸识别的环节,在后续司法救济(如民事诉讼中)被认定属明确侵权行为。 

◎或可在APP端或SDK技术植入端明示信息处理的目的、方式等要素，尽到明确的提示告知义务。建立人脸识别风险行为应对体系,如建立关于人脸数据主体权利相应合规机制,与数据监管部门建立沟通渠道并进行及时的合规整改调整, 为后续可能面临的行政规制风险做好预案。

相关专题

- 公司合规体系建设服务

- 公司数据合规专项服务

- 厂房环境保护合规

- 企业人力资源合规体系建设服务

- 公司合规管理体系建设服务

- 公司供应链合规建设服务

- 公司税务合规体系建设服务