上观新闻：不得随意采集人脸识别信息禁令透露了什么？“技术诉求不应高于人的价值诉求”
发布时间：2020-12-10 发布来源：上海市科学学研究所
“我们呼唤面向未来的责任观”
天津日前表决通过《天津市社会信用条例》，明确市场信用信息提供单位采集自然人信息，除法律另有规定外，应经本人同意并约定用途，且不得采集自然人的生物识别等信息。国内外对此有何相关禁止规定？这一技术涉及什么科技伦理问题？解放日报•上观新闻记者专访了上海市科学学研究所人工智能研究组李辉博士。
【旧金山是全球第一个禁止政府使用人脸识别的大城市】
“关于采集、使用生物识别信息的法律规定，国外走在前面。”李辉介绍，2018年欧盟实施的《通用数据保护条例》第9条规定，生物特征数据属于个人数据的“特殊类别”，除某些特殊情况外，不得处理该类数据，也就是遵循“原则禁止，特殊例外”的原则。人脸识别技术的商业应用可适用的唯一例外，是“数据主体已明确表示同意”，而且该“同意”须“自由给予、明确、具体、不含混”，数据主体任何形式的被动同意均不符合《通用数据保护条例》的规定。
在生物识别信息中，人脸识别应用在当下最为火热。美国是人脸识别及其立法的先行者。2019年5月14日，美国旧金山监督委员会通过《停止秘密监视条例》(以下简称《条例》），旧金山成为全球第一个禁止政府使用人脸识别监控技术的大城市。《条例》禁止该市所有政府部门（包括警察局）使用人脸识别技术，还要求市政府各部门披露其目前使用或计划使用的任何监控技术、说明有关隐私政策，并且需要获得监督委员会的批准。但是，该《条例》不影响个人、商业公司或联邦政府使用人脸识别技术。随后，美国马萨诸塞州的萨默维尔市、加州的奥克兰市也通过相关立法，加入了禁止人脸识别技术的行列。
此外，美国伊利诺伊州2008年颁布的《生物信息隐私法》、美国议会当下正在审议的《商用人脸识别隐私法草案》，都对非政府机构使用人脸识别等生物识别信息做了明确规定。《生物信息隐私法》要求私人实体在收集个人的生物信息之前，须提供通知，并获得个人的同意，且通知和同意的形式都应当是书面的。《商用人脸识别隐私法草案》的主要目的，是禁止商业机构在未获得个人明示同意的情况下使用人脸识别技术。
【上海相关部门协同立法机构，进行了大量前期研究】
在《天津市社会信用条例》出台不久前，杭州市政府审议的《杭州市物业管理条例（修订草案）》也明确规定，物业服务人不得强制业主通过指纹、人脸识别等生物信息方式使用共用设施设备。
今年以来，我国出台了不少有关生物识别信息采集的规定。2021年1月1日正式实施的《中华人民共和国民法典》第1035条规定，处理生物识别信息等自然人的个人信息，应当遵循合法、正当、必要原则，不得过度处理；2020年10月1日开始实施的《信息安全技术个人信息安全规范》也明确提出：收集个人生物识别信息前，应单独向个人信息主体告知收集、使用个人生物识别信息的目的、方式和范围，以及存储时间等规则，并征得个人信息主体的明示同意；2020年10月21日，《中华人民共和国个人信息保护法（草案）》征求意见稿发布，强调只有具有特定的目的和充分的必要性，方可处理敏感个人信息。
“虽然人脸识别等生物信息识别技术有潜在风险，但不可忽视其在网络信息安全、城市治理等领域中发挥着重要作用。”李辉说。近年来，上海大数据和人工智能等相关产业发展较好，一些潜在的风险和问题实际上一直是政策界、产业界和学术界的研究重点。“据我所知，上海的相关部门正在协同立法机构，就这些问题进行了大量的前期研究，相信会因地制宜做出具体的规范和限制。”
【“技术诉求永远都不应高于人的价值诉求”】
生物识别技术涉及怎样的科技伦理问题呢？
在李辉看来，技术的发展永远是在追求更高的效率、更大的力量，力量大、效率高的技术会淘汰力量小、效率低的技术，力量和效率是技术的合法性基础，但这也容易导致技术的滥用。“技术是为人的福祉而服务的，技术的诉求永远都不应高于人的价值诉求，而应基于人的价值诉求去发展和使用技术，技术应用应充分遵从目的合法正当、最小必要原则。”2019年8月21日，欧盟开出的第一张人脸识别罚单，依据的执法条款第一条就是数据收集行为违反了必要性原则。
李辉认为，由于现代科技的力量越来越大，其造成的不良后果有可能会使事后追责失去应有的意义。比如人脸识别信息被泄露，信息会在网络世界中永恒存在，不知道会被哪些人掌握，个人不可能通过换一张脸去规避未来潜在的隐私安全风险。“我们呼唤面向未来的责任观，因此对于人脸识别等生物识别信息技术的伦理规制应当着眼于防范于未然，人工智能企业要‘负责任’地发展。”
