2019 年 5 月，美国旧金山发出了禁令，禁止人脸识别技术在政府机关和执法机关中使用，从而成为全球首个对该技术发出禁令的城市。
人脸具有独特性、直接识别性、方便性、不可更改性、变化性、易采集性、不可匿名性、多维性等特征,这就决定了人脸识别技术具有特殊性和复杂性。“人脸信息一旦被非法窃用,无法更改或替换,极可能引发科技伦理、公共安全和法律等众多方面的风险,危及公众人身与财产安全。”
与密码、住址、手机号等可以更改的个人信息不同，人脸、指纹、声纹、虹膜等生物识别信息具有唯一性、不可变更性。随着社会整体信息化程度越来越高，公民生物识别信息一旦泄露，则意味着自家大门永远向陌生人敞开。《民法典》首次将个人生物识别信息纳入个人信息的保护范畴，体现了国家立法工作的与时俱进，和对社会秩序的必要指引。然而，虽然目前《民法典》有了提纲挈领的规定，但“制度的笼子”还没有织就，高度重视和严格保护公民生物识别信息的社会氛围还没有形成。
相关问题主要表现在三个方面。
一是场景滥用。公民生物识别信息原本是最敏感和最重要的个人数据，非必要不应轻易采集和使用。但由于缺乏全国性的明确约束，一些社区、企业、机构毫无谦抑敬畏之心，动辄以“方便管理”为由强推“刷脸”系统等技术设备，有的学校甚至用人脸识别来监控学生的上课状态，剥夺人民群众知情权、选择权，绝大多数人只能在不知利害或者无力反对的状态下被动接受。
二是权限不明。以施行“刷脸”出入的小区为例，居民的人脸识别数据是掌握在居委会手中、业委会手中、物业公司手中还是提供技术设备的企业手中，数据是否加密，谁有权读取、改动、存储，凡此种种，都缺乏明确、详细的要求。
三是监督乏力。新版的国家标准《信息安全技术个人信息安全规范》明确要求，在收集个人生物识别信息前，需单独向用户告知收集、使用个人生物识别信息的目的、方式和范围以及存储时间等规则，并征得用户的明示同意；个人生物识别信息要与个人身份信息分开存储，原则上不应存储原始个人生物识别信息。但这些要求相关单位是否执行是一个问号，而面对不按要求办事的单位，人民群众向谁举报、有何处罚措施也是一个问号。
加强生物信息管理三措并举
对于近年来社会上有滥用趋势的强制“刷脸”现象深表关切。鉴于生物识别信息的保护，是关系到每一个人切身利益和安全的要紧大事，而我国的相关制度和机制建设滞后于欧盟《通用数据保护条例》、美国《生物识别信息隐私法》等国外范例，与我国数字经济的发展水平不相匹配，特别提出以下三方面的建议。
其一是，进一步细化、严化相关法律法规。
在《民法典》的主旨性规定之外，对《个人信息保护法》、《刑法》等相关法律法规中涉及生物识别信息的部分，应予以突出强调和专门规定，采取比一般个人信息更大的保护力度、更有力的处罚措施，最大程度限制采集公民生物识别信息的应用场景，明确在可以通过其他方式（如刷卡、密码等）替代的情况下，不得采集生物识别信息的基本原则。
其二，归口管理，常态执法。
可以考虑在公安或者网信系统增设专门的数据保护部门，类似瑞典的数据保护局（DPA）。在相关法律的授权下，开展对全社会的数据安全，尤其是个人生物识别信息的日常管理和保护工作。既监督技术研发和商业开发是否越界，也监督应用场景是否合理必要，同时，受理人民群众的举报投诉、查办相关案件。
2019年，瑞典一所学校因未经学生同意而采用人脸识别系统考勤，就被DPA认定违反了《通用数据保护条例》，处以罚款约合15万元人民币。
其三是设置必要门槛，特别保护原始数据。
目前，社会上存在着似乎谁都可以染指公民个人生物识别信息的不合理现象，企业甚至个人只要开发一款APP，就可以索取或骗取用户的人脸识别等数据，导致信息泄露和相关黑市交易屡打不绝。
国家应考虑对企业涉足个人生物识别信息业务采取准入制度，设置若干硬性条件，对企业的数据保护能力、内部管理严密性等方面提出硬性要求，并开展常态化监督检查。
同时，为最大限度降低个人生物识别信息原始数据的泄露风险，建议参考身份证的管理模式，技术和设备的研发企业只能提供软硬件服务，设备的使用方只能获得比对相符/不符的最终结果，均不得存储数据；与公民身份相对应的生物识别信息原始数据，应由国家机关统一存储、严格保护，向合格企业开放端口但不提供详细数据，仅提供比对结果。
一副眼镜解锁19款手机
要在以前，拿着照片直接往前置摄像头怼，肯定不能解锁手机，但今后攻击者拿到一张你的照片，据此制作一副特殊“眼镜”，就可以刷脸解锁你的手机？这是真的。
最近，依托清华大学人工智能研究院成立的团队瑞莱智慧RealAI披露了新的研究成果：研究人员通过对抗样本攻击，破解了19款安卓手机的人脸识别解锁系统。同样被破解的，还包括十余款金融和政务服务类App。
那么具体是如何实现的呢？据“量子位”报道：
首先，选取20款攻击对象。除了一台iPhone 11，其余都是安卓机型。
这些手机涵盖了国内前五的手机品牌，覆盖了不同价位、不同型号，低端机到旗舰机都有。
第二步，录入人脸，也就是在20部手机里统一录入同一位测试人员的人脸验证信息。
第三步，定制“眼镜”。
拿到被攻击者的照片后，攻击者通过算法，在眼部区域生成干扰图案，然后打印出来裁剪成“眼镜”的形状，贴在镜框上。
△左一为被攻击对象的眼部图像，右一、二为生成的对抗样本图案
最后的结果就是，除了iPhone 11外，其他的手机全部解锁而且是秒解锁。并且团队发现，并非手机越高端，抵御攻击性能就越强。
这个测试也意味着， 如果有黑客恶意开源这一算法，那么不法分子只要能拿到被攻击者的一张照片，就能制作出犯罪工具，破解对方手机。
好在该团队目前已开发相应的防御产品去协助手机厂商加固升级。
除了人脸识别存在安全漏洞之外，人脸识别被滥用的现象也备受关注。
现在很多小区已经采用人脸识别取代传统的门禁出入刷卡系统，而人脸识别又和户主信息、身份信息做了绑定，不少户主担忧，一旦人脸信息泄露，那么别人可能很清楚自己何时不在家。
此外，如今机场火车站进站、酒店入住、写字楼和商场，处处应用了摄像头与人脸识别技术，如果人们的人脸数据生物信息被随意收集，那么数据被泄露和滥用的可能性就会急剧上升。
另外，近日有媒体对78款热门APP进行了测评。测评发现，有67款APP支持人脸识别，而这67款APP中，仅有2款APP对人脸生物信息有特殊保护。并且有46.27%的APP没有明确的人脸识别使用协议，在人脸识别功能中没有征得用户同意。
在这些常用的APP中，“人脸识别”功能多被用于刷脸登录、身份认证；某些社交类APP在刷脸认证时，还能判断该使用者是否具有直播从业资格；而金融类APP则进一步提供刷脸支付、刷脸转账等功能。一旦信息泄露造成的后果不言而喻。
为此，在业内人士看来，人脸识别技术推广一定要在公民个人信息保护基础上完成，不能“捡了芝麻丢了西瓜”，要探索出一条动态平衡路径，既能技术创新，又能保护用户隐私。
全球最大人脸识别诉讼案正式裁定，被判42亿赔偿。
2021年3月8日
近日，美国联邦法官正式批准了，Facebook人脸识别侵权集体诉讼案的和解协议，同意Facebook支付6.5亿美元（约42亿人民币）解决集体诉讼纠纷。
2015年，美国一名律师起诉Facebook，在没有事先通知或征得用户同意的情况下，Facebook擅自收集和存储了个人用户的面部数字扫描信息，此举违反了《伊利诺斯州生物特征信息隐私法》。
2018年，这起诉讼案演变成了集体诉讼，直至如今才终于有了结果，最终共有约160万提交索赔申请的Facebook用户获得了赔偿，每人将获得至少345美元。
并且根据和解协议，Facebook将把“人脸识别”的默认用户选项设置为“关闭”，并将删除所有参与集体诉讼用户的现有人脸数据与存储的数据。
美国法官多纳托认为，这一次的和解协议是“一个具有里程碑意义的结果”，同时也是“消费者在饱受争议的数字隐私领域的重大胜利。”
事实确实如此，消费者用行动证明了，只要科技巨头们侵犯了用户隐私，就要付出相当大的代价。
“人脸识别第一案”判了
2019年4月，郭兵在杭州野生动物世界办理了一张1360元的双人年卡。为了方便公园进行身份核验、防止他人冒用年卡，郭兵在办卡时录入了姓名、手机号、指纹等信息。办理年卡后，他一直使用“年卡+指纹”的方式入园。3个月之后，杭州野生动物世界先后两次发短信通知称，园区系统升级，指纹识别将取消，年卡用户不注册人脸识别将无法入园。郭兵不愿意被强制刷脸，不同意动物世界强制人脸识别的要求。杭州野生动物世界表示，如果郭兵退卡，则需要按照正常入园价格，补齐办理年卡以来数次入园的费用。
郭兵不同意这一解决方案，将杭州野生动物世界诉至法院，认为面部特征等个人生物识别信息属于个人敏感信息，一旦泄露、非法提供或者滥用极易危害消费者的人身和财产安全。郭兵要求确认杭州野生动物世界店堂告示和短信通知内容无效，退还年卡卡费，赔偿交通费并删除其个人信息。杭州野生动物世界辩称，是在征得郭兵同意的情况下收集个人信息的，双方订立的服务合同合法有效。
身为法学副教授的郭兵去年10月以园方违约且存在欺诈行为为由向法院提起诉讼，目前，一审判决园方赔偿郭兵合同利益损失及交通费共计1038元，删除办理指纹年卡时提交的包括照片在内的面部特征信息。
不过这次诉讼主要还是个案化解决郭兵本人的诉求，没有确认野生动物园要求刷脸本身的不当性，这未免令人遗憾。
《网络安全法》第41条明确规定：网络运营者收集、使用个人信息，应当遵循合法、正当、必要的原则。既然指纹就能识别消费者的身份，防止年卡被冒用，那么，为什么还要使用刷脸技术？这符合收集公民个人信息的“必要原则”和“最小够用”标准吗？
刷脸技术成为资本驱动之下的“风口上的猪”，不管有没有必要，什么场景都要加一个“刷脸”，刷脸成了各种场所中的时髦做法。不过，是否所有的刷脸场景都经得住考量？
比如，小区住宅等一般性场所，刷门禁卡等就能起到安全防护的效果，并不需要拿走公众的具有唯一性的指纹、脸面等生物信息。公厕卫生纸常被多拿、偷拿，但为此就让公众“刷脸”，也不符合法定的收集个人信息的“必要原则”。
必须明确，包括人面部信息、指纹、虹膜在内的民众生物信息，作为人格权的一部分，是受到法律保护的。实际上，人脸识别作为一项新技术，不是说不能用，而是要有明确的限制条件与应用场景，不能被滥用。比如有学者就提出：人脸识别技术应用的底线是，除了特定部门的执法活动之外，任何机构、企业和个人都无权通过人脸识别调查和追踪个人的私人生活。如果这样的原则不被明确，人脸识别还将被滥用，郭兵的胜诉，也只具有个案意义，无法带来普遍的改观。
《信息安全技术个人信息安全规范》对个人信息的收集行为进行了明确。收集是获得个人信息的控制权的行为，包括由个人信息主体主动提供、通过与个人信息主体交互或记录个人信息主体行为等自动采集行为，以及通过共享、转让、搜集公开信息等间接获取个人信息等行为。如果产品或服务的提供者提供工具供个人信息主体使用，提供者不对个人信息进行访问的，则不属于本规范所称的收集。例如，离线导航软件在终端获取个人信息主体位置信息后，如果不回传至软件提供者，不属于个人信息主体位置信息的收集。
《民法典》将收集行为列为处理个人信息的一种，要求收集行为应当遵循合法、正当、必要原则，不得过度处理，并遵循四个条件：一是征得该自然人或者其监护人同意；二是公开处理信息的规则；三是明示处理信息的目的、方式和范围；四是不违反法律、行政法规的规定和双方的约定。有规则，就有例外。处理个人信息免除民事责任的三个例外条件是：一是在该自然人或者其监护人同意的范围内合理实施的行为；二是合理处理该自然人自行公开的或者其他已经合法公开的信息，但是该自然人明确拒绝或者处理该信息侵害其重大利益的除外；三是为维护公共利益或者该自然人合法权益，合理实施的其他行为。
1】“人脸识别第一案”原告推动立法
修订草案中的突破背后有浙江理工大学特聘副教授郭兵的努力。
郭兵是法学老师，也许正是此专业背景使得他对个人信息保护格外“敏感”，此前因为不满杭州野生动物世界要求会员刷脸入园而提起诉讼，此案被业内评价为“中国人脸识别第一案”。
杭州成为全国首个地方条例禁止物业强制进行人脸识别
2020年10月9日，杭州市司法局组织召开了对《杭州市物业管理条例（修订草案）》的立法听证会上，郭兵作为听证会陈诉人参加会议，当时他就提出：这份条例里很多规定比较完善，在一定程度上也体现了杭州物业管理数字化转型的特点，但对于业主个人信息保护的规定，一字未提。他建议要将不得强制刷脸，刷指纹，完善个人信息保护“加”到草案中去。
事后他说，挺兴奋的，挺意外的。
因为我们在目前在“杭州人大”网站公示的得到进一步完善的《条例（修订草案）》中看到，第四十四条第六款，为“不得强制业主通过指纹、人脸识别等生物信息方式使用共用设施设备，保障业主对共用设施设备的正常使用权”。
2】人脸、指纹等生物信息终生伴随，一旦泄露无弥补可能
个人信息分为普通信息和敏感信息，而人脸、虹膜、指纹等属于敏感信息，比如支付都能仅凭这些信息进行，这类具有唯一专属性的个人信息一旦泄露，势必对人身和财产安全都产生无可挽回的祸患。
祸患也已初露端倪。
今年年初，浙江衢州破获一起盗用公民个人信息案，嫌疑人非法获取公民照片后进行一定处理，骗过人脸核验机制，在某金融平台注册账号非法获利数万元。
8月13日，浙江杭州钱塘新区公安部门抓获两名盗取个人信息的犯罪嫌疑人。二人通过技术手段骗过平台人脸识别，在多个网络平台共盗取数千条平台账号个人信息，准备以每单80元-100元的价格倒卖，尚未成交已被警方抓获。
据央视新闻，近日发布的一份报告显示，有九成以上的受访者都使用过人脸识别，其中六成受访者认为人脸识别技术有滥用趋势。
小区采集，公司采集，公共场所各类APP都对人脸进行采集，而大量风险集中在存储环节。由于人脸识别应用五花八门，也没有统一的行业标准，大量的人脸数据都被存储在各应用运营方，或是技术提供方的中心化数据库中。
数据是否脱敏、安全是否到位、哪些用于算法训练、哪些会被合作方分享，被采集者真正知道的估计很少。
在我国立法中，对个人信息采集有“合法”“正当”“必要”三原则，然而目前大规模的应用场景中，能经得起这三原则拷问的又有多少？
人脸识别进社区
首先，业主知情同意是前提。依据《信息安全技术个人信息安全规范》的要求，收集个人敏感信息前，一方面，应征得个人信息主体的明示同意，并应确保个人信息主体的明示同意是其在完全知情的基础上自主给出的、具体的、清晰明确的意愿表示；另一方面，应单独向个人信息主体告知收集、使用个人生物识别信息的目的、方式和范围，以及存储时间等规则，并征得个人信息主体的明示同意。
其次，给予业主充分的决定权。无论采用何种方式进行社区建设，其目的都是为业主营造舒心、温暖的居住环境，社区管理只是营造居住环境的手段而不能作为目的。人脸识别进小区的同时，要为有异议的业主提供其他身份核验的选项，例如NFC卡、出入证、手动登记等多元化的选择。
最后，明确人脸识别的责任主体。《民法典》明确规定了个人信息的处理包括个人信息的收集、存储、使用、加工、传输、提供、公开等，任何一个环节出现问题，都将导致数据泄漏，将权利人置于未知风险之下。现有的人脸识别进社区活动牵头者众多，招标标准不同，对外宣称的数据保管方式也千差万别，因此需要加快立法明确责任主体。在法律保护框架不完善的现实情况下，是否可以参照产品质量责任中销售者与生产者连带责任的方式，确定所有环节责任主体连带责任，以提高上游收集者对于下游进一步处理者的选择门槛，提高数据安全性。
2020年11月,一条男子戴头盔看房的短视频走红网络,视频上方的橙黄色的字体写着“为保护个人信息,戴着头盔去看房”,引发热议;广西南宁多业主遭遇刷脸房子被过户事件,更是引发了人脸识别背后的安全之忧。
健全人脸识别监管的相关制度和法规,加快制定个人信息保护的法律法规,确立个人影像数据控制权、删除权、遗忘权等基本权利,维护个人名誉及隐私;加快推进大数据相关立法,明确企业对个人影像数据采集、传输、存储及使用的权利和义务,落实数据生命周期各环节的安全主体责任;制定生物特征信息相关规范及管理办法,保障个人影像数据的安全规范使用,明确人脸识别的应用领域。
同时,建立人脸识别的网络及信息安全监管体系,加快制定人脸识别应用技术标准体系,明确对人脸识别软硬件应用的安全技术要求;建立人脸识别应用的安全评估及审核制度,针对安防、金融、电商、支付等不同应用领域进行安全评估,对人脸识别产品的应用及推广增加审批环节,保证产品符合安全技术要求。
更重要的是,对于非法采集、泄露及滥用个人隐私、不正当竞争的企业,加大处罚力度,督促其落实安全主体责任。
在促进人脸识别技术创新和健康发展方面,他们建议,围绕智能安防推广、多种生物特征识别的基础身份认证平台、智能金融、智能交通等重点工程建设,推动人脸识别核心技术攻关,促进人脸识别与大数据、云计算、人工智能等信息技术的深度融合,研发多种人脸识别产品;促进人脸识别企业和网络安全企业合作,展开针对人脸识别的网络安全技术研发;鼓励企业与科研机构联合创新,促进人脸识别技术成果的应用推广;培育人脸识别发展新业态。
TikTok美国市场个人数据集体诉讼案达成和解，将赔偿9200万美元
2021-03-01
TikTok 在近日同意支付 9200 万美元，就其在美国面对的数十起诉讼达成和解。这些诉讼指控 TikTok 平台在未经用户同意的情况下非法获取包括面部识别信息在内的个人数据，此外还会将数据与第三方平台共享。
受理该系列案件的律师称，TikTok 拟定的和解提议是迄今为止该平台支付数额最大的隐私权相关赔偿，赔偿金适用于美国市场内 8900 万名 TikTok 用户。律师表示，美国用户的个人数据被 TikTok 跟踪并出售给广告主，这一做法违反了美国各州和联邦法律。
TikTok 用户的代表律师之一 Katrina Carroll 表示：“这起诉讼不但能让 TikTok 为用户提供补偿，还能确保 TikTok 在未来会尊重用户的隐私。”此次和解也是 21 起联邦诉讼的最终结果，这些案件的诉讼方大多代表未成年用户，他们指控 TikTok 窃取了可以识别个人隐私的用户数据。
一名 TikTok 发言人表示，尽管公司不同意诉讼中的判决，但公司依然决定和解，因为这一方案符合公司的最大利益。这位发言人说：“我们希望把精力集中在建立更为安全的用户体验上。”
此前，这场诉讼已经持续超过一年，最终被合并为伊利诺伊州北部地区的一起多地区诉讼案。诉讼方表示 TikTok 违反了伊利诺伊和加利福尼亚州的隐私法规，这两个州的法律都要求科技公司在收集个人身份信息之前获得用户书面同意。此外诉讼方还表示 TikTok 违反了多项美国联邦法律，包括隐私、计算机欺诈和滥用条例等。
据代表 TikTok 用户的律师称，该应用“秘密收集”了大量私人和个人身份数据，这些数据可能在未经允许的情况下被用于识别和监视用户。律师还表示，就连从未在该应用上公开分享的视频草稿信息也会被 TikTok 收集。
此前外界曾指控 TikTok 将美国用户的信息发送到中国或其他国家的服务器上，使 TikTok 员工可以访问这些数据。诉讼方还表示，TikTok 也会在未经用户同意的情况下，与 Facebook、谷歌和其他公司分享用户信息。
原告律师在诉讼状中写道：“TikTok 让用户在享受轻松乐趣的同时付出了沉重代价，并且还隐藏了收集和共享隐私数据等行为。”起诉书则表示：“TikTok 会通过对源代码进行混淆，从而掩盖平台的不当行为。
目前，TikTok 的初步和解方案还需要等待美国伊利诺伊州北部地区法官 John Lee 的最终批准。根据拟议的和解条款，TikTok 将不再记录用户包括面部特征在内的生物特征信息，也不会使用 GPS 数据跟踪用户的位置。TikTok 还承诺，公司会停止将美国用户的数据发送到海外；在视频草稿内容发布之前，TikTok 也不会收集数据。
目前，美国外国投资委员会（Committee on Foreign Investment in the United States）正在对 TikTok 进行国家安全审查，审查结果可能会迫使TikTok改变运营结构。外国投资委员会是由美国财政部领导的一个跨部门组织，负责调查有海外联系的公司。
在 TikTok 和解协议之前，Facebook 也曾就收集和存储数百万名用户的生物特征数据达成了类似协议，当时 Facebook 支付了 6.5 亿美元赔偿金。此前在 2019 年 2 月，TikTok 也由于被指控非法收集儿童个人信息，向美国联邦贸易委员会（Federal Trade Commis
