2019年，「人臉識別進校園」的案例密集出現，有一些學校引進了可以分析學生情緒的人臉識別應用。
南都人工智慧倫理課題組（以下簡稱「課題組」）在2019年發布的《人臉識別落地場景觀察報告》中也提到了北京某高校的人臉識別系統能檢測學生的抬頭率和前排就座率，當時有學生對這套系統持質疑態度，認為涉嫌侵犯自己的隱私。除了學校，還有多家教育機構也在宣傳資料中聲稱可以通過人臉識別掌握學生的情緒。
雖然在受到輿論質疑後，一些學校停用了識別學生情緒的人臉識別應用，但一年後，課題組調研發現涉及人臉識別的學校管理應用仍然呈現擴張態勢。此類應用的主要用途是核驗學生身份，被廣泛應用於校園門禁、考勤管理、迎新註冊、餐飲消費等場景。
在此背景下，12月22日，課題組在由南都個人信息保護研究中心主辦的「2020啄木鳥數據治理論壇」發布了《移動端人臉識別應用合規報告》（以下簡稱「報告」），其中的技術測評由中國金融認證中心（CFCA）提供支持。
報告首先對應用的隱私政策透明度進行了排名，透明度越高，意味著隱私政策中有關個人信息處理規則的描述越清晰。根據得分，隱私政策透明度可劃分為五級：高（91分及以上）、較高（76分至90分）、中等（61分至75分）、較低（41分至60分）、低（40分及以下）。
在「學校管理」這一類別下，課題組結合各個學校披露的情況，選擇了「元道經緯相機」「袋鼠校園」「學生體溫採集」「教務寶」「籤到莢」「我的文理（公眾號）」進行測評。結果顯示，「元道經緯相機」透明度較高，「袋鼠校園」的隱私透明度處於中等水平，其餘四款應用的透明度處於較低及以下水平，其中「我的文理」因為沒有隱私政策得0分。
與「支付轉帳」「開戶銷戶」等被測的其他六大類應用相比，學校管理類應用的透明度屬於較低的水平：平均得分僅為40分，處於倒數第二位。
學校管理類應用隱私政策得分處於倒數第二名。
在一些應用的隱私政策中，還有一些令人哭笑不得的「霸王條款」。例如，「籤到莢」App在隱私政策中聲稱，「本網站及 APP不擔保服務一定滿足用戶的要求，也不擔保服務不會中斷，對服務的及時性、安全性、 出錯發生都不作擔保」；「用戶理解並接受：任何通過服務取得的信息資料的可靠性有用性取決於用戶自己的判斷，用戶自己承擔所有的風險和責任」。
「籤到莢」的隱私政策界面。
值得注意的是，推廣人臉識別的學校中不乏中小學和幼兒園，其收集使用的學生信息屬於更加敏感的未成年人個人信息。按照未成年人保護法、 網絡安全法等現行法律要求，處理未成年人個人信息的，須徵得未成年人本人同意，或是其父母或其他監護人的同意。
但在現實中，符合法律要求的知情同意往往難以達成。課題組研究員此前曾到北京航空航天大學實驗學校調研，該學校在今年4月首批學生返校複課時啟用人臉識別，但沒有徵得每一位學生及家長的授權同意。不僅如此，該學校還在11月通知稱：「學生每天進出校門必須在閘機進行人臉識別。刷不成功的主動告知值班老師，記好班級姓名。若不服從管理，不刷臉進入將通報批評。」
除了隱私政策透明度的測評，課題組在CFCA的技術支持下，還對「元道經緯相機」「籤到莢」「我的文理」「學生體溫採集」的數據安全進行了檢測。
結果顯示，一款校園籤到類應用傳輸人臉照片時使用HTTPS安全傳輸協議，但沒有採取進一步的保護措施。
一款應用使用HTTPS安全傳輸協議傳輸人臉照片。
信息安全從業人員認為，對人臉這類高度敏感的個人信息而言，不能僅依賴公開的安全傳輸協議，建議再添加一層單獨的數據保護。如果數據傳輸過程並沒有得到足夠的安全保障，網絡攻擊者就有可能截獲傳輸的數據包，並進行數據竊聽、數據篡改、身份偽造等，由此引發個人信息洩露等安全事件。
此外，還有三款校園管理類應用將用戶的人臉等照片上傳至伺服器後，伺服器返回的連結能被直接瀏覽，也就是說只要將相關連結複製到瀏覽器中，就可以看到對應的照片。這意味著，攻擊者一旦截獲傳輸數據包，就將獲得用戶的一系列個人敏感信息。
一款校園管理類應用伺服器返回的連結可被網際網路公開訪問。
除了人臉照片，被測應用往往還會一併傳輸手機號、身份證號等個人敏感信息。例如，一款採集學生體溫的應用一次性收集了學生的姓名、手機號、身份證號、學校、家庭住址。
針對上述問題，報告建議應用運營者通過加密等多種數據保護措施，降低人臉信息被攻擊者惡意獲取或破解的風險。同時，應用運營者需建立嚴格的內部管理措施，防止人臉信息被濫用，或是被非法提供給第三方。如無必要，應用運營者應儘量避免存儲人臉原始圖片。
此外，報告還建議各類機構在研發和部署人臉識別應用時，有必要了解法律法規中關於人臉信息處理的最新規定，積極開展合規審查，對相關工作人員進行基本的法律知識培訓。在告知同意方面，報告建議應用運營者完善隱私政策，將涉及人臉信息等個人敏感信息的條款單獨列出。
採寫：南都記者潘穎欣 馮群星
編輯：馮群星
責任編輯：王超