人臉識別60年︱法律能保護人們的「臉」嗎?

人們對「臉」的焦慮或許來自近些年，隨著技術應用的不斷擴張，人們擔心隱秘處藏著的攝像頭，也擔心另一端不知名的數據處理者——誰有權獲取我的臉部信息？系統的識別準確率高嗎？「它」對「我」的判斷是否公允？

早在1973年，瑞典就推出了首個《數據法》，如今全球約有130多個國家出臺了數據保護相關的法律。但它們的效力如何？能夠保護我們的「臉」嗎？

今年9月，紐約大學AI Now研究中心發布了一份報告「Regulating Biometrics: Global Approaches and Urgent Questions」（生物識別技術監管：全球舉措及關鍵問題），評估了各國法律的效力。

經授權，澎湃新聞市政廳將翻譯該報告的部分章節，呈現來自全球的不同思考、疑慮與行動。本文來自該報告的第一章的前半部分，不久前我們採訪了本章的作者安巴·卡克（Amba Kak）。

臉識別技術也被應用於校園，2019年瑞典對一所高中開出罰單，認為學校使用人臉識別技術進行考勤，違反了歐盟通用數據保護條例GDPR。圖片來源：Getty

對生物識別系統的監管很大程度上是通過數據保護法實現的。生物識別數據通常被認定為高度敏感類別的個人數據，此類數據的收集、存儲和公開需要受控於一系列限制條件。2016年通過的《歐盟通用數據保護條例》（General Data Protection law，GDPR)正是其中代表。現今已有140多個國家出臺了數據保護法，覆蓋了公私部門的數據使用。與歐盟不同，美國缺乏類似GDPR的綜合性聯邦數據隱私法規，但一些州法律沿用類似的方式對生物識別數據進行監管，如2018年出臺的《伊利諾州生物識別信息隱私法》（Illinois Biometric Information Privacy Act，BIPA）。

一些國家正在將生物識別數據納入公民身份系統建設，也沿用了類似的數據保護方法。例如印度2016年通過的《阿德哈爾法案》（Aadhaar Act），澳大利亞2019年通過的《身份服務匹配法案》（Identity Services Matching Bill），肯亞2019通過的《服務編號法案》（Huduma Namba bill）。報告第一章的第1部分審視了這些監管生物識別信息的法律法規，它們在實施過程中已經暴露出一些關鍵問題。

數據保護法的出臺，促使政府和企業在個人數據的收集、保存和使用方式上有了根本性改變，但它們在應對新形式的數據驅動技術時存在局限性，比如生物識別和分析技術。

現有的數據保護法聚焦於對個人的危害（而非群體），未能有效解決數據歧視和算法畫像等問題。此外，將數據作為監管對象，往往掩蓋了這些系統和平臺在實際運行時對全社會帶來的更為深廣的挑戰，技術不透明，削弱了已有的權責關係、異見表達和民主決策方式。

一些國家出臺了一系列法案（主要是在美國），禁止在特定領域、特定用途或特定時段使用某些系統，直到更具參與性和協商性的決策方式出現。此外，還出現了若干專門針對特定部門的法規，關注刑事司法、僱傭或教育領域中生物識別數據濫用的危害。報告第一章的第2和第3部分追溯了這些新顯現的問題及法律手段和方法。

以下是本輯彙編所提出問題的摘要，列明了所需開展的研究、實施的監管和組織的社區參與，希望為政策制定者和行動者提供借鑑：

1. 數據保護法的效力

• 法規如何定義「生物特徵數據」?

• 為何數據保護法無法阻擋公共部門推進生物識別監控的基礎設施建設？

• 面對生物識別系統，「告知」和「同意」有效嗎？現有的數據保護法大多基於用戶同意，它存在哪些局限性？還有哪些補充或替代方式？

2.  隱私之外：準確性、數據歧視、人為審查和正當程序

• 監管應如何確保生物識別技術的準確性和非歧視性？

• 技術標準制定機構給出的準入指標在多大程度上具有參考性？

• 對生物識別系統進行「人工審查」有效嗎？如何才能為監督和問責提供保障？

• 從使用目的上看，生物識別技術應用於「識別」（identification）和「驗證」（verification）具有不同風險，監管法規是否應該做出區分？

• 對於用於身份驗證的人臉識別技術，監管較為寬鬆，這存在哪些潛在風險？

• 執法部門使用生物識別技術，需要哪些正當程序？

• 除了驗證身份，生物識別數據還會被用於哪些其他目的，例如識別或推測人的情緒狀態、人格特質或人口統計學特徵？現有的生物識別信息法規如何涵蓋這些使用場景和使用方式？

• 越來越多證據表明其危害，是否應允許技術的無限擴張？

3. 新興的監管工具和執行機制

• 近些年，美國通過了哪些不同類型的「禁令」和暫停令？

• 如何對暫停條件加以強化，以確保最終的立法或審議程序穩定可靠？

• 現有的禁令主要針對公共部門，這會對生物識別系統的私人開發與生產造成哪些影響？  

• 哪些監管工具可以提高生物識別的技術開發、採購和使用等方面的公眾透明度？

• 社區（community-led advocacy）可以如何參與監管法規的制定？

歐盟的《通用數據保護條例》GDPR被稱為「史上最嚴數據保護法」，但一些批評認為，它仍存在一定局限性。圖片來源：Wikimedia Commons

法規如何定義「生物特徵數據」?

在定義生物特徵數據和系統時，法律還反映出人們對生物特徵識別技術穩定性和準確性的認知。例如，GDPR定義的生物特徵數據是「允許或確認自然人唯一身份的」身體、生理和行為數據，而伊利諾州BIPA則給出了一整套可算作生物特徵數據的標識符列表，它們可以「用於識別個人身份」。

這些法律基於一種假定，即生物特徵數據可作為個人身份的唯一識別方式，但近些年這一假定本身面臨巨大爭議。

研究表明，面對老年人、有色人種、體力勞動者、非英語母語者或其他人口統計學上的少數派，生物識別的準確率較低。但法規未能觸及這些問題，仍然假定識別的準確性和平等性無誤。

在數據保護法中，符合「生物特徵數據」或「生物特徵信息」的定義，這是啟用法律保護的前提條件，它還決定了在哪個階段（比如信息採集、處理、存儲和使用階段）實施保護。諸如GDPR等更寬泛意義上的個人數據保護法會將生物識別數據與其他類型的個人數據區分開，以提供特殊或更嚴格的保護。此外還有專門針對生物識別數據的法律，比如BIPA。

一些政府正在將生物特徵信息納入數字公民身份ID，相較於常見的數據保護法，這些數字ID計劃的相關法律還對生物特徵數據的定義有所擴展，允許機構擴展其採集的生物識別信息的種類。肯亞法律草案和印度Aadhaar 法規都列出了在當前項目之下允許採集的一系列標識符，同時也允許政府在必要時採集其他類型的個人數據。

超越了傳統對數據隱私和安全的討論，法規開始關注更多問題，是否使用這些系統、如何使用，以及當系統出現故障時誰應承擔責任，因而法律法規的關注焦點由「數據」轉向了「系統」。比如，美國最近出臺了一些限制性法令，管控對象是「人臉識別系統及服務」或「監控系統」，卻未對生物識別做出任何界定。對這些術語的界定也暗含了其使用目的（例如監控、標識、驗證或跟蹤）。

人臉識別技術已被大規模應用於機場。圖片來源：Wikimedia Commons

生物特徵數據通常被定義為經技術界定的對身體特徵的數位化表達，經處理可用於機器或算法分析。你可能聽過一些術語，諸如「模板」（templates）、「幾何圖形」（geometry）等，在GDPR中，數據是指那些已經過「特定的技術處理」的信息。「模板」（templates）是算法處理的初級階段，從圖像或錄音中提取出數據。現代機器學習系統不需要所有的數據，而是從聲音或圖像中提取有意義的部分，並與資料庫中已有的「模板」進行比較。因而人臉照片並不屬於BIPA和GDPR中所定義的生物特徵數據

（編者註：因為人臉照片是未經處理過的「原始」數據）

。

然而，對生物識別數據的狹隘定義留下了一系列漏洞。Els Kindt在她所撰寫的章節中解釋了

GDPR的局限性——將照片、錄音或其他形式的所謂「原始」生物數據排除在外。

她指出，儘管要求用戶「同意」，但在數據收集和存儲的最初階段，「同意」已經形同虛設（比如，當你講照片上傳到社交網站上），執法機關在使用這部分數據時，同樣享有「豁免權」，可以未經用戶許可使用。

考慮到當前商業性和政府的生物識別系統已被大規模應用，把（原始的）人臉照片和錄音排除在外也會造成麻煩。從網絡上獲取與人臉照片，並與姓名匹配，這是創建人臉-姓名資料庫的常用方法。而這些資料庫是私人公司所開發的先進的秘密監控工具的基礎，這些開發計劃往往秘密進行，缺少監管。類似的秘密監控活動也在針對錄音信息展開。

2018年《加州消費者保護法》（California Consumer Protection Act，CCPA）對生物識別數據做出了不同的定義，或許可以彌補上述漏洞。CCPA的定義是，可從模板中提取標識符進行算法處理的「能力」（ability to extract an identifier template）。

(本文來自澎湃新聞，更多原創資訊請下載「澎湃新聞」APP)