2017年春運人臉識別在部分火車站進站檢票時開始應用，引起很多關注，部分媒體也報導了生產商的核心技術掌控在日本企業手中，以及由此引發的對信息安全的擔憂。前不久央視「3·15」晚會現場對於人臉識別的實驗演示，再一次將網絡產品的人臉識別的風險清晰展示在觀眾面前。
雖然生物識別的準確性等問題會隨著技術進步逐步獲得解決，但生物識別身份卻存在難以克服的重大潛在法律風險，甚至可能上升到危害國家安全的高度。因此，大規模應用必須慎之又慎，不能放任商業企業自行其是。
生物識別技術與現有身份識別體系的異同
做任何一件事情，我們都需要知道是在跟誰做，這就是身份識別。生物識別僅僅是一種識別行為人身份的技術手段，事實上身份識別的手段有很多，其目的都是要識別真實而不是假冒的身份，保證身份識別的準確、不可仿冒和篡改。傳統社會往往依靠人與人之間的熟人關係，中國古代則有官憑路引，這些都能實現身份識別。最近100年左右，人類社會開始用介紹信、護照、身份證等記載證明身份的憑證輔助識別身份。
進入網絡時代以來，開始是使用密碼作為身份識別的主要手段，幾乎所有網站協議都寫明，用戶名、密碼一致，後果由當事人承擔。早期法院對這類約定是支持的，2005年左右，網上曾有過一個大約500人參加的工商銀行網銀受害者維權聯盟網站，當時就是受害者證明不了不是自己實施的款項轉移，而當時法院不了解也不像現在對於偽卡交易要判銀行賠償，因而用戶無奈之下組團抗議。
但隨著網際網路技術的不斷發展，各種盜竊密碼、假冒身份事件層出不窮，因此密碼驗證不再是客觀唯一的可信任手段。在智慧型手機普及後，法官也開始逐漸熟悉了網際網路，現在銀行卡失竊如能證明偽卡交易，法院會支持用戶向銀行的索賠請求。
生物識別技術提取和識別人體生物學特徵的唯一性，是很多人看好這個領域商業前景的主要原因。比如人臉、虹膜、指紋、聲紋，由於這些特徵只有當事人自己才有，別人不能假冒，因而能夠解決目前比較普遍的詐騙者利用密碼等技術手段易失竊、易複製、易濫用的漏洞。但是，這些人忽視了一點，那就是任何技術只要大規模使用，尤其是非現場使用，一定要通過信息網絡，而通過信息網絡，任何技術都要轉化為計算機識別的0-1這樣的二進位代碼。人臉不能複製，轉化的二進位計算機代碼卻可以複製，也完全可能被盜竊。
生物識別技術的識別原理和提取的數據都會存儲成為企業的資料庫，在目前全世界的情況看來，都存在重大的數據洩露、失竊的潛在安全風險。而且，更為可怕的是，由於生物識別技術是唯一的、終身不變的，是不可再生或重建的，因此，一旦洩露或者丟失，就是永久洩露，將貽害無窮。
有資料記載，當年某著名空難發生後，蘇聯能在第一時間精準判斷死者身份就因死者曾在蘇聯就醫的牙齒檔案。這個原理是成立的。所以有人對於日本企業提供的人臉識別設備在火車檢票時的使用涉及數據安全的擔憂，是成立的。這種數據一旦被收集存儲，會成為永久的安全隱患。
由於生物識別的這種唯一性特點，全球比較統一的做法是在識別犯罪嫌疑人、識別災禍中很難辨認死難者身份時，採用DNA等生物識別技術，例如在空難後屍體受到嚴重毀壞無法辨認時，通過基因等識別技術，識別死難者身份。我國至今常見的警察讓犯罪嫌疑人在筆錄上按手模，也是一種通過指紋生物特徵來固定證據的方式。
由於我國強制推行網絡實名制，公共機構和網際網路企業數據相當多都是實名制的真實信息。目前全球無一例外存在著數據洩露和信息被濫用的嚴峻現實。因此，不能僥倖地指望人臉識別技術建立的資料庫在眼下的環境中，能倖免於違法犯罪行為的黑手竊取。
生物識別技術資料一旦洩露無可挽回
身份證系統是以一定規則的編碼作為確定身份標識的，這種唯一身份標識，可以通過技術研發，今後逐步轉向不需要直接填寫和披露身份證號碼，比如公安部下屬的研究所正在研究的電子身份證eID項目，已在銀行等領域開始使用。
詐騙分子始終在和身份證管理的官方技術博弈。其實身份證系統還好，即使現在洩露嚴重、必須放棄，還可以推倒重建，但如果生物識別技術洩露，那就是永久洩露，只要掌握了這些生物技術數據，不僅能在商業和公共服務領域獲得很大價值，而且會使國家安全等產生重大潛在風險。
有關企業正在積極研發生物識別的相關技術和應用，因為這是最新技術潮流，全球都在做類似研發。從產業和技術角度，我們不能禁止中國企業進行相關的研發和應用嘗試。但有關主管部門對於風險一定要有清醒的意識。火車站等公共服務領域不能強制推行人臉識別，也不能將這些技術作為法定身份識別的依據，可以允許企業作為輔助身份驗證依據，但必須告知用戶潛在風險，提供替代方案，不得直接、間接、暗示、強制用戶使用。
需有正確的技術和法律設計與應對
目前階段，筆者認為無論從技術上還是法律上考慮，都還不宜將生物識別作為唯一的身份識別手段。
今年央視「3·15」晚會的演示揭示了一個問題，那就是很多照片、視頻等資料，是可以通過媒體、網絡社交軟體如朋友圈獲得的，如果單純依賴這些技術識別，一定會發生錯誤甚至嚴重後果。
媒體曾報導趙薇的丈夫被冒名賣掉房產，原因就是公證處使用的人臉識別系統通過了審查。其實，任何技術都有一定的原理，也有一定的參數設置，也肯定有一定誤差，參數設置高了，老是報警或通不過;參數設置低了，假的錯的都通過，也不行。就算企業驗證精度達到可以商用、可以出廠實際使用的水平，也一定有誤差和錯判問題，就像所有合法出廠的其他工業品一般都有合格證，但並不代表質量就一定沒問題。從概率上來說，仍有一定比例的產品是有問題但沒檢驗出來的。
對於生物識別技術產品本身來說，哪怕驗證重複，精度達到99.99%，仍然還有不準確的，一旦大規模應用，由於基數太大，遭遇影響的就不會是小數字。很多網際網路企業對外都宣傳自己的正品率有多高、技術有多牛，但對於在具體個案當中的具體當事人來說，雖然他們在那個被故意忽視的小數字裡面，他的人身財產利益卻是100%會受到影響的。
所以，我們的研發技術專家和法官腦子裡必須有根弦：哪怕對於產品是十萬分之一的差錯，對當事人的影響也是百分百的。只有了解了這一點，在規則制定和案件處理時，才能兼顧公平與效率。
(作者系段和段律師事務所合伙人)