一、人臉識別技術(shù)介紹
1、人臉識別技術(shù)定義
生物特征識別技術(shù)
是對生物體（一般特指人）本身的生物特征來區(qū)分生物體個體。生物特征識別技術(shù)所研究的生物特征包括臉、指紋、手掌紋、虹膜、視網(wǎng)膜、聲音（語音）、體形、個人習(xí)慣（例如敲擊鍵盤的力度和頻率、簽字）等，相應(yīng)的識別技術(shù)就有人臉識別、指紋識別、掌紋識別、虹膜識別、視網(wǎng)膜識別、語音識別（用語音識別可以進行身份識別，也可以進行語音內(nèi)容的識別，只有前者屬于生物特征識別技術(shù)）、體形識別、鍵盤敲擊識別、簽字識別等。
人臉識別
是基于人的臉部特征信息進行身份識別的一種生物識別技術(shù)。用攝像機或攝像頭采集含有人臉的圖像或視頻流，并自動在圖像中檢測和跟蹤人臉，進而對檢測到的人臉進行臉部識別的一系列相關(guān)技術(shù)，通常也叫做人像識別、面部識別。一般來說，人臉識別系統(tǒng)包括圖像攝取、人臉定位、圖像預(yù)處理、以及人臉識別（身份確認或者身份查找）。系統(tǒng)輸入一般是一張或者一系列含有未確定身份的人臉圖像，以及人臉數(shù)據(jù)庫中的若干已知身份的人臉圖象或者相應(yīng)的編碼，而其輸出則是一系列相似度得分，表明待識別的人臉的身份。
2、人臉識別技術(shù)流程
a.人臉圖像采集及檢測
b.人臉圖像預(yù)處理
c.人臉圖像特征提取
d.人臉圖像匹配與識別
3、人臉識別技術(shù)基本模式
| 模式 | 別稱 | 內(nèi)容簡介 |
| 1:1 | 人臉驗證對比 | 比如入住酒店，前臺要求在一臺機器面前，將身份證的與現(xiàn)場照片進行對比，只有結(jié)果符合才可以入住，這是一個較為簡單的1:1人臉識別應(yīng)用 |
| 1:N | 靜態(tài)人臉對比 | 1為采集人臉識別目標(biāo)，N為數(shù)據(jù)庫庫內(nèi)人臉的數(shù)量。例如，人臉門禁應(yīng)用，在辦公室門口設(shè)置攝像頭，并將員工庫作為N，每當(dāng)一個人經(jīng)過，系統(tǒng)在庫中做特征比對，以確認此人是否為員工，靜態(tài)人臉比對使用的頻率比較低，只有當(dāng)客戶要做一次搜索的時候它才會使用。簡單說就像一個搜索引擎，在搜索結(jié)果里挑一個認為對的。 |
| M:N | 動態(tài)人臉對比 | 攝像頭每看到一個人后，就在庫里去比對這個人是誰，“M”代表的就是攝像頭，或者網(wǎng)絡(luò)里所有攝像頭抓到的人臉數(shù)目。“N”就是對比庫中的目標(biāo)數(shù)目，抓到的每一張臉都得查詢對比一遍，然后對于這個臉對比N+1次，對比總次數(shù)為M(N+1)次。動態(tài)人臉使用頻率非常高，因為是一個全自動體系。這些應(yīng)用里，N的數(shù)量級有很大區(qū)別，比如某城市部署了上千個攝像頭用來拍攝人臉，每個攝像頭每秒鐘都會抓取數(shù)張人臉，那么系統(tǒng)每秒鐘便抓拍了上千張，每天四千萬張，每個月十幾億張。當(dāng)某個應(yīng)用需我們在十幾億的人臉抓怕庫中進行對比時，將使用一個新技術(shù)——視頻大數(shù)據(jù)處理 |
4、人臉識別技術(shù)的優(yōu)缺點
優(yōu)點
非接觸性、非侵擾性
自然性
硬件基礎(chǔ)完善
采集快捷便利、可拓展性好
缺點
臉部特征變化較大
相似性
隱私安全風(fēng)險
5、人臉識別技術(shù)主要產(chǎn)品
數(shù)碼相機
門禁系統(tǒng)
身份辨識
網(wǎng)絡(luò)應(yīng)用
娛樂應(yīng)用
二、我國的行業(yè)實踐
1、人臉識別技術(shù)在我國發(fā)展的進程
2、我國人臉識別技術(shù)主要集中領(lǐng)域
3、我國人臉識別技術(shù)應(yīng)用現(xiàn)狀
| 應(yīng)用領(lǐng)域 | 具體應(yīng)用 |
| 公共安全 | 刑偵追逃、罪犯識別、邊防安全 |
| 信息安全 | 計算機和網(wǎng)絡(luò)的登陸、文件的加密和解密 |
| 政府職能 | 電子政務(wù)、戶籍管理、社會福利和保險 |
| 商業(yè)企業(yè) | 電子商務(wù)、電子貨幣和支付、考勤、市場營銷 |
| 場所進出 | 軍事機要部門、金融機構(gòu)的門禁控制和進出管理等 |
三、我國與人臉識別相關(guān)的法律規(guī)定及執(zhí)法案例
1、法律規(guī)定
我國尚未出臺專門針對人臉識別技術(shù)或生物識別技術(shù)的法律，但通過人臉識別技術(shù)所收集的面部特征信息作為生物識別信息，屬于個人信息的范疇，應(yīng)受與個人信息保護相關(guān)法律的規(guī)范。以下為我國與人臉識別有關(guān)聯(lián)的法律規(guī)定，除此之外，我國也出臺了與生物識別信息或人臉識別信息相關(guān)的國家標(biāo)準(zhǔn)，例如《信息安全技術(shù) 個人信息安全規(guī)范》《信息技術(shù) 生物特征識別應(yīng)用程序接口》系列標(biāo)準(zhǔn)、《公共安全人臉識別應(yīng)用圖像技術(shù)要求》等。
| 序號 | 名稱 | 主要內(nèi)容 |
| 1 | 《民法總則》 | 第一百一十一條 自然人的個人信息受法律保護。任何組織和個人需要獲取他人個人信息的，應(yīng)當(dāng)依法取得并確保信息安全，不得非法收集、使用、加工、傳輸他人個人信息，不得非法買賣、提供或者公開他人個人信息。 |
| 2 | 《侵權(quán)責(zé)任法》 | 第六條 行為人因過錯侵害他人民事權(quán)益，應(yīng)當(dāng)承擔(dān)侵權(quán)責(zé)任。 |
| 3 | 《刑法》 | 第二百五十三條 侵犯公民個人信息罪 |
| 4 | 《網(wǎng)絡(luò)安全法》 | 第四十一條 網(wǎng)絡(luò)運營者收集、使用個人信息，應(yīng)當(dāng)遵循合法、正當(dāng)、必要的原則，公開收集、使用規(guī)則，明示收集、使用信息的目的、方式和范圍，并經(jīng)被收集者同意。 |
| 5 | 《消費者權(quán)益保護法》 | 第二十九條 經(jīng)營者收集、使用消費者個人信息，應(yīng)當(dāng)遵循合法、正當(dāng)、必要的原則，明示收集、使用信息的目的、方式和范圍，并經(jīng)消費者同意。經(jīng)營者收集、使用消費者個人信息，應(yīng)當(dāng)公開其收集、使用規(guī)則，不得違反法律、法規(guī)的規(guī)定和雙方的約定收集、使用信息。 |
| 6 | 《電商法》 | 第二十三條 電子商務(wù)經(jīng)營者收集、使用其用戶的個人信息，應(yīng)當(dāng)遵守法律、行政法規(guī)有關(guān)個人信息保護的規(guī)定。 |
| 7 | 《互聯(lián)網(wǎng)個人信息安全保護指南》 | 6.1 e)個人生物識別信息應(yīng)僅收集和使用摘要信息，避免收集其原始信息 |
| 8 | 《數(shù)據(jù)安全管理辦法》（征求意見稿） | 網(wǎng)絡(luò)運營者以經(jīng)營為目的收集重要數(shù)據(jù)或個人敏感信息的，應(yīng)向所在地網(wǎng)信部門備案。備案內(nèi)容包括收集使用規(guī)則，收集使用的目的、規(guī)模、方式、范圍、類型、期限等，不包括數(shù)據(jù)內(nèi)容本身。 |
| 9 | 《個人信息出境安全評估辦法》(征求意見稿) | 個人信息出境前，網(wǎng)絡(luò)運營者應(yīng)當(dāng)向所在地省級網(wǎng)信部門申報個人信息出境安全評估。 |
2、政策支持
| 序號 | 名稱 | 生效 | 主要內(nèi)容 |
| 1 | 《2017年政府工作報告》 | 2017.03 | 指出要加快培育壯大包括人工智能在內(nèi)的新興產(chǎn)業(yè)。 |
| 2 | 《關(guān)于落實個人銀行賬戶分類管理制度的通知》 | 2016.11 | 對II、III類賬戶的開立、變更、注銷、個人信息驗證辦法、視頻及人臉識別等技術(shù)手段以及不同賬戶的使用功能和限制作了詳細的規(guī)定。 |
| 3 | 《“互聯(lián)網(wǎng)+人工智能三年行動實施方案》 | 2016.05 | 到2018年，打造人工智能基礎(chǔ)資源與創(chuàng)新平臺，人工智能產(chǎn)業(yè)體系創(chuàng)新服務(wù)體系、標(biāo)準(zhǔn)化體系基本建立。這項政策的發(fā)布將人工智能普及到政府和企業(yè)之間。 |
| 4 | 《中國人民銀行關(guān)于改進個人銀行賬戶服務(wù)加強賬戶管理的通知》 | 2015.12 | 提供個人銀行開立服務(wù)時，有條件的銀行可探索生物特征識別技術(shù)和其他有效的技術(shù)手段作為核驗。 |
| 5 | 《安全防范視頻監(jiān)控人臉識別系統(tǒng)技術(shù)要求》 | 2015.05 | 適用于以安全防范為目的的視頻監(jiān)控人臉識別系統(tǒng)的總體規(guī)劃、方案設(shè)計、設(shè)備生產(chǎn)、質(zhì)量控制等。其他領(lǐng)域可參考使用。 |
| 6 | 《關(guān)于加強社會治安防控體系建設(shè)的意見》 | 2015.04 | 提出網(wǎng)格化管理要求，以精確信息做到矛盾化解，未來網(wǎng)格化精細管理是平安城市和智能交通管理的發(fā)展方向。 |
| 7 | 《關(guān)于銀行業(yè)金融機構(gòu)遠程開立人民幣賬戶的指導(dǎo)意見（征求意見稿）》 | 2015.01 | 堅持柜臺開戶為主，運程開戶為輔；實施客戶身份識別機制的自證。 |
3、我國與人臉識別相關(guān)的執(zhí)法案例
某換臉軟件
近日某換臉應(yīng)用一夜之間爆火，它使用AI技術(shù)，用戶只需要一張正臉照，就可以替換為影視作品或者小視頻中的人物，生成以自己為主角的視頻片段。然而，此應(yīng)用的用戶協(xié)議中隱藏了很多對用戶不利的條款，并印發(fā)了極大的爭議。8月31號該應(yīng)用軟件的用戶協(xié)議被修改。9月1號，此AI換臉App已被微信屏蔽分享鏈接，提示的理由是“網(wǎng)頁存在安全風(fēng)險，被多人投訴”。9月3日，針對此App用戶隱私協(xié)議不規(guī)范，存在數(shù)據(jù)泄露風(fēng)險等網(wǎng)絡(luò)數(shù)據(jù)安全問題，工信部約談負責(zé)人，要求其依法依規(guī)收集使用用戶個人信息強化網(wǎng)絡(luò)數(shù)據(jù)和用戶個人信息安全保護。
高校采用人臉識別
中國某高校日前在校門口、學(xué)生宿舍大門口、圖書館、實驗樓等場所安裝了人臉識別門禁，并在部分試點教室安裝了人臉識別系統(tǒng)用于日常考勤和課堂紀(jì)律管理。通過把學(xué)校學(xué)生和教職工信息儲存在后臺數(shù)據(jù)庫，學(xué)生和教職工通過人臉識別門禁時，可以實現(xiàn)一秒“刷臉”進校，與老式門禁相比，既方便又安全。目前學(xué)校在兩間教室試點安裝的人臉識別系統(tǒng)，除了能自動識別學(xué)生的出勤情況外，還能夠?qū)崿F(xiàn)對學(xué)生課堂聽講情況的全程監(jiān)控。學(xué)生是否認真聽講，課堂上是否抬頭低頭，抬頭低頭了幾次，抬頭低頭了多長時間，低頭是否在玩手機，是否閉眼打瞌睡，都逃不過人臉識別系統(tǒng)的“法眼”。學(xué)校有關(guān)人士表示，學(xué)校之前已向公安部門和法務(wù)部門咨詢，由于教室屬于公開場所，因此不存在“侵犯隱私”的說法。
四、美國與歐盟人臉識別法律體系和實踐
1、美國關(guān)于人臉識別的立法
對公共部門使用人臉識別技術(shù)的限制
在過去的幾個月中，美國的三個城市, 加州舊金山市、馬薩諸塞州薩默維爾市、加州奧克蘭市分別通過了禁止政府部門使用人臉識別技術(shù)的法令。
2019年5月，加州舊金山市監(jiān)事會通過法令，禁止政府部門獲取、保存、訪問、使用“人臉識別技術(shù)”和“使用人臉識別技術(shù)獲取的信息”。該法令稱，“人臉識別技術(shù)危及公民權(quán)利和公民自由的可能性遠遠超過其聲稱的利益”。
2019年6月，馬塞諸塞州薩默維爾市議會通過法令，禁止薩默維爾市政府部門和官員獲取、保存、訪問、使用“人臉監(jiān)控系統(tǒng)”和“人臉監(jiān)控系統(tǒng)獲得的信息”。
2019年7月，加州奧克蘭市通過法令，禁止市政府部門和工作人員獲取、保存、訪問“人臉識別技術(shù)”和“使用人臉識別技術(shù)獲取的信息”。
限制商業(yè)使用的聯(lián)邦層面的法律
目前，美國沒有一個較為全面地規(guī)制私有企業(yè)收集、使用以及銷售個人信息的隱私保護的法律。除此之外目前也沒有任何明確規(guī)制人臉識別技術(shù)的聯(lián)邦法律。
但是，在三個領(lǐng)域里，特定的聯(lián)邦法律（解決隱私和消費者保護的法律）可能會適用人臉識別的商業(yè)運用。這三個領(lǐng)域分別為：
1、面部信息的抓拍 （Video Voyeurism Prevention Act of 2004）
根據(jù)聯(lián)邦法律Video Voyeurism Prevention Act of 2004, 如在個人的私人領(lǐng)域或者個人有合理隱私期望的地方抓拍, 構(gòu)成刑事犯罪，這個act會影響到商業(yè)空間特定位置camera的放置位置，例如不會放在試衣間里面。
2 、收集、使用與分享個人信息 （針對特定的目的、情形、信息的類型或者具體的領(lǐng)域和實體）
Driver’s Privacy Protection ACT(1994)：禁止出于商業(yè)目的使用與披露機動車記錄中所包含的特定的個人信息，該法案中的個人信息的定義包含了司機的人臉識別信息、駕駛證件照以及其他能夠識別出個人的信息。
Gramm-Leach-Bliley ACT(GLBA)：限制披露公開金融機構(gòu)所收集的以及從金融機構(gòu)所收集的信息，分享數(shù)據(jù)給非關(guān)聯(lián)第三方時需要給消費者同意，并且給他們退出的機會。沒特別提到臉部數(shù)據(jù)，但包含臉部數(shù)據(jù)。
Health Insurance Portability and Accountability Act：保護一個人的醫(yī)療信息 只有在經(jīng)過個人的書面授權(quán)之后才能轉(zhuǎn)移醫(yī)療信息，如果披露醫(yī)療信息的話，必須移除有全臉的圖片和其他生物特征信息。
3 、不公平與欺騙性的行為與實踐（Federal Trade Commission Act ）
該法案是目前美國在個人信息保護領(lǐng)域主要的法律法規(guī)，主要針對：
企業(yè)違反其制定并公布的隱私政策的；
企業(yè)在對其隱私政策進行重大修改時沒有充分通知用戶的；
企業(yè)沒有對其持有的用戶敏感信息進行合理且適當(dāng)?shù)谋Ｗo的。
該法案同時發(fā)布了隱私和數(shù)據(jù)安全指南。該法案在下列兩種情形下的處罰標(biāo)準(zhǔn)分別是：
欺詐性貿(mào)易行為：在用戶通過合理的方式解釋的情況下條款的表述或者缺失會誤導(dǎo)用戶，且該誤導(dǎo)行為屬于可能影響用戶是否選擇該產(chǎn)品的重大誤導(dǎo)行為。
不公平貿(mào)易行為：造成或者可能造成用戶重大的經(jīng)濟或者安全健康方面的損失；用戶無法采用合理手段避免該損失；使用該產(chǎn)品所帶來的收益未超過客戶產(chǎn)生或者可能產(chǎn)生的損失。
限制商業(yè)使用的各州立法
美國目前有三個州通過立法來專門規(guī)范生物識別技術(shù)的商業(yè)應(yīng)用，這其中當(dāng)然也包括人臉識別技術(shù)，分別為伊利諾伊州、德克薩斯州、華盛頓州。
伊利諾伊州
企業(yè)制定有關(guān)生物數(shù)據(jù)收集、儲存、以及銷毀的相關(guān)政策并對外公開。
在收集生物信息前，需要向信息主體提供有關(guān)信息收集目的及期限的通知。
該法律要求在獲取生物信息前獲得信息主體的書面同意。
禁止售賣此類信息獲利。
禁止擁有生物信息的實體與第三方分享生物信息， 除非該披露是出于執(zhí)法部門的需要或者是為了完成個人所要求或授權(quán)的金融交易。
伊利諾伊州是三個州中唯一賦予個人依據(jù)此法進行訴訟或集體訴訟的權(quán)利的州。
伊利諾伊州法案主要針對在商業(yè)活動或者雇傭過程中收集Illinois州居民的生物特征識別數(shù)據(jù)的公司。如果一家公司違反BIPA法案，在過失侵權(quán)案件中公司應(yīng)當(dāng)賠償每位原告1000美元，在故意侵權(quán)或者間接故意侵權(quán)案件中應(yīng)當(dāng)賠償每位原告5000美元。
德克薩斯州
法律規(guī)定，在未獲取同意之前，不得獲取信息主體的生物識別信息，除了滿足一定條件外，生物識別信息不能被售賣或者是被披露給其他方。該法律要求信息控制者對于生物識別信息的存儲、轉(zhuǎn)移與保護采取reasonable care.如果雇主因為雇傭的原因聘請了員工而需要采集他們的生物信息，那么該類信息的儲存期限不能超過雇傭期限。
華盛頓州
華盛頓州法律2017年通過，規(guī)定了商業(yè)企業(yè)收集與使用生物特征信息的有關(guān)內(nèi)容，該法中也有與前面所述兩州一樣的內(nèi)容：需要在收集信息前向信息主體告知并獲得同意。
美國正在立法進程中的法案（關(guān)于人臉識別技術(shù)的使用）
| 法案 | 最新進度 | 主要內(nèi)容 |
| S. 847 Commercial Facial Recognition Privacy Act of 2019 | 2019年3月14日向參議院提交 | 除非獲得終端用戶的積極同意，禁止商業(yè)實體通過人臉識別技術(shù)辨認或跟蹤終端用戶，禁止用人臉識別技術(shù)對終端用戶進行非法的區(qū)別對待、禁止將收集的人臉識別技術(shù)數(shù)據(jù)用于其他目的。 |
| H.R.4021 | 2019年7月25日向眾議院提交 | 禁止聯(lián)邦機構(gòu)在沒有聯(lián)邦法庭命令的情況下使用人臉識別技術(shù)。不允許將在法庭命令下使用人臉識別技術(shù)獲取的信息分享給其他沒有獲得聯(lián)邦法庭命令的聯(lián)邦機構(gòu)。 |
2、美國企業(yè)對于人臉識別的監(jiān)管建議
微軟的監(jiān)管建議
微軟總裁兼首席法務(wù)官Brad Smith呼吁立法解決人臉識別的偏見、隱私、侵犯民主自由問題。具體的監(jiān)管建議有：
應(yīng)對偏見，法律可以：要求透明度；允許第三方測試和比較；保證有意義的人類審查（在作出法律認為“產(chǎn)生重大后果”的決定的情況下，由人類進行審查）；禁止用于非法歧視。
保護公民隱私，可以由立法規(guī)定：（1）保證通知；（2）要求消費者同意。
為保護民主自由的人權(quán)，必須使政府對人臉識別的使用受制于法治，由法律限制目前政府對特定個人的監(jiān)控。只有下列情況，才允許執(zhí)法機關(guān)在公共場合使用人臉識別監(jiān)控特定個體：存在法庭令允許使用人臉識別監(jiān)控；存在某人死亡或嚴(yán)重物理傷害的迫切危險或風(fēng)險的緊急情況。
亞馬遜網(wǎng)絡(luò)服務(wù)（AWS）建議的準(zhǔn)則
人臉識別的使用必須遵守法律，包括保護公民權(quán)利的法律。
在執(zhí)法情侶下使用人臉識別技術(shù)時，必須有人類審查，以保證使用預(yù)測來做決策不侵犯公民權(quán)利。
當(dāng)執(zhí)法部門使用人臉識別技術(shù)進行辨認、或可能威脅公民自由時，推薦99%的置信度閾值（confidence threshold）。
執(zhí)法機構(gòu)對于人臉識別技術(shù)的使用應(yīng)該保持透明。
公共和商業(yè)場景下，當(dāng)視頻監(jiān)控和人臉識別同時使用時，應(yīng)當(dāng)有通知。
3、歐盟GDPR對于人臉識別的影響
第4條第14項
“生物識別數(shù)據(jù)”是通過對自然人的物理、生物或行為特征進行特定的技術(shù)處理的得到的個人數(shù)據(jù)。這類數(shù)據(jù)生成了那個自然人的唯一標(biāo)識，比如人臉圖像或指紋識別數(shù)據(jù)。
第6條 處理的合法性
1.只有在適用以下至少一條的情況下，處理視為合法：
a.數(shù)據(jù)主體同意他或她的個人數(shù)據(jù)為一個或多個特定目的而處理；
b.處理是為履行數(shù)據(jù)主體參與的合同之必要，亦或處理是因數(shù)據(jù)主體在簽訂合同前的請求而采取的措施；
c.處理是為履行控制者所服從的法律義務(wù)之必要；
d.處理是為了保護數(shù)據(jù)主體或另一個自然人的切身利益之必要；
e.處理是為了執(zhí)行公共利益領(lǐng)域的任務(wù)或行使控制者既定的公務(wù)職權(quán)之必要；
f.處理是控制者或者第三方為了追求合法利益的之必要，但此利益被要求保護個人數(shù)據(jù)的數(shù)據(jù)主體的利益或基本權(quán)利以及自由覆蓋的除外，尤其是數(shù)據(jù)主體為兒童的情形下。
第7條 同意的要件
如處理是基于同意，則控制者應(yīng)能證明數(shù)據(jù)主體已經(jīng)同意處理他或她的個人數(shù)據(jù)。
如數(shù)據(jù)主體通過書面聲明的方式作出同意，且書面聲明涉及其他事項，那么同意應(yīng)以易于理解且與其他事項顯著區(qū)別的形式呈現(xiàn)。構(gòu)成違反本法的聲明的任何部分，均不具約束力。
數(shù)據(jù)主體有權(quán)隨時撤回他或她的同意。同意的撤回不應(yīng)影響在撤回前基于同意作出的合法的數(shù)據(jù)處理。在作出同意前，數(shù)據(jù)主體應(yīng)被告知上述權(quán)利。撤回同意應(yīng)與作出同意同樣容易。
當(dāng)評估同意是否是自由作出時，應(yīng)盡最大可能考慮，還應(yīng)考慮合同的履行，包括服務(wù)的提供是否是基于對履行合同不必要的個人數(shù)據(jù)的同意。
第9條 特殊種類的個人數(shù)據(jù)處理
對揭示種族或民族出身，政治觀點、宗教或哲學(xué)信仰，工會成員的個人數(shù)據(jù)，以及以唯一識別自然人為目的的基因數(shù)據(jù)、生物特征數(shù)據(jù)，健康、自然人的性生活或性取向的數(shù)據(jù)的處理應(yīng)當(dāng)被禁止。
如果符合以下情形，則第一款不適用：a) 數(shù)據(jù)主體對以一個或數(shù)個特定目的對上述個人數(shù)據(jù)的處理給予了明確同意，但依照歐盟或者成員國的法律規(guī)定，第1款規(guī)定的禁止情形不能被數(shù)據(jù)主體援引的除外。
第12條 數(shù)據(jù)主體行使權(quán)利的透明度、交流和模式
控制者應(yīng)當(dāng)以一種簡單透明、明晰且容易獲取的方式，通過清楚明確的語言，采取合適措施提供第13條和第14條所提到的任何信息，以及根據(jù)第15條到第22條和第34條所提及的關(guān)于數(shù)據(jù)主體處理過程的溝通信息（尤其是關(guān)于兒童的任何信息）?？刂普邞?yīng)當(dāng)提供書面材料，在其他情況下，若有必要，可以采用電子方式。如果數(shù)據(jù)主體能夠通過其他方式得到認證，那么在數(shù)據(jù)主體的要求下，能夠以口頭方式提供信息。
第21條 拒絕權(quán)
數(shù)據(jù)主體擁有拒絕權(quán)，在關(guān)于他/她的特定情形下，在任何時間處理關(guān)系到他/她第6條第1款第（e）或第（f）項規(guī)定的個人數(shù)據(jù)，包括基于這些條款的分析。控制者不能處理個人數(shù)據(jù)，除非控制者能夠證明不顧數(shù)據(jù)主體的利益、權(quán)利和自由處理數(shù)據(jù)或者建立、行使或維護這種法律權(quán)利具有令人信服的正當(dāng)化理由。
個人數(shù)據(jù)因為直接營銷的目的被處理的，數(shù)據(jù)主體應(yīng)當(dāng)有權(quán)利拒絕在任何時間因為這種商業(yè)目處理關(guān)系到他/她的個人數(shù)據(jù)，這種商業(yè)目的包括分析達到有關(guān)這種直接營銷的程度。
數(shù)據(jù)主體拒絕因直接的商業(yè)目的處理數(shù)據(jù)的，個人數(shù)據(jù)不應(yīng)該因任何這種目的被處理。
從以上來看，GDPR對于人臉識別系統(tǒng)對于人臉數(shù)據(jù)的收集提出了較為嚴(yán)格的條件，為了做好相應(yīng)合規(guī)，在GDPR出臺后，相關(guān)的人臉識別技術(shù)企業(yè)應(yīng)做好以下準(zhǔn)備：
GDPR明確說明，在使用新技術(shù)處理數(shù)據(jù)時，如果該新技術(shù)有極大的風(fēng)險造成對于個人的權(quán)利與自由的侵害的話，需要進行數(shù)據(jù)保護影響評估（Data Protection Impact Assessment）,相應(yīng)的執(zhí)法單位會在限定時間內(nèi)做出評估并給出建議。
加強對于人臉識別數(shù)據(jù)的保護力度，防止泄露。
對于數(shù)據(jù)進行脫敏化和匿名化處理，能夠較大地減少侵犯隱私的風(fēng)險。
采取更加嚴(yán)格的保存數(shù)據(jù)的措施。
4、歐盟GDPR生效后的執(zhí)法案例
比利時
某公司向比利時監(jiān)督部門報告了一起數(shù)據(jù)泄露事件，稱由于其韓國某供應(yīng)商的安全漏洞導(dǎo)致2000名員工的生物識別數(shù)據(jù)（指紋）泄露。目前該起泄露事件正在調(diào)查中。
瑞典
瑞典監(jiān)督部門對當(dāng)?shù)匾皇姓?dāng)局處以20,000歐元的罰款，原因是該市政當(dāng)局通過捕捉影像和匹配學(xué)生姓名，使用人臉識別技術(shù)監(jiān)督學(xué)生考勤。監(jiān)督部門認為，學(xué)校使用人臉識別存在以下問題：（I）將其用于前述目的過于侵犯隱私；（II）無第9條下所述的有效法律依據(jù)，以及（III）不滿足數(shù)據(jù)保護影響評估以及事前征求意見的要求（第35-36條）
英國
英國信息專員辦公室就媒體報道的關(guān)于中倫敦國王十字區(qū)使用實時人臉識別技術(shù)的問題開展調(diào)查。據(jù)報道，在2016年至2018年期間，兩部攝像頭使用人臉識別技術(shù)收集影像，且在某些情況下，收集的數(shù)據(jù)被共享給執(zhí)法部門，用以幫助“發(fā)現(xiàn)犯罪和確保公共安全”。
五、實踐中主要法律問題及合規(guī)建議
1、現(xiàn)實中主要存在的與人臉識別相關(guān)的法律問題
目前我國針對人臉識別的法律相對比較空白，相關(guān)執(zhí)法部門對于人臉識別技術(shù)在實踐應(yīng)用中涉及的法律問題答復(fù)也比較模糊，關(guān)于人臉識別技術(shù)在實踐中的應(yīng)用主要存在以下可能的法律問題：
在商場或私人營利場所安裝人臉識別系統(tǒng)獲取客人面部特征的合法合規(guī)性；
在收集面部圖像前，是否需要獲得信息主體的明示同意，實踐中應(yīng)如何獲取信息主體同意才能最大限度地規(guī)避法律風(fēng)險；
在不同場景下運用不用技術(shù)原理進行的人臉圖像信息收集，分別對應(yīng)的法律風(fēng)險及風(fēng)險規(guī)避手段。
2、關(guān)于人臉識別的合規(guī)建議
使用人臉識別技術(shù)收集與使用人臉信息時，遵守合法、正當(dāng)、必要原則。
收集與使用人臉信息前采取適當(dāng)?shù)姆绞将@取信息主體的明示同意。
承擔(dān)更高的數(shù)據(jù)安全保護義務(wù)，確保數(shù)據(jù)安全。
密切關(guān)注行業(yè)立法與監(jiān)管態(tài)勢，積極應(yīng)對相關(guān)主管部門對人臉識別技術(shù)應(yīng)用有關(guān)的規(guī)范出臺情況。
