國家（行政機(jī)關(guān)）、事業(yè)單位、私主體（營利法人）三類主體可否應(yīng)用人臉識別技術(shù)應(yīng)符合合法性、正當(dāng)性、必要性前提標(biāo)準(zhǔn)，但因主體不同，具體判斷標(biāo)準(zhǔn)也有所差異。
自新冠肺炎疫情發(fā)生以來，人臉識別技術(shù)在我國疫情防控中發(fā)揮了重要作用。但后疫情時(shí)代下該技術(shù)在個(gè)人信息保護(hù)等方面的風(fēng)險(xiǎn)隱患令人擔(dān)憂。目前，人臉識別應(yīng)用主要存在技術(shù)風(fēng)險(xiǎn)（包括誤識率風(fēng)險(xiǎn)、歧視風(fēng)險(xiǎn)以及技術(shù)對抗漏洞）、濫用風(fēng)險(xiǎn)以及信息風(fēng)險(xiǎn)，繼而導(dǎo)致“錢”“安全”等各方面的風(fēng)險(xiǎn)隨著人臉識別應(yīng)用的普遍化而增長。
遺憾的是，我國目前尚無專門針對人臉識別技術(shù)及其應(yīng)用進(jìn)行規(guī)定的法律法規(guī)，相關(guān)的規(guī)定散見于民法典、網(wǎng)絡(luò)安全法、消費(fèi)者權(quán)益保護(hù)法、刑法等法律以及相關(guān)司法解釋中。由于缺乏系統(tǒng)性和細(xì)化針對性，現(xiàn)有立法的相關(guān)規(guī)定在防范和應(yīng)對人臉識別風(fēng)險(xiǎn)方面顯得力有不逮。最近公布的個(gè)人信息保護(hù)法（草案）對個(gè)人信息保護(hù)進(jìn)行了較為全面的規(guī)定，可以提供相對具體的法源支持。但個(gè)人信息畢竟是人臉信息的上位概念，在法條適用中，還需結(jié)合特定主體和場景進(jìn)行細(xì)化解釋，以符合“場景正義”。囿于篇幅，本文僅以國家（行政機(jī)關(guān)）、事業(yè)單位、私主體（營利法人）三類主體可否應(yīng)用人臉識別技術(shù)的判斷為例作簡要分析。
根據(jù)個(gè)人信息保護(hù)法（草案）第5條、第6條規(guī)定，“處理個(gè)人信息應(yīng)當(dāng)采用合法、正當(dāng)?shù)姆绞教幚?rdquo;“具有明確、合理的目的，并應(yīng)當(dāng)限于實(shí)現(xiàn)處理目的的最小范圍”，因此，三類主體對人臉識別的應(yīng)用應(yīng)符合合法性、正當(dāng)性、必要性前提標(biāo)準(zhǔn)，但因主體不同，具體判斷標(biāo)準(zhǔn)也有所差異。
1.國家（行政機(jī)關(guān)）
國家（行政機(jī)關(guān)）對人臉識別技術(shù)的應(yīng)用多出于公共安全維護(hù)或行政管理等需要，屬于具體行政行為。其合法性判斷應(yīng)根據(jù)憲法和法律，從內(nèi)容合法和程序合法兩個(gè)方面進(jìn)行考察。內(nèi)容合法的判斷主要考察不同級別的機(jī)關(guān)的法定職責(zé)職權(quán)，如應(yīng)用范圍和對象是否屬于其管轄范圍和權(quán)限等。例如，根據(jù)個(gè)人信息保護(hù)法（草案）第13條及傳染病防治法、突發(fā)事件應(yīng)對法的規(guī)定，行政機(jī)關(guān)在應(yīng)對突發(fā)公共衛(wèi)生事件等特定情形下可未經(jīng)公民同意收集個(gè)人信息（包括人臉信息），依此，在疫情防控期間進(jìn)出飛機(jī)場、火車站等人流密集的重點(diǎn)防控區(qū)域要求刷臉測溫是合法的。程序合法要求依照行政法律和規(guī)章規(guī)定的程序來確定是否實(shí)施人臉識別應(yīng)用行為。此時(shí)，不同的應(yīng)用場景可能有不同的程序標(biāo)準(zhǔn)，但基本要求是要符合法定程序。
正當(dāng)性主要是對目的的考察。在實(shí)質(zhì)法治國概念下，國家對基本權(quán)利的侵犯只能出于正當(dāng)?shù)哪康?。對此，首先要看該目的是否違反憲法和法律；其次應(yīng)判斷該目的是否確實(shí)為了“迫切的或?qū)嵸|(zhì)的國家利益”或有助于實(shí)質(zhì)性增進(jìn)社會公共利益；最后要看相較人臉識別應(yīng)用可能對公民基本權(quán)利產(chǎn)生的影響而言，該目的的實(shí)現(xiàn)是否具有足夠的重要性和緊迫性。
必要性要求行政主體在應(yīng)用人臉識別技術(shù)時(shí)應(yīng)當(dāng)堅(jiān)持最小夠用標(biāo)準(zhǔn)，應(yīng)是“為履行法定職責(zé)或者法定義務(wù)”或“為應(yīng)對突發(fā)公共衛(wèi)生事件”“所必需”（個(gè)人信息保護(hù)法（草案）第13條第2、4項(xiàng)）。在判定時(shí)應(yīng)按照比例原則，結(jié)合對安全等利益的影響綜合考量，確保人臉識別范圍和方式與識別目的相稱。
2.事業(yè)單位
對學(xué)校、醫(yī)院等事業(yè)單位應(yīng)用人臉識別技術(shù)的內(nèi)容合法性判斷，除須考察是否合法外，還應(yīng)著重考察其是否符合其法人的宗旨（或法定職責(zé)）。例如，醫(yī)院通過利用人臉表情特征的識別來跟蹤病患的疼痛感知狀況符合其救死扶傷宗旨，因而在內(nèi)容上是合法的。事業(yè)單位雖具有公共服務(wù)屬性，卻不同于行政機(jī)關(guān)，其與服務(wù)對象之間并不存在行政管理與被管理的關(guān)系，因此在程序合法的衡量中，應(yīng)加大對相對人權(quán)益的考慮。換言之，事業(yè)單位不能僅僅通過合法遵循其內(nèi)部章程即決定應(yīng)用人臉識別技術(shù)，而必須在決定過程中引入并尊重被識別者的意見。如前述醫(yī)院將人臉識別應(yīng)用于監(jiān)控治療前，應(yīng)當(dāng)與患者溝通并取得同意。
在目的合法且符合事業(yè)單位宗旨的前提下，對目的正當(dāng)性判斷應(yīng)著重考察該目的對實(shí)現(xiàn)事業(yè)單位的宗旨而言是否足夠重要和緊迫。例如，學(xué)校監(jiān)管課堂秩序并了解學(xué)生對教師講授的反應(yīng)對實(shí)現(xiàn)教書育人宗旨而言很重要，但相對于可能對學(xué)生和老師隱私權(quán)的侵犯而言并沒有足夠的重要性，更沒有緊迫性，因此，課堂中監(jiān)控學(xué)生的人臉及表情并不符合目的正當(dāng)性標(biāo)準(zhǔn)。
對事業(yè)單位應(yīng)用人臉識別必要性的判斷應(yīng)借助比例原則，著重考察識別與應(yīng)用人臉識別的具體目的之間的關(guān)聯(lián)性大小。例如，雖然人臉識別有助于更加清晰地了解課堂效果并助益改進(jìn)教學(xué)，但這并不是唯一的、不可替代的方式，就改進(jìn)教學(xué)目的的實(shí)現(xiàn)而言并沒有滿足必須的關(guān)系，因此不是必要的。
3.私主體（營利法人）
在私主體的應(yīng)用場景中，人臉識別應(yīng)用大多出于更好地為信息主體提供個(gè)性化私人服務(wù)、減少運(yùn)營成本等目的，一般不涉及社會公共利益。此時(shí)，人臉識別技術(shù)應(yīng)用主體和人臉信息主體雙方為平等主體，私主體的上述應(yīng)用目的和訴求相對于人臉信息主體的權(quán)益而言并不占據(jù)優(yōu)勢地位。因此，其人臉識別應(yīng)用的合法性、正當(dāng)性和必要性判斷除考察是否合法合規(guī)外，更多地應(yīng)取決于人臉識別應(yīng)用的雙方主體意思。
就合法性而言，人臉識別應(yīng)用只能基于應(yīng)用雙方（應(yīng)用主體及人臉信息主體）真實(shí)合意而實(shí)施，即人臉信息主體應(yīng)在“充分知情的前提下，自愿、明確作出”同意授權(quán)識別的意思表示（個(gè)人信息保護(hù)法（草案）第14條）?？紤]到人臉信息獲取的隱蔽性特征，對知情同意應(yīng)采取更加嚴(yán)格的標(biāo)準(zhǔn)——人臉識別的應(yīng)用方應(yīng)以明顯、可被理解的方式告知對方人臉識別的應(yīng)用和目的、人臉信息的使用范圍、保存時(shí)間以及可能的風(fēng)險(xiǎn)等，并取得清晰、真實(shí)的甚至?xí)娴氖跈?quán)確認(rèn)。
就正當(dāng)性而言，應(yīng)用人臉識別的私主體應(yīng)確保其對人臉的收集和識別限于其經(jīng)營范圍之內(nèi)的必要目的，并將該具體目的告知人臉信息主體，以便其判斷識別是否正當(dāng)并同意。
就必要性而言，私主體對人臉識別的應(yīng)用應(yīng)限于“為訂立或者履行個(gè)人作為一方當(dāng)事人的合同所必需”（個(gè)人信息保護(hù)法（草案）第13條第2項(xiàng)），且應(yīng)詳細(xì)說明并確保人臉識別及相關(guān)信息的處理不超出該特定目的的合理范圍。當(dāng)人臉信息主體拒絕人臉收集和識別時(shí)，除非必要（如美圖時(shí)需要人臉照片，否則無法提供美顏服務(wù)），服務(wù)提供者應(yīng)提供其他驗(yàn)證的方式，不得因?qū)Ψ骄芙^“刷臉”而拒絕進(jìn)入或使用。
