返回上一页 文章阅读 登录

石佳友:公共视频设备应用中的个人信息保护

更新时间:2022-06-16 00:10:13
作者: 石佳友  
根据欧洲数据保护理事会(EDPB)2020年所发布的《通过视频设备处理个人信息指南》,安装视频设备必须对信息主体给予必要提示,说明信息处理者的身份以及处理目的,合法性基础,存储者及存储时间,并告知信息处理者根据GDPR所享有的权利;这些信息可以在现场标明,也可以网络链接的方式注明,但这些信息应该容易为信息主体所查询。就我国而言,前引“公安部条例草案”曾规定:“社会公共区域的视频图像采集设备,应当设置提示标识,标识应当醒目”;“深圳条例草案”第20条亦规定,“公共区域安装系统摄像设备的,应当设置提示标识,标识应当醒目”。因此,如在公共场所安装监控视频,应以清晰的方式标注适当的提示文字或标识,如“您已进入视频监控区域”。另外,前述草案并未规定监控视频的管理人还应当披露以下信息:信息处理目的、信息处理者的身份、信息主体的权利、信息处理的可能影响、信息处理者的联系方式等。如所安装的视频监控设备影响相邻不动产的所有人或使用人,应征求后者的意见,并把对后者的影响降到最低限度。

   第五,所收集的个人图像、身份识别信息只能用于维护公共安全的目的,不得用于其他目的;取得个人单独同意的除外。这是对基于公共视频监控手段收集的个人信息进行事后处理的目的性限制,要求此类信息除取得个人单独同意外,只能服务于公共安全目的。个人信息具有多重面向,既表现为信息主体的私人权益,又体现为一定的社会性和公共性,公共安全是个人信息社会价值的重要体现。个人信息权益以信息自决权为中心,但这并不是说个人对其信息享有所谓绝对不受限制的支配权,基于个人与团体间的社会关联性和拘束性,信息自主权必须容忍重大公益的限制。监控视频设备的管理人基于公共安全目的收集他人的个人信息,信息主体基于合理期待原则,有理由相信该信息处理行为仅限于特定的公共安全目的,因而所收集的个人图像、身份识别信息也只会用于维护公共安全的目的。另外,鉴于视频监控信息处理场景的复杂性,《个人信息保护法》第26条为用途限制也设置了例外:“取得个人单独同意的除外。”这就是说,如果经过信息主体的单独同意,视频设备所采集的信息也可以用于公共安全之外的其他用途,譬如,用于商业用途,典型场景如经顾客同意后,利用视频所采集的影像资料作为商业宣传文件,用于营销推广。

   第六,关于视频设备所收集的个人信息的存储期限,这是一个十分重要的问题。《个人信息保护法》第19条规定:“除法律、行政法规另有规定外,个人信息的保存期限应当为实现处理目的所必要的最短时间。”由此,对于监控视频所收集的信息,其存储时间不得超过事先所设定的特定处理目的实现所需的最长时间。2016年“公安部条例草案”第20条规定:“采集的视频图像信息至少留存30日,法律、行政法规或者相关标准规定多于30日的,从其规定。”这些都是针对政府部门所安装的视频设备的信息存储期限,我国所规定的期限相对较短。在德国,根据所涉及个人的不同类型,警察部门对其个人信息存储的期限有所不同:对于成年人为10年,对于青少年为5年,而对于儿童仅为2年;对于举报人,其个人信息可存储1年,例外情况下可延长至3年。在荷兰,警察部门对个人信息的保存期限仅为1年,如果对警务工作来说确有必要可延长至5年。英国2018年《数据保护法》仅规定应定期对警察部门连续储存个人信息的必要性进行复审。而针对企业、个人在公共场所安装的视频设备所收集的个人信息的存储期限,我国则无相应的规定。根据前引欧洲信息保护理事会的指南,商家或个人基于预防盗窃、财物损毁等目的所安装的视频监控,所拍摄信息的存储时间一般为24小时,遇节假日可顺延;对于超过72小时的存储时间,需要特别说明其正当理由。如发生违法犯罪事件,基于保留证据采取法律诉讼等原因采集信息的存储时间可以更长一些。存储期限届满后应立即自动删除,不再予以保存。

   三、公共视频人脸识别设备中的个人信息保护

   人脸识别是公共视频图像设备结合大数据和人工智能技术的应用成果;这使得公共视频监控已经超出了实时场景录像和存储等传统用途。实践中,随着人脸识别技术在公共管理和商业交易中的迅速发展以及视频技术本身的特点,基于数字技术的发展,动态的身份识别功能得到越来越广泛的应用。“人脸”作为个人在社会交往中的“活体名片”,具备生理和心理的双重属性,蕴含着丰富的非语言情感信息,反映出个人的个性特点、社会评价及人格尊严等多重维度信息。

   (一)人脸识别应用的监管框架

   从法律属性来说,人脸信息作为最为典型的生物识别信息,是最通常的身份标识和识别符号。根据GDPR第4条第14款,所谓“生物识别信息”指的是基于特定技术处理自然人的相关身体、生理或行为特征而获取的个人信息,这种个人信息能够识别或确定自然人的独特标识,包括个人基因、指纹、声纹、掌纹、耳郭、虹膜、面部识别特征等。生物识别信息直接反映自然人独一无二与不可替代性的身体、生理或行为特征,具有强烈的人身属性。因此,对人脸识别进行立法规制是近年来很多国家所采取的举措。美国于 2019年颁布了《商业人脸识别隐私法案》,禁止在未获得用户明确同意的情况下对其进行人脸识别。2020年3月,华盛顿州通过法律对人脸识别应用进行规制,要求人脸识别技术必须确保其公平性和准确性;执法机构如需使用人脸识别技术,需获得法院的授权令。另有一些州对人脸识别采取了暂缓禁令或将其应用限于特定领域的做法。例如,2019年3月加州通过立法为警察机构使用人脸识别技术设定了 3年的禁止期限,自2020年1月起实施。根据缅因州议会在2021年6月通过的法律,执法机构原则上不得使用人脸识别技术,除非其有证据证明特定个人犯下“严重的罪行”。在欧洲,如企业等私立机构使用人脸识别技术,需征得个人明确的单独同意。例如,机场如使用人脸识别技术来识别旅客身份,一般是先让旅客自行下载特定的应用软件,单独点击同意并按要求自行上传照片;抵达机场后到设置在专门区域的自助设备上进行身份验证。同时,应确保其他不愿意使用人脸识别技术的个人享有选择权,选择以其他的方式进行身份验证。欧盟委员会2021年4月所公布的《人工智能条例草案》将公共场所的远程生物识别(RBI)系统列为人工智能的高风险应用类型,原则上限定为查找失踪儿童、预防犯罪或恐怖袭击、侦查犯罪等用途。而欧盟议会2021年10月以压倒性多数通过了一项题为“关于在刑法领域的人工智能及其由警察与司法机构在刑事事务中的应用”的决议,呼吁全面禁止公共场所的大规模生物识别监控技术。2021年12月,意大利国会通过了禁止人脸识别技术视频监控的禁令,禁止私立机构在公共场所使用此种设备;禁令暂定至2023年12月31日截止。

   就我国而言,近年来人脸支付科技快速发展,“刷脸进小区”的现象越来越普遍,人脸识别应用已出现滥用和失控的苗头,甚至出现了“刷脸取手纸”“戴头盔看房”等夸张事件,引发了社会公众的集体焦虑;“人脸识别第一案”正是这种集体焦虑的集中反映。在这样的背景下,《民法典》第1034条率先对“生物识别信息”作出规定,明确其属于法律所保护的个人信息范畴。2021年7月最高人民法院发布了《关于审理使用人脸识别技术处理个人信息相关民事案件适用法律若干问题的规定》(以下简称“人脸识别司法解释”)进一步明确人脸信息属于生物识别信息。不久之后通过的《个人信息保护法》第28条明确规定,生物识别信息属于个人敏感信息;只有在具有特定的目的和充分的必要性,并采取严格保护措施的情形下方可进行处理。这些法律文件构成了我国对人脸识别进规制的主要法律框架。

   (二)人脸识别应用的主要法律规则

   由此,人脸识别的规制框架应强调审慎、预防、公平、比例性、归责等原则;只有设置适当的监管措施,人脸识别技术才可以让这个世界变得更加安全、更加智慧和更为人性化。基于这样的理念,人脸识别治理框架的主要内容包括:

   第一,人脸识别信息的处理原则上须获得个人的单独同意。《个人信息保护法》第29条规定,处理敏感个人信息应当取得个人的单独同意。根据《个人信息保护法》第15条,个人有权撤回其同意。个人信息处理者应当提供便捷的撤回同意的方式。“人脸识别司法解释”第4条进一步规定信息处理者不得对信息主体采取强迫同意、捆绑同意等手段。

   第二,关于人脸识别技术应用中所遵循的具体规则,必须对政府机构和非政府机构作出区分,因为二者处理个人信息的合法性基础不同。针对政府机构而言,根据《个人信息保护法》第26条,政府机构在公共场所使用人脸识别技术应限于公共安全目的,包括预防、侦查犯罪等违法行为,而不得用于其他目的。另外,根据该法第24条,执法机构如基于人脸识别所处理的信息作出的自动化决策对个人权益有重大影响的,政府机构应作出说明,并尊重个人对自动化决策的拒绝权。

   第三,如果采取人脸识别作为身份识别的方式,则应同时提供非人脸识别的身份识别方式,由信息主体自主选择。《网络数据安全管理条例(征求意见稿)》第25 条规定:“数据处理者利用生物特征进行个人身份认证的,应当对必要性、安全性进行风险评估,不得将人脸、步态、指纹、虹膜、声纹等生物特征作为唯一的个人身份认证方式,以强制个人同意收集其个人生物特征信息。”由此,信息主体基于自己的同意权,可以对信息处理者处理其人脸信息给予同意,也可以拒绝,此种拒绝不得影响其享有公共服务的权利。因此,个人应享有同意和拒绝之间的选择。据此,“人脸识别司法解释”第10条规定,物业服务企业或者其他建筑物管理人以人脸识别作为业主或者物业使用人出入物业服务区域的唯一验证方式,不同意的业主或者物业使用人请求其提供其他合理验证方式的,人民法院依法予以支持。

   颇有争议的问题是:地铁等公共服务部门是否可以应用人脸识别?其实,公共交通部门也并非不可以使用人脸识别技术,譬如,在日本大阪就有4个车站安装了人脸识别设备;法国里昂机场也安装了人脸识别设备。就我国而言,地铁公司如使用人脸识别应用,应遵循《个人信息保护法》第29条等规定,事先取得个人的单独同意。譬如,开发专门的App,让乘客安装后点击单独同意,并自行上传人脸照片。而且,应单独设置不采用人脸识别技术的普通通道,确保其他旅客享有选择权,且不得额外增加这些旅客的成本。譬如,不能在开通人脸识别的特别通道后,大幅减少普通通道的数量和人员配置,导致其他旅客的身份验证时间明显增加;另外,人脸识别通道与普通通道要分开设置,避免人脸识别设备附带采集那些未选择此技术旅客的人脸图像。此外,还需要特别注意的是,鉴于人脸识别的风险,不宜将人脸识别作为一种“奖励措施”来加以推广,譬如与乘客的信用或消费积分的高低相关联。至于人脸识别技术是否可以应用于商业场景,答案也是肯定的,譬如,某些商家希望使用人脸识别技术,对忠诚度较高的客户进行定向广告推送。不过,商家使用人脸识别技术,同样应当就采集、处理人脸信息事先获得顾客的单独同意;商家不得以客户接受人脸识别作为获得其服务或产品的条件,禁止变相的强迫同意、捆绑同意。另外,商家应在人脸识别区域设置清晰的告知与提醒,并避免拍摄其他未经同意的客户的脸部信息。

第四,必须采取严格保护措施。敏感个人信息一旦泄露或者被非法使用,容易导致自然人的人格尊严受到侵害或者人身、财产安全受到危害。因此,信息处理者除了负有一般的安全保障义务之外,对于敏感个人信息还必须给予特别的严格保护,防止这些极为重要的信息遭受非法破坏、遗失、篡改、公开或查询等事故;为此,信息处理者需要采取特别的加密措施等技术手段。需要指出的是,对于一般个人信息,信息处理者所负有的安全义务在性质上属于一种“手段义务”,这意味着如果考虑到当时的技术水平、实施成本、信息处理活动的性质、范围、场景和目的,以及对信息主体的权利和自由的风险的严重性等因素,(点击此处阅读下一页)


爱思想关键词小程序
本文责编:admin
发信站:爱思想(http://m.aisixiang.com)
本文链接:http://m.aisixiang.com/data/134715.html
收藏