人們對“臉”的焦慮或許來自近些年，隨著技術(shù)應用的不斷擴張，人們擔心隱秘處藏著的攝像頭，也擔心另一端不知名的數(shù)據(jù)處理者——誰有權(quán)獲取我的臉部信息？系統(tǒng)的識別準確率高嗎？“它”對“我”的判斷是否公允？

早在1973年，瑞典就推出了首個《數(shù)據(jù)法》，如今全球約有130多個國家出臺了數(shù)據(jù)保護相關(guān)的法律。但它們的效力如何？能夠保護我們的“臉”嗎？

今年9月，紐約大學AI Now研究中心發(fā)布了一份報告“Regulating Biometrics: Global Approaches and Urgent Questions”（生物識別技術(shù)監(jiān)管：全球舉措及關(guān)鍵問題），評估了各國法律的效力。

經(jīng)授權(quán)，澎湃新聞市政廳將翻譯該報告的部分章節(jié)，呈現(xiàn)來自全球的不同思考、疑慮與行動。本文來自該報告的第一章的前半部分，不久前我們采訪了本章的作者安巴·卡克（Amba Kak）。

臉識別技術(shù)也被應用于校園，2019年瑞典對一所高中開出罰單，認為學校使用人臉識別技術(shù)進行考勤，違反了歐盟通用數(shù)據(jù)保護條例GDPR。圖片來源：Getty

對生物識別系統(tǒng)的監(jiān)管很大程度上是通過數(shù)據(jù)保護法實現(xiàn)的。生物識別數(shù)據(jù)通常被認定為高度敏感類別的個人數(shù)據(jù)，此類數(shù)據(jù)的收集、存儲和公開需要受控于一系列限制條件。2016年通過的《歐盟通用數(shù)據(jù)保護條例》（General Data Protection law，GDPR)正是其中代表。現(xiàn)今已有140多個國家出臺了數(shù)據(jù)保護法，覆蓋了公私部門的數(shù)據(jù)使用。與歐盟不同，美國缺乏類似GDPR的綜合性聯(lián)邦數(shù)據(jù)隱私法規(guī)，但一些州法律沿用類似的方式對生物識別數(shù)據(jù)進行監(jiān)管，如2018年出臺的《伊利諾伊州生物識別信息隱私法》（Illinois Biometric Information Privacy Act，BIPA）。

一些國家正在將生物識別數(shù)據(jù)納入公民身份系統(tǒng)建設，也沿用了類似的數(shù)據(jù)保護方法。例如印度2016年通過的《阿德哈爾法案》（Aadhaar Act），澳大利亞2019年通過的《身份服務匹配法案》（Identity Services Matching Bill），肯尼亞2019通過的《服務編號法案》（Huduma Namba bill）。報告第一章的第1部分審視了這些監(jiān)管生物識別信息的法律法規(guī)，它們在實施過程中已經(jīng)暴露出一些關(guān)鍵問題。

數(shù)據(jù)保護法的出臺，促使政府和企業(yè)在個人數(shù)據(jù)的收集、保存和使用方式上有了根本性改變，但它們在應對新形式的數(shù)據(jù)驅(qū)動技術(shù)時存在局限性，比如生物識別和分析技術(shù)。

現(xiàn)有的數(shù)據(jù)保護法聚焦于對個人的危害（而非群體），未能有效解決數(shù)據(jù)歧視和算法畫像等問題。此外，將數(shù)據(jù)作為監(jiān)管對象，往往掩蓋了這些系統(tǒng)和平臺在實際運行時對全社會帶來的更為深廣的挑戰(zhàn)，技術(shù)不透明，削弱了已有的權(quán)責關(guān)系、異見表達和民主決策方式。

一些國家出臺了一系列法案（主要是在美國），禁止在特定領(lǐng)域、特定用途或特定時段使用某些系統(tǒng)，直到更具參與性和協(xié)商性的決策方式出現(xiàn)。此外，還出現(xiàn)了若干專門針對特定部門的法規(guī)，關(guān)注刑事司法、雇傭或教育領(lǐng)域中生物識別數(shù)據(jù)濫用的危害。報告第一章的第2和第3部分追溯了這些新顯現(xiàn)的問題及法律手段和方法。

以下是本輯匯編所提出問題的摘要，列明了所需開展的研究、實施的監(jiān)管和組織的社區(qū)參與，希望為政策制定者和行動者提供借鑒：

1. 數(shù)據(jù)保護法的效力

? 法規(guī)如何定義“生物特征數(shù)據(jù)”?

? 為何數(shù)據(jù)保護法無法阻擋公共部門推進生物識別監(jiān)控的基礎設施建設？

? 面對生物識別系統(tǒng)，“告知”和“同意”有效嗎？現(xiàn)有的數(shù)據(jù)保護法大多基于用戶同意，它存在哪些局限性？還有哪些補充或替代方式？

2.  隱私之外：準確性、數(shù)據(jù)歧視、人為審查和正當程序

? 監(jiān)管應如何確保生物識別技術(shù)的準確性和非歧視性？

? 技術(shù)標準制定機構(gòu)給出的準入指標在多大程度上具有參考性？

? 對生物識別系統(tǒng)進行“人工審查”有效嗎？如何才能為監(jiān)督和問責提供保障？

? 從使用目的上看，生物識別技術(shù)應用于“識別”（identification）和“驗證”（verification）具有不同風險，監(jiān)管法規(guī)是否應該做出區(qū)分？

? 對于用于身份驗證的人臉識別技術(shù)，監(jiān)管較為寬松，這存在哪些潛在風險？

? 執(zhí)法部門使用生物識別技術(shù)，需要哪些正當程序？

? 除了驗證身份，生物識別數(shù)據(jù)還會被用于哪些其他目的，例如識別或推測人的情緒狀態(tài)、人格特質(zhì)或人口統(tǒng)計學特征？現(xiàn)有的生物識別信息法規(guī)如何涵蓋這些使用場景和使用方式？

? 越來越多證據(jù)表明其危害，是否應允許技術(shù)的無限擴張？

3. 新興的監(jiān)管工具和執(zhí)行機制

? 近些年，美國通過了哪些不同類型的“禁令”和暫停令？

? 如何對暫停條件加以強化，以確保最終的立法或?qū)徸h程序穩(wěn)定可靠？

? 現(xiàn)有的禁令主要針對公共部門，這會對生物識別系統(tǒng)的私人開發(fā)與生產(chǎn)造成哪些影響？  

? 哪些監(jiān)管工具可以提高生物識別的技術(shù)開發(fā)、采購和使用等方面的公眾透明度？

? 社區(qū)（community-led advocacy）可以如何參與監(jiān)管法規(guī)的制定？

歐盟的《通用數(shù)據(jù)保護條例》GDPR被稱為“史上最嚴數(shù)據(jù)保護法”，但一些批評認為，它仍存在一定局限性。圖片來源：Wikimedia Commons

法規(guī)如何定義“生物特征數(shù)據(jù)”?

在定義生物特征數(shù)據(jù)和系統(tǒng)時，法律還反映出人們對生物特征識別技術(shù)穩(wěn)定性和準確性的認知。例如，GDPR定義的生物特征數(shù)據(jù)是“允許或確認自然人唯一身份的”身體、生理和行為數(shù)據(jù)，而伊利諾伊州BIPA則給出了一整套可算作生物特征數(shù)據(jù)的標識符列表，它們可以“用于識別個人身份”。

這些法律基于一種假定，即生物特征數(shù)據(jù)可作為個人身份的唯一識別方式，但近些年這一假定本身面臨巨大爭議。

研究表明，面對老年人、有色人種、體力勞動者、非英語母語者或其他人口統(tǒng)計學上的少數(shù)派，生物識別的準確率較低。但法規(guī)未能觸及這些問題，仍然假定識別的準確性和平等性無誤。

在數(shù)據(jù)保護法中，符合“生物特征數(shù)據(jù)”或“生物特征信息”的定義，這是啟用法律保護的前提條件，它還決定了在哪個階段（比如信息采集、處理、存儲和使用階段）實施保護。諸如GDPR等更寬泛意義上的個人數(shù)據(jù)保護法會將生物識別數(shù)據(jù)與其他類型的個人數(shù)據(jù)區(qū)分開，以提供特殊或更嚴格的保護。此外還有專門針對生物識別數(shù)據(jù)的法律，比如BIPA。

一些政府正在將生物特征信息納入數(shù)字公民身份ID，相較于常見的數(shù)據(jù)保護法，這些數(shù)字ID計劃的相關(guān)法律還對生物特征數(shù)據(jù)的定義有所擴展，允許機構(gòu)擴展其采集的生物識別信息的種類。肯尼亞法律草案和印度Aadhaar 法規(guī)都列出了在當前項目之下允許采集的一系列標識符，同時也允許政府在必要時采集其他類型的個人數(shù)據(jù)。

超越了傳統(tǒng)對數(shù)據(jù)隱私和安全的討論，法規(guī)開始關(guān)注更多問題，是否使用這些系統(tǒng)、如何使用，以及當系統(tǒng)出現(xiàn)故障時誰應承擔責任，因而法律法規(guī)的關(guān)注焦點由“數(shù)據(jù)”轉(zhuǎn)向了“系統(tǒng)”。比如，美國最近出臺了一些限制性法令，管控對象是“人臉識別系統(tǒng)及服務”或“監(jiān)控系統(tǒng)”，卻未對生物識別做出任何界定。對這些術(shù)語的界定也暗含了其使用目的（例如監(jiān)控、標識、驗證或跟蹤）。

人臉識別技術(shù)已被大規(guī)模應用于機場。圖片來源：Wikimedia Commons

生物特征數(shù)據(jù)通常被定義為經(jīng)技術(shù)界定的對身體特征的數(shù)字化表達，經(jīng)處理可用于機器或算法分析。你可能聽過一些術(shù)語，諸如“模板”（templates）、“幾何圖形”（geometry）等，在GDPR中，數(shù)據(jù)是指那些已經(jīng)過“特定的技術(shù)處理”的信息?！澳０濉保╰emplates）是算法處理的初級階段，從圖像或錄音中提取出數(shù)據(jù)?，F(xiàn)代機器學習系統(tǒng)不需要所有的數(shù)據(jù)，而是從聲音或圖像中提取有意義的部分，并與數(shù)據(jù)庫中已有的“模板”進行比較。因而人臉照片并不屬于BIPA和GDPR中所定義的生物特征數(shù)據(jù)（編者注：因為人臉照片是未經(jīng)處理過的“原始”數(shù)據(jù)）。

然而，對生物識別數(shù)據(jù)的狹隘定義留下了一系列漏洞。Els Kindt在她所撰寫的章節(jié)中解釋了GDPR的局限性——將照片、錄音或其他形式的所謂“原始”生物數(shù)據(jù)排除在外。她指出，盡管要求用戶“同意”，但在數(shù)據(jù)收集和存儲的最初階段，“同意”已經(jīng)形同虛設（比如，當你講照片上傳到社交網(wǎng)站上），執(zhí)法機關(guān)在使用這部分數(shù)據(jù)時，同樣享有“豁免權(quán)”，可以未經(jīng)用戶許可使用。

考慮到當前商業(yè)性和政府的生物識別系統(tǒng)已被大規(guī)模應用，把（原始的）人臉照片和錄音排除在外也會造成麻煩。從網(wǎng)絡上獲取與人臉照片，并與姓名匹配，這是創(chuàng)建人臉-姓名數(shù)據(jù)庫的常用方法。而這些數(shù)據(jù)庫是私人公司所開發(fā)的先進的秘密監(jiān)控工具的基礎，這些開發(fā)計劃往往秘密進行，缺少監(jiān)管。類似的秘密監(jiān)控活動也在針對錄音信息展開。

2018年《加州消費者保護法》（California Consumer Protection Act，CCPA）對生物識別數(shù)據(jù)做出了不同的定義，或許可以彌補上述漏洞。CCPA的定義是，可從模板中提取標識符進行算法處理的“能力”（ability to extract an identifier template）。

制圖：白浪