每经热评｜未经许可采集人脸信息等同偷窃 立规宜早不宜迟

每经评论员 杜恒峰

12月1日，天津市十七届人大常委会第二十四次会议表决通过了《天津市社会信用条例》，其中第16条规定：市场信用信息提供单位不得采集自然人的宗教信仰、血型、疾病和病史、生物识别信息以及法律、行政法规规定禁止采集的其他个人信息。所谓市场信用信息提供单位，是相对于政府等公共机构的概念，具体包括信用服务机构、行业协会、商会及其他企业事业单位等。天津这项法规通过，意味着人脸数据作为生物信息的一种，也在市场主体禁止采集之列。

在天津之前，各地已经有零星的对人脸信息采集的相关规定，比如10月被提请审议的《杭州市物业管理条例（修订草案）》规定，物业服务人不得强制业主通过指纹、人脸识别等生物信息方式使用共用设施设备。最近，因“戴头盔去售楼部”引发的人脸识别问题，南京、徐州等地下发通知，要求开发商不得收集来访者面部信息。

但这些条例和通知，都只是针对单点问题的解决办法，应对的场景非常有限，而现实情况是，人脸信息收集已被广泛应用于商超支付、公园进出、写字楼门禁等等，个体面对商家的优惠诱惑和强势企业“隐私/服务二选一”的高压条款，或不明就里或被迫让渡关键的人脸数据的情况比比皆是。天津上述《条例》之所以能够引起广泛的关注，就在于其提供了一套完整的解决办法，即直接对人脸识别等生物信息数据采集进行了统一的限制，这为消费者个人提供了法律保障，全面规范了市场主体的数据收集行为。

在指纹、掌纹、静脉、虹膜等生物识别信息中，人脸信息无疑最为重要，通过人脸识别对方进而建立互信，这是人类处理人际关系最原始、最自然的路径。在数字化时代之前，“眼见为实”是最可靠的认知方式，但在数字化时代，个人的身份信息需要数字化才能在虚拟世界通行，即便是再细微边缘的个人信息，也可能让个人承受数据泄露的危害，“姓名+电话号码”的简单信息组合，就能骗取受害者信任，如果人脸信息泄露，就等同于数字世界的个人身份被克隆，如果再被变脸AI等软件加以利用，其带来的潜在危害将难以估量。即便没有遭遇诈骗，人脸信息被商家掌握，也可能导致“消费者剩余”被精准攫取，带头盔的现象可能会从售楼部扩散到其他消费场景。

人脸识别数据的重要性，决定了对其使用要慎之又慎。在实践中，商家掌握了技术和信息的优势，愿意主动让渡面部数据的个人未必真正了解复杂的授权条款，更不了解这些数据如何存储、使用，这不是公平交易；商家也可能利用消费者维权难的劣势，强迫消费者接受人脸识别服务，这也不是公平交易；还有类似房产售楼部等商家，未经用户许可即收集个人面部数据，这已等同于窃取——数据也是资产，也有价值。在解决这些问题之前，人脸识别的使用理应受到严格限制。

人脸识别技术的运用，“做得对”比“做得快”更为重要，这要求立法立规宜快不宜慢，宜早不宜迟，为消费者提供及时的法律保障。刚刚宣判的“人脸识别第一案”，野生动物园只是退了消费者合同利益损失及交通费，但野生动物园要求消费者“必须接受人脸识别，否则无法进园”的行为未被认定违法。如果有类似天津这样的法规在先，那判决会不会完全不同？