今日话题丨副教授告动物园，“人脸识别第一案”揭开哪些隐私危险
特约作者 熊志
今年10月，浙江理工大学特聘副教授郭兵收到了来自杭州野生动物世界的短信，短信中说年卡客户需要“刷脸”才能入园。身为浙学博士的郭兵，不愿接受被采集人脸信息，要求退卡被拒，于是将杭州野生动物世界告上法庭，要求全额退款。
11月1日，杭州富阳法院受理该案，消费者起诉商家涉及人脸识别的民事诉讼，在全国这可能是第一起。
人脸识别的衍生风险被低估了
“国内人脸识别第一案”的特殊标签，给本案增加不小的话题度。
根据报道，郭兵原本在今年4月购买了杭州野生动物园的年卡，检票方式是年卡和指纹双重确认。不过由于高峰期指纹识别录入效率不高，动物园改成了人脸识别。郭兵基于隐私安全考虑拒绝，要求退卡，园方却表示退卡得按入园次数扣款，扣完后郭兵可能还得到贴钱。
本案中双方的分歧可以拆分为两个层面。第一个是合同纠纷。杭州野生动物在没有经过消费者同意的前提下，就调整检票方式，并且仅仅以短信通知消费者，是单方面变更合同，已经属于违约，按照已经入园次数对应的成人票价扣款退卡，自然站不住脚。
更具争议的焦点则在第二层——动物园采用人脸识别检票，这种信息采集和使用方式是否合法合规？人脸识别的应用，到底该遵循怎样的边界？
杭州野生动物园的做法，代表了一种普遍现实。当前，人脸识别几乎渗透到了各个领域，从坐地铁到取快递，从安检到移动支付，使用场景越来越多，并且逐渐取代原始的数字密码以及指纹识别，成为身份验证的重要手段。
不管是商业机构还是公共部门，人脸识别的广泛运用，让用户对刷脸习以为常，对涉及的风险浑然不知，以至于可能还会认为郭兵此举是小题大做，但其实就人脸识别的发展速度和隐私安全保护滞后形成的巨大脱节来看，这种较真不仅有必要，而且来得太晚了。
受理案件通知书
不久前火爆的ZAO换脸APP，提供了一个教训。另外，之前某市提供人脸检测和人群分析的数据公司，被曝人脸识别数据库因没有密码保护而发生泄漏，涉及250万用户记录，同样引起掀然大波。
种种相关案例都在提醒，人脸识别的衍生风险被低估了；生物人脸作为个人信息，其采集和保管使用，由于缺少必要的规范，导致个人隐私时刻有泄漏的危险。
一旦泄露，所伴生的危险不只是遭遇各种骚扰，还可能带来财产损失。比如之前嘉兴有小学生实验就发现，一张打印照片就能代替真人刷脸，取出丰巢智能柜中的快递包裹。
只不过由于信息泄露通常发生的比较隐蔽，用户不容易察觉，自然不够敏感。如果郭兵不是法学出身，没有相关的专业背景，对杭州野生动物园引入人脸识别技术，可能都未必有如此高的警觉。
站在这个角度看，人脸识别第一案的法律意义无疑相当重大，它将隐私问题放在了更严肃的讨论框架下。
面对人脸识别，我们有说不的权利吗
在本案中，杭州野生动物园的年卡检票最开始使用的是指纹识别，后改成人脸识别，这是郭兵起诉的导火索。可能会有人觉得，二者都是个人生物信息，没什么区别，没必要较真。
这种观念当然是错的。事实上，和姓名、电话、住址，乃至指纹、虹膜等生物特征信息不同的是，人脸识别不仅具有不可逆的唯一性，还可以在无需用户配合的前提下捕捉，不用像指纹那样接触才能录入。这决定了人脸数据比其他数据都要更敏感。
所以尤其在数据收集环节，必须严格遵循严格的法律规范，并且经过充分的授权。比如郭兵就提到，状告杭州野生动物园，依据的正是《消费者权益保护法》第29条，野生动物世界违反了收集使用个人信息应遵循合法、正当、必要的原则，并无法保证信息的安全。
其实不只是《消费者权益保护法》，《网络安全法》等相关法律法规，同样对包括人脸数据在内的个人信息的收集使用，进行了明确规定。如《网络安全法》第四章第四十一条提到：
网络运营者收集、使用个人信息，应当遵循合法、正当、必要的原则，公开收集、使用规则，明示收集、使用信息的目的、方式和范围，并经被收集者同意。网络运营者不得收集与其提供的服务无关的个人信息……
合法、正当、必要，是公认的三原则，同时信息收集还建立在用户知情、同意的基础上。不过在现实中，却未必能够起到实质性的约束效果，人脸识别使用逐渐泛滥，隐私不断让位于便利，让位于商业效率。
比如，2015年，杭州就有片区给环卫工人推出人脸识别考勤机，用于刷脸打卡；不久前这项技术更是走进了校园——南京中国药科大学在教室试水人脸识别系统，全程监控学生的上课情况，发呆、睡觉、玩手机都能被识别……
中国药科大学教室的人脸识别设备
类似争议的不断出现，除了人脸识别技术发展速度太快外，更多因素还在于，用户并没有太多的选择余地。正如此次纠纷所显示的，明明是动物园违约在先，想要退卡却还得按它的退费规则来，个人和机构、平台，并不是对等的地位。
即便不是线下的商业机构，而是线上的APP，同样存在类似局面。那些需要刷脸的应用，的确会在使用前通过“用户协议”或者“隐私条款”，进行授权并提示风险，但如果用户拒绝提供个人信息，平台就会拒绝提供服务。
说的直白点，我们要么在不知情的情况下，要么是在没得选的情况下，把人脸数据交给了他人。
隐私保护，别的国家是怎么做的
人脸识别技术的确带来了巨大便利，目前的无现金模式至少还要带一部手机，未来我们甚至可以畅想，只要一张脸，就能完成各种出行体验。
但就当下来说，人脸识别所包含的问题不只是隐私风险，这项技术是否已经成熟到足够推广运用到各个领域，都存在巨大的疑问。
比如之前美国旧金山就推出了针对公共部门的人脸识别的相关禁令。其中一个原因正是，需要深度学习的人脸识别技术，在识别少数族裔和群体时的出错率极高。因为这些群体无法提供足够的人脸数据，来给机器训练识别算法。
而由于人脸数据具有唯一性，一旦和其他数据打通，比如家庭地址、出行轨迹和消费习惯等，那么个人隐私将完露。正是考虑种种风险隐患，欧美国家对人脸识别技术一直都是持谨慎态度，严格限制使用范围。
2018年5月，欧盟《通用数据保护条例》颁布，成为隐私保护的重要依据。而在《GDPR执法案例精选白皮书》我们可以看到这样一个典型的小案例：
瑞典一高中采用人脸识别记录学生考勤，尽管实验只持续了三周，仅仅涉及22名学生，并且人脸数据还没有联网，但该学校仍然被判定违反规定，并领到了近2万欧元的罚单。
这一案例是欧洲在个人信息保护上一贯严格的缩影。相对来说，中国的移动互联网发展速度并不比国外差，我们习以为常的无现金模式，很多欧美地区都做不到，但对比南京高校和杭州野生动物园的案例，国内的隐私保护力度，的确存在明显的不足。
这种不足，不只体现为没有经过充分的授权就采集人脸数据，更体现在人脸数据库的安全防护上，缺少足够的投入，以至于很容易被技术攻击破解，出现数据泄露。
所以人脸识别第一案的到来，对商业机构和平台也是个提醒——想要像过去那样低门槛、大规模地收集人脸数据，将面临越来越多的阻力。