目前人脸识别技术的边界究竟在哪里？

　　随着人脸识别在技术上的门槛不断降低，尽管其应用引起了不少争议，但是并没有妨碍众多商家争相推出各种各样的人脸识别应用场景。刷脸购物、刷脸进动物园、刷脸取厕纸、人脸分析学生课堂上在干嘛……对人脸识别的应用，只有你想不到的，没有商家做不到的。

　　这不，最近媒体又爆出了两个奇葩应用。一是位于江西南昌的华东交通大学一食堂推出按克取餐人脸支付服务，学生登记信息扫描人脸绑定餐盘后可以进行“无感支付”。二是北京西城某小区用上了人脸识别垃圾桶，预先完成刷脸注册的用户在扔垃圾时，垃圾桶识别出居民身份后自动开盖，还能根据垃圾重量为居民返回一定积分。

　　学校食堂取餐按克称重计费，有助于节约粮食，是一件好事，但是要绑定人脸来支付就没有多少必要性，食物称重算出费用后刷校园卡支付，也费不了多少事。而人脸识别垃圾桶则几乎纯粹是费力不讨好，因为根据报道，这个垃圾桶的人脸识别要几秒钟时间，这比直接按按钮打开垃圾桶需要的时间长得多。实际上，刷脸来扔垃圾的人并不多。

　　年轻人不愿意注册人脸识别垃圾桶，是担心个人信息泄露，而老年人不用人脸识别，是因为戴上口罩后识别的速度和准确性大大下降了。这对应了人脸识别应用的两个主要问题。

　　首先是在技术上。人脸识别技术的门槛虽然大大降低了，但是要做到较高的速度和识别准确率，还是有一定技术难度的。当然还有其他的技术难点，比如对照片与真人的鉴别问题。2019年10月，丰巢快递柜在部分地区测试人脸识别取件，就被几个小学生用照片冒充父母取走了快递。即使是更先进的人脸识别算法，也不乏被破解的报道。

　　更大的风险则在于数据泄露后带来的巨大风险。人脸作为一个人的生物特征，具有唯一性，不可改变。一个人的人脸识别数据一旦泄露，那么他所有采用人脸识别验证的系统都不再安全了。由于人脸识别的技术门槛降低，很多公司都可以做人脸识别的应用，存储用户的人脸数据信息，但是这些公司的数据安全防护能力有可能不足，导致用户人脸数据泄露。而一个人的人脸数据被越多的企业获取并保存，泄露的风险就越大。要知道，根据墨菲定律，如果一件坏事是有可能发生的，那它的发生就只是一个时间问题，总会有人把事情搞砸。事实上，2019年2月，国内一家人脸识别技术公司发生大规模数据库泄露事件，超过250万人的个人信息被泄露，而原因只是一个非常低级的技术失误：这家公司暴露在互联网上的核心数据库没有设置密码。

　　正是因为数据泄露的风险无法避免，法律规定了个人信息收集应遵循最少必要原则。网络安全法规定，网络运营者收集、使用个人信息，应当遵循合法、正当、必要的原则。其中必要性就是说，只有必不可少的情况下才能收集用户的个人信息，而且所收集的条目应该越少越好。根据国家标准《个人信息安全规范》对最小化原则的解释，应用的运营者“收集的个人信息的类型应与实现产品或服务的业务功能有直接关联”，如果没有这些收集的个人信息，“产品或服务的功能无法实现”。而在扔垃圾、食堂付钱、进动物园、取厕纸等场合，显然不用人脸识别技术也一样可以完成相关的功能，人脸识别并不是必不可少的。这些场景，就不应该使用人脸识别。

　　在欧美地区，人们对人脸识别的应用相对谨慎，对人脸识别技术可能带来的侵犯个人隐私等负面影响顾虑更多。2019年8月，瑞典数据保护局向某地方政府罚款20万瑞典克朗（约合2万美元），因为当地一所高中进行了一项人脸识别考勤测试，有22名学生参加了为期3个星期的测试，其间人脸识别系统可以记录和分析这些学生何时进入哪一间教室。尽管这项测试得到了学生家长的同意，但瑞典数据保护局仍然认为这一做法违反了欧盟《通用数据保护条例》，因为学校可以用其他方法来对学生进行考勤。2019年5月，美国旧金山通过一项法例，禁止本市政府机构使用人脸识别技术。

　　但在中国，目前还没有法律对人脸识别技术到底可以用在什么场合做出严格的规定。前文提及的《个人信息安全规范》国家标准只是推荐性标准，并没有强制性。虽然有关部门也曾经对不同功能的应用应该获取哪些用户个人信息制定了指南，但是这个指南同样不具有强制性，如果商家不遵守指南，也没有法律依据对其进行处罚。2018年，央行曾经依据消费者权益保护法，因支付宝收集个人金融信息不符合最少、必需原则，个人金融信息使用不当等原因而对其罚款5万元。但这样的处罚实在过于轻微，无法对企业带来实质的惩罚。

　　人脸识别存在巨大的技术和伦理风险，其应该通过广泛的公众讨论形成共识，划定边界。普通用户也应该意识到人脸数据可能泄露带来的风险，不要因为积分等区区小利就把要与自己相伴一生的核心数据拱手让给商家。