我国《民法典》第1034条规定：自然人的个人信息受法律保护。《民法典》原则性的规定，可以为后期立法奠定基础。可不可以搞人脸识别？侵犯人脸识别个人信息又当面临什么责任？这些问题估计也只有等不久将出台的“公民个人信息保护法”的具体规定了。

　　2020年6月8日，IBM的CEO克里什纳宣布退出人脸识别业务。6月10日，亚马逊暂时禁止向美国警察提供人脸识别技术（禁令持续一年）。6月11日，微软禁止将人脸识别技术销售给警方。这与美国黑人弗洛依德事件引发的种族矛盾有重大关系。更为重要的是，人脸识别与公民的隐私权诉求发生严重冲突。2020年初，Clearview AI公司遭遇重大数据泄露，30亿张人脸数据被泄露，引发全美社会的巨大担忧。2020年2月12日，两名民主党参议员提出《人脸识别道德使用法案》，要求暂时禁止政府机构使用人脸识别技术，防止其侵犯公民隐私权和影响公民自由。

　　人脸识别的商业价值到底有多大

　　人脸识别首先被应用于身份认证领域。在一个信用社会，任何事情几乎都需要身份认证，卖东西、买东西、注册公司、投票等等；当然，最重要的身份认证场景还是付款。当下，主流的人身认证方法还是打开手机，输入密码。如果不带手机，刷一下脸能否直接身份认证呢？如果真能实现，懒汉们开心了。如此，“面子”就真地成为最有信用的东西。一切需要身份认证的领域，都可以用脸。

　　其实，人的生物特征中可用于身份识别的信息还有很多，如指纹、声音、视网膜等，为啥人脸识别格外受资本青睐呢？这里需要说一说其他生物特征识别的坏处了：1、指纹识别，需要手指与设备亲密接触。这样很不卫生，疫情期间，最忌讳这个。2、声音识别，即使当事人一定在现场，用录制好的声音亦可以通过识别，这很不安全。3、视网膜识别，需要眼睛靠近采集设备，如此，人自然会有一种被侵略的感觉。即使甘愿被“侵略”，视网膜感染等眼疾也会极大影响识别效果。

　　当然，人脸识别也并非尽善尽美。比如，某犯罪团伙就曾制作公民的3D头像，骗过支付宝人脸识别认证来非法获利，当然，犯罪分子最终被惩罚了。不过，综合看来，人脸识别还算是优点最多的身份认证方法了。所以，社会资本会一窝蜂地涌向它。

　　人脸识别与公民隐私权

　　人脸识别会带来极大便利，同时引发的公民隐私权问题却备受关注。由此也引发了全球范围内的大讨论。纵观全球，有两种代表性的立法模式：

　　美国模式。准确地说，是美国很多州的模式。美国联邦层面并没有统一的法律来规制人脸识别数据。但至少有伊利诺伊州等六个州制定了生物识别数据法案。

　　其中，伊利诺伊州颁布的《生物信息隐私法案（Biometric Information Privacy Act）》（BIPA）具有参考意义。该法案于2008年颁布，是美国境内第一部规范生物识别信息的收集、使用、保护、处理、存储、保留和销毁的法律。它从以下三个层面保护公民信息：

　　1、知情权和同意权。采集公民生物识别信息，需告知公民并且经其同意。Facebook就曾因违反该规定收集用户人脸信息而被起诉。后来Facebook同意支付5.5亿美元，以解决其所遭遇的集体诉讼，这也让个人隐私权获得了重大胜利。2、企业有即时销毁数据的义务。收集目的达到或者最长三年必须要销毁（以个人最后一次联系企业起算）。3、生物识别信息不能转让卖钱。当然，它也规定了例外情况，相关自然人同意或者法律法规的例外情况。

　　欧盟模式。2018年5月25日，被誉为史上最严的欧盟《通用数据保护条例》正式生效。当然，这里的“数据”，泛指一切公民个人信息。人脸识别信息作为生物识别信息，也被纳入公民个人信息统一受到保护（参见该条例第51条规定）。公民可据此享有如下权利：

　　1、知情权与同意权。企业要收集用户个人信息，需提前告知并经用户同意。2、删除权。用户可以基于以下任何一种理由主张删除企业存储的个人信息：（1）数据的存在不再被需要；（2）数据主体不再同意；（3）数据储存期限届满。

　　欧盟模式之所以被称为史上最严，缘于违反它的天价处罚。最高可以处罚2000万欧元或者上一年度营利额的百分之4%。可以掐指算一算，以Google为例，按照它全年1000亿美元的收入来算，最高可罚40亿美元。

　　在我国搞人脸识别是否合法

　　在我国，已经发生人脸识别第一案，消费者起诉了动物园。

　　2019年4月27日，郭某花钱购买了动物园年卡，入园时要求验证年卡和指纹。约半年后，动物园向他发来短信，称要人脸识别才能入园，未注册人脸识别的将无法入园。

　　郭某以《消费者权益保护法》第29条作为自己的重要武器，“经营者收集、使用消费者个人信息，应当遵循合法、正当、必要的原则，明示收集、使用信息的目的、方式和范围，并经消费者同意。”那些力挺郭某的人们还拿出了《合同法》，认为：动物园与郭某的合同已经定立，双方同意指纹认证方式；在合同关系上，动物园单方改为人脸认证，这属于违约。

　　在郭某这个案件中，《合同法》的违约规定或是《消费者权益保护法》中的“同意权”，似乎都是在郭某一边的。然而，更为重要的问题还在于，郭某之后的那些消费者怎么办？试想，一群大人、小孩在动物园排队，被告知：入园要人脸识别。当然，一切取决于消费者是否同意，然而，问题的关键还在于，如果你不同意，你就不能入园。

　　那么，人脸识别涉及人的什么权利？

　　我国《民法典》第四编“人格权”之第六章规定了“隐私和个人信息保护”。显然，“隐私权”和“公民个人信息”是两个独立的概念。

　　我国《民法典》第1034条规定：自然人的个人信息受法律保护。个人信息是以电子或者其他方式记录的能够单独或者与其他信息结合识别特定自然人的各种信息，包括自然人的姓名、出生日期、身份证件号码、生物识别信息、住址、电话号码、电子邮箱、健康信息、行踪信息等。个人信息中的私密信息，适用有关隐私权的规定；没有规定的，适用有关个人信息保护的规定。

　　隐私与公民个人信息是两个相互独立的权利，当然，它们有交叉的部分。个人在自己房间里的活动情况，就属于典型的隐私；公民的姓名、电话号码又属于典型的公民个人信息（不是隐私）。人脸识别属于公民个人信息范畴。按照《民法典》之规定，企业要收集个人信息，同样需要征得个人同意。

　　《民法典》原则性的规定，可以为后期立法奠定基础。然而，现实的问题却是：消费者不得不同意；以动物园人脸识别为例，如果不同意人脸识别就无法入园，消费者估计也只有同意，如此在法律上又当如何定性呢？企业侵犯人脸识别个人信息又当面临什么责任？这些问题估计也只有等不久将出台的“公民个人信息保护法”的具体规定了。