周光权：建议不批准换脸游戏软件 加大人脸信息犯罪处罚力度

两会·高端访谈

近年来，在人脸识别技术大规模落地的同时，非法获取、提供、破解人脸识别数据及关联的电信网络诈骗、非法发放及催收贷款等犯罪高发。风险无孔不入，保护好自己的“脸”似乎变得越来越难。

今年全国两会期间，全国人大代表、全国人大宪法和法律委员会副主任委员、清华大学法学院教授周光权提交建议，呼吁从宣传教育、行业自律、社会监管、法律监管等方面综合施策，有效遏制滥用人脸识别技术的犯罪。

在接受南都记者专访时，他特别提到刑法在人脸信息保护中的作用。“要全面保护敏感个人信息，民法典和个人信息保护法的作用不可低估，但刑法也一定不能缺位。”周光权说。

全国人大代表、全国人大宪法和法律委员会副主任委员、清华大学法学院教授周光权。受访者供图

人脸识别技术易破解易被滥用，相关犯罪频发

南都：你为什么关注人脸识别？

周光权：这些年，人脸识别在社会场景中的应用已经非常普遍。不可否认，人脸识别技术为相关管理活动的开展以及个人生活带来了很多便利，借助于这一技术，验证、识别特定自然人以及对个人行动的观察和分析都变得十分容易。

当前，随着人工智能技术的不断成熟，人脸识别所取得的数据、信息作为身份识别的一种方式，被广泛运用于交通出行（包括地铁安检、动车检票等）、校园或小区进出门禁、单位考勤、网上银行及移动支付等诸多领域。但是它的风险并没有引起相应的足够的重视。

南都：从你的观察来看，目前人脸识别应用出现了哪些问题？

周光权：首先是技术层面，人脸识别容易被破解，这带来不安全性。当前，制作模拟人脸模型以破解人脸识别验证的黑色产业链已相当成熟，而且许多软件代码已经开源，用身份证照片就可以从技术上模拟张嘴、眨眼等动作，仿真效果很高，可以骗过许多人脸识别平台。去年2月，清华大学RealAI研究团队利用对抗样本干扰技术，在短短15分钟时间内就成功破解了19款国内主流手机的人脸识别系统，人脸识别“易破解”的安全隐患暴露无遗。

那么，随着人脸识别技术在日常生活中的大量使用，也对个人信息保护带来了新的挑战。在现实生活中，一方面，由于个人可能将足以识别个人的肖像、身份证图片以及其他具有人身关联性的人像及风景照片等都储存在云盘上，个人对其敏感信息的保护难度加大。另一方面，人脸识别技术极易被滥用，人脸识别信息被大数据公司或各种金融平台App过度收集、随意共享的现象广泛存在，由此导致非法获取、提供、破解人脸识别数据及关联的电信网络诈骗、非法发放及催收贷款等犯罪案件层出不穷，有的案件在定性上存在一定争议。

此外，近年来涉人脸识别技术滥用的犯罪频发，而且类型多样。比如入侵他人计算机系统获取人脸信息、网络换脸游戏骗取人脸信息、非法抓取人脸信息、通过技术将照片生成动态人脸验证视频等。此外，因为被害人的人脸识别信息被非法获取后暴露行踪轨迹，进而引发故意杀人、故意伤害、聚众斗殴的案件，在近年来也开始出现。

...2...

建议不再批准换脸游戏类App，坚守人脸信息“非必要不提供”

南都：你提到人脸识别技术的风险以及滥用带来的严重后果，如何规避风险、防止滥用？

周光权：我认为应该大力推进司法机关与网络服务提供者、网络安全监管机关的协作共建，建议原则上不再批准类似于换脸游戏App的软件，以防止不良商家非法获取公民敏感个人信息。

南都：人脸信息滥用相关案件频发与人们自身的个人信息保护意识不够是否有关？

周光权：有一定关系。比如在超市门口，经常有人以顾客购物满一定金额可获赠洗衣液等礼品为名，要求顾客在领取礼品时提供姓名、身份证号码，并用手机拍照、录制视频等方式采集肖像信息，很多人会上当受骗。

正因此我也提出建议：中央有关部门和单位应加大宣传力度，增强公民尤其是中老年人对其个人信息尤其是人脸识别信息的保护意识，对个人照片、人脸视频等坚守“非必要不提供”的立场。对于上面说的这种以礼品骗取个人信息的行为，有关单位应当及时报警，公安机关及时调查核实，以防止犯罪人利用公民个人信息实施电信网络诈骗等犯罪行为。

...3...

刑法不能缺位，数罪并罚加大犯罪处罚力度

南都：在法律层面，民法典对公民的肖像权做了规定，去年实行的个人信息保护法也将人脸信息纳入到敏感个人信息加以规定。你怎么看待当前我国法律对人脸信息的保护？

周光权：人脸数据属于公民的生物信息，具有高度的人身依附性、专属性等一般信息所不具备的信息特质，对这种信息的特殊保护历来受到关注。个人信息保护法也强调了这一点。

但由于当前与人脸识别相关的电信网络诈骗、非法发放及催收贷款等犯罪案件层出不穷，有的案件在定性上存在一定争议。因此，我认为要全面保护敏感个人信息，民法典和个人信息保护法的作用不可低估，但刑法也一定不能缺位。

南都：具体来说，在人脸识别的问题上，刑法和其他法律以及监管手段的关系是怎样的？具体应该怎么做？

周光权：德国刑法学家李斯特有一句名言：“最好的社会政策就是最好的刑事政策。”对于个人信息、计算机信息系统安全和数据完整性、可用性等法益的保护而言，刑法只是“最后手段”。

我认为应对人脸识别问题应该综合施策。首先要加强监管，对哪些机构可以处理人脸识别信息作出更为细化的明确规定，设计相应的安全等级要求，并督促其根据个人信息保护法第55条建立、落实敏感个人信息保护的制度体系。

大数据公司要加强行业自律，遵循非必要不采集和“告知-同意”原则；对于使用人脸识别系统、采集相关信息的单位，应当建立特别严格、完善的人脸识别信息管理、调用、处理机制。

在打击犯罪方面，公安机关应加大对人脸识别相关犯罪的打击力度，接警必处，迅速开展侦查活动，做到件件有回音，力争实现有案必破。

最后，刑法要发挥作用，应加大对涉及人脸识别犯罪的刑罚处罚力度。对于侵害公民个人信息，通过掌握被害人行踪轨迹侵害其人身安全，以及涉及电信诈骗等犯罪的，应当数罪并罚。对于因涉及滥用人脸识别技术构成犯罪被判刑的，原则上不适用缓刑，也轻易不适用假释；同时，对罪犯适用禁止令，以防止其在出狱后很快重操旧业、继续实施危害社会的网络犯罪行为。

采写：南都记者李娅宁 发自北京