今年央視“3·15”晚會曝光科勒使用萬店掌攝像頭非法采集顧客人臉信息后，近日，江蘇省張家港市市場監督管理局對轄區內商戶進行專項排查后發現，名創優品等門店仍存在類似情況。目前，張家港市市場監督管理局已對名創優品等相關涉事單位立案調查。
新興科學技術，使人“刷臉”即可實現人臉探測、抓取、匹配，比對指紋、虹膜掃描、語音識別等，具有很大的優越性，但其也可能造成人臉信息泄露。因此，應當立足人臉識別技術應用的不同側面，構建人臉信息主體權益保護的多重治理機制。
其一，糅合場景理論和“知情-同意”模式。“知情-同意”模式強調個人理性，尊重個人的自治和自決，能夠充分體現信息主體的意思自治。《中華人民共和國個人信息保護法（草案）》（以下簡稱《草案》）第四十四條規定，個人對其個人信息的處理享有知情權、決定權，有權限制或者拒絕他人對其個人信息進行處理。同時，《草案》第十八條、第三十一條明確了個人信息處理者處理個人信息的義務。它不僅要求告知內容上包含所處理個人信息的種類、目的、方式、保存期限等，還要求告知方應以顯著方式、清晰易懂的語言向個人告知。因此，個人信息處理者對信息的收集、使用和處分都以信息主體的明示同意為前提，而同意除了需要滿足知情外，還要滿足自愿的條件。但在實際操作中，個人囿于信息不對稱、認知能力等局限，其對信息處理的同意是草率的，因為其僅知道同意行為的發生，而并不了解該行為與自身的利害關系。同理，應用程序“不同意則無服務”的霸王條款也是對個人自愿、真實意思的侵蝕。《草案》通過擴大信息處理者的披露范圍來確保知情權，但為了避免個人“被迫自愿”的同意，還應當明確信息主體的同意應當以明確的意思表示或行為作出，信息主體未予拒絕的沉默僅在法律、行政法規另有規定或信息主體另有約定時才具備推定同意的效力。同時，賦予信息主體類似于合同“任意解除權”的“同意撤回權”，通過合同機制保障在不同場景中個人信息的自決權益，從而形成對信息處理者在個人信息收集、存儲、使用、交易過程中任意性的實質對抗。
其二，強化信息掌控者的責任。通過刷臉對個人信息進行識別與認證是一種安全認證權力。這種權力在公共機構和私人機構間的分布應當具有不同的規范依據或合同約定，形成認證個人信息時不同的資格和權限。這是因為公共機構基于行政管理、公共服務等目的行使權力，通常不具有違法性。但在萬物互聯的大數據時代，私人機構的營利模式基于用戶的數字身份，通過進一步的數據挖掘，可以獲取用戶的行為習慣偏好，從而對廣告和商品展開差異化推薦。因此，要確保個人信息數據流通中的安全、秩序和信任，就需要使信息掌控者負擔信息匿名化和算法透明度的義務。一方面，信息掌控者應當按照技術發展周期，采取所有可行的技術手段，定期評估被匿名化的信息是否不可再被識別，并能夠通過監管機構對信息進行去識別化實踐的審查。另一方面，針對人臉信息自動化處理可能造成的偏見和歧視，既要賦予信息主體配置拒絕接受純粹依據信息的自動化處理所做出的、對其決定有重大影響的推薦的權利，也要強制信息掌控者借助有意義的人工審查，保證合理的算法透明度，并明文禁止將信息自動化處理的結果用于非法歧視。
其三，實現覆蓋多主體的個人信息一體化保障。首先，監管部門應當動態調整準入規則，促進技術創新，增進信息掌控者的經濟效率，通過把控技術創新的路徑依賴，調節技術應用的自由度，引導“科技向善”，避免技術濫用。并在此基礎上建立政企合作機制，形成公私良性互動，由此化解科技發展與個人權益保護之間的矛盾。其次，監管部門應當成立面向技術濫用和“算法黑洞”等侵犯個人信息權益的專項整治小組，經與行政法、刑法的有效銜接，嚴厲懲處違法違規收集、買賣、使用人臉信息等性質惡劣的侵權行為。最后，研究、設計個人信息損害險，形成包括應急處理預案、風險備用計劃等在內的新型保險機制，為民事訴訟在風險管理和損失修復方面的失靈兜底。政府可以將應對突發技術風險引起信息泄露的備用資金納入財政預算，其他信息掌控者也可籌措一定資金用于信息泄露事件的補救和補償。
在萬物互聯的大背景下，個人無法完全脫離網絡化生存。面對強大的、組織化的信息處理機構，即使個人具備絕對的“數字理性”，要在信息收集、使用等的授權過程中保持自治仍是比較困難的。因此，需要國家權力干預以平衡前述主體間在信息、實力等方面的不對稱。
（作者單位：西南政法大學經濟法學院）