據《南方都市報》等媒體報道，人們使用App人臉識別功能時，攝像頭拍到的區域會全部被上傳，并可能被后臺的工作人員看到。而很多用戶誤以為人臉識別系統只會將人臉的部分上傳，于是他們可能在洗澡、和另一半擁抱時做人臉識別，殊不知，人臉以外的部分也被攝像頭記錄下來，被別人看到。其實，“人臉識別不只拍臉”作為一種技術性常識已成為業界共識。但許多普通人并不知曉人臉識別會收集人臉圖像以外的“非人臉信息”，這也引發了人臉識別中對“非人臉信息”的保護危機。App在人臉識別時是否有權收集人臉圖像以外的信息、被拍攝上傳至后臺系統的圖像信息保管是否妥當等問題值得關注。
人臉識別App對“非人臉信息”
收集違反“告知+同意”原則
《中華人民共和國網絡安全法》第四十一條第一款規定，“網絡運營者收集、使用個人信息，應當遵循合法、正當、必要的原則，公開收集、使用規則，明示收集、使用信息的目的、方式和范圍，并經被收集者同意”。此款確立了我國個人信息收集應遵循“告知+同意”原則。“非人臉信息”作為個人信息，其收集亦應當遵循“告知+同意”原則。
人臉識別App收集“非人臉信息”情景下，平臺應明確向用戶“告知”采集個人信息的范圍、方式與使用目的，只有在得到用戶明示同意后才可收集個人信息。具體而言，在人臉識別過程中，被識別者面前往往出現這樣的畫面：屏幕中心出現一個人的頭形圖案，要求被識別者的頭部放入該方框中并按照指令作出相應動作，其他部分則顯示為灰白色。但許多時候，用戶在進行人臉識別操作時，App平臺并未告知用戶除人臉圖像之外的非人臉信息會被收集并上傳至后臺，App平臺得到的“同意”授權僅是用戶針對人臉圖像部分個人信息收集的授權，并不涉及人臉圖像以外的“非人臉信息”。
即使“人臉識別不只拍臉”已成為技術性常識，但這并不能成為App平臺未盡到“告知”義務的抗辯理由。在用戶只授權App平臺收集用于人臉識別個人信息情景下，App平臺收集用戶人臉圖像之外的“非人臉信息”的做法已經構成“個人信息的過度收集”，涉嫌違反“告知+同意”基本原則。
應實現人臉識別App
收集“非人臉信息”的多維保護
當下，人臉識別技術應用廣泛，人臉信息成了各App平臺眼中的“香餑餑”。然而，如何保護人臉識別中的“非人臉信息”成為當下亟須解決的問題。
首先，應理性限縮人臉識別應用場景。當前，我國人臉識別技術主要應用于安防、金融與消費等領域，但許多商業App平臺也大量使用人臉識別技術。以“中國人臉識別第一案”為例，杭州某野生動物世界因更改系統，將原指紋入園方式更改為“刷臉”入園，此舉引起年卡辦理者郭某不滿，雙方協商未果，訴至法院。最終，法院作出責令某野生動物世界刪除郭某辦理指紋年卡時提交的包括照片在內的面部特征信息的判決。此案為人臉識別應用敲響警鐘。事實上，杭州某野生動物世界原本采用指紋入園的方式已經可以達到區別游客入園的效果，統一采用“刷臉”方式入園是否必要，值得思考。當前人臉識別廣泛應用，建議從人臉識別本身入手，理性限縮人臉識別應用場景，實行人臉識別技術準入與許可制度，提高人臉識別技術主體準入門檻。
其次，應明確App平臺收集“非人臉信息”的最低提醒義務和對“非人臉信息”的妥善保管義務。2012年，工信部牽頭制定的《信息安全技術 公共及商用服務信息系統個人信息保護指南》明確要求，對個人信息的收集必須在個人信息主體知情的情況下進行，并獲得個人信息主體的同意，二者缺一不可。隨后，全國信息安全標準化技術委員會分別于2017年和2020年發布的《信息安全技術 移動智能終端個人信息保護技術要求》和《信息安全技術 個人信息安全規范》又進一步細化了移動智能終端收集個人信息的基本要求。事實上，無論“人臉識別不只拍臉”是不是常識，App平臺作為信息收集者，告知用戶其收集的個人信息的內容是“告知”要求的基本體現，但實踐中有的App平臺在收集“非人臉信息”時并未提供相應的提示告知說明。因此，在人臉識別必須收集“非人臉信息”這一技術無法攻克的當下，應強調App平臺收集“非人臉信息”的最低提醒義務以及收集之后的妥善保管義務。一方面，App平臺在進行人臉識別前應當有專門的頁面或在能被明顯看到的位置告知用戶人臉識別過程中會攝制到臉部以外場景的說明；另一方面，應當充分告知用戶人臉識別的有關權利與風險，在用戶充分了解并同意后才可以收集個人信息。另外，在個人信息保管層面，應采取多重信息安全技術對“非人臉信息”與用戶個人隱私進行同規格保護或者保密處理。
最后，應增強公民的個人信息保護意識。提高個人信息的保護意識與維權意識需多方主體協同發力。一是職能部門做好監督保障服務工作，切實打擊侵害個人信息的行為并為個人開拓維權渠道；二是強化企業平臺的社會責任，在收集信息的同時進行個人信息保護宣傳教育，強化個人信息保護意識；三是個人應自覺提高信息保護與維權意識，在個人信息受到侵害時及時采取措施，維護自身權益。