互联网时代，人脸识别技术受到了日益广泛的应用。“刷脸”支付、解锁、登机、住宿、上课、进门……人脸的价值得到了前所未有的提升。

　　在公共领域，应用人脸识别技术可以及时抓获潜逃多年的犯罪嫌疑人，可以及时寻找到失散多年的被拐卖妇女儿童，执法效率和社会公共安全得以大幅提高。在商业领域，应用人脸识别技术不仅可以大大节约企业运营成本，提高管理效率，还可以开发更多的智能产品和智能服务，从而获得新的利润增长点。对于个人来说，应用人脸识别技术不仅可以提供便利性，减少输入密码或刷卡的繁琐性，还可以提高安全性，减少窃密、造假、冒用、顶替等违法行为的产生。

　　科技是一把双刃剑。人脸识别技术既能给人类社会带来福利，也存在不小的风险。人脸信息属于“活体数据”，一旦泄露或被滥用，其危害远高于其他个人信息。首先，人脸识别技术可能侵犯隐私。人脸信息可能被不当收集，甚至用来非法交易。只要拥有人脸信息，个人行踪轨迹和行为内容就可能一直被监控。其次，如果人脸识别被用于深度伪造，不仅可能侵犯肖像权、名誉权、知识产权等权利，还可能被用于诈骗等犯罪活动。再次，人脸识别技术可能导致歧视，造成新的不平等。通过人脸识别出不同的种族、性别、身份等信息，个人可能受到不公平对待，算法歧视问题可能更严重。最后，如果一国的大规模人脸信息不当出境，没有遵守个人信息出境安全评估的要求，还可能影响国家安全。

　　在域外，对于人脸识别技术的规制存在不同的做法。欧盟制定的《一般数据保护条例》（GDPR）已于2018年5月生效，被称为史上最严的个人信息保护规定，对于人脸识别等信息处理进行了系统规定。GDPR将人脸信息视为特殊种类的个人信息，属于生物学数据，原则上禁止使用。只有获得个人明示同意且成员国没有禁止、或出于履行劳动社会保障义务的必要、或为了实现重大公共利益所必需、或为了实现医学目的、或出于统计目的等情形，才能依据严格的条件和程序进行处理。针对包括人脸信息处理在内的数据处理严重违法行为，GDPR设定了巨额行政处罚，监管部门最高可处以2000万欧元，或上一财年全球营业额4%的行政处罚，以较高者为准。2019年8月，瑞典数据监管机构根据GDPR，对使用人脸识别系统的一所学校罚款20万瑞典克朗（约人民币14.8万元），其理由是通过人脸识别系统记录22名学生的出勤率，侵犯了学生的隐私，学校完全可以用其他损害较小的方式统计出勤率。

　　“刷脸”好用但须慎用。人脸识别技术如果运用不当，确实可能产生很多风险，但不能由此因噎废食简单加以禁止，而应有效地加以规范引导。壮大数字经济，拓展“智能+”，需要充分利用各种数据，实现数据赋能。但数字科技需要在法律的轨道下发展创新，技术中立并不表明技术可以脱离法治，人脸识别技术必须受到法律规制。

　　首先，应用人脸识别技术应遵循目的正当性原则。收集和处理人脸信息必须基于具体而明确的正当目的，企业不得出于非法牟利目的而滥用人脸识别技术，公共机构不得以宽泛的“维护公共利益”为由而强制收集和处理人脸信息。在人脸信息的收集、存储、处理、使用等各环节应设置边界。即使合法收集的人脸信息也可能被滥用，所以要同时规范人脸信息的收集与处理行为。一旦目的完成，就应当及时删除销毁存储的人脸信息。

　　其次，完善人脸信息所有人的同意和撤销机制，尊重和保护个人隐私。人脸识别技术的应用必须尊重和保护个人隐私，充分保障个人的知情权和选择权。在大数据时代，绝不能让“以隐私换取便利”成为常态，而应在有效保障隐私的前提下不断提高便利性。人脸信息收集行为很多时候个人可能并不知情，大街上、商场中、小区里安装的摄像头，可能随时收集人脸信息。收集人脸信息原则上必须获得明示同意，应确保人脸信息主体的明示同意是其在完全知情的基础上自愿给出的、具体的、清晰明确的意思表示。应完善特定人群的同意机制，如学生与学校之间事实上存在管理与被管理的关系，学生同意学校使用人脸识别系统可能并非真实的意思表示，而且如果个别或少数同学不同意，可能就无法正常上课。需要注意的是，并非所有处理人脸信息的行为都应当获得同意，如确实出于保护重大公共利益的需要，当然，并非一经同意就可以进行任何人脸信息处理行为，应当在合法的收集目的下进行合理使用。要完善人脸信息授权撤销机制，使人脸信息所有人可以随时便利地撤回授权。

　　再次，加强对滥用人脸识别技术的平等性执法，并提高监管效能。随着人脸信息价值的不断提高，滥用人脸识别技术的违法行为可能越来越多。应当运用各种智能科技手段积极发现违法线索，杜绝选择性执法，禁止偏袒，防止权力寻租。一经发现违法行为，无论是互联网巨头企业还是中小微企业，都应当一视同仁，做到同样情况同等对待，不同情况区别对待。政府部门应在各自职权范围内，及时开放共享相关信息，进行有效的执法协作，形成敏捷治理合力，既减少多头执法的积极乱作为，也克服懒政怠政的消极不作为。

　　最后，细化滥用人脸识别技术的责任设置，加大惩罚力度。责任设置应当科学合理，既能最大限度地预防减少滥用人脸识别技术的违法行为，又能有效促进数字经济的规范健康发展。国家新一代人工智能治理专业委员会发布的《新一代人工智能治理原则——发展负责任的人工智能》明确要求：“建立人工智能问责机制，明确研发者、使用者和受用者等的责任。”除了应当细化不同主体的责任外，还应当加大行政处罚的力度，加强个人信息的行政法保护。人脸信息的私法保护存在一定的局限性，因为很多情形往往难以确定致损主体、难以确定损害大小、难以判断损害与人脸信息处理的因果关系。而人脸信息的刑法保护往往会对企业造成毁灭性的打击，出于对刑法谦抑性的确保，可以考虑适当加大滥用人脸识别技术的行政处罚力度。