【摘要】人脸识别技术的广泛应用实现了信息服务的便捷化，但同时也引发一系列争议：部分信息服务提供者变相强制自然人接受人脸识别技术，使得社会公众对于各类“刷脸”应用产生不信任，质疑这类技术应用是否确有必要。尽管现有研究针对这类问题提出各类风险治理机制，但是仍然存在人脸图像与人脸数据、身份识别风险与其他风险、差异性隐私泄露风险混同的问题，并且这些概念混同也使得相关治理规则或是停留于个人信息保护规则重述，或是泛化该类技术应用的特殊性。现阶段，人脸识别技术治理依然是围绕人脸数据展开，只不过治理逻辑有别于一般个人信息，需要实现运作方式、权益影响程度、安全风险等重要事项的透明化。一方面，基于可问责理论延伸出公示问询、评估、备案、审计等治理规则，以权威机构的审查结果简化透明信息，实现社会公众对透明信息的可理解；另一方面，基于信息关联消除理论，义务主体无法确保人脸识别应用透明化时，应当消除人脸数据与其他个人信息的关联状态。
【关键字】人脸识别；人脸数据；透明度理论；可问责理论；信息关联消除论
一、问题的提出
人脸识别技术已经广泛应用于各行业、各领域，高效便捷的身份识别功能满足了支付、消费、门禁、考勤等多元应用场景的业务拓展需求。相对于虹膜识别、指纹识别而言，人脸识别具有非接触性、便捷识别、适用范围广、成本低廉等优点，可谓市场前景广阔。然而，任何信息技术的发展终究无法摆脱“双刃剑”困局，人脸识别亦存在技术滥用等安全风险。在“杭州动物园人脸识别全国第一案”之后，人脸识别技术应用的合法性边界备受关注。
诚然，此类技术的应用确实能够实现高效便捷的身份核验，但这不应当成为自然人被迫接受该应用的正当性基础，更何况人工核验、手机号验证码核验等其他核验方式均能达到同等的身份核验效果。此外，人脸识别技术滥用的安全风险不仅表现为技术服务的强制性，而且表现为技术服务的“不知情”，即自然人在被“刷脸”之前甚至并不知道自己的人脸数据已经被采集和处理。
针对这类人脸识别技术滥用现象，国家互联网信息办公室专门发布了《人脸识别技术应用安全管理办法》（以下简称《人脸安全管理办法》），围绕人脸识别技术应用场景、个人信息保护等问题进行具体规定。从《人脸安全管理办法》内容来看，立法者对于人脸识别技术应用监管设置了个人信息保护和技术应用场景两种规制进路：个人信息保护进路主要是以个人信息保护规则为核心，明确技术使用者的个人信息保护义务；技术应用场景进路主要是以技术应用场景为核心，禁止或限制人脸识别技术在部分场景中的应用。然而，这种面面俱到的技术治理模式也产生了一个新问题，即人脸识别技术的治理逻辑究竟是保护个人信息还是限制技术应用场景。倘若治理逻辑是保护个人信息，那么人脸识别技术治理问题就转变为《中华人民共和国个人信息保护法》（以下简称《个人信息保护法》）在人脸识别技术应用场景下的法律适用问题，最高人民法院之前出台的《关于审理使用人脸识别技术处理个人信息相关民事案件适用法律若干问题的规定》足以解决该问题；倘若以公共场所设置人脸识别设备的规范问题为限，那么刚刚发布的《公共安全视频图像信息系统管理条例》亦可以解决。倘若治理逻辑是规范人脸识别技术应用方式，那么《人脸安全管理办法》中大部分条款聚焦于人脸数据保护，针对应用场景的限制条款相对较少。更麻烦的是，如果立法者采用限制应用场景这一治理逻辑，就意味着立法明确限制了该项技术的应用范围，这显然又与促进科技创新应用的立法宗旨相悖。
意欲化解人脸识别治理逻辑的两难困局，归根结底需要解决三个问题：第一，人脸识别技术的法律性质究竟如何理解，该项技术滥用主要侵害的是何种民事权利；第二，法律介入人脸识别技术创新应用需要实现何种治理目标，尤其是在法律应当规制人脸识别技术成为社会共识的背景下，人脸识别技术治理的特殊性如何定位；第三，在明确人脸识别技术治理目标的基础上，立法如何按照该治理目标延伸出完整且独立的人脸识别技术治理体系，避免出现“个人信息保护法在特定应用场景下的重复立法”等问题。
二、人脸识别技术的法律性质：以三个理论研究误区为起点
（一）误区之一：人脸图像与人脸数据的概念混同
现有研究多将人脸识别技术应用涉及的侵权风险总结为个人信息权、肖像权以及隐私权等侵害风险，并且多以人脸信息保护作为人脸识别技术治理特殊性的正当性基础。但是，学者们所论述的人脸信息并非指向同一对象。同一客体论的支持者是将人脸图像、人脸信息与人脸数据视为同一个权利客体。例如，在论及人脸识别技术风险时，大多以“人脸信息”作为上位概念，整体性讨论技术应用对人脸图像、人脸数据的安全威胁，如收集、存储和使用的合法性风险、泄露风险等。概念区分论的支持者则主张将人脸图像、人脸信息与人脸数据这几个概念予以区分，因为其所对应的人格权益并不完全相同。并且，从人脸识别、指纹识别、步态识别等技术应用的整体性视角来看，人脸识别技术应用所涉及的人脸识别信息属于生物识别信息的概念范畴，与人脸图像并无实质性关联。不过，也有学者为了统一不同概念指称并区分各个概念之间的实质差异，主张人脸识别信息包括“人脸原始图像”和“人脸数字特征信息”两项内容，前者指向人脸识别技术最初处理的原始人脸照片等，后者则是由原始人脸照片转变而成的数字特征信息。
这种研究对象的不统一性会推导出不同技术治理路径：同一客体论推导出的治理路径是一种多元化权益保护机制，即人脸识别技术一旦被滥用，可能造成多种民事权利的侵害；概念区分论对应的则是个人信息保护特殊路径，因为人脸识别技术应用的侵害客体主要是以生物识别特征信息为限，立法规范的重心显然需要回归到个人信息保护范畴。这种看似无足轻重的概念认知分歧足以影响人脸识别技术治理模式的选择，故而有必要对人脸数据、人脸图像等基础概念予以明确区分。在技术层面，信息系统识别人脸的基本逻辑有别于通常认知中的“肉眼识别”。在进行人脸识别和确认的过程中，信息系统读取对象通常并不是整张图片，而是基于算法模型读取图片中的生物识别特征信息点；并且，进行人脸比照时，也不是直接对两张人脸图像进行图像内容相似性判断，而是对读取对象的生物识别信息点与数据库中的生物识别信息点进行“点位”比较，进而判断相应的身份信息。事实上，人脸图像、人脸数据等技术术语、法律术语相互交织的状态已有部分学者关注。有学者认为，人脸照片未经识别或者验证处理，缺少技术要素和功能要素，故而无法纳入生物识别信息范畴，并且欧盟《通用数据保护条例》（以下简称 GDPR）序言第51段也提及，对照片的加工处理并不当然等同于对生物识别信息的加工处理，还需要采取特定的技术手段。
可见，人脸图像与人脸数据概念混同的根源在于忽视人脸识别的技术本质是对脸部生物特征点位数据（而非图像）的采集和比对。当然，这也不意味着人脸识别技术应用完全不涉及人脸图像的使用，在技术研发环节，识别算法、训练数据集合均会涉及人脸图像的使用，只不过此种使用行为并非人脸识别技术治理的核心环节。更需要认识到的是，在整个技术环节层面，“面部输入——人脸确认——提取特征——比对身份——进行验证”所涉及的数据多为人脸特征信息。人脸识别技术应用存在一个普遍误区，即误认为“刷脸”会把自己的人脸照片留存在后台，但在技术逻辑层面，所谓的“刷脸”实际上是让信息系统扫描和确认人脸识别特征点，然后将这些特征点与后台数据库中预存的特征点而非照片进行比对，从而确认相应的身份信息。并且，如若每一次“刷脸”都会留存人脸照片，海量用户所产生的海量人脸照片也会增加信息存储成本。因此，有必要明确区分人脸数据和人脸图像这两个概念，前者应当专门指涉《个人信息保护法》所规定的生物识别信息，并不包含人脸图像。
（二）误区之二：身份识别风险与其他风险的混同
围绕人脸识别技术治理议题，学者们也先后列举了诸多的技术安全风险，具体包括个人信息安全风险、个人隐私侵权风险和技术滥用风险三类。第一类风险的支持者主要以人脸数据属于个人信息为由，从人脸识别技术应用的信息收集、处理等多个环节论证潜在的信息泄露、过度采集个人信息等安全风险。该类观点本质上仍然属于在特定场景中探讨个人信息的安全保护问题，且多以“杭州动物园人脸识别第一案”为例，证成该类技术对个人信息的侵害性。此外，为了证明该领域个人信息保护的特殊性，学者们多以人脸识别技术采集信息的非接触性和无须当事人配合为由，主张技术使用者应当承担更为严格的个人信息保护义务。第二类风险的支持者认为该类风险与个人信息安全风险存在交叉重叠内容，两者的差异性在于，个人隐私侵权风险主要来源于人脸识别的物理设备，即在私密场合使用摄像头抓拍自然人。例如，上海市闵行区人民检察院在调查一家健身房人脸识别技术使用情况时发现，该健身房不仅设置了人脸识别门禁系统，而且在更衣室内设置了人脸识别储物柜，此种行为被认定存在严重的侵犯消费者个人隐私风险。第三类风险的支持者则将风险类型扩展至其他领域，例如将人脸识别技术与“换脸”技术绑定，认为可能引发肖像真实性等伦理风险。
除了上述常见风险类型外，也有学者试图从社会风险、技术缺陷风险等角度证成人脸识别技术安全风险的特殊性。在社会风险层面，有观点认为“人脸识别的功能早已不再局限于身份识别，而是伴随科技权力一同无限扩张”，进而引发风险错配、系统性歧视、社会偏见等安全风险。部分学者将人脸识别技术的核心解释为人工智能算法，认为其会导致算法博弈、算法歧视及算法误判等风险迭代增生；一旦这项技术被广泛应用，可能会使得社会治理从“数字民主”滑向“技术利维坦”，使得“人们受到过度管控”。此外，部分学者将该技术引发的集体性隐私泄露和个人信息泄露风险归结为容易引发群体性冲突事件等社会风险范畴，如智能门禁系统滥用导致社区管理者与居民之间肢体冲突。在技术缺陷风险层面，相关观点主要是以人脸识别的准确率为论证基础，认为人脸识别技术通常与金融账户、门禁系统等绑定，在遭遇欺骗等外部攻击时，可能导致错误的身份核验结果，引发财产损失、人身损害等不利后果。
上述纷繁复杂的技术安全风险类型划分在很大程度上混淆了技术本身的安全风险与技术应用产生的衍生风险。因为从技术原理来看，人脸识别技术的核心功能是身份识别，相应的技术安全风险也围绕身份识别展开，如身份识别错误、个人生物特征识别信息泄露等。至于技术滥用风险、伦理风险等风险类型，本质上属于技术应用所产生的衍生风险。倘若人脸识别技术不与其他应用场景相关联，本身并不会产生诸如伦理、“技术利维坦”等风险。尽管人脸识别技术的滥用可能与科技权力扩张相关联，但是这不能推导出人脸识别技术的核心功能从身份识别转变为社会治理。无论是“刷脸”支付、“刷脸”进出，还是店铺刷脸记录消费行为习惯，所有的技术应用场景都一定是以身份识别作为基础核心功能，其他的行为习惯分析、面部情绪分析等功能并不是单纯的人脸识别技术所能达到的。并且，所谓的换脸技术并非属于人脸识别技术的体系范畴，人工智能算法安全风险也属于人脸识别技术治理之外的其他议题。事实上，已有学者注意到这点，将“刷脸”的法律属性总结为“从身份识别到识别分析”的转变，社会对于该项技术的担忧与恐慌，很大程度上是由识别分析机制导致的。故而在讨论人脸识别技术安全风险治理时，理应区分身份识别和识别分析两个环节，进而设置差异化的监管规则。
（三）误区之三：隐私泄露风险的性质混同
在论及人脸识别技术的隐私侵害风险时，存在一种特殊的风险担忧，即认为在使用 APP“刷脸”功能时，手机不仅会扫描整个面部，而且会将上半身照片发给后台审核人员。这种对隐私泄露风险的担忧在技术实践、风险成因上存在定性偏差。
在技术实践层面，人脸识别信息系统通常并不会直接将原始图像直接传输至后台，其所采集的信息大多是属于生物特征识别信息范畴的面部特征点位。这些点位信息被传输至后台，并与后台原先存储的点位信息进行比对，进而实现精准的身份核验。并且，从人脸识别精准的功能考量，上半身照片往往包含了复杂的背景要素，反而不利于信息系统精准高效识别。此外，常见的技术安全标准也通常禁止将人脸照片直接从采集设备传输至其他信息系统。例如，《网络安全标准实践指南——人脸识别支付场景个人信息安全保护要求》（TC260-PG-20251A）的“8.1数据收集安全”部分专门提及，人脸特征数据应当“不传出设备”。同时，团体标准《安全防范主动配合式人脸识别系统技术要求（T/SHSDAA001-2025）》在提及“人脸验证”概念术语时，表述为将采集获得的“人脸信息”和信息系统存储的“人脸信息”进行一对一比对，而非直接表述“人脸图像”的比较。并且，在“数据存储部分”涉及的数据类型也主要限于人脸数据、人脸关联数据等。这里需要补充解释的是，在《中华人民共和国民法典》（以下简称《民法典》）框架下，人脸照片既受到肖像权保护，也受到个人信息保护，两者并不相互排斥。只不过人脸照片终究不是能够适用于人脸识别的面部点位特征数据，部分人脸照片可能因清晰度、光线角度等原因而不具有机器可读性，直接给出“人脸照片就是人脸数据”之论断显然不够严谨。并且，在大多数情况下，自然人所拍摄的人脸照片并非以人脸验证为目的，而是出于留念、记录等目的，这些类型的人脸照片可能还涉及特定私密场景、私密内容，结合《民法典》第1032条来看，这类人脸照片属于个人隐私信息范畴。也有学者认为，因为人的身体被不断地信息化，对这一数字化过程“说不”的隐私法益是人脸照片与面部识别模型所要保护的首要法益。因此，人脸照片并不当然等同于人脸数据，只有经过技术手段处理后形成的面部特征点位数据才构成生物特征识别信息。
在风险成因层面，这类隐私泄露风险还可能表现为，部分非正规的 APP 可能会以刷脸核验身份为由，擅自拍摄和留存上半身图像。但是，这种风险的形成逻辑与人脸识别技术滥用没有直接的因果关系。因为这种非法采集个人信息、人脸图像的行为自始至终是以非法目的为导向，人脸识别技术只不过是其实施犯罪行为的表面“借口”，故而所谓的隐私泄露风险理应归并至刑事犯罪风险范畴。进一步地，任何信息技术均有可能成为刑事犯罪的技术工具，这种犯罪风险与技术安全风险应当按照不同的治理逻辑予以考量和审视。一方面，后台人工审核“窥视”自然人上半身图像这种业务活动本身就构成对用户自然人隐私权的侵害，不应当纳入人脸识别技术应用的正常业务环节，违法行为导致的技术安全风险与技术误用、滥用行为导致的技术安全风险理应有所区分。另一方面，后台人工审核导致的隐私泄露风险与其说是人脸识别技术的安全风险，倒不如说是采用人脸识别技术的信息系统存在隐私泄露风险。因为人脸识别技术导致的隐私泄露风险通常与信息系统安全故障、外部攻击等相关，而人工审核导致的隐私泄露风险是由信息服务提供者自身不恰当的服务提供行为导致的。
此外，人脸识别技术的隐私泄露风险还表现为，部分信息服务提供者出于后续人脸识别算法训练和功能优化的目的，可能会选择采集和留存人脸图像，并因后台人员非法查阅、外部攻击等导致照片（隐私）泄露。尽管这些信息服务提供者选择在用户协议中请求用户允许这些人脸照片的处理，但将这种隐私信息与其他信息一并绑定授权的业务模式显然不具有合法性。此时，人脸照片虽不属于个人生物特征信息范畴的人脸数据，但人脸照片在出于个人私密目的而拍摄的情况下构成隐私信息，属于敏感个人信息，同样需要征得用户的“单独同意”，且还需要符合“最小必要原则”。信息服务提供者将人脸照片用于算法训练的行为已超出人脸识别功能的必要范畴，属于过度处理个人信息。由此来看，这种情形的隐私泄露风险亦属于个人信息侵权风险范畴。与前述私自采集和留存人脸图像并让后台审核人员查阅的情形相比，过度处理个人信息导致的隐私泄露风险才是人脸识别技术真正需要关注的潜在风险。
三、人脸识别技术治理重心的再调整
之所以需要对当下人脸识别技术的治理误区予以澄清，是因为这些误区关涉到技术治理模式的选择。如果按照前述治理误区，人脸识别技术治理将会被引导至“新技术应用产生全新的技术安全风险，由此全新的技术安全风险需要全新的治理机制予以预防和控制”这般结论。此类结论显然泛化和夸大了技术安全风险的特殊性。在澄清相关治理误区后，有必要对人脸识别技术的治理重心予以明确，并证成人脸识别技术“专门立法”的必要性。
（一）技术治理的核心要素：个人生物识别信息的保护
从前述的技术治理误区来看，由于将人脸图像与人脸数据混同、身份识别与识别分析混同、风险成因混同，部分研究忽视了人脸识别技术治理的核心事项依然是个人信息保护，相应的人脸识别技术治理体系也应当以个人生物识别信息保护制度为基础。不过，若按照这种治理逻辑，人脸识别技术风险似乎仅需在《个人信息保护法》的调整下即可预防和控制，并没有专门治理的必要性。此种质疑实际上未曾考量人脸识别技术对于自然人权利的影响方式。在实践中，该类技术滥用不仅损害了个人自主决定个人信息如何处理的能力，而且损害了自然人对其权益变化的知情能力。进一步地，虽然技术治理的核心事项是个人信息保护，但是，个人信息保护面临的核心风险并不是一般个人信息保护层面的过度收集和处理，而是个人信息处理活动的不可知性。这种不可知性既包括自然人不知晓自己的人脸数据究竟会以何种方式被收集和处理，如信息处理者的身份信息、“刷脸”时究竟会不会被拍照留存、后台审核人员是否会直接查看到自己的人脸照片；也包括自然人不知晓自己的人脸数据究竟会和哪些其他个人信息进行绑定以及信息处理者是否能够保障自己的人脸数据安全，如信息处理者的经营状态和内部管理能力、人脸数据是否会与自己的信用评级进行绑定等。
在数字时代，个人信息损害结果的不确定性和不可知性是当下个人信息保护最为棘手的难题。个人信息泄露所导致的未来可能发生的财产损失、人身伤害究竟是否属于传统侵权法意义上的“损害结果”存在较大分歧：支持者认为这种损害结果实际上给受害人造成了一定的精神损害，且存在相当大的概率导致二次损害，理应一并纳入“损害结果”的范畴进行评价；反对者则认为这种损害结果具有相当的不确定性，无法通过调整“差额说”等传统认定标准证成其属于法律意义上业已确定的损害结果。然而，这种不可知性与人脸识别技术应用的不可知性在治理逻辑上具有一定的相似性，即前者在事后救济阶段存在损害结果范围认定困难的问题，后者在事中阶段难以发现和证明存在侵权事实，故而相应的治理逻辑转向了事前的风险预防。只不过在人脸识别技术治理领域，这种事前的风险预防更加侧重将“不可知性”转变为“可知性”，而非仅仅依靠一般的个人信息保护规则予以实现，这也是人脸识别技术安全风险属于个人信息安全风险但需要单独专门立法的原因之一。
此外，由于人脸识别技术治理的保护对象是个人生物识别信息，这种个人敏感信息在保护逻辑和保护方式上存在一定的特殊性，所以在立法层面需要针对该项技术单独设置专门的治理机制。具体而言，这种特殊性主要表现为三个方面：第一，作为个人生物识别信息的人脸数据，在身份识别领域具有高度敏感性，机器能够通过其中所反映的面部特征点位数据较为精准地核验个体身份；第二，人脸识别技术在各类技术应用中的身份识别功能使得人脸数据成为开启其他各类信息服务的“门禁”，其安全性具有典型的系统性特征；第三，在个人信息保护立法体系下，人脸数据的敏感性意味着信息处理者需要承担远高于一般个人信息的安全保护义务。在知情同意环节，信息处理者应当采取更为积极主动的措施告知自然人有关人脸识别技术的使用情况，其义务履行效果的判断标准不应仅限于完成了特定的“告知”行为，还需要确保自然人能够对人脸识别技术应用的基本情况有所了解。在实践中，刷脸门禁等技术应用饱受诟病的原因之一正是这些信息处理者和技术使用者怠于履行相应的告知义务。
（二）技术治理的附加要素：其他业务关联的限制
人脸识别技术治理始终需要以人脸数据为中心，这不仅是因为这类数据属于敏感个人信息，而且是因为随着该项技术的普及应用，整个产业呈现“刷脸验证+具体业务”的发展趋势，人脸数据与其他个人信息密切绑定，甚至成为访问其他个人信息的“钥匙”。因此，在明确了人脸识别技术治理的核心要素是人脸数据的安全保护之后，接下来需要明确的便是“人脸数据安全风险治理”与“人脸数据相关联的安全风险”之间的逻辑关系。在现有的学理讨论中，部分学者习惯性地将个人信息安全保护问题和基于个人信息关联业务产生的安全治理问题合并讨论。诚然，这种研究路径能够全盘性地展现各类技术安全风险，但忽视了个人信息保护和关联风险治理之间的内在差异性。在个人信息保护方面，人脸识别技术治理的基础思路应当是以《个人信息保护法》为框架，在数据采集和处理的各个环节细化信息处理者的各项义务。在关联风险治理方面，相应的治理逻辑则转变为对具体技术应用行为的治理，如禁止在私密场所设置人脸识别采集摄像头、强制要求自然人接受不合理的人脸识别信息服务等。需要强调的是，否定将关联业务风险作为技术治理的核心事项并不等于否定这类风险治理的必要性，而是从整个治理体系考量，人脸识别技术所有的安全风险均是由人脸数据的处理活动诱发的，所以需要以个人信息保护为主体框架，辅之以特定场景的技术应用限制或禁止条款，实现从数据采集、处理到后续关联业务的全流程治理。
这种“核心治理要素+附加要素”的治理架构既能够完成与《个人信息保护法》在法律效力层级的体系衔接，也能够凸显人脸识别技术治理的特殊性，即治理范畴需要从身份识别功能延伸到识别分析。此外，这种治理架构在美国的立法实践中可以窥见一二。
在美国，参众两院曾先后提出《合伦理性使用人脸识别法案》（Ethical Use of Facial 5 Recognition Act, S.3284）、《商业人脸识别隐私法案》（Commercial Facial Recognition Privacy Act of 2019, S.847）、《人脸识别技术授权法案》（Facial Recognition Technology Warrant Act of 2019, S.2878）等与人脸识别技术治理相关的法案，但均未能转为联邦立法。背后的原因除了美国立法一直强调的商业自由和科技创新优先之外，还包括美国立法机构对于人脸识别技术滥用是否可能促成一个“实时监控”的政府存在巨大分歧。《合伦理性使用人脸识别法案》的提出背景便是美国联邦调查局在使用人脸识别技术时，并未依照《美国宪法第四修正案》的规定采取最基本的保障措施确保公民权利不被侵犯。然而有意思的是，与联邦层面立法过程中出现的“是否需要全面禁止人脸识别”相比，美国州政府层面持续推进人脸识别立法进程。一方面，伊利诺伊州的《生物识别信息隐私法》（BIPA）、德克萨斯州的《采集或使用生物识别标识法案》（Texas Capture or Use of Biometric Identifier Act, CUBI）和华盛顿州的《生物识别隐私法》（Chapter 19.375 RCW）等侧重将人脸识别技术纳入生物识别信息保护框架。这些立法的共性在于，均以知情同意作为人脸数据获取和处理的合法性要件。另一方面，华盛顿州的《人脸识别服务法》（Chapter 43.386 RCW）、加利福尼亚州的《人脸识别技术法（草案）》（Draft Automated Decisionmaking Technology Regulations）和犹他州的《犹他州政府人脸识别技术使用法》（Government Use of Facial Recognition Technology）则采取专门监管的模式约束该类技术的应用场景。
由此可见，美国的立法者已经注意到生物识别信息保护与技术使用行为规范是两个层面的治理事项。联邦层面的立法缺失在一定程度上是因为美国立法者对于技术使用行为规范存在显著分歧，人脸识别技术本身的身份识别和验证功能并无太大问题，但是一旦与执法机构的监管活动等关联业务衔接，延伸出的识别分析功能究竟是否应当受到限制以及受到何种程度的限制就难以形成立法共识。申言之，人脸识别专门立法不构成个人信息保护领域“重复立法”也是因为该项技术治理需要在个人信息保护制度之外增补与个人信息处理活动相关的限制性条件。
（三）技术治理的额外事项：技术应用模式的区分
在分级分类治理理论成为数字技术治理共识的背景下，人脸识别技术应用的功能特征归类顺势成为技术治理机制设置的前置性研究内容。因此，部分学者在论及具体的监管制度时，习惯性地主张按照具体的应用场景建构相应的治理机制，暂且不提此种分类方法是否具有实践可操作性，仅是这种治理逻辑就已经与技术应用实践脱节。分级分类治理的核心逻辑是按照技术风险性质、程度以及影响因素等标准进行分类和分级，而人脸识别技术风险的分类分级并不完全是以应用场景为导向，需要结合风险来源、风险类型等进行判断和评估。目前主要存在两种分类模式，即功能分类论和场合分类论。功能分类论是根据技术应用的核心功能进行分类，将相关应用划分为人脸验证、人脸辨识和人脸搜索。人脸验证是“一对一”的身份核验，表现为判断被采集人脸数据个体是否属于数据库中的特定个体，如小区进出口门禁系统等。人脸辨识是“一对多”的身份核验，表现为判断不确定身份的个体人脸数据是否与数据库中某一个或若干个个体人脸数据相匹配或类似，如刑事侦查活动中识别犯罪嫌疑人身份的信息系统等。人脸搜索是“多对多”的身份核验，表现为在特定人群中识别出与数据库人脸数据相匹配的特定个体，如在演唱会等公共场合进行在逃人员人脸搜索等。场合分类论则是按照应用领域对个体权益的影响程度进行划分，主张对私密场合和公共场合分别设置不同的监管要求。
这两种分类治理模式也对应了不同的治理逻辑。功能分类论更关注技术应用的实际目的，进而作为技术应用是否符合最小必要原则的判断标准。其中，因为人脸搜索是在不特定人群中寻找目标人群，其可能涉及的人脸数据众多，并且通常与个人行踪认定相关，所以信息处理者需要承担更为严格的个人信息保护义务。通常而言，此类技术应用应当仅限于刑事侦查、失踪人员调查等公共安全管理活动，内部工作人员也不得擅自留存、泄露工作过程中接触的个人信息。相对地，以人脸验证为目的的技术应用主要是以“一对一”核验为主，所以可广泛应用于各个场合，个人信息保护监管要求明显低于人脸搜索应用。场合分类论的二元分类方法看似粗糙，但突出了公共场合技术风险的特殊性，即只有出于公共安全等目的才可使用人脸识别技术远距离、无感式辨识特定个人。此外，也有学者基于个人信息保护框架的缺陷，提出按照“对技术权力的忽视-对算法技术的依赖-对敏感信息的使用-对系统安全基础的需求”四个层面，将人脸识别技术治理问题划分为应用层、技术层、信息层和系统层四个维度。这种分类方式实质上并不属于分级分类治理，而是将特定技术人脸识别应用的治理规则按照风险类型进行拆解，形成包括个人信息保护、系统功能准确、应用行为限制和信息系统安全在内的四类治理规则。
不过，这些分类治理模式根本上还是围绕“身份识别”展开。无论是功能分类论所提出的人脸验证、人脸辨识、人脸搜索三类应用，还是其他学者提出的“以验证为目的”“以识别为目的”“以分类为目的”三类应用，其中“以分类为目的”的应用主要是指根据人脸数据进行年龄、性别、种族、情绪等方面的预测，实际上都是“身份识别+其他附加功能”的表现形式。场合分类论的“公共-私密”场合划分同样是以身份识别的实现路径为前提的，只不过私密场合更加侧重个人信息、隐私信息的保护，公共场合更加侧重对“身份识别+其他业务”的技术应用行为限定。由此观之，人脸识别技术的治理逻辑归根结底是以身份识别功能为核心，而身份识别功能的实现过程又涉及人脸数据的合法使用，以及识别分析所涉技术应用的必要性和合理性判断。所以，即便各类技术应用在功能外观上有所不同，治理架构的建构也还是遵循“以身份识别为核心，以关联业务约束为延伸”的基本逻辑。
四、人脸识别技术治理的核心逻辑：从透明问责到信息关联消除
在“个人信息保护（身份识别）+关联业务限定”的技术治理重心指引下，人脸识别技术治理的核心逻辑也在一定程度上发生了变化。因为无论是个人信息保护，还是关联业务限定，均强调权利人对技术应用基本情况的了解和知悉。只有满足这一基本条件，权利人才能够根据知悉的情况判断和选择行权方式。特别是该类技术与特定应用场景相结合，监管机构在判断关联业务的必要性、合伦理性以及合法性时，也需要以信息服务提供者明确相应的数据处理情况为基础。因此，人脸识别技术治理的核心逻辑需要以技术应用的内部运行情况等重要信息的透明化为起点。
（一）人脸识别技术治理的透明度理论
透明度理论在算法治理领域早已有之，该理论最初是用以解决算法黑箱问题，通过一定程度的算法决策过程公开、结果公开，避免技术研发者、服务提供者借技术中立等事由规避法律责任。国内有关透明度治理的讨论始于分析 GDPR 在序言第71段和第22条所提及的“算法解释权”，即针对自动化决策，要求数据控制者采取适当措施保障数据主体的权利、自由、正当利益，至少应当包括为表达其观点、质疑某项决策而对数据控制者进行人为干预的权利。从这些规定来看，GDPR 并未正面提及“算法解释”等表述，此类权利本质上属于一种推定权利，国外亦有学者将 GDPR 第13条、第14条和第15条规定的通知义务、访问权等内容作为推导算法解释权的正当性依据。尽管是一项推定权利，但算法解释权依然被学者们视为算法透明治理的制度化体现，只不过在算法透明的制度化形式层面有争议，并延伸出诸如算法审计、算法公开等制度建构主张。因此，算法透明本质上属于一种算法治理目标，而非治理手段。这种治理目标更加侧重实现社会公众、监管机构对算法技术应用基本情况的充分知情和理解。人脸识别技术也属于算法技术的具体性质之一，故而也同样存在针对黑箱问题实现人脸识别技术应用“透明化”的治理需求。
然而，关于算法透明度的具体标准和实施效果仍有较大争议。因为算法技术本身具有复杂性和动态发展性，使得社会大众对于基于算法透明要求所公开的技术原理等信息并不能真正有效理解。部分学者也就此重新建构算法透明治理的内在逻辑，或是将算法透明的理论渊源解释为针对信息不对称的信息披露理论，强调算法透明的本质是“通过信息的主动公开和披露来消解横亘于普通民众与算法模型开发者之间的信息鸿沟”；又或是将算法透明治理解释为一种行政监管、企业自我规制以及社会监督三方协同综合治理的衔接机制，即通过算法透明提升社会公众对于算法技术应用的信任度。这些理论范式虽有内容差异，但实质上均强调了将权利人的认知状态从“不知道自己不知道什么”转变为“知道自己想要知道和应当知道的事情”。在治理实践中，社会公众最为担忧的人脸识别技术风险便是人脸数据究竟被怎么处理，透明度理论的根本目的则是基于信息披露、信息公开、信息解释、信息更新等一系列方式，确保权利人的自主决策能力摆脱因不知情而导致的虚置化状态。进一步地，透明度理论在转变为具体治理机制的过程中面临的核心议题是，究竟需要何种程度的透明度。
在透明度标准方面，美国学者曾提出鱼缸透明度（Fishbowl Transparency）和合理透明度（Reasoned Transparency）的分类方法，前者强调被评价对象的所有信息都应当被评价主体了解和知悉，实现同观测鱼缸一样的透明效果，后者则强调被评价对象对被评价事项进行合理解释，评价主体能够在掌握这些有用信息的基础上进行合理评价。这两种透明度实际上也是当下算法透明度标准的争议之处：倘若采用鱼缸透明度，则可能会与企业的商业秘密、经营自主权等权益相冲突；倘若采用合理透明度，则可能会导致透明程度不充分。从根源上，这种争议实际上忽视了算法透明的标准是与信息获取的实际需求保持同步变化的，“存在场景、方式和程度的差异”。与一般的算法透明度标准相比，人脸识别技术治理的透明度标准是以全部业务环节为评价对象，而不是仅仅限定在算法技术应用。因为人脸识别技术治理的事项是“个人信息保护+关联业务约束”，所以人脸识别技术的透明度目标应当是“自然人能够知晓自己的人脸数据会以何种方式被处理”，“自己的人脸数据是否会被应用到其他场景”，以及“自然人能够确信自身不会因人脸识别技术应用而遭受不公正待遇”。这种透明度要求的特殊性在于，实践中自然人在特定情形下并不具备实质的人脸识别技术拒绝能力，例如用人单位需要采集人脸信息时，自然人就不得不接受用人单位的内部管理要求，此时《个人信息保护法》中“知情同意”规则难有效果。并且，对于自然人而言，与是否能够同意或拒绝人脸数据采集相比，更为关注的是用人单位会如何使用这些人脸数据，是否会影响到自身的劳动者权益。因此，人脸识别技术的透明度治理逻辑应当是填补知情同意等个人信息保护规则在治理实践的管控缺失，类似的观点还表现为对人脸数据授权许可规则的再调整，如建立“以禁止采集、利用人脸数据为原则，允许人脸数据处理为例外的、主动控权型制度”。
（二）人脸识别技术治理的可问责理论
透明度治理理论侧重解决人脸识别技术治理的前提条件，即只有知晓自己不知晓什么，权利人才能自主选择是否接受相应的信息服务、是否提出异议乃至行使相应的权利；同时，监管机构才能够通过持续性地外部观察和监测预防潜在的算法安全风险，并更加精准及时地判断经营活动是否合法。部分学者将算法透明度的起源归结为“基于透明原则的民主政治能够保护公民知情权，使公权力机关可问责”，虽然这种溯源观点泛化了算法透明治理的正当性基础，但指明了算法透明治理的延伸性制度目标，即实现算法治理的可问责。需要说明的是，“算法可问责性”和“算法问责机制”两个概念的关系是治理理论与治理机制的关系，“算法可问责性”强调的是算法技术应用能够被治理的状态，“算法问责机制”强调的则是哪一方法律主体应当对算法技术应用导致的损害结果承担法律责任。
尽管“可问责性”已经成为中美欧等国家和地区在算法、人工智能治理领域的理论共识，但在学理层面，“可问责性”仍是一个相当不确定的概念。在国外学者看来，算法可问责性能够解决两个方面的问题：一是谁有义务证明这些信息系统的设计、使用和实际效果；二是谁对这些信息系统的损害结果承担责任。所以，算法可问责性属于一种治理工具，要么主动采取措施避免算法技术应用可能产生的损害结果，要么在发生损害结果时追究责任人。然而，国内部分学者将算法可问责性与算法问责制两个概念混同，导致算法可问责性与法律责任承担直接挂钩。事实上，算法可问责性并不是一个严格意义上的法律概念，而是一种国际共识性的治理观念和治理工具，强调的是针对算法技术应用的安全风险和损害结果所能够采取的一系列治理措施。欧盟在《可信人工智能评估清单》（Assessment List for Trustworthy Artificial Intelligence）中确认了“可问责性”概念内涵的多元性，即“这个术语指的是一个人对自己的行为及其后果负责，并且能够解释其行为的目的、动机和理由。可问责性存在多个维度的含义，也可能表达一种道德标准”。
因此，也有国外学者将可问责性的核心归结为“向权威机构通报并证明其行为的义务”，具体包含权威认可、质询和权力限制三个要素。“权威认可”强调的是问责结果应当由权威机构予以实施并认可，缺乏这个要素则会导致“可问责性”变为软法性质的社会责任报告；“质询”强调的是被问责对象应当接受外部的审查，“自己对自己负责”的内部审查意味着根本不负责；“权力限制”强调的是问责过程应当合理必要，避免出现无限制问责的情况，该要素与民法上的“禁止权利滥用”较为相似。该观点揭示了可问责理论实现透明度治理的内在逻辑是，通过具有强制效力的外部审查，确保被问责对象能够充分报告、解释和证明其提供的信息系统符合法律、伦理和技术安全规范。在人脸识别技术治理领域，可问责性理论实际上提供了另一种外部透明度治理视角：针对技术研发者、信息服务提供者的问责，不单单是事后法律责任的认定，还包括事前事中的外部审查。外部审查的目的并不单纯意味着技术研发者、信息服务提供者应当对外披露所有的技术应用基本情况，而是提供了一种“自我证明”的平台。这些义务主体根据不同的问责方式和问责主体，解释和证明其信息系统如何符合法律、伦理和技术安全规范的要求。不过，因为“自我证明”的目标与特定的问责目标相绑定，并且，可问责理论强调的是通过多元化的问责过程实现技术应用的内部透明化，所以外部审查的结果仅能作为其履行“透明义务”的依据，而不能作为免责的依据。
（三）人脸识别技术治理的信息关联消除理论
从透明度理论延伸到可问责理论是为了明确究竟以何种方式达成权利人、监管机构乃至社会公众对于人脸识别技术应用基本情况的知晓。这是因为透明度理论也存在自身的局限性：透明度的治理效果应当是让技术应用可理解，只有充分知悉和理解，权利人才能自主决定行权方式；但是，通过信息披露、公示或告知等方式，让非技术专家的社会公众充分理解技术应用确有困难。所以，学者们转向了算法可解释性的治理模式论证。有学者将算法解释路径总结为“内部解释与证明解释”、“全局解释和局部解释”以及“透明化和事后归因”，其共性在于尽可能完整还原机器决策。质疑者则认为，算法可解释性本质上属于一种事前规制，而事前规制往往需要保持一定的谦抑性以避免过度监管，单纯依靠算法可解释性无法实现算法治理的预期目标。由此可见，可问责理论明确了信息服务提供者披露、公示、证明和解释人脸识别技术应用基本情况的正当性基础，但并不能完全实现透明度理论所追求的“尽可能让权利人、监管机构理解技术应用基本情况”。因此，还需要另一种治理逻辑填补可问责理论的实践不足：倘若将社会公众对未来权益受损的恐慌与担忧归因于社会公众不知晓自己的人脸数据将会被如何应用，从而推导出技术研发者、信息服务提供者有义务通过披露、公示、审计等方式将这种未知变为已知，那么，当披露、公示等方式仍然无法有效消除“未知”时，就需要这些义务主体采取更为主动的措施预防和控制“未知”所对应的安全风险，即人脸数据的过度关联处理。
之所以一直强调“人脸识别技术治理中心是个人信息保护”这类共识性的论断，是因为人脸识别技术应用的所有风险均以人脸数据处理活动的不合法性为基础。基于此，透明度理论与个人信息保护的法理逻辑具有同质性，可问责理论强调的是通过外部监管机制强制人脸数据处理活动的公开披露。诚然，人脸识别技术应用同样存在过度监控、伦理失范等风险，但这些风险的源头依然是人脸识别技术核心功能的过度关联和扩展，即身份识别功能导致人脸数据与其他个人信息、业务数据相互绑定，进而影响到除个人信息权利之外的其他权利。在实践中，自然人对人脸识别技术的不信任大多是因为人脸数据处理活动的过度关联处理，而可问责理论所强调的义务主体“自我证明”并不一定都能让自然人理解，所以需要采取更为主动的措施消除这种过度关联，即信息关联消除论。信息关联消除论是指义务主体在无法实现使权利人充分理解技术应用的情况下，应当主动采取措施消除与人脸数据相关联的其他业务。其与最小必要原则的最大的区别在于，信息关联消除论以无法实现透明度治理目标而非个人信息处理目的为前提。从表面上看，信息关联论确实与知情同意规则、算法可解释性等现有制度类似，似乎存在“新瓶装旧酒”的问题，但需要澄清的是，无论是知情同意规则，还是算法可解释性规则，均立足于自然人个人信息权益的合理保障，淡化了自然人与个人信息处理者之间的利益平衡考量。信息关联消除的消除对象是非必要的业务关联，核心目的是实现人脸识别技术全过程的相对透明化，进而消解自然人对技术滥用、人脸信息非法处理等损害结果的担忧，但同时不至于严格限制该类技术的应用范围。在论及人脸识别技术侵害结果时，也有学者认为人脸信息权益受损并非唯一结果，还有“人脸监控造成的心理上的不安”“人脸信息泄露后的焦虑与担忧”等。
在治理实践中，过度严苛或过度宽松的监管要求均会影响人脸识别技术的应用发展，信息关联消除论在一定程度上会限制人脸识别技术的应用场景范围。为此，需要对信息关联的消除条件和消除方式予以限定。在消除条件方面，倘若通过可问责理论延伸出的治理机制仍然无法充分呈现人脸识别技术应用的基本情况，通常就意味着义务主体的透明度义务履行不充分、技术应用风险因素复杂难以解释。无论属于哪一种情况，都会对个人权益产生重大影响，而人脸数据因业务的关联性成为其他个人信息的“数据钥匙”，这种不透明的潜在风险只会加剧权益受损风险，理应由义务主体主动采取措施消除关联的其他信息。在消除方式方面，信息关联的消除方式包括“业务区隔-业务回流-禁止关联”三个阶段。信息关联消除论侧重考察的是在外部审查机制无法实现技术应用透明度的情况下消除人脸数据与其他业务中个人信息的关联性，清除数据关系中的可识别性。为了避免施加过重的义务负担，应当允许义务主体重新调整技术应用透明度的公示、解释和证明方式，先行将身份识别功能与其他关联业务进行暂时隔离。倘若仍然无法满足透明度要求，就意味着当事人并非在充分理解技术应用的情况下作出“同意”的意思表示，此时应当向权利人告知透明度不足情况，业务流程重新转至征得权利人单独同意的环节。倘若无法获得权利人的单独同意，义务主体则需要主动停止人脸识别技术应用与其他业务的关联关系。
五、基于透明度治理逻辑的人脸识别技术治理架构
诚然，透明度治理逻辑及其延伸的具体制度与《个人信息保护法》中提及的个人信息保护影响评估等制度具有一定的相似性，但是，人脸识别技术治理的核心目的之一是确保人脸数据安全，这种相似性不可避免。更何况人脸识别技术治理的目标并不限于人脸数据安全，还包括实现技术可信可靠等目的，“技术使用行为和更高的监管信任水平意味着公众的风险感知更为敏感”，故而人脸识别技术治理不仅需要遵循兼顾多类治理目标的治理逻辑，而且需要回应“人工智能+人脸识别”的技术组合发展趋势。这一点从《人脸安全管理办法》的名称和第1条即可窥见一二：一方面，该办法名称是“人脸识别技术应用安全管理办法”，并没有直接表述为“人脸信息安全保护办法”；另一方面，第1条在明确制定该办法的目的时将“规范应用人脸识别技术处理人脸信息活动”置于“保护个人信息权益”之前，侧重对技术应用行为的规范。这种复合型治理目标也被部分学者描述为“单一路径难以覆盖所有治理环节，故需遵循‘适应性治理’理念”，进而提出基于风险、基于权利、基于向善等多元化的规制路径。
《人脸安全管理办法》并非该项技术治理的“终点”，在治理体系层面还需要依赖透明度治理逻辑解释如何统合多元化的治理目标以及《人脸安全管理办法》与《个人信息保护法》《互联网信息服务算法推荐管理办法》《最高人民法院关于审理使用人脸识别技术处理个人信息相关民事案件适用法律若干问题的规定》等其他文件之间的衔接关系，进而解决“法律法规或技术规划操作性不强”等现实问题，形成一个内容完备的人脸识别技术治理架构。在治理架构上，透明度理论确立了人脸识别技术治理的基本原则，可问责理论确立了人脸识别技术应用的外部审查规则，信息关联消除理论则确立了人脸识别技术应用的场景限制条件。
（一）基于透明度理论的治理原则
当下，数据驱动信息技术创新发展已成必然趋势，而在众多的信息技术治理活动中，唯独人脸识别技术需要通过《个人信息保护法》、司法解释和专门立法予以治理。其中的原因是在实践中，人脸识别技术应用莫名成为身份核验识别的必选项，信息服务提供者变相强制要求自然人接受此类信息服务。但是，鲜有信息服务提供者主动充分告知人脸数据究竟会被如何处理。这种技术应用的强制性和未知性加剧了社会公众对人脸识别技术应用的不信任和恐慌，也引发了一系列有关人脸识别技术应用必要性的争论。这种不信任的根源还是在于技术应用的不透明，技术治理的目标虽然是个人信息保护，但保护的内在逻辑是透明度理论，而非完全沿用《个人信息保护法》的个人信息权利逻辑。事实上，《个人信息保护法》所规定的“知情同意”规则，与人脸识别技术治理所追求的透明度标准仍有差距。信息披露仅是实现技术应用透明化的一个环节，同时还需要其他治理机制“尽可能还原技术应用”和“降低、限制风险”，强化社会公众对技术应用的理解和信任，而这些治理机制的设置还需要以透明度理论延伸出的权益影响透明化原则、主动透明原则、动态透明原则为依据。
权益影响透明化原则是指人脸识别技术的透明度应当尽可能全面呈现技术应用对个人权益的影响。透明度治理的根本目的是保障包括个人信息权利在内的合法权益，所以该理论所强调的透明度并不完全是鱼缸透明度，而是以“权利人充分了解、知悉和理解技术应用对个人权益的影响”为限度，包括但不限于使用、存储和共享情况等。在实践中，小区物业、健身场馆、写字楼等场所使用人脸识别技术饱受诟病，因为这些场所在使用刷脸门禁时，既不主动告知人脸数据的处理情况，也不对外公开解释刷脸应用的基本情况，仅仅只是说明为了核验身份，并没有充分实现权益影响的透明化。权益影响透明化原则的适用范围并不限于《个人信息保护法》和《人脸安全管理办法》中所提及的个人信息保护影响评估机制，还包括其他安全风险评估、科技伦理审查等机制。
主动透明原则是指技术研发者、信息服务提供者应当主动履行透明度理论所延伸出的透明度义务。所谓的主动透明更加侧重这些义务主体根据自身的业务内容调整、技术水平变化、内部管理机制更改等因素，主动对外实现技术应用的透明化。尤其在线下场所，自然人在接受刷脸服务时，信息服务提供者更应当主动采取诸如事前培训员工、张贴刷脸应用情况说明等措施，向自然人说明人脸数据的处理情况。主动透明原则的正当性基础在于，面对各类人脸识别技术应用，自然人往往不知道自己不知道什么，若仅由自然人自身提出透明化请求，那么这种请求的实际范围必然受到限制，所以更需要义务主体主动实现技术应用的透明化。
动态透明原则是指人脸识别技术应用的透明化方式和程度应当根据权利人的具体请求、技术创新实践情况、义务主体的业务能力等因素进行动态调整。技术治理始终避不开技术创新与技术安全之间的平衡问题，相对于线上刷脸支付、刷脸登录等技术应用场景而言，线下场所的刷脸应用所面临的平衡问题更为棘手。因为部分线下的义务主体或是认为透明化义务增加业务成本，或是认为透明化义务的履行没人关注，从而怠于履行必要的事前告知、公示和解释义务，但是，一并要求所有的义务主体遵循相同的义务履行标准确有可能“强人所难”。对于不同的义务主体而言，动态透明原则的核心在于以最贴合义务主体合规能力的方式履行透明义务，并且确保义务履行方式能够根据实际情况进行持续调整和优化。
（二）基于可问责理论的治理制度
可问责理论强调了以多元化的外部审查机制提升人脸识别技术应用透明度，其内在逻辑是借由填补技术研发者、信息服务提供者和社会公众、监管机构之间的信息落差提升社会公众对人脸识别技术的信任度，也有学者将“可问责性”视为社会监管参与力量最大化的发力点。既然社会公众理解技术应用基本原理等信息具有一定困难，那么，不妨将这些透明化的技术应用情况转化为社会公众可以理解的信息，即通过各类外部审查方式由监管机构、第三方认证机构等进行审查、评估，其评估结果基于权威机构的公信力“背书”更容易获取社会公众认可。此外，评估结果的“是/否”等定性评估更容易让社会公众理解这些技术应用是否对个人权益产生负面影响。申言之，《中华人民共和国网络安全法》《中华人民共和国数据安全法》等法律法规多次提及各种安全风险评估、科技伦理审查、个人信息保护合规审计等评估类机制，并且，评估事项均具有重叠之处，似有重复评估之嫌。但倘若从可问责理论予以观之，这些评估类机制除了具备预先评估和预防安全风险的功能外，还具备技术风险透明化的功能。特别是外部评估机制能够将复杂繁多的透明化信息简化为“是/否合法”“是/否严重影响个人权益”等评估结果。所以，面向人脸识别技术应用时，算法安全风险评估、个人信息保护影响评估、科技伦理审查等外部评估机制均是从不同维度实现技术应用基本情况的透明化。并且，在评估目的层面存在一定重叠但不完全相同的情况下，由不同监管机构所开展的外部评估中，涉及相同评估事项的评估机制可以合并，不同评估事项的评估机制仍需单独评估，并不构成重复评估。
由透明度理论延伸出的可问责理论归根结底还是强调“问责”的过程，并且，这种“问责”过程亦是信息公开方式多元化的过程。因此，以信息公开方式为依据，相应的具体治理机制包括信息公示和监管机构问询机制、安全风险评估机制、合规审计机制以及技术应用备案机制。需要指出的是，即便对于社会公众而言，不同形式的风险评估是社会公众决定是否接受人脸识别技术的判断依据之一，可问责理论所衍生的这些制度本质上也是为了与使用者的风险感知、评估和管理过程的内在决策逻辑保持一致。
信息公示和监管机构问询机制是指信息服务提供者在提供服务之前，应当通过官方网站、用户协议、线下场所显著位置等渠道对外公示技术应用的基本情况，或者有效回应监管机构有关技术应用基本情况的问询。公示的目的，一是提醒权利人主动询问人脸识别技术应用对个人权益的影响，避免受诱导式言语影响而忽视询问有关技术应用的相关情况；二是避免信息服务提供者在自然人不主动询问的情况下亦不主动告知，同时也为了预防部分线下场所忽视对内部员工的业务合规培训。此外，部分小微企业业务合规能力较弱，在未能或者不知道主动公示相关信息时，至少应当有效回应监管机构有关技术应用基本情况的执法问询。
安全风险评估机制是指技术研发者、信息服务提供者应当在人脸识别技术应用的各个环节进行安全风险评估。因为该类技术应用的治理重心是个人信息保护，所以安全风险评估的重心亦是以个人信息保护影响评估机制为主。同时，由于技术应用的安全风险处于动态变化之中，还需要设置事前安全风险评估、定期安全风险评估等评估机制，预防发生信息服务提供者影响技术应用安全的情况。需要说明的是，多类型的安全风险评估机制并没有实质加重义务内容，在治理实践中，监管部门可以根据实际情况对同质性的风险评估进行合并处理，针对定期评估机制，则可以根据被评估对象是否发生重大变化等因素，结合上一次评估结果简化评估程序。
业务合规审计机制是指技术研发者、信息服务提供者应当对人脸数据处理活动的合规性委托外部机构进行业务合规审计。与评估机制相比，外部审计机制更加侧重审计机构、审计人员、审计过程的独立性，目的是确保企业经营状况具备合法性和合伦理性。诸如个人信息保护合规审计等制度的核心逻辑与财会领域的审计较为相似，目的是确保人脸识别技术应用的透明度具有准确性，并发现潜在的隐瞒、欺诈人脸数据处理活动的情况，进而提出改进建议。
行政备案机制是指技术研发者、信息服务提供者应当将特定的人脸识别技术应用向监管机构进行事前备案。义务主体处理人脸数据达到一定数量，尤其是在满足“重要数据”概念时，需要就处理主体、人脸数据、安全措施、安全评估报告、合规审计报告等事项进行备案。不过，人脸识别技术应用同样涉及算法技术，但是其不属于算法备案范围，因为根据《互联网信息服务算法推荐管理规定》第24条的规定，算法备案的前提条件是“具有舆论属性或者社会动员能力”。即便人脸识别技术与算法推荐服务相关联，人脸识别技术的核心功能也只是身份识别验证，技术应用本身不具备“舆论属性或者社会动员能力”。
（三）基于信息关联消除论的限制要求
经由外部审查机制对人脸识别技术应用的透明情况予以评估，社会公众和监管机构能够对该类技术应用的安全风险、权益影响程度、基础业务流程等形成较为清晰的认知和判断。但是，基于可问责理论所延伸出的各类治理机制不只是事后阶段认定信息服务提供者是否应当就损害结果承担法律责任的依据，同时，公示、评估、审计、备案等所确认的透明度不足也是信息处理者承担消除人脸数据与其他个人信息关联的义务依据。信息关联消除论意在强调透明化治理不只是技术应用运作原理、权益影响等重要信息的透明化，同时也是人脸数据权益保护过程的透明化。人脸识别技术应用的核心功能是身份验证，所谓的刷脸支付、刷脸打卡等应用模式均是将身份验证识别作为前置性业务环节，倘若信息服务提供者未能充分展现人脸数据究竟如何与其他业务关联，那么这种不透明的风险意味着义务主体应当主动消除人脸数据与其他业务之间的关联关系。这种关联关系的消除也是为了确保权利人不必担忧自己的人脸数据处于不确定状态，同时实现人脸数据保护措施的透明化。
信息关联消除论涉及正式投入使用前后两个阶段的人脸数据关联关系消除。之所以进行这样的划分，是因为投入使用前与投入使用后的信息关联消除方式和难度并不完全相同。并且，投入使用前发现人脸识别技术应用不透明时，还可以通过调整补充解释、证明实现必要的透明度，进而允许义务主体将人脸数据与其他业务相互关联。
在人脸识别应用产品尚未投入正式使用前，经由事前的安全风险评估、科技伦理审查、个人信息保护影响评估等外部审查，如果义务主体无法实现技术应用各个环节的透明化或者外部审查结果不通过，那么应当停止人脸数据与其他个人信息的关联。例如，在办公场所设置刷脸打卡属于企业内部正常的管理活动，但是如果事前阶段企业并没有或者不能通过内部工作邮件、公告说明等方式说明员工的人脸数据会存储在哪里、是否会被挪作他用等事项，这就属于不透明状态，从而企业不应当将人脸数据与员工个人的到岗、离岗时间、绩效考核等其他个人信息予以关联。
在人脸识别技术应用投入正式使用后，经由外部审查机制发现义务主体无法合理解释人脸数据的实际处理流程、留存位置等重要信息时，应当认定该类技术应用存在较高的人脸数据安全风险，义务主体应当及时消除人脸数据与其他个人信息之间的关联状态。此时的消除方式是以“数据复原”为手段，即义务主体应当确保其所采集的人脸数据与其他个人信息彻底无法相互关联，恢复到最初采集人脸数据时的数据关系状态。例如，部分线下场所在使用刷脸门禁时，其信息系统可能采购的是第三方信息服务。在进行安全风险评估、回复执法机构问询等外部审查时，一旦这些场所的管理者怠于审查第三方信息服务的安全性，无法充分解释、证明刷脸门禁的可靠性时，人脸数据的处理情况就处于实质不透明状态。因此，管理者有义务及时切断刷脸门禁与自然人其他个人信息的关联，包括但不限于采取删除、销毁相关人脸数据、断开刷脸应用网络连接等措施。
《个人信息保护法》不仅规定了个人信息处理者删除个人信息的法定义务，而且规定了过度处理个人信息的法律后果。由此观之，所谓的信息关联消除论似乎将简单的个人信息保护问题予以复杂化。需要解释的是，信息关联消除论强调的是个人信息权利的保护效果，而非具体的个人信息保护制度。并且，信息关联消除论是以透明度理论为基础，只有通过技术应用的透明化，自然人知晓具体情况后才有事实意义上的行使权利可能性。更确切地说，信息关联消除论并非是对个人信息删除权等现有制度的重述，而是从人脸识别技术应用安全管理的角度，证成专门立法所应当采取的治理逻辑，以此明确专门立法与《个人信息保护法》之间相互独立的关系。
六、结语
在平台和数据互联互通的当下，人脸识别技术能够成为众多数字技术应用中少数被社会公众所关注的技术应用，与其广泛的业务应用场景密切相关。虽然该类技术应用的核心功能是身份识别，但是人脸数据一旦与其他个人信息相互绑定，则可能成为变相监控他人的技术工具。人脸识别技术应用从身份识别到身份关联的转变使得社会公众闻之色变，无法知晓和确认自己的人脸数据是否会被滥用。这种损害形式的特殊性决定了该项技术治理还需要采用专门立法的模式。在我国，尽管《个人信息保护法》以及人脸识别相关的司法解释均已出台，但仍然缺少产业监管层面的具体规则。采用专门立法的形式并不是对既有规则的重复，而是从技术应用监管的角度，补充性建构以透明度治理为内核的治理体系。不仅需要在实际损害结果发生之时通过法律责任进行权利救济，而且需要通过技术应用基本情况的透明化提前防范人脸数据被过度使用的安全风险，消除社会公众对人脸识别技术应用的不信任。
赵精武，北京航空航天大学法学院副教授、北京科技创新中心研究基地副主任。
