《个人信息保护法》《人脸识别技术应用安全管理办法》等法律法规详细规定了人脸识别技术服务提供者的法定义务，但滥用、误用“刷脸”技术的现象仍时有发生。“刷脸”技术治理的重心正在从“制定专门立法”逐渐转向“准确实施配套制度”。其中，个人信息保护影响评估作为此类技术治理的重要基础制度之一，在评估方式、评估结果公开、与其他风险评估机制关系等方面存在实施标准不明确等问题。基于技术信任论的考量，个人信息保护影响评估的内在逻辑应当是通过事前的信息安全风险评估和权益影响程度评估，将现行立法中敏感个人信息保护规则转化为评估标准和评估事项，督促法定义务的充分履行。该项制度的核心目的并不是强制义务主体开展一般意义上的风险评估，而是通过灵活的评估流程向社会公众呈现技术应用的风险状况和权益影响方式，进而推动社会公众对技术应用的安全可靠性形成合理确信，实现促进技术应用和保障技术安全的双重治理目标。

人脸识别；个人信息保护影响评估；风险评估

在探讨人脸识别技术治理中个人信息保护影响评估的理论基础、功能定位以及具体的实施方式之前，首先需要理清的是人脸识别技术治理的目标和需求。因为倘若只是笼统地解释为“人脸识别技术治理需要确保技术应用不会侵害自然人的个人权益”，个人信息保护影响评估机制的制度功能就会被泛化为个体权益的事前保护，进而弱化个人信息保护影响评估与其他安全风险评估机制之间的差异性。

国内有关人脸识别技术治理的研究已经较为充分，核心的研究主张主要包括“个人信息保护论”“新兴技术风险治理论”“新旧风险融合治理论”三类。“个人信息保护论”主张人脸识别技术治理的核心事项依然是个人信息保护，因为所有的技术使用争议本质上都是围绕人脸信息的收集和处理活动展开。“新兴技术风险治理论”则主张人脸识别技术安全风险属于一种复杂交叉的新兴风险，技术滥用所产生的损害后果不仅仅是个体权益的减损，还有可能导致科技伦理颠覆、危害国家安全等问题。此外，技术应用场景的多元化也使得人脸识别技术应用风险呈现“风险形式的非预期性、风险影响的系统性和风险演化的动态性”等特点，这也是需要单独规制人脸识别技术的核心原因。“新旧风险融合治理论”则融合了前两种观点，主张人脸识别技术安全风险是由已有风险和新兴风险共同构成的，如部分学者认为主要风险是由技术缺陷引发的风险和信息处理合法性风险构成。相应的治理模式更应当表现为一种综合性的治理机制，既囊括个人信息保护规则，也涵盖面向识别误差、数据算法歧视等风险的特别治理规则。然而，这三种研究主张也存在各自的局限性：“个人信息保护论”在未能阐明个人信息保护特殊性的情况下，容易将治理结果引导至“个人信息保护规则在特殊场景下的法律适用”，弱化人脸识别专门立法的必要性。“新兴技术风险治理论”所提及的“新兴风险”无法解释人脸识别技术风险与其他已知技术安全风险究竟存在何种本质差异。至于“新旧风险融合治理论”，本质上还是对两种主张所对应的技术安全风险分别设置相应的治理机制。

国外的学理研究与司法实践则更加侧重人脸识别技术应用是否存在滥用公权力、侵犯公民个人隐私权等问题。如在英国的“爱德华·布里奇斯诉南威尔士警察案 (Ed Bridges v.CCSWP) ”一案中，就警察局在公共场所使用自动面部识别技术这一事实，上诉法院将其定性为侵犯了《欧洲人权公约》第8条规定的隐私权。值得注意的是，上诉法院还认为，警察局依据英国《2018年数据保护法》第64条所提供的数据保护影响评估文件未能正确评估自动面部识别技术给数据主体权利、自由带来的实际风险。该案法院关注的重心实际上是身份信息与行为信息之间的关联匹配事实，这会使得个别警察权力过大，乃至直接影响被识别个体的其他权益。国外学者普遍认为， “所谓的利用人脸识别技术精准打击犯罪活动”不过是打着增强社会公共安全的幌子暗中“监视”数据主体，基于人脸识别技术应用的监控系统一旦在社会中普及、蔓延，被用于社会管控，这不仅将导致人脸被用于生成可货币化的数据，隐私的社会价值也会被剥夺。国内外研究重心的差异性实际上是各自研究语境所导致的：国内研究同样有提及“过度监控”“隐私权侵害”等技术安全风险，《刷脸安全办法》侧重从个人信息处理活动应当遵从最小必要原则予以表述，近期发布的《公共安全视频图像信息系统管理条例》则是从公共安全视频系统规范安装和管理的角度预防“过度监控”等问题。

然而，国内外现有研究始终对“人脸识别技术治理的特殊性”这一根本问题存有分歧。国外研究是以“过度监控”作为研究起点，所以研究结论并不会倾向于专门立法，而是在宪法、行政法层面强调约束和限制公共机构使用人脸识别技术。国内的三种研究主张大多未能正面阐明人脸识别技术单独治理的必要性和特殊性。一方面，新兴风险、融合风险等风险类型论断或是混淆了人脸识别技术风险与其他关联应用风险，又或是将人脸识别技术应用所存在的数据安全风险、网络安全风险与技术应用安全风险混同，未能阐明技术应用风险治理的独特性；另一方面，个人信息风险的相关论断又未能进一步解释人脸识别技术治理规则与《个人信息保护法》的内在逻辑关系，使得“专门立法”这一结论与《人脸识别司法解释》存在重叠——二者都适用于解释《个人信息保护法》如何在人脸识别技术中治理实践。针对“人脸识别技术治理的特殊性”这一问题，还是需要置于技术应用实践场景中予以探讨：其一，过度监控风险并不完全属于人脸识别技术的“专有风险”，在公共场所安装摄像头同样存在类似的风险；其二，隐私泄露、窥视个人行踪、技术应用不透明等风险则属于典型的个人信息安全风险；其三，技术缺陷风险、识别错误风险等风险类型属于产品责任的风险问题。综合来看，人脸识别技术应用的核心风险依然是个人信息保护风险，其治理的特殊性在于，绝大部分的技术风险属于人脸信息安全风险的新型表现形态或者延伸产生的次生性风险。