客观而言，《个人信息保护法》《人脸识别司法解释》《公共安全视频图像信息系统管理条例》等法律法规已经较为充分地规定了人脸信息的安全保护要求，与其将“人脸识别安全监管专门立法”论证为“全新的特别立法”，倒不如论证为“现行立法的配套实施制度”。这也能够合理解释《刷脸安全办法》与《个人信息保护法》“内容类似，但相对独立”的逻辑关系。具体而言，这种督促机制应当实现“充分履行义务”和“高效履行义务”两类督促效果。

一方面，督促义务主体从形式化履行义务转变为充分履行义务，进而确保技术安全。《个人信息保护法》所规定的个人信息保护义务并不是“单一化要求”，而是允许义务主体结合自身业务合规能力和经济能力等因素,在合理范围内选择最大化保护个人信息的义务履行方式。但是，义务履行标准的动态性与义务简化有所区别，对于仅以人脸识别技术作为身份核验的个人信息处理者而言，其义务履行方式不能以“告知自然人收集人脸信息是为了身份核验”或者“信息轰炸式的列举相关信息由自然人自行查阅”等为限，仍然需要满足“充分履行”之要求。“充分履行”意味着“刷脸”应用的信息处理过程和应用基本情况应当充分告知自然人，满足“过程公开”与“结果公开”的治理目标。同时，这种“充分履行”也意味着义务主体需要对技术应用的必要性进行评估和判断，不仅要确保技术应用方式属于“合理应用”，还需要贴合个体安全风险，充分采取针对性保障措施预防安全风险，亦即达成“区分性治理”效果。

另一方面，督促义务主体结合个案情况落实“高效履行义务”，进而促进技术应用。“当今数字经济时代消费者普遍存在‘隐私悖论’心理，既希望通过分享个人信息获得个性化便利，又厌恶信息分享和泄露带来的风险。”规范人脸识别技术应用是为了更好地促进该项技术普及应用，故而督促机制的实际效果不应当是“加重义务”，而应当是“合理地精简义务”。在实践中，随着应用场景的普及化，义务主体范围也会有所扩张，这也导致义务履行能力的差异化。法律终究不能强人所难，故而需要通过督促机制指引业务合规重心，精简和优化目的重复的义务履行环节。例如，商场、健身房、小区物业等义务主体的业务合规能力显然要弱于常见的互联网巨头，故而督促机制应当引导这些义务主体明确自身面临的主要安全风险，尤其是在采购第三方人脸识别信息服务时，个人信息保护义务的履行方式主要是以合同条款、第三方资质的审查为限。这种“高效履行义务”也是为了避免将“过程公开”和“结果公开”的治理目标泛化为漫无目的的信息公开和披露，额外增加义务负担。并且，“高效履行义务”亦是“区分性治理”这一治理目标的直观体现，即基于对各类法律主体义务履行能力的区分，合理调整义务履行的具体要求。

遍览《个人信息保护法》的各类具体制度，仅有个人信息保护影响评估机制能够满足这种督促机制的建构要求。个人信息保护影响评估不仅能够通过详细的评估事项和评估要求督促义务主体在评估过程中充分确保个人信息安全，还能够通过评估事项的灵活调整，使各类义务主体结合个体情况落实“高效履行义务”。

《个人信息保护法》第55、56条规定了个人信息保护影响评估的适用情形和具体评估事项，《刷脸安全办法》第9条则列明了涉及人脸识别技术的具体评估事项，并明确一旦人脸信息的处理目的、处理方式发生变化，或者发生重大安全事件，则需要重新进行个人信息保护影响评估。如此看来，现行立法在文本层面似乎已对人脸识别技术应用场景中个人信息保护影响评估机制的适用作出了较为明确的规定，然而在具体实施过程中，该机制仍面临适用标准模糊等问题。

其一，评估事项具体范围不明确。现行立法虽然明确了“处理目的、处理方式等是否合法、正当、必要”等事项应当列入强制评估范畴，但这些事项的表述较为笼统。例如，针对“保护措施是否合法、有效并与风险程度相适应”这一评估事项，存在“有效性”认定标准模糊、“相适应”程度不明确等问题。鉴于任何保护措施都不可能彻底消除潜在的个人信息安全风险，义务主体究竟应当如何确保保护措施符合法定的“有效性”标准，目前尚未明确；同时，风险程度处于动态变化状态，这里的“保护措施与风险程度相适应”是应当达到“同步发展”还是“保护措施能够应对绝大多数常见风险”亦需明确。倘若以“同步发展”为要求，那么对于中小微企业而言，在自身技术能力有限的情况下，这类评估事项的评估结果有可能难以满足法定要求，从而限制中小微企业对人脸识别技术的应用。更重要的是，倘若仅以《个人信息保护法》和《刷脸安全办法》所列举的评估事项为限，允许义务主体不评估其他非强制性事项，又会导致该评估机制与一般意义上的个人信息保护业务合规活动并无实质性差别。因为《刷脸安全办法》第9条第（一）（三）（四）类事项与《个人信息保护法》第5条、第9条、第28条、第30条等个人信息保护规则基本一致，无法凸显个人信息保护影响评估机制自身的独立性与特殊性，进而还会产生另一个问题，即评估事项的范围选择应当是以全面评估人脸识别技术应用各类事项为主，还是以重点评估核心事项为主。

其二，评估结果的披露方式不明确。现行立法并未明确提及评估结果是否应当予以公开，倘若不必公开，那么个人信息保护影响评估机制将转变为一项内部安全管理制度，社会公众无从得知义务主体是否能够有效确保人脸识别技术应用的安全可靠，监管机构也难以通过外部行为判断义务主体是否充分履行了现行立法有关个人信息保护影响评估的法定义务。倘若应当公开，那么从实践情况来看，鲜有义务主体主动向社会公众公开相应的评估事项和评估结果。更为棘手的是，如果认定应当公开评估结果，公开的具体范围和方式亦无法确定。过于详细的评估结果公开不仅增加了企业实际的业务合规成本，而且使社会公众难以在繁杂的公开信息中找寻自己关注且能够理解的核心内容；过于简略的评估结果公开（如仅公布是否评估、评估结果是否良好等）又无法保障企业充分评估了人脸信息处理活动存在的各类风险并采取了相应的保护措施。

其三，评估标准的模式选择不明确。任何形式的评估机制都应当设置一个较为明确的评估标准，但现行法显然囿于法律文本简洁性等固有要求从而无法对此予以回应。一般而言，个人信息保护影响评估作为一项法定义务，各类法律主体的义务履行标准理应一致。然而，企业的规模大小、技术能力、资金状况以及业务合规能力等要素均会影响实际的评估活动。完全一致的评估标准对于中小微企业或者非互联网行业的企业而言，无疑会导致过重的义务负担，这也意味着该项机制在适用过程中需要解决“不同的评估标准实现相同的制度目标”这一实践难题。

需要特别说明的是，国家标准《信息安全技术 个人信息安全影响评估指南》（GB-T 39335-2020）确实规定了评估实施的具体流程，例如，“5.5.2个人权益影响分析过程”将评估活动拆分成对个人信息敏感程度、个人信息处理活动特点分析、个人信息处理活动问题分析以及影响程度分析四个阶段；“5.9制定报告发布策略”明确企业可以在已有评估报告基础上予以简化，但内容至少需要包括“合规性分析的概况”等在内的八类事项。但问题在于，该标准指向的是“个人信息安全影响评估”，与《个人信息保护法》规定的“个人信息保护影响评估”究竟是否同属一个机制尚且存疑。并且，该标准对“个人信息安全影响评估”的定义更侧重“判断其对个人信息主体合法权益造成损害的各种风险”和“评估用于保护个人信息主体的各项措施有效性”，这与“个人信息保护影响评估机制”的制度内涵也存在一定差别。为此，解决这些适用困境需要重新厘清个人信息保护影响评估的功能定位和理论基础，进而推导出在特定的理论框架下如何明确个人信息保护影响评估机制在人脸识别技术应用场景中的适用方式。