【極憲解析】「刷臉」行不行？淺談臉部辨識的隱私議題
文/王德瀛（資訊工業策進會科技法律研究所法律研究員）
圖片來源：自由時報（goo.gl/bkwMtS）
臉部辨識風潮起
近日，清華大學奈米工程與微系統研究所的一堂必修課，利用人臉辨識技術計算學生的出席率，並透過學生的表情來分析上課專心的程度[1]；而台北市政府也傳出計畫在智慧路燈上裝設人臉辨識系統[2]、台北市教育局亦已經計畫在四所高中試辦「智慧空間點名管理系統」，並建立人臉辨識資料庫，但現階段暫時不啟用[3]。一時之間，「刷臉」——透過臉部辨識系統確認個人身份——的技術應用在臺灣引發相當廣泛的討論。贊成者認為這樣可以節省行政成本，用在課堂點名還可以增強學生的上課表現[4]，但也有人擔心如此將可能侵害個人的隱私，尤其又涉及未成年人的個資，而持反對的態度[5]。
本文將從臉部辨識技術的介紹出發，整理臉部辨識技術的特性，並以我國司法院釋字603號解釋對換發強制按捺指紋規定的意見書，以及歐盟近日正式施行的「一般資料保護規則」（General Data Protection Regulation，以下簡稱GDPR），對生物識別資料的規定作為參照基礎，概要式的分析臉部辨識可能面對的隱私層面議題。
臉部辨識的特性
臉部辨識是「生物識別技術」（biometric technology）的一種，生物識別技術利用人類生物學和生理學上個體間獨特的特徵進行識別，除了臉部以外，指紋、DNA、虹膜、靜脈結構、語音甚至走路的姿態都是常見的識別因子[6]。其中，指紋跟臉部識別這兩項又是最常被使用的；臉部識別因為其識別的過程較不明顯，取得識別所需的數位照片成本也越發下降而廣受期待[7]。
大略來說，臉部辨識可以分為「臉部偵測」（face detection，在影像中辨認出臉部）、「特徵檢測」（feature extraction，從臉部檢測出特定特徵）以及臉部辨識三個階段[8]。而目前臉部辨識所使用的特徵已經包含人類成長過程中，幾乎不會發生變化的臉部骨骼，以及因此也不太會移動的眼睛、鼻子跟嘴巴等的位置[9]。
也就是說，目前臉部辨識所依賴的特徵，具有在生理上人人不同，且終身不易改變的特性。而在監視器等影像取得管道多元的現在，臉部辨識相比其他生物識別技術而言，其檢測的隱蔽程度更高，不易為人察覺。
臉部辨識的隱私疑慮：我國與歐盟的看法
因為臉部辨識技術擁有前述的特徵，政府在未經當事人同意的情況下廣泛進行臉部辨識自然會引發是否侵犯當事人隱私的疑慮。目前，根據我國《個人資料保護法》之規定，臉部辨識之特徵，屬於一般類別之個人資料，與姓名、地址等其他個人資料，採取相同之保護水準[10]。接下來，本文將從我國過往之司法解釋以及外國立法的角度出發，討論臉部識別的特性，以及其是否適合與一般之個人資料採用相同之保護水準。
一、司法院釋字第603號解釋對指紋辨識的立場
1997年時戶籍法第8條修正規定國民於請領身份證實，應按捺、錄存指紋，內政部原計畫於2005年7月1日時，進行國民身分證全面換發作業，並強制按捺指紋；此舉引發侵犯人民隱私權之爭議，時任立法委員之賴清德等85人向司法院大法官聲請解釋憲法，大法官先於司法院釋字第599號解釋，宣告戶籍法第8條暫停適用，並於司法院釋字第603號解釋宣告戶籍法第8條強制按捺指紋規定，違反憲法對資訊隱私權之保障而無效[11]。
其中，司法院釋字第603號解釋對於指紋與資訊隱私權之關係有深入之說明，以下將歸納本號解釋中大法官對於指紋辨識技術的性質，以及對於強制按捺指紋規定的憲法要求。
（一）指紋辨識的特質及其憲法上之要求
大法官認為指紋屬於人的生物特徵之一，而且具有「人各不同、終身不變」的特質，只要將指紋與個人身份連結，就具有「高度人格識別功能」；加上指紋可以觸碰留痕，只要將殘留的指紋與錄存的指紋檔案比對，指紋就可以成為開啟完整個資檔案的鎖鑰；因為這樣的特質，指紋可以被視為為「得以監控個人的敏感性資訊」[12]。
而由於強制錄存指紋資料，將侵犯人民「決定是否揭露其個人資料、及在何種範圍內、於何時、以何種方式、向何人揭露之決定權，並保障人民對其個人資料之使用有知悉與控制權及資料記載錯誤之更正權」的資訊隱私權，大法官採取中度審查基準[13]，認為指紋蒐集應以「法律明定蒐集目的」，同時蒐集的範圍與方式應與「重大公益目的之達成」具有「必要性與關聯性」，並「禁止目的外之使用」[14]。這些對於特定目的的要求，以及目的外使用（利用）的禁止等規定，與我國個資法對一般個資的規範相較起來，都是較為嚴格的。
（二）臉部辨識與指紋辨識的類似性
藉由前述的整理可以發現，臉部辨識也具有生理上人各不同、難以改變的特性，與指紋在特質上相當類似。而如果我們將現在越來越容易取得的影像與系統中的臉部特徵加以比對，臉部辨識也可以成為開啟完整個資檔案的關鍵。而臉部辨識系統或科技高隱蔽性的特性，使其與指紋辨識相同，都可以讓當事人在未明確查覺得狀況下，成為被監控的目標。
據此，我們應該可以很合理的得到如下的結論：臉部特徵辨識與指紋是有高度的相似性，對於個人資訊隱私權可能的侵害也相當類似。如果政府想要強制在未獲得人民同意的情況下，大範圍的建立臉部辨識系統，其所應遵循的標準，至少應與釋字603號解釋所揭示的標準相同。
二、歐盟GDPR將生物識別資料列為特種資料
除了臺灣的大法官曾經針對生物識別資訊進行解釋以外，外國立法例中也可以看到其對生物識別資料可能隱私疑慮的重視。且以近日最火紅的GDPR為例，歐盟在2016年完成GPDR的立法程序，並於今（2018）年5月正式施行。GDPR相比於前一版的歐盟個資保護指令，在特種資料的部份將「生物識別資料」（biometric data for the purpose of uniquely identifying a natural person）納入特種個資的範疇[15]。根據GDPR的定義，所謂生物識別資料指的並不是廣泛的影像、照片或其他生物特徵，而是指「透過特定技術處理該資料以識別特定個人」（processed through a specific technical means allowing the unique identification or authentication of a natural person）的情形[16]。本文所討論的臉部識別就符合GDPR的定義，用於臉部識別的影像將被GDPR視為特種個資。
根據GDPR規定，生物識別資料等特種各資源則上不得蒐集、處理、利用，僅能在當事人明確同意、已經自行公開資料、履行特定類別合約或是GDPR中明定的少數特別例外（如司法訴訟相關因素等）的情況下，才可以蒐集、處理或利用。此外各國還可以針對特種資料設立特別規定，例如奧地利就針對影像資料的處理有更嚴格的規定[17]。
除了上述的限制外，GDPR亦規定，於大規模處理生物識別資料前，須進行「資料保護影響評估」（Data Protection Impact Assessment）[18]；而若組織的核心業務包含對生物識別資料的大規模例，則組織也須設立「隱私專員」（Data Protection Officer）[19]。
由上述的整理可以發現，歐盟認為「用於生物識別」的個人資料因為對於個人隱私的侵害風險較高，因此不但在其蒐集、處理及利用上有更為嚴格的規定，也在組織及程序要求上，給予更高度的規範。我國無論是早前的《電腦處理個人資料保護法》，或是2010年大幅翻修改名而施行的《個人資料保護法》，歐盟個資保護的規範架構一向都是我國個資法制建構時的重要參考之一[20]。因此，雖然我國不是歐盟的成員，但歐盟個資保護架構的見解，對於我國法制仍然具有參照的功能。
小結
隨著相關技術的逐漸成熟，臉部辨識也從科幻或小範圍的使用，逐漸成為日常生活中的可能。想要運用最新的技術解決過往生活上的難題，也是理所當然。目前，我國《個資法》對於臉部辨識雖然並未給予特別之規範。然而，從上述的整理可以發現，這種具有人人不同、難以改變特性的生理特徵識別特徵，由於其本質上的敏感性，無論是我國的司法實踐裡，或是重要的外國法例中，都有更加嚴格、限縮的規範。政府在積極使用新興科技解決治理難題的時候，也應注意其背後可能的隱私風險。
[1] 清華大學奈米工程與微系統研究所，〈全台最會應用 AI 的大學！清大奈微所推行 AI 教學輔助系統，提供學生更完善之學習情境，有效提升學習效果〉，科技報橘，2018/06/21，https://buzzorange.com/techorange/2018/06/21/nthu-ai-teaching-assist-system/ （最後瀏覽日：2018/07/25）。
[2] 劉建邦，〈路燈人臉辨識恐探隱私 北市：循個資法規定〉，中央通訊社，2018/05/23，http://www.cna.com.tw/news/aloc/201805230340-1.aspx （最後瀏覽日：2018/07/25）。
[3] 蘇欣儀，〈北一女採人臉辨識點名遭批 教育局回應：尚不啟用〉，上報，2018/07/19，https://www.upmedia.mg/news_info.php?SerialNo=44829 （最後瀏覽日：2018/07/25）。
[4] 前揭註1。
[5] 楊德宜，〈人臉辨識點名？ 學者批北市府：到底得了什麼強迫症？〉，聯合新聞網，2018/07/20，https://udn.com/news/story/7266/3262760 （最後瀏覽日：2018/7/25）。
[6] Robee Krishan & Reza Mostafav, Biometric Technology: Security and Privacy Concerns, 22 No. 1 J. Internet L. 19, 19 (2018).
[7] 胡子晉，《人臉辨識系統之探討》，國立清華大學資訊工程學系碩士論文，頁1（2013）。
[8] 同前註，頁2。
[9] TVBS新聞臺，〈人臉辨識再進化 以骨骼判定變妝也行〉，2018/03/16，https://news.tvbs.com.tw/tech/885417 （最後瀏覽日：2018/07/26）。
[10] 按我國之特種資料係規定於個人資料保護法第6條，包含「病歷、醫療、基因、性生活、健康檢查及犯罪前科」等類別，臉部辨識並不屬於上述範圍，但因其得「以直接或間接方式識別該個人」，故屬於個人資料保護法第2條第1款所稱之「個人資料」，與其他個人資料如身份證統一編號、職業、聯絡方式等適用個資法其餘一般性規定（個人資料保護法第2條、第6條）。
[11] 司法院釋字第599號解釋、司法院釋字第603號解釋。
[12] 司法院釋字第603號解釋。
[13] 司法院釋字第603號解釋林子儀大法官協同意見書、司法院釋字第603號解釋余雪明大法官部份協同部份不同意見書。
[14] 司法院釋字第603號解釋。
[15] Directive 95/46/EC, art. 8, 1995 O.J. (L 281) 31,40-41; Regulation (EU) 2016/79, art. 9, 2016 (L119), 1, 38-39.
[16] Regulation (EU) 2016/79, rec. 51, 2016 (L119), 1, 10.
[17] Bundesgesetz zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten [DSG][Data Protection Act]Bundesgesetzblatt [BGBl] No.23/2018, § 13,(Austria).
[18] Regulation (EU) 2016/79, art. 35, 2016 (L119), 1, 53-54.
[19] Regulation (EU) 2016/79, art. 37, 2016 (L119), 1, 55-56.
[20] 范姜真媺、劉定基、李寧修，〈法務部「歐盟及日本個人資料保護立法最新發展之分析報告」委託研究案成果報告〉，法務部委託研究，頁1（2016）。