高校“刷脸”的隐私困境：130多家双一流、4000多万张脸亟需保护 | 前沿
要点概览
1. 多数高校疫情前已引入刷脸，2018年为部署高峰期
2. 高校刷脸场景广泛，校门/宿舍门禁、远程考试、报到迎新等最为常见
3. 多数高校存在强制刷脸，具体强制方式不一
4. 多数高校未尽到告知义务，亦未公开信息处理规则
5. 学生难以行使监督权和其他个人信息权利
6. 供应商的经营风险是否会传导，尚不得而知
7. 高校刷脸风险凸显，智慧校园建设应依法合规
近年来，人脸识别的应用场景日益广泛，刷脸设备正在成为风靡一时的“高校标配”。早在几年前，不少高校就在新闻稿中骄傲地宣称人脸识别技术为校园带来了智慧感。
然而，这些刷脸设备往往“随风潜入夜，部署细无声”，高校很少披露人脸信息的处理规则，甚至出现强制使用人脸识别的现象。
据教育部统计，2020年，我国高等教育在学总规模4183万人，专任教师183.30万人。高校如何运用人脸识别技术，将影响到规模庞大的个人信息主体。
高校的示范效应也将进一步影响中小学、社会企业等其他机构。随着人脸识别滥用问题的凸显，高校运用人脸识别的行为也应当得到法律的审视。
本调研选取了137所“双一流”建设高校的网络公开信息进行了调查，以期对我国个人信息保护的进步略尽绵薄之力。
多数高校疫情前已引入刷脸，2018年为部署高峰期
截至2021年7月28日，在137所“双一流”建设高校中，仅有第二军医大学、西藏大学等2所高校尚无公开信息表明其已部署人脸识别技术，其余135所高校均在不同程度上引入了人脸识别。
从直觉上看，人脸识别技术是在疫情防控期间得到大规模推广的。然而数据表明，绝大多数高校（111所）早在2020年之前就已经部署了人脸识别，仅有24所高校在2020年之后才开始引入人脸识别。
早在2014年，西南交通大学和西安交通大学就先后引入人脸识别，分别用于员工考勤[1]和迎新[2]。此后至2018年，每年引入人脸识别的高校数量进入爆发式增长。仅在2018年，就有49所“双一流”建设高校引入人脸识别（参见表1）。
表1：“双一流”建设高校开始部署人脸识别的时间分布
高校刷脸场景广泛，校门/宿舍门禁、远程考试、报到迎新等最为常见
人脸识别技术在“双一流”建设高校的具体应用场景可分为四大类，即门禁类、教学行政管理类、安全管理类以及生活支付类，这四大类又可细分为23小类具体应用场景。
在门禁类方面，人脸识别应用频次较高的场景是校门及宿舍，各有60所高校在此设置刷脸设备；图书馆居于其后，共36所高校在此设置刷脸设备；此外，亦有部分高校在办公楼、教学楼、实验室、体育馆、歌剧院、博物馆等场所设置刷脸设备（参见表2）。
表2：“双一流”建设高校在门禁类场景下应用人脸识别的情况
教学行政管理类也是高校应用人脸识别技术的重要场景。其中，最多的应用场景是远程考试，共有62所高校应用；位居第二的场景是刷脸报到/注册/迎新，共有49所高校应用；在线下考场管理、智慧教室/课堂管理、会议活动签到/运动员入场、教务就业等服务等场景，有15所以上高校应用了人脸识别；亦有高校将人脸识别应用于宿舍纪律管理、体育课/晨跑等刷卡、后勤管理等场景（参见表3）。
表3：“双一流”建设高校在教学行政管理类场景下应用人脸识别的情况
安全管理类场景也是高校应用人脸识别的常见场合，有38所高校运用人脸识别设备进行防疫红外测温，有35所高校运用人脸识别设备进行安防监控（参见表4）。
表4：“双一流”建设高校在安全管理类场景下应用人脸识别的情况
生活支付类场景是高校应用人脸识别相对较少的场景，但有11所高校已经在食堂部署了刷脸支付设备，亦有少数高校将人脸识别应用于售货机、快递柜、储物柜甚至垃圾分类等场景（参见表5）。
表5：“双一流”建设高校在生活支付类场景下应用人脸识别的情况
多数高校存在强制刷脸，具体强制方式不一
在新冠疫情发生之前，有111所高校引入了人脸识别，其中有54所高校存在强制使用人脸识别的现象，占比48.65%；在新冠疫情发生之后，共有135所高校引入了人脸识别，其中有106所高校存在强制使用人脸识别的现象，占比78.52%。
表6：新冠疫情发生前“双一流”建设高校强制使用人脸识别的情况
表7：新冠疫情发生后“双一流”建设高校强制使用人脸识别的情况
高校对人脸识别的强制使用具体表现为以下情形：（1）要求学生必须录入人脸信息。例如兰州大学要求“全校本科生和硕博研究生务必按要求于2019年10月30日前完成采集（之前已经录过人脸照片的2018级本科生可不再录入）”。[3]
（2）直接从其他照片库导入人脸信息，径行用于人脸识别。例如北京大学表示：“为了减少对广大师生的干扰，目前‘刷脸入校’系统使用的初始照片是师生员工的校园卡照片。”[4]
（3）将人脸识别作为必经通道、必办手续的唯一验证方式。例如首都师范大学发布通知称“从本次报到起系统改为人脸识别技术进行身份验证，研究生须在学校规定的时间内，由本人携带校园卡及学生证在校本部图书馆二层、北校区图书馆一层刷卡报到、在学生证上加盖注册印章。”[5]
（4）在公共场所针对不特定人设置人脸识别设备。例如不少高校安装了人脸识别摄像头、含人脸识别功能的红外测温设备，这将使得未注册人脸识别的师生也会被人脸识别设备捕获分析。此外，部分人脸识别闸机可以远距离识别人脸，使得路过的不特定对象也会为闸机所捕获，甚至被存储，引发个人信息安全隐患。南京航空航天大学即披露过刷脸距离的问题。[6]
多数高校未尽到告知义务，亦未公开信息处理规则
我国立法规定了个人信息处理者的告知义务。《民法典》第1035条规定，处理个人信息的，应当“公开处理信息的规则”并“明示处理信息的目的、方式和范围”。《信息安全技术 个人信息安全规范》（GBT35273-2020）要求收集个人生物识别信息时“应单独向个人信息主体告知收集、使用个人生物识别信息的目的、方式和范围，以及存储时间等规则”。
然而，本调研所涉及的高校几乎都未尽到前述告知义务，仅有湖南大学针对人脸识别张贴了《隐私政策及授权使用协议》（载有信息保护、未成年人保护、适用范围、适用例外等条款）[7]。
较为典型的人脸信息收集方式为：通过封闭的校园门户网站、应用等，由师生自行上传或更新照片。
以北京大学“人脸采集”小程序为例，在扫描二维码进入小程序之后，首先弹出了身份认证的页面。
认证身份后，仅有采集照片、查看照片两个选项，并未显示相关个人信息处理规则。
学生难以行使监督权和其他个人信息权利
《普通高等学校学生管理规定》第6条规定学生有权“以适当方式参与学校管理，对学校与学生权益相关事务享有知情权、参与权、表达权和监督权”。个人信息保护相关立法亦规定了个人信息主体的种种权利。然而，就本次调研来看，只有极少数高校的学生通过公开渠道表达了疑虑或要求行使知情权，但收效甚微。
南京大学新潮记者曾希望咨询运营管理和数据储存问题，但遭到拒绝。[8]
北京大学曾有同学在未名BBS上建议开放沟通人脸识别使用问题，但并未得到官方回复。[9]
华中师范大学法律服务中心曾制作《关于我校学生社区门禁应用人脸识别技术的法律分析报告》[10]，提出应当尽快取消人脸识别门禁、进行信息公示、确保数据信息存储安全等建议。
该中心通过学校领导建言献策系统向学校提交了这一报告，随后接受校依法治校办公室邀请洽谈。[11]但截至发稿日，学校尚未按照学生建议在保卫处官网进行人脸识别相关信息公示。
供应商的经营风险是否会传导，尚不得而知
各高校所选择的人脸识别产品或服务提供商范围很广，既有海康威视等大型公司，也有名不见经传的初创企业。目前，几乎未见有高校在采集和处理人脸信息时，对人脸识别的供应商进行专门公示。
然而，供应商引发的个人信息安全风险不容忽视。一旦供应商面临破产或遭遇信用危机，人员资产流失，此时便难以顾及人脸信息管理与设备维护升级等安全问题。而高校如果选择将数据存储在第三方公司或进行云端存储，那么供应商经营失败所导致的信息泄露风险更加不言而喻。
目前，在公众号中宣称为北京大学[12]、复旦大学、北京外国语大学、北京第二外国语学院、北京建筑大学、西安交通大学[13]等多所高校提供人脸识别产品/服务的汉柏科技有限公司，自2018年起至今已存在17条失信被执行人记录[14]，又于2019年12月23日被司法拍卖[15]。
由于各高校并未公示本校的数据存储策略，因此，供应商经营风险是否会进一步传导到数据安全和个人信息保护领域，尚不得而知。
高校刷脸风险凸显，智慧校园建设应依法合规
高校部署人脸识别设备，涉及到大量生物识别信息的规模性处理。信息的集聚增加了信息滥用的风险。近年来，高校信息泄露事件时有发生[16]，甚至有高校信息泄露导致学生被违规办理信用卡[17]、虚开工资[18]。人脸信息在现代社会中极其重要，一旦发生大规模的高校人脸信息滥用事件，将造成较大的社会危害。
事实上，人脸识别设备的准确性并非完美。许多使用人脸识别的高校都出现了刷脸失败、匹配错误、排队拥堵等既不高效也不智慧的问题，然而管理者仍在要求同学们录入新的人脸照片以改善系统，而不是取消人脸识别或引入替代性方案。
这种对科技的过度依赖不仅会降低预期效率，还可能引发安全隐患。2019年，重庆大学虎溪校区一栋宿舍楼的学生在地震逃生时，排队刷脸引发拥堵，幸未造成伤亡。[19]
对学生个人成长而言，“刷脸”的长期风险仍未可知。正如最高人民法院研究室副主任郭锋先生在新闻发布会上所说：“人脸信息具有唯一性和不可更改性，我们可以换手机、可以换密码、可以换住址，但是我们没法‘换脸’。未成年人的人脸信息一旦泄露，侵权影响甚至可能伴随其一生，特别是技术歧视或算法偏见所导致的不公平待遇，会直接影响未成年人的人格发展。”[20]
