部分企业在开展个人信息收集与应用服务中存在问题 专家建议

　　治理转向前端管住采集源头

　　本报记者　韩丹东

　　本报见习记者 王宇翔

漫画/李晓军

　　今年9月初，在四川成都读大学的陈涛（化名）在某兼职群看到有人发布一则“轻松日结、无需出镜拍戏”的AI兼职招募信息。联系对方后，陈涛了解到，只需提供多角度人脸照片、配合完成动态人脸识别，就能一次性领取500元报酬。觉得无需花费太多时间和精力就能轻松赚取零花钱，陈涛便毫不犹豫地提交了自己的人脸素材。

　　陈涛告诉《法治日报》记者，之后他在网络上看到许多帖子，均提醒授权人脸信息给他人使用存在不少安全隐患，在一些人脸可支付的场景中存在被盗刷的风险，“但人脸信息已经发给对方，没法撤回了。”陈涛对此十分后悔。

　　声音同样也可以被交易。今年初，天津的张女士就遇到这样一类兼职：在家朗读古诗、小故事、短文文本，录制成音频提交，根据时长一单能拿到几百元报酬。招聘方宣称，录音仅用作AI有声素材训练。张女士录制了一段时间后才察觉不对，查阅资料了解到，自己提交的朗读音频存在被不法分子模仿其音色生成语音，并用于短剧配音、仿冒本人打电话的风险，便没有再继续这份兼职。

　　受访专家认为，人脸、声纹属于敏感个人信息，可以有限制地同意采集、许可使用，但严禁永久、无限制、可任意转授权的概括性买断，否则很容易导致个人财产损失和隐私权、名誉权被侵犯等问题。记者在近期调查中发现，有部分企业在开展个人信息收集与应用服务中存在合同约定不明、违规采集和使用等问题。如何更好保护个人信息安全？记者近日进行了采访。

　　生物信息明码标价

　　随着人工智能技术的不断发展，不少公司开展了生物信息收集与应用服务。以市面上某人脸信息交易授权平台为例，其已搭建起全国性运营体系，目前有7家门店正式开业，线上线下联动收集、使用个人人脸信息。

　　该平台搭建了完善的人脸信息交易售卖界面，主动将海量素人人脸信息分类上架、公开售卖。平台将人脸素材按风格、题材细致划分，涵盖“知性”“霸总”“时尚”等人物风格，以及生活、古装、动作等多元题材，适配各类AI短剧、数字人制作需求。截至9月20日，平台可交易的人脸信息多达415条，定价梯度清晰，单条人脸素材售价从500元至6000元不等，若用于单部影视剧永久授权，售价更是高达10000元。交易流程简单快捷，买家付款后，经授权方在24小时内确认即可交易成功，随后自动生成授权文件、转让素材使用权。

　　声纹素材的线上收购也同样存在。有平台和兼职群发布居家录音任务，只需要普通人朗读古诗、故事文本，交付音频就可以拿到几百元报酬。记者注意到，很多参与者以为只是简单录几段音频，殊不知提交的录音会被提取原生声纹，成为可被AI克隆的生物素材，进入交易市场流转售卖。

　　针对此类公开化的人脸信息、声纹交易现象，中央财经大学法学院教授王叶刚明确指出，大众普遍存在“脸和声音是我自己的，愿意卖就可以卖”的认知误区，即便本人签字同意授权，生物特征素材的交易也并非全部合法。民法典明确规定，人格权不得放弃、转让、继承，所谓“永久买断人脸”“长期无限制授权声纹”的交易本质上是对公民人格权益的非法侵害，此类授权条款即便有本人签字，也大概率会被司法实践认定为无效格式条款，并不受法律保护。

　　“如果企业据此违规收集使用人脸、声纹信息，将会构成行政违法，面临处罚；若交易指向人脸、声纹原始生物特征数据，买卖双方还可能触犯侵犯公民个人信息罪，承担刑事法律责任。”王叶刚说。

　　存在多重风险隐患

　　记者采访得知，多数参与“卖脸”“录音赚酬劳”兼职的普通人，仅知晓人脸、声音可能被用于AI短剧出镜，而对于这些信息被滥用可能导致的后果并不完全知晓。

　　中南财经政法大学法学院教授张新平说，商家收购普通人脸素材、朗读音频之后，可通过AI技术随意合成剪辑，将素人面容套用在低俗短剧、反派角色、不雅视频中；也可以克隆个人声线，生成完全不属于本人的台词，编造虚假音频内容；即便后续相关音视频内容被删除，网络留存的截图、二次传播内容也会造成永久性名誉损害，对个人口碑、社会评价造成无法挽回的影响。

　　张新平进一步解读了人脸、声纹信息交易的深层隐患。他表示，个人密码、手机号码等信息可随时重置、注销，但人脸、声纹这类生物信息终身固定、很难更改，一旦泄露便有终身风险。随着AI技术持续迭代，仅需几秒钟录音即可完成声纹克隆，结合高精度人脸素材，就能生成与真人无异的数字人视频、克隆语音，被不法分子用于诈骗、身份冒用等，隐蔽性和危害性极强。同时，人脸、声纹数据进入AI训练模型后，即便原始素材被删除，生物特征仍可能留存于模型参数之中，无法彻底清除，风险会持续发酵。

　　除此之外，记者注意到，不少人脸和声纹信息交易中存在各种陷阱。比如，许多兼职招募仅口头承诺使用范围，不签订正规书面合同；即便有简易协议，也暗藏“永久授权、全球通用、可二次转授、无场景限制”等隐蔽条款。

　　“此类概括性授权、无期限授权条款，严重违反个人信息保护法相关规定，未明确数据用途、存储期限、销毁方式和违约责任，未取得用户单独知情同意，本质上属于违规采集个人敏感信息，即便用户自愿签字，也不具备法律效力。”王叶刚说。

　　加强监管依法维权

　　受访专家认为，虽然部分企业在开展个人信息收集与应用服务时存在违规采集和使用等问题，但生物信息交易的隐蔽性、跨平台流转特性大幅加大了治理难度，且不法分子会通过技术手段清除数据水印、隐藏溯源标识，导致侵权行为难以追踪，全链条打击难度极大。

　　王叶刚说，在个人维权层面，很多兼职者个人信息保护意识淡薄，容易被“轻松赚钱”的噱头所误导，没有仔细审核合作企业资质和授权条款，在不知情的情况下出让核心生物信息。一旦遭遇人脸、声纹信息滥用与二次倒卖，普通人缺乏专业技术手段，难以固定侵权证据、锁定侵权主体。张新平提醒，遇到采集人脸信息、录制朗读音频收集声纹的AI兼职招募，可通过“四看”原则识别陷阱：一看授权期限，警惕“永久、不可撤销”条款；二看使用范围，拒绝“全场景、可任意转授权”的概括性授权；三看退出机制，重点核查数据删除、授权撤回的明确约定；四看风险告知，警惕只谈收益、不告知风险与用途的招募信息。

　　如何更好地保护个人信息？在王叶刚看来，治理要从后端打击交易转向前端，管住采集源头。对此，他提出以下建议：

　　一是压实企业事前合规义务，凡是收集人脸、声纹用于AI训练、数字人业务的主体，必须开展个人信息保护影响评估，严格落实单独明示同意，明确采集用途、期限，严禁把生物信息采集和产品服务强制捆绑；达到规模阈值必须履行备案，留存采集、使用、删除全流程日志，监管部门可开展常态化抽查核查；

　　二是强化过程管理，明确企业自行采集的生物识别数据，不得超出用户授权范围流转、训练，禁止借“自愿提交”名义变相达成永久买断、无限授权的实际效果，用户撤回同意后必须彻底删除原始生物样本；

　　三是拓宽社会监督渠道，完善投诉举报受理机制，适度运用公益诉讼制度，破解普通个人举证难的问题；对隐瞒采集目的、诱导收集生物信息的企业加大行政处罚力度，倒逼企业把合规落在采集环节，从源头减少违规生物信息存量。