虽然相关法律规定不断增加，但是实践中的个人信息，尤其是人脸信息保护现状并未取得预期效果，究其原因主要在于违法成本低、处罚力度不大，维权成本高、诉讼动力不足。

在今年的央视315晚会上，央视曝光了多家知名商家安装人脸识别摄像头，在消费者不知情的情况下，肆意收集人脸信息。一个小小的摄像头在短短的一秒内就可获取消费者独有的人脸信息并分析顾客的性别、年龄、衣着甚至心情等。可以说，当消费者进入商圈享受购物乐趣的同时，可能已经有无数个隐藏的摄像头对准了他们的脸，偷偷记下他们的身份、消费数据甚至情绪状态。在无所不在的摄像头下，普通消费者已失去自我隐私保护的能力。

个人信息包括自然人的姓名、出生日期、身份证件号码、生物识别信息等，而生物识别信息即包括计算机利用人脸、指纹、声纹、虹膜、DNA等来进行个人身份识别的信息。根据我国民法典的规定，自然人的个人信息受法律保护，个人信息的收集、存储、使用、加工、传输、提供、公开等除法律、行政法规另有规定外，均需征得信息主体的同意。从晚会的曝光情况来看，涉事企业所涉问题远非公告道歉、拆除摄像头就能“一了百了”，可能还面临法律的制裁。

在民法典实施前，我国就已通过多部立法来保障个人信息安全。如2012年《全国人大常务委员会关于加强网络信息保护的决定》、2013年修正的消费者权益保护法、2016年通过的网络安全法、2018年通过的电子商务法等，这些法律确立了个人信息保护的规则及网络运营者保障个人信息安全的义务与责任，明确了个人对其信息收集、使用的知情权、删除权、更正权等。2015年施行的刑法修正案（九）更是直接规定了侵犯公民个人信息罪，将个人信息保护纳入刑法范畴。然而与相关法律规定的不断增加相比，实践中的个人信息，尤其是人脸信息保护现状并未取得预期效果，究其原因主要在于违法成本低、处罚力度不大，维权成本高、诉讼动力不足。

我国目前的法律侧重在商业创新和个人信息保护之间寻求平衡，为保护商业创新，侵权人所受到的处罚往往相对柔性，比如责令改正、约谈等。在民事诉讼中，侵权人承担的责任往往也仅限于停止侵害、赔礼道歉、赔偿损失三种。在赔偿损失中，对于如何进行赔偿，尤其是如何计算数额并无统一的确认标准。无论是行政罚款还是民事赔偿，实践中均未出现足以震慑行业的典型判罚案例，个人信息保护法（草案）征求意见稿在处罚金额上虽有重大突破，但距离实际出台和正式落地仍有一定距离。去年底我国“人脸识别第一案”中，一审法院判决侵权人删除受害人面部特征信息，并赔偿受害人包括交通费在内的损失1038元。而今年2月，美国社交网络巨头脸书（Facebook）因涉嫌未经用户许可收集和存储用户面部扫描信息和其他生物信息，将要向约160万名用户支付6.5亿美元的赔偿费用。过低的违法成本导致多数企业对人脸信息保护不够重视，面对违法后果，企业往往只是“自罚三杯”，难以真正“伤筋动骨”。

与企业较低的违法成本相比，受害人则面临着高额的维权成本。人脸识别案件不仅涉及个人信息保护法律问题，还涉及互联网、大数据、云计算等专业问题，普通人难以应对。在315晚会的曝光中，仅一家企业就收集了上亿个人脸信息，由于收集行为的隐蔽性和大众专业知识的匮乏，上述侵权行为往往难以被发现，收集和保存证据的难度和成本也较大。在与企业的博弈中，较大的“难度系数”和较高的维权成本成为自然人个人踊跃维权的阻碍。实践中，部分地区虽已授权检察机关在个人信息保护方面探索公益诉讼，但无论是案件数量还是涉及面均与社会期待有较大差距。

在信息即价值的时代，包括人脸信息在内的个人信息商业价值日益凸显。应当看到，人脸信息是属于个人独有的生物识别信息，一旦泄露将严重威胁用户的财产安全和隐私安全。人脸识别技术本身不可怕，正如刀可被用来伤人，也可被用于烹饪美食，立法与实践的选择将决定技术发展的走向。在明确个人信息保护中各方权利义务的基础上，如何在实体法上建立惩罚性赔偿，在诉讼制度中探索公益诉讼也许是下一步立法和实践的重点。

（作者系西南政法大学博士研究生）