像人臉識別這樣的新興技術，因為存在非接觸的侵入性，監測、抓取、匹配、記錄、處置等行為都來得太容易，也需要足夠的監管約束力度與之匹配。

　　針對人臉識別侵犯個人隱私的爭議，全國人大常委會法工委12月21日回應稱，個人信息保護法草案對處理包括人臉等個人生物特征在內的敏感個人信息作出專門規定，要求只有在具有特定目的和充分必要性的前提下，方可處理敏感個人信息，并應在事前進行風險評估。

　　一段時間以來，“人臉識別第一案”與戴頭盔看房等事件，引發了公眾對人臉識別技術應用邊界的廣泛討論，也讓“如何規范人臉識別”成為坊間熱議的話題。這些公共討論促進了社會對人臉識別等新技術在應用和規制上的許多共識。

　　我們樂于看到人臉識別等新技術的應用和發展，但人臉識別也為個人信息保護帶來了新挑戰。

　　面對社會關切，兩個多月前，十三屆全國人大常委會第二十二次會議審議了個人信息保護法草案。10月21日，全國人大常委會法工委在其官網公開了這部草案的征求意見稿，并向社會征求意見。

　　從立法程序上看，個人信息保護法出臺無疑需要復雜論證，從“應該立法規制”到“具體怎樣立法規制”，也要經歷各方的反復博弈及后續的多次審議。

　　值得注意的是，在法工委21日的回應中，“特定目的”和“充分必要性”兩個關鍵詞作為敏感個人信息在應用場景中的前提，備受關注。規定這兩個“前提”無疑是必要的，接下來，在立法過程中，顯然還有必要針對這樣概括和開放的表述進行細化。

　　處理個人信息應遵循的原則很多。從現實需要和各國立法經驗來說，至少應包括合法性原則、正當性原則、必要性原則、誠信原則、比例原則等。在這些抽象的表述之下，用具體的法律程序和責任機制確保個人信息的收集、存儲、使用、加工、 傳輸、提供、公開等活動均能合乎上述原則，才是立法的核心內容，也是難點所在。

　　對人臉識別等新技術，保護創新和保護隱私，是法律天平的兩端。基于國防安全、反恐需要，這是“特定目的”，可以啟用人臉識別。

　　但需要討論的是，基于治安管理、交通秩序、醫療教育等需要，是否也要納入“特定目的”的范疇？理論上，設立于政府機構、醫院學校、交通工具、景區景點、公園廣場等有人出入的公共空間，都有“維護公共利益”的理由。但相關立法顯然不能對“特定目的”進行泛義的理解。

　　事實上，對“公共利益”的解釋，已在多部法律中成為爭議的焦點。立法能解決的，就無需甩給“實施細則”和“司法解釋”。以正面清單式的列舉法，或是一條可行的路徑。

　　“特定目的”和“充分必要性”并不是可以“二選一”的前提。啟用人臉識別，不但應有“特定目的”，還應是“必要”的、不得不做的處理。這種“必要”是指，在若干適合實現“特定目的”的方式中，必須選擇使用對相關當事人和公共利益造成損失最小的方式。換句話說， 已經沒有任何其他能給相關當事人和公共利益造成更小侵害的措施，來取代該項新技術的應用了。

　　這樣一來，似乎對人臉識別等新技術的應用范圍限定得較為嚴格。但這絕非多余：像人臉識別這樣的新興技術，因為存在非接觸的侵入性，監測、抓取、匹配、記錄、處置等行為都來得太容易，也需要足夠的監管約束力度與之匹配。

　　作為個人信息的權利主體，只能通過立法來增強隱私保護的防御性機制。把人臉識別等新技術關進法治的籠子，讓天然失衡的創新保護和個人信息保護在法律的規制下并行不悖，這將是個人信息保護立法何時修成正果的關鍵。