Facebook再遭法律诉讼：面部识别系统侵犯隐私

Nimesh Patel是伊利诺伊州的居民，也是权利受到损害的Facebook用户，但他并不无知：他非常了解Facebook这家社交网络公司正在收集他的信息。当Facebook在收集数据的道路上走得更远，开始获取用户面部的细节，如眉毛之间有几毫米距离，嘴角深入脸颊的长度，以及其他数十种数据时，事情正在变得越来越严重。

Patel是最近一个针对Facebook的集体诉讼的指定原告。起诉书中称，Facebook目前正在使用的面部识别技术违反了伊利诺伊州在2008年通过的一项法律，「生物信息隐私法案（BIPA）」。该法案规定了公司在存储和使用用户生物识别信息中的限制条件，受限的信息包括指纹、声纹、虹膜或视网膜扫描，以及手掌和面部轮廓几何细节。该法案在去年10月份被法院接受审理，同时，伊利诺伊州也在审理针对谷歌和Snapchat的类似案件。在未来的一年里，该州法庭将主持一系列有关谁有权拥有我们的脸的辩论。

美国FBI的FACES面部识别数据库包含从驾驶执照和护照照片中获得的公民的图像，大部分是守法公民的信息

公民自由团体对于个人隐私权的诉求一直高涨，他们纷纷表示此类辩论早就应该进行。然而，伊利诺伊州的法律即使在美国也只是一个特例，因为近年来面部识别系统已经被纳入很多执法机构的监视系统和数据库中了。「此类技术在近年来迅速得到完善，」Electronic Frontier Foundation的律师Jennifer Lynch说道。「与此相比，法律跟随的步伐显得过于缓慢，我们很快就可以通过商店里安装的监控摄像头来识别前来购物的每个人的身份。」

控告Facebook的缘由来自于这家社交网络公司在2010年推出的一项照片标记功能：当用户上传照片时，Facebook的系统会识别照片中每个人的面孔，并尝试将这些面孔与其他照片中的人脸相匹配，再尝试为每个面孔与人名建立关联。根据本案诉讼书，这一「标记建议」系统证明了Facebook正在收集和存储所有美国用户的「面部特征」（Facebook已于2012年在欧洲关闭了此项功能，原因是可能侵犯隐私）。

值得注意的是，伊利诺伊州的法律早于Facebook推出的图像标注功能，而该法案文字上并未提及社交网络。相反，BIPA提及了未来在金融领域生物识别ID的潜在应用，并指出这些生物识别标记与密码和PIN码有很大不同——如果客户的生物识别特征被窃取，他/她并不能简单地通过换一个新的指纹或脸来脱离危险。但最近的一系列诉讼并没有针对银行，而是指向了科技公司。在2021年4月份，曾有一起案件指控Shutterfly违反了此项法律，赔偿金额未被公开。

在BIPA法律的限制下，私人公司必须制定规则，限制用户生物识别信息在服务器上存储的时间，限定在某个时间点必须删除数据。「在某种程度上看，这是一个温和的法律，」EPIC律师Claire Gartland表示，她专攻消费者隐私案件。「公司只需要在同意条款中加上一个免责声明。」

「通过使用伊利诺伊州用户的面部识别数据，而未在同意条款中提及，」诉讼书中写到。「Facebook触犯了本州法律。」Facebook的发言人目前拒绝回答有关此次诉讼的问题，但指出用户可以在自己的账户设置中很轻松地关闭被提及的面部识别功能。

有关隐私，用户和公司在法律上的交锋已经展开一段时间了。在2015年末，Facebook针对BIPA法案提出了撤诉动议，该公司认为法案中对生物识别的解释，包括面部扫描和面部几何，但明显不包含照片中的信息，以及图片上面部特征的物理描述。Facebook认为该法案限制的内容只包括面部扫描建立的生物识别记录——从生物实体上获得的。但法庭认为Facebook提出的观点「不具有说服力」，并指出BIPA法案旨在解决所有新生的生物识别技术引发的问题，同时让诉讼继续进行。如果Facebook在本案中败诉，它将为数百万伊利诺伊州的用户支付赔偿金，并被迫改变其在该州，以及全美国的运营策略。

我们很快就可以通过商店里安装的监控摄像头来识别前来购物的每个人的身份。

在法庭上，Facebook在面部识别上的技术优势也许会发挥作用。「法庭也许会询问公司有关面部识别的技术细节，询问Facebook是否采用了传统的面部匹配计算方法，」密歇根州立大学计算机科学教授Anil Jain说道。「此类系统通过测量面部的几千个数据点，构建和存储面部模板，系统会在用户面部的眉毛、鼻子、嘴唇轮廓、嘴的两端等等轮廓取样。」

但Jain同时指出，Facebook研究人员也掌握一种更加先进的面部识别方式，通过机器学习来识别人脸。在2014年，该公司发布了DeepFace系统（论文：DeepFace: Closing the Gap to Human-Level Performance in Face Verification）。在论文中，研究人员曾描述他们在440万已标记的面部图片数据集的基础之上训练系统，而这些照片都是在Facebook中收集到的。多层神经网络经过训练学会了识别面部特征的方式，在获得新图片后可以进行准确的识别和分类，但人们无法观察到训练后模型的内部机制。「这就像是一个黑箱。」Jain说道。

Facebook不会透露自己现在是否已经在标记服务中使用了DeepFace，或者它的改进版本。如果这家公司已经使用了基于机器学习的技术，它可能不会违反BIPA法案。「问题的关键在于数据库中存储的是什么，」Jain解释道。「DeepFace在分析照片时，系统会通过训练后自己的逻辑进行识别，其中的机制可能与法案中『生物识别信息』定义的内容无关。」

这样看来或许有点讽刺：如果Facebook的系统实际上不存储人脸，它可能就会在法庭上找回脸面。