关于将强制人脸识别技术纳入《未成年人网络保护条例》的建议

作者 | 丁丁 三七互娱

编辑 | 墨客

从游戏诞生伊始，未成年人沉迷游戏就一直是游戏行业的“原罪”。早在2000年的单机游戏时代，就有家长向媒体控诉游戏是“电子海洛因”。[1]21年后，单机游戏变成了网络游戏，游戏从“电子海洛因”变成了“精神鸦片”[2]，但是，未成年沉迷游戏的问题，一直继续存在。

为了解决这个问题，从政府到社会，从学校到媒体，从家长到游戏公司，都想了很多办法。早在2007年，相关部门就发布了《关于保护未成年人身心健康实施网络游戏防沉迷系统的通知》[3]（以下简称“2007年实名通知”），要求在网络游戏中推行实名制。

2007年实名通知中的规定，对把握实名制的历史渊源依然具有重要参考作用。该通知的附件2《网络游戏防沉迷系统实名认证方案》的注释部分将“身份信息”定义为“用户在进行注册时向运营商提供的本人真实姓名、身份证号码（或户口薄）、联系方式等运营商要求的真实有效的身份信息。”应注意到，此处对身份信息的定义，只包括“姓名”、“身份证号码”和“联系方式”，而并未包括身份证上的其他信息，例如照片、户籍地址、民族等信息。2010年的《网络游戏管理暂行办法》是一部专门规制游戏行业的部门规章，其中关于游戏实名制部分的规定为“网络游戏运营企业应当要求网络游戏用户使用有效身份证件进行实名注册，并保存用户注册信息”[4]。此处的表述，和2007年实名通知略有不同，存在解释为网络游戏运营企业有权收集和保存身份证件上所有信息的解读空间。但是，《网络游戏管理暂行办法》已经于2019年废止[5]。2011年《关于启动网络游戏防沉迷实名验证工作的通知》[6]、2014年《国家新闻出版广电总局办公厅关于深入开展网络游戏防沉迷实名验证工作的通知》[7]、2019年《国家新闻出版署关于防止未成年人沉迷网络游戏的通知》[8]、2021年《国家新闻出版署关于进一步严格管理切实防止未成年人沉迷网络游戏的通知》[9]和《关于进一步加强预防中小学生沉迷网络游戏管理工作的通知》[10]虽然在实名制的基础上提出了进一步的具体要求，但是就实名验证中作为验证对象的“身份信息”的定义，并未作出任何修改。

15年来，一边是网络游戏实名制的层层加码，一边是未成年人沉迷游戏、在游戏中大额消费现象的愈演愈烈。[11]造成这种现象的原因，不少媒体认为是现有的实名制存在问题，可以轻易被绕开。[12]面对这种问题，一些游戏公司尝试使用“人脸识别”的方式验证玩家身份。[13]同时，一些人大代表、政协委员也纷纷建议，应当将人脸识别作为游戏实名制的强制性要求。早在2017年全国人大代表何寄华就曾经提案“用户每次进入手机游戏账号登录时，应进行人脸识别，做到人证合一，不能进行身份识别的，都视为未成年人，禁止使用”，[14]2019年，全国人大代表鲁曼再次建议，“采用人脸识别等生物识别技术，从技术上为青少年玩游戏设置相应的规范”。[15]2022年，全国人大代表聂鹏举进一步提案，要求“每次登录游戏都进行人脸识别”，[16]几乎同时，全国政协委员于欣伟也建议，“成年人用户在交易、登录时，强制人脸识别，同时，减少疑似未成年人使用成年人账户的人脸识别时间周期、增加人脸识别验证需求频率。”[17]

事实上，和很多人的认识恰好相反，游戏公司全面推行人脸识别的主要障碍，并非主观上不愿意，而是在现行有效的法律框架下，游戏公司强制对玩家进行人脸识别存在很高的法律风险[18]。至于上述情况下，为何部分游戏公司依然“铤而走险”，强制进行人脸识别，[19]其原因不言自明，本文不再赘述。

为了识别未成年人玩家，将他们纳入防沉迷系统，强制对所有玩家进行人脸识别，到底是否合法，似乎在很多提案的人大代表、政协委员心中，或者在因为孩子沉迷游戏而心急如焚的家长老师心中，根本不是问题。但是，法律问题不能依靠直觉，而应该严格按照现行法律的规定进行分析。   

2021年11月1日生效的《个人信息保护法》第六条第二款规定，“收集个人信息，应当限于实现处理目的的最小范围，不得过度收集个人信息”。第二十八条规定，生物识别信息系敏感个人信息，“只有在具有特定的目的和充分的必要性，并采取严格保护措施的情形下，个人信息处理者方可处理敏感个人信息”[20]。《个人信息保护法》和《民法典》都采用了“敏感个人信息”的概念，除非法律另有约定，否则从体系解释的角度，二者应做统一理解。《最高人民法院关于审理使用人脸识别技术处理个人信息相关民事案件适用法律若干问题的规定》第一条第三款规定，“本规定所称人脸信息属于民法典第一千零三十四条规定的‘生物识别信息’”。[21]因此，人脸识别系涉及敏感个人信息的信息处理活动，必须满足最小必要原则，具有特定的目的和充分的必要性，方可实施。

一种信息处理活动，是否具有特定的目的和充分的必要性，存在两种可能的证明思路。第一种，如果有效的法律和行政法规直接规定，为了某种特定目的，可以实施某种信息处理活动，那该种信息处理活动即可直接满足要求。因此，首先需要分析的是，现行法律体系下是否存在关于游戏进行人脸识别的直接规定。

2021年6月1日生效的《未成年人保护法》第七十五条第二款规定，“国家建立统一的未成年人网络游戏电子身份认证系统。网络游戏服务提供者应当要求未成年人以真实身份信息注册并登录网络游戏”。[22]这里确实提到了“真实身份信息”。但是，真实身份信息的要求，并不等于授权游戏公司对玩家进行人脸识别。正如上文讨论，早在人脸识别技术出现之前，就已经有很多相关的部门规章和文件提出了类似的要求，但是他们对“真实身份信息”的具体要求都没有提到人脸识别。事实上，当时人脸识别技术尚不普及，从逻辑上，当时起草这些规定的部门不可能有未卜先知，将人脸识别技术纳入这些规定的意图。从体系解释的角度，考虑到《未成年人保护法》本身也没有对“真实身份信息”进行进一步解释，无法得到这里的“真实身份信息”具有和之前其他规定和文件中的类似规定不同的结论。换言之，《未成年人保护法》本身无法直接为人脸识别技术提供直接法律依据。

强制人脸识别，在《未成年人保护法》之外，是否存在其他的合法性依据呢？前文提到，《网络游戏管理暂行办法》曾经规定，“网络游戏运营企业应当要求网络游戏用户使用有效身份证件进行实名注册，并保存用户注册信息”[23]。这里的“身份证件”不同于2007年实名通知规定的“身份证号码”，似乎还可以包括身份证件上的其他信息，例如其中的照片。但是，经过进一步的分析，其实《网络游戏管理暂行办法》并不能作为强制人脸识别的法律依据，主要原因有如下三个。

第一，《网络游戏管理暂行办法》已废止。[24]

第二，即使假设《网络游戏管理暂行办法》依然有效，其位阶不足以构成《个人信息保护法》允许的例外情形。《个人信息保护法》第十三条的部分规定如下“符合下列情形之一的，个人信息处理者方可处理个人信息……（三）为履行法定职责或者法定义务所必需……（七）法律、行政法规规定的其他情形。”虽然第三款提到了“法定义务”，但是从第七款的规定和体系解释的角度，第三款的“法定义务”理应理解为“法律、行政法规规定的义务”，而不能是部门规章、地方性法规、地方政府规章甚至其他规范性文件规定的义务。因此，《网络游戏管理暂行办法》即使还继续有效，也不足以为强制人脸识别提供合法性基础。

第三，即使不考虑位阶问题，《网络游戏管理暂行办法》允许的游戏运营企业使用玩家身份证件信息的场景也只有注册和处理争议两种[25]，而“防沉迷”[26]并非允许使用身份证件信息的场景。因此，游戏运营企业擅自将身份证件上的照片用于防沉迷为目的的人脸识别，超出了授权范围。

至于2007年实名通知和后续进一步规范实名制、防沉迷制度的文件，都是从“姓名、身份证号码、联系方式”[27]角度提出实名制要求的，完全没有提到人脸识别，因此不能为人脸识别提供合法性基础。

无论是《未成年人保护法》还是《网络游戏管理暂行办法》或者实名制、防沉迷制度的相关文件，都无法直接为“游戏公司强制用户进行人脸识别”提供足够的合法性基础。

在法律、行政法规以至文件都无法为“游戏公司强制用户进行人脸识别”提供合法性基础的情况下，根据《个人信息保护法》的规定，还有一种情形可以允许游戏公司强制要求玩家进行人脸识别，即游戏公司可以证明，对玩家强制进行人脸识别，“具有特定的目的和充分的必要性，并采取严格保护措施”。[28]推荐性国家标准《移动互联网应用程序（App）收集个人信息基本要求》（GB/T 41391-2022）[29]第5f条后面的注3指出“基本业务功能因技术发展而出现的新实现方式，如果新方式相较传统方式收集更为敏感的个人信息，对个人权益影响更大的，可视为扩展业务功能，通常作为基本业务功能的可选替代、补充使用。例如因生物识别技术发展出现的身份鉴别新方式（例如人脸识别、声纹识别、指纹识别等）、收集生物识别信息替代口令，对个人信息影响更大”。众所周知，2007年实名通知明确规定，并且游戏行业长期以来通用的验证真实身份信息的主要方式是填写姓名和身份证件号码，而不是人脸识别，因此这里确实存在多种实现方式。因此，如果人脸识别仅仅是传统的身份证号码实名认证的“替代方式”，显然不可以强制要求。要论证人脸识别的必要性，必须证明，其相对传统实名验证方式，可以实现不同的业务功能，且这个不同的业务功能依然是基本业务功能，而不是扩展业务功能。

但是，新闻指出的“未成年人冒用成年人身份证件信息”等问题，并非是在人脸识别技术发展到可以日常应用之后才出现的新问题，相反，此问题的出现远远早于人脸识别技术的普及应用。因此，使用人脸识别技术解决未成年人冒用问题，并非使用新技术解决新问题，而是典型的使用新技术解决旧问题。换言之，这里需要实现的业务功能还是人脸识别技术出现之前时的传统业务功能，并非基于人脸识别技术本身新产生的全新业务功能。那么，即使人脸识别技术解决该问题的效率更高，效果更好，依然只能作为传统身份证号码验证技术的可选替代，而不可作为强制性的要求，否则显然不符合国标的规定，进而不符合《个人信息保护法》的最小必要原则。

综上所述，在现行法律框架下，强制要求游戏用户使用人脸识别技术进行实名认证，不符合《个人信息保护法》的要求。

本文并不认为，强制要求游戏用户使用人脸识别技术进行实名认证是错误的，相反，本文的目的是指出一个确实存在的法律漏洞，即，一方面社会各界都认为，采用人脸识别是最有效的进行实名认证，防止未成年人沉迷游戏的手段，另一方面，在现行法律框架下，上述最有效的手段只能作为可选方式，而不能强制，否则违法。这一状况未能最大程度保护未成年人，防止他们沉迷游戏。

其实，解决上述问题并不困难。《个人信息保护法》第十三条明确规定“为履行法定职责或者法定义务所必需”可以处理个人信息。[30]根据本文的分析，现在的问题在于，虽然游戏实名制是《未成年人保护法》规定的法定职责，但是“使用人脸识别技术验证游戏实名信息的真实性”还不是法律和行政法规明确规定的法定职责。只要在适当的地方将上述要求明确，即可解决目前的困境。

根据前文的分析，《个人信息保护法》所称的法定职责只能是法律和行政法规规定的职责，而不能是部门规章或者规范性文件规定的职责。从位阶和内容看，正在征求意见的《未成年人网络保护条例》是承担这一职责的最佳载体。《未成年人网络保护条例（征求意见稿）》[31]第五十三条规定，“网络游戏服务提供者应当要求未成年人用户提供真实身份信息进行注册和登录使用，并通过国家建立的统一未成年人网络游戏电子身份认证系统等必要手段验证其真实身份信息”。要将强制人脸识别合法化，只需在这句话后面增加一句“国家建立的统一未成年人网络游戏电子身份认证系统可以采用人脸识别等生物识别技术对未成年人用户真实身份信息进行验证”。上述修改，一方面可以和原来的《未成年人网络保护条例（征求意见稿）》相关条文充分衔接，另一方面，为强制人脸识别技术的应用提供了充分的法律依据。

虽然本文也认同，强制人脸识别技术可能是强化游戏实名制，防止未成年人沉迷网络游戏的好办法，但是本文必须澄清，本文所提的建议，在被采纳之前并不是现行法律体系的一部分。因此，在法律进行调整之前，对那些在现行法律框架下，尚未采取人脸识别技术的游戏公司进行攻击，认为他们没有立即采取人脸识别技术就是没有履行社会责任，是一种完全错误的认识。事实上，在目前的法律框架下，强制要求所有玩家进行人脸识别，很可能构成违反《个人信息保护法》的行为。因此，本文也呼吁，社会各界应将注意力放在推动法律修订，早日为人脸识别提供合法性基础的工作上，争取早日在正式生效的《未成年人网络保护条例》中明确游戏强制人脸识别的相关规定；而不是在法律修订之前，试图通过舆论的力量，要求游戏公司从事一些很可能违反法律的行为。

注释

*本文撰写过程中得到了鲁永峰律师和薛颖老师的批评指正，谨表谢意。本文的观点和文中的任何错误，都由作者独自承担责任。

[1] 夏斐，电脑游戏 瞄准孩子的“电子海洛因”，载《光明日报》2000年5月9日，https://www.gmw.cn/01gmrb/2000-05/09/GB/05%5E18415%5E0%5EGMA2-013.htm，2022年6月15日访问。

[2] 王恒涛，汪子旭，“精神鸦片”竟长成数千亿产业，载《经济参考报》2021年8月3日，http://www.jjckb.cn/2021-08/03/c_1310105032.htm，2022年6月15日访问。此文后续标题修改为《网络游戏长成数千亿产业》，并且删除了“精神鸦片”相关表述，修改相关情况可参见巫乐定，一篇文章引发雪崩，游戏被批“精神鸦片”！突然“改口”有何深意？，2021年8月4日，证券时报网，https://news.stcn.com/sd/202108/t20210804_3506652.html，2022年6月15日访问。

[3]新闻出版总署、中央文明办、教育部、公安部、信息产业部、共青团中央、中华全国妇女联合会、中国关心下一代工作委员会，关于保护未成年人身心健康实施网络游戏防沉迷系统的通知，新出联〔2007〕5号，2007年3月12日。

[4] 网络游戏管理暂行办法，2010年3月17日文化部部务会议审议通过，自2010年8月1日起施行。根据2017年12月15日发布的《文化部关于废止和修改部分部门规章的决定》（文化部令第57号）修订，第二十一条。

[5] 文化和旅游部关于废止《网络游戏管理暂行办法》和《旅游发展规划管理办法》的决定，2019年6月28日文化和旅游部部务会议审议通过，2019年7月10日废止。

[6] 新闻出版总署 , 中央精神文明建设指导委员会 , 教育部 , 公安部 , 工业和信息化部 , 中国共产主义青年团 , 中华全国妇女联合会 , 中国关心下一代工作委员会，关于启动网络游戏防沉迷实名验证工作的通知，新出联〔2011〕10号，2011年7月1日发布，2011年10月1日生效。

[7] 国家新闻出版广电总局，国家新闻出版广电总局办公厅关于深入开展网络游戏防沉迷实名验证工作的通知，新广出办发〔2014〕72号，2014年7月25日发布，2014年10月1日生效。

[8] 国家新闻出版署，国家新闻出版署关于防止未成年人沉迷网络游戏的通知，国新出发〔2019〕34号，2019年10月25日发布，2019年11月1日生效。

[9] 国家新闻出版署，国家新闻出版署关于进一步严格管理切实防止未成年人沉迷网络游戏的通知， 国新出发〔2021〕14号，2021年8月30日发布，2021年9月1日生效。

[10] 教育部 , 中共中央宣传部 , 中共中央网络安全和信息化委员会办公室 , 工业和信息化部 , 公安部 , 国家市场监督管理总局，关于进一步加强预防中小学生沉迷网络游戏管理工作的通知，教基厅函〔2021〕41号，2021年10月20日。

[11] 林果，颜之宏，网游公司绕过实名制，“钓”未成年人充值消费，载《新华每日电讯》2020年6月24日，http://www.xinhuanet.com/mrdx/2020-06/24/c_139164178.htm? ， 2022年6月15日访问。

[12]同上。

[13]李豪悦，游戏或再迎未成年人防沉迷强监管 如何应用人脸识别避免“违规”充值？，载《证券日报》2022年3月15日，http://www.zqrb.cn/tmt/tmthangye/2022-03-15/A1647311803690.html，2022年6月15日访问。

[14]人大代表提议手游实名认证 人脸识别防未成年沉迷，载《长沙晚报》2017年3月8日，转自http://game.people.com.cn/n1/2017/0308/c48662-29131429.html，2022年6月15日访问。

[15]胡春艳，全国人大代表纷纷建议：加大未成年人网游监管，载《中国青年报》2019年3月18日，转自http://www.xinhuanet.com/politics/2019-03/18/c_1124246043.htm，2022年6月15日访问。

[16]陈张书，全国人大代表建议，网络游戏必须“刷脸”登录，你怎么看？，载《潇湘晨报》2022年3月7日，转自https://www.sohu.com/a/527931179_120914498， 2022年6月15日访问。

[17]李泽伟，预防未成年人沉迷网游 建议增加人脸识别验证频率，载《北京青年报》2022年3月5日，转自https://www.chinanews.com.cn/gn/2022/03-05/9692727.shtml，2022年6月15日访问。

[18]参见前注13提到的“叠纸游戏的相关负责人向《证券日报》记者表示，很多游戏公司还没能采用人脸识别，主要涉及到一些前置问题，比如立法或未成年用户信息保护等。”

[19]陈亮，人脸识别“万能”吗？网游如何更适合未成年人？限制时段合理吗？，2022年1月26日，https://www.sohu.com/a/519140462_119778，2022年6月15日访问。

[20]中华人民共和国个人信息保护法，第十三届全国人民代表大会常务委员会第三十次会议2021年8月20日通过，自2021年11月1日起施行。

[21]最高人民法院关于审理使用人脸识别技术处理个人信息相关民事案件适用法律若干问题的规定， 2021年6月8日由最高人民法院审判委员会第1841次会议通过，自2021年8月1日起施行。

[22]中华人民共和国未成年人保护法，第十三届全国人民代表大会常务委员会第二十二次会议于2020年10月17日修订，自2021年6月1日起施行。

[23]《网络游戏管理暂行办法》第二十一条。

[24]参见前注5。

[25]《网络游戏管理暂行办法》第二十一条、第二十六条。

[26]《网络游戏管理暂行办法》第十六条。

[27]参见前注3。

[28]《个人信息保护法》，第二十八条。

[29]中华人民共和国国家标准，信息安全技术 移动互联网应用程序（App）收集个人信息基本要求，国家市场监督管理总局、国家标准化管理委员会，中华人民共和国国家标准公告（2022年第6号），2022年4月15日发布，2022年11月1日生效。

[30]《个人信息保护法》，第十三条。

[31]国家互联网信息办公室，关于《未成年人网络保护条例（征求意见稿）》再次公开征求意见的通知，2022年3月14日。

（图片来源 | 网络）