美國政府問責局：人臉識別技術的使用和相關隱私保護
2022年6月29日，美國政府問責局（U.S. Government Accountability Office, GAO）發布了報告《人臉識別技術：聯邦機構的使用和相關隱私保護》。
報告主要是有關“在聯邦機構使用人臉識別技術（FRT）和相關隱私問題”的調查，調查發現24家機構中有18家稱在2020年使用了這項技術，主要用于建筑和計算機訪問以及執法。在另一項調查中，擁有執法人員的42家機構中有14家在刑事調查中使用了這項技術。GAO發現其中13家沒有跟蹤員工對非聯邦（例如：州和商業）系統的使用，這可能會使機構面臨違反隱私規則的風險。
研究背景
人臉識別（FRT）是通過測量和分析身體和行為特征來識別個體的生物識別技術之一。FRT使用一張照片或一個視頻資料中的靜止人像，將其轉換為模板或照片的數學表示。然后，匹配算法可以將該模板與另一張照片的模板進行比較，并計算出它們的相似性。
FRT的使用在政府和私營部門越來越普遍。隨著FRT使用范圍不斷擴大，倡導組織和其他組織強調了FRT在聯邦機構中的使用及其相關隱私風險的重要性。
聯邦機構收集和使用個人信息，包括人臉圖像，主要受美國1974的《隱私法案》和2002年《電子政府法》的隱私條款約束。《隱私法案》限制機構收集、披露和使用個人信息與保存在記錄系統中的信息。此外，《電子政府法》要求各機構在適用的情況下進行隱私影響評估(PIA)，分析個人信息在聯邦系統中如何收集、存儲、共享和管理。
該報告詳細闡述了聯邦機構對FRT的使用與FRT中的隱私保護，其相關內容是基于GAO近期關于FRT使用情況的報告，包括：2021年8月關于聯邦機構當前正在使用和未來即將使用FRT的報告——對全國范圍內24個最大機構的調查結果；2021年6月關于聯邦執法機構使用FRT的報告——對42個雇傭執法人員的機構的調查結果；以及2020年關于機場和港口安全使用FRT的報告。
關鍵發現
2021年8月，GAO公布了FRT活動，發現24個機構中有18個出于一種或多種目的使用FRT，這些機構包括商務部、國防部、國土安全部、衛生和公共服務部、司法部、交通部、退伍軍人事務部和各州州機構，美國國家航空航天局 (NASA) 和美國國家科學基金會 (NSF)。他們使用FRT的意圖以數字化接入和國內執法為最常見。例如，有兩個機構報告說，他們通過使用FRT來核實訪問政府網站的人的身份，還有一些機構則利用FRT在刑事調查中獲得線索。各機構還報告稱，它們訪問了其他實體的FRT系統，如其他聯邦機構、州和地方政府以及私營部門擁有的系統。
此外，根據GAO對調查回復的分析，24 家機構中有10家正在進行或支持與FRT有關的研究和發展，計劃以一種或多種方式擴大對FRT系統的使用。例如，美國司法部報告稱，正在進行面部識別算法中膚色與假匹配率之間關系的應用研究以及其他一些研究工作。
聯邦機構使用面部識別技術的示例
2021年6月，GAO報告了對42個雇用執法人員的聯邦機構的另一項調查結果。14個機構報告使用FRT支持刑事調查，然而，GAO發現其中13個機構沒有跟蹤員工使用非聯邦FRT系統。
例如，一家機構進行了一項民意調查，發現其員工使用非聯邦系統進行了超過1000次面部護理識別搜索。而缺乏對員工使用非聯邦FRT系統的關注可能會對個人隱私產生影響，其中包括違反隱私法的風險或系統所有者可能將共享敏感信息用于搜索。2020年9月，GAO還發現美國海關和邊境保護局 (CBP)的生物識別信息出入境計劃納入了一些隱私保護措施，但具體實施仍有一定不足。例如，CBP只對其20多家商業航空合作伙伴中的一家進行了合規審查，并沒有計劃審查所有合作伙伴是否符合項目隱私要求。
人臉識別技術使用建議
在過去的報告中，GAO向13家機構提出建議，要求它們建立一種跟蹤員工使用非聯邦系統的情況的機制，并評估這些人臉識別系統的風險。各機構普遍贊成這些建議：3家機構已經實施了跟蹤非聯邦系統的機制，但尚未評估使用這種系統的風險。
此外，GAO在2020年9月還建議CBP：
（1）確保生物識別信息出入境項目的隱私通知包含完整、最新的信息，包括所有使用人臉識別的地點，以及旅客如何根據需要選擇退出；
（2）確保生物識別信息出入境項目的隱私標識在CBP使用人臉識別的所有地點始終可用；
（3）指示生物識別信息出入境項目制定，對其商業合作伙伴、承包商和供應商使用個人身份信息的情況進行隱私審查。
美國國土安全部同意GAO提出的建議。自2022年2月起，CBP已經實施了關于確保生物識別信息出入境項目的隱私通知包含完整和最新信息的建議。CBP現已采取措施應對其余兩項建議，但尚未全面實施。全面實施GAO提出的建議將有助于讓旅行者有機會在合適的情況下拒絕對其生物識別信息的使用，并幫助CBP提高其使用個人身份信息的透明度。此外，CBP在兩個入境口岸對其商業合作伙伴進行了評估，以確保他們遵守CBP制定的保護旅客隱私的要求。如果CBP制定并實施該計劃——對所有接觸到個人身份信息的合作伙伴進行合規審查，將更好地保護旅行者的個人信息。
文章來源：賽博研究院
