錢偉倫 國際私隱專業人士協會認可信息私隱專家（歐洲）
最近Facebook及Instagram等社交平台掀起了一陣「10年挑戰」熱潮，大家蜂擁地貼上自己10年前後的對比照片，讓朋友網友們分享10年來的轉變。本來看看人臉變遷，甚有趣味，但再想想這個遊戲為幕後搞手提供了免費大數據，就不是純粹玩玩咁簡單了。據聞短短三數日，已經有520多萬用戶參與了這個「新舊對照」遊戲，即已經為有關社交平台數據庫增添了520多萬套10年比對人臉的照片。
有學者表示，「10年挑戰」透過用戶貼上對比10年前後的照片，讓社交平台的人工智能系統可以乘機收集數據，學習及掌握人類臉容隨着歲月而發生的變化，大大提升「人臉辨識」的技術。然而，這些數據資料會否被濫用，是大家很關心的問題。公眾記憶猶新的案例，就是英國數據分析公司「劍橋分析」，被揭發在2016年美國大選期間，從Facebook挪用8,700萬用戶資料，涉嫌利用這些數據為特朗普助選。
不當披露生物辨識資料後果嚴重
「人臉辨識」技術的應用已很普遍，例如大家每日用face ID為iPhone X解鎖，或登入手機流動銀行，又或在貼到Facebook的照片中「tag」你的朋友等等。在內地，警方利用人臉辨識系統，在張學友的巡迴演唱會中，總共擒獲了60名逃犯。
臉部圖像跟指紋、虹膜、手掌靜脈、DNA樣本等類似，是個人先天的生理資料，屬於生物辨識資料。當生物辨識資料與另一資料庫的個人資料連結後，便可用作識別資料當事人的身份。由於生物辨識資料很多時包含個人敏感私隱資料如個人健康、精神狀況或種族等，不當地披露可導致嚴重後果。
例如，若戒毒中心的戒毒人士的臉部圖像資料外洩，可能會直接識別出知名人士，或引起人們識別戒毒人士的興趣。又或者若指紋數據外洩，在資料足夠的情況下，可製作假手指來冒充真人，以登入當事人的手機流動銀行戶口。
現時若干美國科技巨企，如Microsoft、IBM、Amazon等，都正積極研究及改進人臉辨識的技術，並投入應用。配合人工智能的迅速發展，人臉辨識技術已擁有從人群中辨認個別人士身份、分析他們情緒、估計年齡等功能。
過去兩年，Amazon便銳意向警方及執法部門推銷其人臉辨識系統，用作識別及尋找疑犯。Microsoft就要求國會立法規管此等技術，因為此技術可被用作監控公眾，若企業不當使用，會對公眾的生活及人身自由帶來嚴重後果。
歐盟《通用數據保障條例》值得借鑒
歐盟於去年實施的通用數據保障條例（「條例」），對處理包括人臉辨識的生物辨識資料有嚴格規限，除非得到當事人明確同意，或於某些特定情況下，例如基於公眾利益、公共衛生等，否則禁止收集、使用及處理此類屬於「特別類別」的敏感個人資料。但條例亦容許個別歐盟國家，調整有關生物辨識資料的限制，如荷蘭、克羅地亞就允許將生物辨識資料用於保安監控。
只要規管得宜，防止濫用，可充分利用人臉辨識技術，改善生活，例如可加快出入境過關程序，改善零售付款方式，協助維持治安及公共秩序。
內地及特區政府可參考歐盟的《通用數據保障條例》，訂立嚴謹但有彈性、既符合國際標準又切實可行的私隱法例，規管生物辨識資料的處理及使用，引導有關行業確立最佳業務守則，採用陽光的個人資料私隱政策。