無(wú)論是《網(wǎng)絡(luò)安全法》還是《民法典》，都將個(gè)人同意作為個(gè)人信息處理首要合法性基礎(chǔ)。但現(xiàn)實(shí)中，面對(duì)隨處可見(jiàn)的人臉識(shí)別應(yīng)用，個(gè)人的同意往往變得流于形式。常見(jiàn)的情況包括：“無(wú)感知被收集”，即進(jìn)入人臉識(shí)別區(qū)域卻毫無(wú)所知，個(gè)人的人臉信息未經(jīng)任何告知和同意而直接被收集，這其中也包括即便提示存在人臉識(shí)別應(yīng)用，但往往看到提示時(shí)個(gè)人的人臉信息已經(jīng)被收集；“捆綁收集”，即將人臉識(shí)別技術(shù)的使用和人臉信息的處理規(guī)則，與其他個(gè)人信息處理規(guī)則，一同寫(xiě)在產(chǎn)品或服務(wù)的隱私政策中，一次性征得用戶(hù)同意，個(gè)人失去了選擇是否同意人臉信息收集的機(jī)會(huì)；“強(qiáng)迫收集”，即強(qiáng)迫當(dāng)人臉信息并不是產(chǎn)品或服務(wù)所必需時(shí)，要求個(gè)人接受人臉識(shí)別才能使用或繼續(xù)使用具體的產(chǎn)品或服務(wù)，也包括強(qiáng)迫接受人臉識(shí)別才能進(jìn)入某個(gè)區(qū)域或建筑等。

　　面對(duì)這些讓個(gè)人自主選擇同意“失去意義”的行為，《人臉識(shí)別技術(shù)問(wèn)題若干規(guī)定》旗幟鮮明地提出“單獨(dú)同意”和特定情況下的“書(shū)面同意”——“基于個(gè)人同意處理人臉信息的，未征得自然人或者其監(jiān)護(hù)人的單獨(dú)同意，或者未按照法律、行政法規(guī)的規(guī)定征得自然人或者其監(jiān)護(hù)人的書(shū)面同意”，“人民法院應(yīng)當(dāng)認(rèn)定為構(gòu)成侵害人格權(quán)益的行為”。

　　如何理解“單獨(dú)同意”？這個(gè)概念首次出現(xiàn)于我國(guó)《個(gè)人信息保護(hù)法》的草案一次和二次審議稿之中。我國(guó)《個(gè)人信息保護(hù)法》之所以提出“單獨(dú)同意”，目的在于對(duì)特定個(gè)人信息處理行為和特定個(gè)人信息類(lèi)型提供增強(qiáng)式保護(hù)，讓個(gè)人更加充分地參與到個(gè)人信息處理的決策之中。2020年版的國(guó)家標(biāo)準(zhǔn)《個(gè)人信息安全規(guī)范》在根據(jù)《個(gè)人信息保護(hù)法》一審稿進(jìn)行修訂的過(guò)程中，也吸納了單獨(dú)同意的要求。《個(gè)人信息安全規(guī)范》第5.4（C）的規(guī)定，收集個(gè)人生物識(shí)別信息前，應(yīng)單獨(dú)向個(gè)人信息主體告知收集、使用個(gè)人生物識(shí)別信息的目的、方式和范圍，以及存儲(chǔ)時(shí)間等規(guī)則，并征得個(gè)人信息主體的明示同意。

　　現(xiàn)在對(duì)“單獨(dú)同意”的要求做進(jìn)一步的分解。

　　具體來(lái)說(shuō)，《個(gè)人信息保護(hù)法》一審和二審草案規(guī)定，“處理個(gè)人信息的同意，應(yīng)當(dāng)由個(gè)人在充分知情的前提下自愿、明確作出。”在此基礎(chǔ)上，“單獨(dú)同意”特別強(qiáng)調(diào)了“單獨(dú)”，即對(duì)特定的個(gè)人信息處理行為及其規(guī)則，個(gè)人能夠獨(dú)立于其他個(gè)人信息處理行為及規(guī)則，作出自主意思表示。換句話(huà)說(shuō)，法律要求獲得單獨(dú)同意的個(gè)人信息處理行為（如向他人提供、公開(kāi)等），不應(yīng)與其他個(gè)人信息處理行為合并在一起獲得個(gè)人的同意；法律要求獲得單獨(dú)同意方可處理的個(gè)人信息類(lèi)型（如敏感個(gè)人信息），不應(yīng)與針對(duì)其他類(lèi)型的個(gè)人信息處理合并在一起獲得個(gè)人的同意。

　　由于人臉信息屬于“生物識(shí)別信息”，在我國(guó)《個(gè)人信息保護(hù)法》中屬于敏感個(gè)人信息的范疇，因此《人臉識(shí)別技術(shù)問(wèn)題若干規(guī)定》自然對(duì)其處理提出了單獨(dú)同意的要求。

　　從前文分析可知，我國(guó)《個(gè)人信息保護(hù)法》的同意和單獨(dú)同意，以及《人臉識(shí)別技術(shù)問(wèn)題若干規(guī)定》里的同意和單獨(dú)同意，目的是為了保障《個(gè)人信息保護(hù)法》中“個(gè)人對(duì)其個(gè)人信息的處理享有知情權(quán)、決定權(quán)，有權(quán)限制或者拒絕他人對(duì)其個(gè)人信息進(jìn)行處理”的規(guī)定。

　　與我國(guó)規(guī)定類(lèi)似的，歐盟《通用數(shù)據(jù)保護(hù)條例》也明確數(shù)據(jù)主體的同意是指“數(shù)據(jù)主體通過(guò)書(shū)面聲明或經(jīng)由一個(gè)清楚確定的動(dòng)作，表示同意對(duì)其個(gè)人數(shù)據(jù)進(jìn)行處理。該意愿表達(dá)應(yīng)是自愿的（freely given）、特定的（specific）、知情的（informed）、明確的（unambiguous）”。

　　充分知情、自愿、明確、單獨(dú)構(gòu)成了單獨(dú)同意的四個(gè)要件。具體來(lái)說(shuō)，例如通過(guò)人臉識(shí)別技術(shù)解鎖手機(jī)終端，手機(jī)終端廠商可在用戶(hù)首次開(kāi)啟人臉識(shí)別功能時(shí)，通過(guò)彈窗或跳轉(zhuǎn)專(zhuān)門(mén)頁(yè)面的形式同步告知該功能的信息處理規(guī)則（以滿(mǎn)足“充分知情”的要求）；該規(guī)則應(yīng)僅包含對(duì)人臉識(shí)別功能及其信息處理規(guī)則的描述而不包括對(duì)其他不相關(guān)事項(xiàng)的描述（以滿(mǎn)足“單獨(dú)”的要求）；用戶(hù)通過(guò)點(diǎn)擊“同意”或“已知悉，并繼續(xù)使用”等主動(dòng)性動(dòng)作清楚地表達(dá)自己的意愿（以滿(mǎn)足“明確”的要求）；即便用戶(hù)在閱讀信息處理規(guī)則后選擇不開(kāi)啟該功能，但仍然可以通過(guò)設(shè)置數(shù)字密碼、手勢(shì)密碼等方式，或直接繼續(xù)使用手機(jī)終端的其他功能（以滿(mǎn)足“自愿”的要求）。當(dāng)然，手機(jī)終端廠商對(duì)人臉識(shí)別功能信息處理規(guī)則的要求，仍然必須遵守必要原則，不應(yīng)將不是實(shí)現(xiàn)功能所必需的信息收集和處理行為“私藏”于其中。

　　一般來(lái)說(shuō)，需要個(gè)人主動(dòng)配合以完成人臉識(shí)別的應(yīng)用，可依循的實(shí)現(xiàn)“單獨(dú)同意”的指引相對(duì)清晰。對(duì)于無(wú)需個(gè)人主動(dòng)配合的人臉識(shí)別應(yīng)用，符合“單獨(dú)同意”的高強(qiáng)度要求較為困難，但并非不可能。例如人臉識(shí)別設(shè)備覆蓋的區(qū)域，應(yīng)當(dāng)有明確的、易于識(shí)別的邊界標(biāo)識(shí)（例如通過(guò)虛線(xiàn)標(biāo)識(shí)），并在個(gè)人進(jìn)入覆蓋區(qū)域前通過(guò)聲音、文字提示等形式予以告知，并在覆蓋區(qū)域五米內(nèi)張貼公開(kāi)告示、二維碼、網(wǎng)址鏈接，傳單柜臺(tái)等形式，向個(gè)人提供人臉識(shí)別功能及其信息處理規(guī)則的完整描述。在滿(mǎn)足充分知情、明確的要求后，應(yīng)當(dāng)特別注意不應(yīng)將人臉識(shí)別設(shè)備覆蓋區(qū)域設(shè)置成進(jìn)入、通過(guò)某個(gè)建筑、場(chǎng)所的必經(jīng)之處，否則將違反自愿和單獨(dú)的要求。現(xiàn)實(shí)中如果上述要求難以滿(mǎn)足，且不屬于法律法規(guī)規(guī)定的可以豁免的情形，則信息處理者應(yīng)考慮棄用無(wú)需主動(dòng)配合的技術(shù)方案，改用需要個(gè)人主動(dòng)配合的模式。

　　因此，在充分知情、自愿、明確、單獨(dú)等限定的有力支撐下，“單獨(dú)同意”能夠效遏制人臉識(shí)別技術(shù)的使用亂象。首先，“單獨(dú)同意”能夠破除“無(wú)感知被收集”的情況，因?yàn)椤皢为?dú)同意”首先就要求個(gè)人充分知情。而且因?yàn)椤皢为?dú)同意”要求個(gè)人是自愿做出同意的決定，且對(duì)于基于同意的個(gè)人信息處理活動(dòng)，個(gè)人有權(quán)撤回此前授予的同意。再次，“單獨(dú)同意”能夠破除“捆綁收集”的情況，因?yàn)槿四樞畔⑻幚淼耐鈶?yīng)當(dāng)與其他的個(gè)人信息處理行為區(qū)分開(kāi)，并分別征得個(gè)人的同意，因此個(gè)人就獲得了單獨(dú)對(duì)人臉信息處理做出同意與否的決定。最后，“單獨(dú)同意”能夠破除“強(qiáng)迫收集”的情況，即在個(gè)人獲得單獨(dú)對(duì)人臉信息處理與否做出決定的機(jī)會(huì)時(shí)，當(dāng)人臉信息不屬于提供產(chǎn)品或者服務(wù)所必需的，個(gè)人自然就能夠拒絕而不影響產(chǎn)品或服務(wù)使用。同樣，對(duì)于強(qiáng)迫人臉識(shí)別才能進(jìn)入某區(qū)域或建筑的情況，《人臉識(shí)別技術(shù)問(wèn)題若干規(guī)定》在第十條專(zhuān)門(mén)規(guī)定，“物業(yè)服務(wù)企業(yè)或者其他建筑物管理人以人臉識(shí)別作為業(yè)主或者物業(yè)使用人出入物業(yè)服務(wù)區(qū)域的唯一驗(yàn)證方式，不同意的業(yè)主或者物業(yè)使用人請(qǐng)求其提供其他合理驗(yàn)證方式的，人民法院依法予以支持”。