从刷脸支付、门禁考勤、金融远程开卡到安防反恐、智慧社区、轨道交通等领域，人脸识别技术正在密集拓展商业版图，在公众或熟视无睹或未曾注意到的应用场景中迅猛生长。当人脸识别技术进一步走进课堂、电梯等非传统公共场所的时候，公众终于开始警惕，人脸面部信息与身份证号码、购物习惯、金融贷款等个人信息互联互通带来的潜藏风险已经不由自己掌握。隐私问题是人脸识别技术推广中最为普遍的质疑。多位受访专家表示，人脸识别可能导致的隐私泄露风险需要结合配套算法的其他数据进行考量。“人脸识别不是简单地获取人脸信息，是将人脸面部特征作为识别要素进行身份验证与识别，并结合其他数据进行数据画像等，从而得出个人情绪、性格、购买力、兴趣爱好等信息。当数据画像中包含个人不愿意对外展示的内容时，便与个人隐私产生交集。”中国信息通信研究院安全研究所研究员葛鑫说。
人脸面部特征本身并不是隐私信息，但其直观的可识别性、天然的惟一性和不可更改的特点，潜藏了诸多风险。与虹膜、指纹等其他生物识别信息相比，人脸信息还具有自然性和非接触性的特点。“采集和使用人脸信息时，不需要个人直接与设备接触，这就导致个人往往并未意识到自身的人脸信息已经被采集和使用了。”葛鑫说。受访专家告诉财新记者，由于面部特征在理论上具有惟一性，又与个人身份信息挂钩，人脸识别有着广阔的应用前景。“大量的数据被采集，这些数据不一定是隐私，但依然让人有一种莫名的焦虑，这种焦虑是基于信息不对称导致的。你了解了我那么多的信息，你要用来做什么？你会不会滥用？这些信息是不是安全的？就算你不乱用，被别人盗取了怎么办？”北京大学法学院教授王锡锌认为，这实际上和作为身份验证的人脸识别技术本身关系不大，公众真正担心的是数据的采集和转卖、安全保障、运用和监管等问题。
在人脸信息和其他数据互联互通的情况下，数据泄露和转卖的风险和危害也就变得更大。“当你采集了这么多信息时，所有的数据系统本身都会增加风险，这在国际上也发生了很多次。”王锡锌说，信息越敏感，它的风险越高。中国关于保护个人信息的专门立法尚未出台，对个人信息收集、使用以及侵权进行规制的条款，散见于《网络安全法》《消费者权益保护法》《刑法》《民法总则》等法律中，缺乏系统性和可操作性。受访安全专家、法律学者认为，技术本身不是洪水猛兽，但法律规则及配套监管措施仍有缺陷，需要加强法律和伦理规制。在政府、企业乃至个人都能成为人脸识别应用者和个人面部特征收集者的当下，技术应用的边界究竟在哪里？