林玉鳳憂人臉辨識缺乏專門法律監管
【本報訊】警方早前表示，會於現時三個階段的「天眼」系統引入人臉辨識，並於本年首季進行測試。當局指出，人臉辨識是以「後台模式」實施，當發生罪案要查閱「天眼」片段時，才會採用擁有人臉識別技術功能的伺服器進行偵查，其實就是將人手操作轉為電腦操作，「天眼」本身並無人臉辨識功能，所以當局認為無需就此向個人資料辦公室申報。儘管當局已在二零二零年一月十三日立法會回答議員口頭質詢時重申「後台模式」會被嚴格監管及使用，但顯然社會疑慮尚未釋除。
需要指出的是，人臉辨識系統不單止是一般拍攝公眾的錄像，在尋找嫌疑人時，系統難免會掃描到其他不相關人士的人臉特徵，並且要擷取他們的人臉特徵去確認與嫌疑人是否吻合，這個過程必然會儲存、利用到例如臉部生理特徵這類極為個人的資料。與人手操作相異的是，不論執法人員有否為偵查需要或任何原因擷取人臉辨識系統的資料，電腦系統實際上已正不斷記錄和識別所有被攝錄者，包括其行蹤、生活習慣、喜好，都會潛在地、鉅細無遺地被記錄下來，並可極為簡便及省時地取得其活動的完整報告，而毋須人手逐格查看及核對。在這種精準、高效率、高科技的「自動化」處理下，公眾的個人資料已並非單純被記錄，而是被進一步系統化分析和處理。因而人臉辨識較單純人手操作公共錄像系統，構成更深一層的對私隱權的限制。除非出現在維護公共安全方面更迫切的需要，而原有人手操作的方式無法有效處理，否則無合理理由地延伸對私隱權的限制有違反適度原則之虞。然而，當局從未交代本澳出現了何種新的公共安全情況，致使需更進一步使用人臉辨識的技術解決。
實際上，早在《個人資料保護法》立法之初，其立法理由陳述中就明確指出：「不斷出現的新科技不可避免地為法律，尤其是在基本權利範疇內隱私權的保護方面，提出新的挑戰。」為因應當時的科技發展對隱私權提出的「新的挑戰」，專門的《個人資料保護法》應運而生。而當中就有多個條文強調「自動化」處理下對個人資料應有的保護。所謂的「自動化」，就是指利用人力以外的資源代替人類操縱、控制和監視設備和程式，意義理應是相當明確顯淺的。由此可見，《個人資料保護法》的立法原意清晰地表示，「自動化」處理是對個人資料保護更深入的潛在威脅。然而，對於此次「天眼」引入後台人臉辨識，保安當局認為只是將人手操作轉為電腦操作，因此不需要向個資辦申報。要注意的是，將「人手操作轉為電腦操作」的過程，不正正就是「自動化」嗎？根據《個人資料保護法》第二十一條指出，公共實體需要就為實現某目的而進行的部份或全部「自動化」處理，通知公共當局。無論相隔了多少重「後台」，人臉辨識顯然無法消除其「自動化」處理的本質，為了防止這類高科技造成對本澳公眾隱私權的「新的挑戰」，保安當局似乎有必要就此向個資辦作詳細說明及申報，個資辦亦應認識到後台模式對隱私權的潛在影響，積極作出相應監察。
更令人擔憂的是，在使用人臉辨識這種新型技術方面，本澳完全缺乏專門法律監管。應用人臉辨識資料的人員，又會有甚麼的培訓和守則，又相應會有怎樣的監督機制，確保他們不會濫用資料等問題，在法律上仍大致空白，保安當局絕不應在社會未有共識如何監管、如何使用的情況下，擅自執行相關政策。鑒於目前社會對於人臉辨識的疑慮，保安當局理應在施行對個人權利有更深入限制的政策之前，就此進行公眾諮詢，積極向公眾詳細講解及釋疑，在目前本澳治安尚算良好，現有天眼系統已能有效打擊罪案的前提下，保安當局又是基於甚麼理據而要引入人臉辨識。此外，由於涉及到「自動化」處理，個資辦似乎亦應該主動抽查資料運用情況及要求相關部門提交報告。
為此，議員林玉鳳謹提出以下質詢:
一、無論相隔了多少重「後台」，天眼擬引入的人臉辨識顯然無法消除其「自動化」處理的本質，基於《個人資料保護法》第二十一條，保安當局是否應該就此向個資辦作詳細說明及申報？個資辦又會否將這類資料的處理訂為是其管轄的範疇？
二、在現有天眼系統已能有效打擊罪案的前提下，保安當局又是基於甚麼理據而要引入人臉辨識？鑑於目前社會對於人臉辨識的疑慮，保安當局會否考慮先就該政策及相關監管法律進行公眾諮詢，待取得社會共識後方才施行？如保安當局堅持使用人臉辨識，個資辦方面又會否採取措施，例如主動抽查人臉辨識資料運用情況及要求相關部門提交報告等，以保障個人私隱權利？
三、當局曾稱人臉辨識技術會在二零二零年試行三個月，該「試行」的主要目的為何，如旨在培訓執法人員、完善監管機制，抑或測試運作成效？該「試行」會否嘗試識別相關系統運作時侵犯個人私隱的風險？會否在「試行」結束後向公眾交代系統成效及潛在問題的報告？在何種情況下當局方會認為系統發展成熟，沒有任何風險，適宜投入正式運作？