最近Substack上的一篇文章以一个大多数城市居民都熟悉的场景开篇：还没到公司，你就已经经过了十几台摄像头，而你的脸可能在没有任何闪光或提示的情况下被扫描、标记和记录。文章将此定性为一场用自由换取控制的无声交易。对于隐私网站的读者来说，实际问题更为具体：面部识别隐私法究竟限制了什么，哪些工具能帮上忙？
简短的回答是：法律是一块拼凑而成的补丁，而VPN并不能解决这个特定问题。
面部识别如何在未经同意的情况下追踪你
面部识别的工作原理是将你的面部图像转化为一个数字模板，然后与其他模板进行比对。法律评论人士指出，面部图像和分配给面部的数字编码在隐私法下都可能构成个人信息。
据ACLU称，这项技术与其他许多生物识别系统不同之处在于，当它与公共视频摄像头结合使用时，可以用于普遍监控。指纹扫描仪需要你把手指按在玻璃上。而摄像头网络对你没有任何要求。你没有主动选择加入，而且你往往无法判断某个摄像头是在运行识别软件还是仅仅在录像。
这就是核心的同意问题。在公共场所，很少有人在某一刻征求你的同意，也很少有标识解释数据之后会如何处理。
哪些面部识别隐私法限制了监控
并不存在单一的全球规则。实际情况在很大程度上取决于你身处何地。
美国。 分析人士长期以来一直指出，没有联邦法律规范生物识别数据的收集，包括面部识别数据。取而代之的是州法律和地方规则的混合保护。面部识别法通常被视为生物识别隐私法的一个子集。伊利诺伊州是最著名的例子：其做法规定，私营实体在未首先告知当事人其生物识别标识符正在被收集或存储之前，不得获取该标识符。一些法律走得更远，要求在对生物识别数据进行收集之前获得明确同意，包括通过面部识别收集的数据。代价可能很高。一个被指控未经同意扫描面部几何特征的社交媒体功能最终导致了6.5亿美元的和解。
本文的简报还指出了美国一些州和城市的禁令。这些禁令往往侧重于政府使用，因此一个城市的禁令可能不涵盖私营零售商、房东或雇主。请查看适用于你的任何规则的具体范围。
欧盟。 欧盟《人工智能法案》是限制某些面部识别用途的主要区域性框架。其规则是分级的，包含条件和例外，因此阅读标题摘要与了解适用于特定摄像头的具体规定是两回事。如果你住在欧盟，请查阅你所在国家数据保护机构关于规则在本地如何适用的指南。
有两点值得牢记。该领域的法律变化很快，一些被广泛引用的评论已经有好几年了。此外，限制某种做法的法律并不意味着该做法已经停止。执法力度、例外情况以及覆盖范围都很重要。
为什么VPN无法隐藏你的脸
VPN加密你的设备与VPN服务器之间的流量，并向你访问的网站隐藏你的IP地址。这对于保护你的浏览活动免受本地网络窥探以及限制网站了解你的位置很有用。
但它对街道上、商店里或交通闸口处对准你脸的摄像头毫无作用。那个摄像头不是在读取你的互联网流量，而是在捕捉光线。你的脸和镜头之间没有加密隧道。
有一个值得了解的较窄的重叠场景。如果某项服务要求你上传自拍或身份证照片进行验证，该图像会通过网络传输，VPN可以在传输过程中保护它。但它无法控制公司在你的人脸图像到达后如何处理。依赖证书和加密密钥的数字身份系统，例如公钥基础设施（PKI），可以在完全不需要扫描你面部的情况下验证你的身份——在评估生物识别检查是否真正必要时，这是一个有用的区别。
这对你意味着什么
面部识别隐私法在立法机构已采取行动且监管机构执行规则的地区最为有力。如果你住在有生物识别同意法的地方，你可能有权在面部数据被收集时获得通知，在某些情况下，当数据被滥用时还有权采取法律行动。如果你住在没有此类法律的地方，你的保护可能很薄弱。
这也意味着你应该区分两种隐私：你在网上的行为，以及关于你物理存在的记录。不同的工具和不同的法律分别覆盖这两者。
确实能保护你的实际步骤和法律工具
- 了解你所在地的规则。 搜索你所在州、城市或国家数据保护机构关于生物识别数据的指南。注意规则是涵盖私营企业、政府机构，还是两者都涵盖。
- 阅读通知并提问。 如果企业或雇主收集面部数据，询问存储了什么、存储多久以及谁会收到这些数据。在有同意要求的地方，他们可能必须给你一个明确的答复。
- 拒绝可选的面部扫描。 当面部解锁、照片标记或自拍验证是可选的时，考虑密码等替代方式是否适合你。
- 检查应用和平台设置。 关闭你不使用的面部匹配或标记功能。
- 行使你的法律权利。 在存在访问权或删除权的地方，你可以要求公司提供所持有的关于你的信息。
- 支持明确的规则。 公众意见征询期和地方议会会议是许多摄像头政策的制定场所。
底线
在公共场所扫描人脸的摄像头是一个法律和公民问题，而非网络安全问题。了解你所在地区的面部识别隐私法是最有用的第一步，因为它告诉你实际可以行使哪些权利。继续使用VPN来做它擅长的事——保护你的网络流量——但不要指望它能遮挡你的脸。这周就去查一下你当地的生物识别规则，并调整你今天就能控制的可选设置。
