你的脸是一种无法像密码一样重置的身份标识。然而在美国，关于谁能扫描、存储和比对你的面部数据的规则，很大程度上取决于你居住在哪个州。FC AI近期的一份指南梳理了人脸识别技术的使用场景、伊利诺伊州BIPA等州级生物识别法律的运作方式，以及FTC已经采取了哪些行动。本文将把这些材料转化为对asing人脸识别法律与美国权利的实用解读，以及你对自己面部数据实际能做些什么。
人脸识别在美国的使用场景
正如ACLU所描述的那样，人脸识别系统通过分析人脸图像来识别个人身份。这项技术出现在多个领域：执法调查、零售和商业场所，以及用户上传照片和视频的在线平台。
这种广泛的适用范围很重要，因为不同场景适用不同的规则。政府使用、私营企业使用和平台使用并不受相同的监管。我们最近报道的一篇评论文章上班前的十几个摄像头描述了在一次普通的通勤中，你的脸可能在你毫无察觉的情况下被扫描、标记和记录。
此外，私营部门的使用并没有统一的全国性规则手册。这一空白正是州级法律如此重要的原因。
人脸识别法律与美国权利：BIPA和其他州法律赋予你什么权利
伊利诺伊州的《生物识别信息隐私法》（BIPA）是最知名的州级生物识别法律。概括而言，此类法律限制私营企业收集和使用生物识别数据的方式。根据相关法律评论，收集此类信息的企业必须告知消费者并为其行为提供正当理由。
伊利诺伊州并非孤例。相关报道指出，德克萨斯州也有一项法律，禁止在未经知情同意的情况下使用该技术识别他人。华盛顿州于2017年通过了第1493号众议院法案，当时使其成为第三个监管生物识别数据收集和使用的州。
实际的要点是，你的权利因州而异。在有生物识别法律的州，你可能有权在面部数据被收集之前获得通知，并期望其使用受到限制。在没有此类法律的州，你可能只能依赖企业自身的政策、一般消费者保护规则或FTC的行动——FC AI指南也涵盖了这些内容。
如需更深入地比较这些框架的差异，我们关于BIPA、GDPR和欧盟AI法案下人脸比对如何运作的解读文章对技术和法律方法进行了并列分析。
如何选择退出或请求删除你的面部数据
你的选择比你想象的要多，尽管有些需要付出一些努力。
- 检查平台上的隐私设置。 许多处理照片的服务都包含与人脸识别或标记相关的设置。查看这些设置，关闭任何你并非有意选择的选项。
- 阅读通知。 如果企业在有生物识别法律的州收集生物识别数据，通常应当告知你。如果你看到通知或同意书，在同意之前请阅读正在收集什么以及为什么收集。
- 发送书面请求。 联系公司的隐私团队，询问他们持有哪些面部数据、是否会删除以及保留多长时间。保留你的请求副本和任何回复。
- 尽可能拒绝。 如果服务提供非生物识别的替代方案，例如其他身份验证方式，请选择该方案。
- 了解你所在州的法律。 如果你住在伊利诺伊州、德克萨斯州或华盛顿州，你的权利可能比没有生物识别法律的州更强。在致信企业之前，先查阅你所在州的规则。
没有任何请求一定能成功，权利因州和数据持有者的不同而异。但提出请求会留下记录，并告诉企业人们正在关注。
VPN能做什么、不能做什么来对抗人脸扫描
在这里，期望需要现实一些。VPN加密你的互联网流量并向你访问的网站隐藏你的IP地址。这可以限制某些形式的在线追踪，例如将你的活动与你的网络位置关联起来。
它不能阻止摄像头在街道上、商店里或交通枢纽扫描你的脸。这些系统根本不经过你的VPN连接。如果你登录平台并上传照片，VPN也帮不上忙。一旦图像上传到你控制的账户，平台就可以分析它，无论你的IP地址是什么。
简而言之，VPN解决的是网络层面的隐私问题。人脸识别主要是一个身份和同意问题，这就是为什么在这方面法律和设置比工具本身更重要。
这对你意味着什么
保护你面部数据的规则取决于你所在的州、收集数据的组织类型以及你在所用服务上做出的选择。联邦立法者也在关注：对重新提出的联邦人脸识别禁令法案的报道显示，关于政府使用的辩论仍在发展中。一项相关提案将禁止联邦机构使用自动车牌识别系统，反映了对自动化监控的更广泛担忧。
这些提案目前都不会改变你的处境。你现在能控制的是自己的设置、你的同意以及你提出的请求。
可操作的要点
- 了解你所在州是否有生物识别隐私法，以及它对企业的要求是什么。
- 审查你使用的应用程序和平台上与人脸相关的设置。
- 向可能持有你面部数据的公司发送删除或退出请求，并保存往来记录。
- 使用VPN做它擅长的事，但不要指望它能阻止公共场所或你已登录账户上的人脸扫描。
- 继续阅读：从我们的人脸比对解读文章和联邦禁令法案报道开始，获取更多法律背景。
理解人脸识别法律和你的美国权利是第一步。查询你所在州的保护措施并在本周提交一份请求是第二步。
