人脸识别技术是指人脸识别设备对静态或动态中的人脸进行特征提取,并将其与数据库中采集的面部信息进行对比,以实现身份识别的生物特征识别技术。人脸识别技术具有采集方式非接触性、识别迅速、适用场景广泛等特点。近年来,人脸识别技术已经普及至社会生活及治理的各个层面,技术的高效便利也带来众多风险。在法律方面会引发隐私泄露风险、财产安全风险、社会及国家公共安全风险。由于面部信息带有特殊的文化属性,以或显或隐的方式表征着人格,因此在伦理方面存在侵犯公民意志自由、贬损公民人格尊严的风险。面部信息属于敏感个人信息中的生物识别信息,当前公民隐私保护意识不断提高,但由于人脸识别技术应用的无处不在,社会公众总是被迫或在不知情的情况下被采集面部信息。我国现行法律规范亦存在诸多瑕疵:一是缺少对敏感个人信息的专门保护;二是法律保护体系不完善,立法过于分散;三是对人脸识别技术的应用主体没有市场准入限制,对面部信息的处理权限没有边界;四是司法救济可操作性不强。因此,文章首先从人脸识别技术的概念、应用场景和技术的局限性出发,分析现实中对人脸识别技术进行法律规制的现实困境,包括信息主体与信息控制权分离困境、“生物识别信息”概念适用困境以及权利救济困境,结合数字时代公民在公共场所的隐私期待可能性、不同技术应用领域的利益衡量及哈特的“承认规则”理论,为法律规制提供法律和理论基础,强调应克服人脸识别技术的使用乱象,平衡所涉及主体的利益,培育公民的“内在方面”。最后,文章从立法、执法、司法、行业自律、强化公民权益保护意识五个角度提出法律规制的实践路径。其一,立法上建议在进行法律规制时应对面部信息的不同流转环节进行针对性的法律规制,区分人脸识别技术的应用主体,明确人脸识别技术准入的立法边界,商业主体的应用应当采取严格限制的模式,在行业状况有所改善时可以改变规制模式,对政府机构主体应当采取事前许可模式,二者都应将面部信息的收集目的、途径等权限予以公布;其二,在执法上建议成立政府统一的监督管理机构,对人脸识别技术以审慎为原则进行事前审查,评估风险,对监管机构实施问责机制;其三,在司法救济上,建议应当首先明确权利救济的请求权基础,人格权请求权的使用不以构成侵权为前提,符合侵权构成要件时也可使用侵权损害赔偿责任请求权,应根据侵权类型明确侵权责任主体,实行举证责任倒置;其四,在行业自律方面,建议首先通过深入地调研成立行业自律组织,对现有的行业规范根据数字时代的背景进行修改,同时进行补充;探索建立人脸识别行业保证金制度,保证金制度可以提升企业的诚信度,强化对信息主体的保护,规范行业秩序,做到有监管必有惩戒,当行业状况有所改善后,可以适当降低保证金比例,但同时仍应保持保证金的惩戒功能;其五,应重塑数字时代的人权价值观,确立数字人权的理念,面部信息是数字人权所关切的重要内容,对面部信息的采集和应用与数字人权的保护、保障和实现具有密切关联;塑造具备数字理性的信息主体,提高公众的理性认知,具备数字理性的主体能够在面对科学技术变革带来的便利和惊喜时保持理性,并对技术带来的风险有敏感的防范意识。