近日，记者在一家网络商城中发现，有商家公开兜售“人脸数据”，约有17万条，涵盖2000人的肖像，每个人约有50到100张照片。每张照片搭配有一份数据文件，包括人脸位置信息、人脸的106处关键点，如眼睛、耳朵、鼻子、嘴、眉毛等的轮廓信息等。文件还提供了人物性别、表情情绪、颜值、是否戴眼镜等信息。这些照片有的是知名艺人，也有一部分来自医生、教师等市民群体，还有未成年人的。商家在商品说明中称，不提供所涉及人物的人名和身份证号等信息，不得用于违法用途。网络商城运营方已认定涉事商家违规，涉事商品已被下架处理（9月11日《北京青年报》）。

从新闻看，涉事商家擅自使用他人肖像牟利本身，已经涉嫌侵害民事权益。根据民法通则规定，未经本人同意，不得以营利为目的使用公民的肖像（第100条）。受到侵害的，有权要求停止侵害，恢复名誉，消除影响，赔礼道歉，并可以要求赔偿损失（第120条）。

那么，涉事商家侵害的仅仅是肖像权吗？根据网络安全法规定，个人信息是指以电子或者其他方式记录的能够单独或者与其他信息结合识别自然人个人身份的各种信息。有“106处关键点”的肖像图片和数字信息，加上职业信息、位置信息，这些结合起来，足以定位并识别出具体的个人。报道中记者根据这些信息确实找到了多位肖像的主人，这样，“人脸数据”兜售已不单是侵害肖像权这么简单，至少涉嫌侵犯隐私权。

其实，除了可能承担民事责任，涉事商家还可能被追究行政责任，甚至刑事责任。据报道，“人脸数据”的卖家“从事人工智能相关工作”，数据“一部分是从搜索引擎上抓取的，另一部分来自境外一家软件公司的数据库等”。如果卖家有隶属单位，“人脸数据”是否属于卖家的隶属单位？如果答案是肯定的，则其所在单位存在监管失察、信息泄露的问题，而其个人至少违反了保密义务（网络安全法第45条），无论如何，根据网络安全法规定，任何个人和组织不得非法出售或者非法向他人提供个人信息（网络安全法第44条）。违反之，则由公安机关没收违法所得，并处以罚款。构成犯罪的，依法追究刑事责任。

至于兜售平台，则应根据电子商务法第83条的规定，对其未尽审核义务责令限期改正，可以处以罚款；情节严重的，应责令停业整顿，并处罚款。由此看，本事件仅仅以“平台认定商家违规，涉事商品被下架”来处理，还远远不够。

接下来，除了追究平台，尤其是卖家法律责任外，格外需要我们警惕的是，“人脸数据”的卖点是什么，换句话说，拿别人的脸有什么用处？特别要探究的是，可以用来做哪些“坏事”？

曾有二手平台用AI换他人脸来制作不雅视频，而更严重的还不止如此。如今需要人脸识别的场景越来越多，其中大量与金融业务等排他设置有关，这与人脸信息的相对唯一性有关。如果人脸信息被泄露，那么复制他人的脸去做某些事情便不再遥远，人脸的唯一性若得不到保障，个人利益将面临诸多风险。

这确实应该引起有关部门重视，既需要对人脸识别的安全门进行升级，也要彻查人脸信息交易的所有信息，尤其不能放过买家。“人脸数据”信息泄露证明部分核心信息监管漏洞已经出现，如果不及时遏制，类似人脸识别、指纹录入等与具体个人挂钩的高级别识别码破解将势如破竹，一些高端技术犯罪或会涌现，希望这一天不要到来。