人臉信息安全保護有了新辦法

小區門禁必須“刷臉”才能解鎖，移動支付平台不知何時開通了“掃臉即付”，人臉信息在不法平台上“0.5元一張”……人臉識別技術便利人們生活的同時，隨之而來的一些現象也引發了公眾對個人信息安全的擔憂。

以個人信息保護法為代表，各部門從立法、執法等多方面不斷加強人臉識別技術應用的治理。3月，國家網信辦、公安部聯合公佈了《人臉識別技術應用安全管理辦法》（以下簡稱《辦法》），對應用人臉識別技術處理人臉信息的基本要求和處理規則、人臉識別技術應用安全規範等作出規定，將於6月1日起實施。

煩 惱

濫用人臉識別，信息儲存不當

“告知—同意”是個人信息保護法等確立的個人信息保護核心規則，將信息主體的“同意”視為人臉信息處理行為的必要條件。但常有商家無視“告知—同意”原則，濫用人臉識別。

此前，某裝修企業被曝光在各門店安裝了具備人臉識別功能的攝像頭，顧客一旦進入該企業門店，人臉信息就會在不知情的情況下被捕捉、記錄，以後顧客再去哪家店、去了幾次、如何談價，該企業都能知道。

清華大學法學院教授程嘯表示：“該企業的行為，顯然不符合個人信息保護法中的‘告知—同意’原則。”在很多應用場景，人臉識別設備的安裝和使用既不會明確告知用户，也不會徵求用户的同意，用户的人臉信息被悄悄地收集和使用，甚至未經授權就挪作他用。

“信息處理者與個人之間存在着明顯的信息不對稱，個人往往缺乏足夠的信息和知識來評估信息收集的風險和後果，有些人也隨意就‘同意’了。”華東政法大學教授張勇説。

同時，不當使用人臉識別技術導致的敏感個人信息泄露也廣受關注。

一些不法分子利用深度偽造技術和泄露的人臉信息，結合AI（人工智能）換臉，實施犯罪行為。去年夏天，浙江某地公安機關發現，境外某平台上有團伙在推廣“幫忙獲取他人網絡信息”的業務。其宣稱，可以利用大模型技術，結合非法獲取的人臉信息製作視頻，突破平台登錄的人臉識別驗證，從而強制登錄平台賬號。

公安機關調查發現，該團伙人員利用外國某AI大模型，結合非法獲取的人臉照片，輸出人臉視頻，進而突破認證，登錄賬號，進一步竊取更多個人信息。很快，相關犯罪嫌疑人被公安機關抓獲。

此外，人臉識別系統因技術問題產生誤判、部分人臉信息收集者對所收集信息存儲不當、特定領域人臉信息處理規定過於寬泛等問題，也困擾着廣大羣眾。

“這些人臉識別亂象，不利於構建安全清朗的網絡生態、保護個人權益。”廈門大學法學院教授郭春鎮説，要健全人臉識別的法律規制模式，回應羣眾關切。

探 索

針對亂象，出台完善相關規範

如何應對刷臉亂象？

“在信息處理中，個人面對的是強大的、組織化的信息處理機構；加之信息時代下個人信息處理往往是動態化、複雜化的，個人難以在參與及做出選擇的過程中保持知情及自治。因此，國家需要以行政執法、公益訴訟等積極行動保護個人信息安全。”北京大學法學院教授王錫鋅説。

就在3月28日，中央網信辦、工業和信息化部、公安部、市場監管總局聯合發佈公告，將開展2025年個人信息保護系列專項行動，其中就明確將“公共場所違法違規收集使用人臉識別信息”作為重點問題之一。近年來的“清朗”系列專項行動，也多次涉及人臉識別的相關問題。

人臉識別相關的違法侵權行為，往往存在取證難等問題，個人維權有時尤其難。這類行為侵害的一般又是很多人的利益。因此，根據個人信息保護法規定，檢察機關等可以提起公益訴訟。

“高清頭像”“可過臉”……廣東廣州某區檢察院在辦理一宗侵犯公民個人信息罪案件時，注意到了卷宗裏的一些詞。鄭某等4人出售包括人臉在內的公民個人信息2000餘條，造成大量公民個人信息被泄露甚至被冒用。

很快，鄭某等受到了刑事處罰。但相關公民的人臉等信息權益還沒有得到復原補償，非法售賣人臉信息造成的危害仍繼續存在。

於是，廣東廣州某區檢察院以鄭某等4人為被告向法院提起民事公益訴訟。最終，法院要求4人配合切斷違法獲取個人信息售賣的網絡，以個人違法所得為標準支付公益損害賠償金，同時以公益宣傳等方式彌補和修復其對社會公共利益造成的損害。

打擊行動見成效，而要從根本上、長遠上解決問題，還需相關規範的跟進完善。

進出小區只能刷臉，合法嗎？2021年7月，最高人民法院發佈關於審理使用人臉識別技術處理個人信息相關民事案件適用法律若干問題的規定。其中明確，物業服務企業或者其他建築物管理人以人臉識別作為業主或者物業使用人出入物業服務區域的唯一驗證方式，不同意的業主或者物業使用人請求其提供其他合理驗證方式的，人民法院依法予以支持。

立法不會缺位。“處理敏感個人信息應當取得個人的單獨同意”，2021年頒佈的個人信息保護法對於人臉識別作出了規定。

“此外，網絡安全法、數據安全法、網絡數據安全管理條例等法律、行政法規都對包括人臉信息在內的個人信息保護作出了規定。”中國信息通信研究院互聯網法律研究中心主任何波説。

跟 進

釐清法律邊界，防範技術風險

“此前的法律、行政法規對個人信息保護的規定較為原則，缺乏針對人臉識別技術應用的專門規則。”何波表示。

民有所呼，法有所應。《辦法》出台，對人臉識別技術應用的範圍和要求作出具體規定。《辦法》聚焦人臉識別技術常見應用場景，為人臉信息的處理劃定了清晰的法律邊界，有效遏制技術濫用風險。

“《辦法》的一大特點，就是對人臉識別技術使用中人民羣眾反映強烈、社會關注度高的問題，給出明確具體的回應，體現了鮮明的問題導向。”國家網信辦數據與技術保障中心副主任王志成説。

去年，有消費者向有關部門反映，上海某區某游泳館更衣室，採用了人臉識別的方式開啓更衣櫃。“屏幕會出現附近來往顧客沒穿衣服的畫面，對個人隱私造成極大危害。”該消費者説。

對此，該區委網信辦協同市場監管、公安等有關部門，核實查驗、指導整改，並依法作出行政處罰。

王志成介紹，針對社會廣泛關注的公共場所、私密空間濫用人臉識別技術的問題，《辦法》第十三條明確規定“任何組織和個人不得在賓館客房、公共浴室、公共更衣室、公共衞生間等公共場所中的私密空間內部安裝人臉識別設備”。

針對社會關注的諸多熱點，《辦法》給出了回應：

——針對強制使用人臉識別技術問題，例如某銀行APP強制人臉驗證登錄，某健身房強制會員刷臉入場等，《辦法》確立非唯一驗證原則，第十條明確規定“實現相同目的或者達到同等業務要求，存在其他非人臉識別技術方式的，不得將人臉識別技術作為唯一驗證方式”。同時，為了減少人臉信息收集、存儲，第十一條明確規定“應用人臉識別技術驗證個人身份、辨識特定個人的，鼓勵優先使用國家人口基礎信息庫、國家網絡身份認證公共服務等渠道實施，減少人臉信息收集、存儲，保護人臉信息安全”。

——針對社會反映強烈的部分弱勢羣體的人臉信息權益受損的問題，《辦法》第五條規定“處理殘疾人、老年人人臉信息的，還應當符合國家有關無障礙環境建設的規定”。

…………

“《辦法》通過個人信息保護影響評估機制，要求個人信息處理者事前評估處理活動的合法性和風險；通過備案制度，增強個人信息處理者責任意識並便於監管部門開展監督；通過數據加密、入侵檢測和防禦等要求，促進個人信息處理者持續改進安全策略和保護措施。”中國法學會網絡與信息法學研究會常務副秘書長周輝介紹。

張勇説，保護人臉信息安全，需要社會各方努力，建議加強包括人臉信息在內的個人信息保護宣傳教育，提升個人信息保護法治意識。