人脸信息安全保护有了新办法（深阅读）

宾馆客房、公共浴室等内部不得安装人脸识别设备，“强制刷脸”受到规范

人脸信息安全保护有了新办法（深阅读）

小区门禁必须“刷脸”才能解锁，移动支付平台不知何时开通了“扫脸即付”，人脸信息在不法平台上“0.5元一张”……人脸识别技术便利人们生活的同时，随之而来的一些现象也引发了公众对个人信息安全的担忧。

以个人信息保护法为代表，各部门从立法、执法等多方面不断加强人脸识别技术应用的治理。3月，国家网信办、公安部联合公布了《人脸识别技术应用安全管理办法》（以下简称《办法》），对应用人脸识别技术处理人脸信息的基本要求和处理规则、人脸识别技术应用安全规范等作出规定，将于6月1日起实施。

烦  恼

滥用人脸识别，信息储存不当

“告知—同意”是个人信息保护法等确立的个人信息保护核心规则，将信息主体的“同意”视为人脸信息处理行为的必要条件。但常有商家无视“告知—同意”原则，滥用人脸识别。

此前，某装修企业被曝光在各门店安装了具备人脸识别功能的摄像头，顾客一旦进入该企业门店，人脸信息就会在不知情的情况下被捕捉、记录，以后顾客再去哪家店、去了几次、如何谈价，该企业都能知道。

清华大学法学院教授程啸表示：“该企业的行为，显然不符合个人信息保护法中的‘告知—同意’原则。”在很多应用场景，人脸识别设备的安装和使用既不会明确告知用户，也不会征求用户的同意，用户的人脸信息被悄悄地收集和使用，甚至未经授权就挪作他用。

“信息处理者与个人之间存在着明显的信息不对称，个人往往缺乏足够的信息和知识来评估信息收集的风险和后果，有些人也随意就‘同意’了。”华东政法大学教授张勇说。

同时，不当使用人脸识别技术导致的敏感个人信息泄露也广受关注。

一些不法分子利用深度伪造技术和泄露的人脸信息，结合AI（人工智能）换脸，实施犯罪行为。去年夏天，浙江某地公安机关发现，境外某平台上有团伙在推广“帮忙获取他人网络信息”的业务。其宣称，可以利用大模型技术，结合非法获取的人脸信息制作视频，突破平台登录的人脸识别验证，从而强制登录平台账号。

公安机关调查发现，该团伙人员利用外国某AI大模型，结合非法获取的人脸照片，输出人脸视频，进而突破认证，登录账号，进一步窃取更多个人信息。很快，相关犯罪嫌疑人被公安机关抓获。

此外，人脸识别系统因技术问题产生误判、部分人脸信息收集者对所收集信息存储不当、特定领域人脸信息处理规定过于宽泛等问题，也困扰着广大群众。

“这些人脸识别乱象，不利于构建安全清朗的网络生态、保护个人权益。”厦门大学法学院教授郭春镇说，要健全人脸识别的法律规制模式，回应群众关切。

探  索

针对乱象，出台完善相关规范

如何应对刷脸乱象？

“在信息处理中，个人面对的是强大的、组织化的信息处理机构；加之信息时代下个人信息处理往往是动态化、复杂化的，个人难以在参与及做出选择的过程中保持知情及自治。因此，国家需要以行政执法、公益诉讼等积极行动保护个人信息安全。”北京大学法学院教授王锡锌说。

就在3月28日，中央网信办、工业和信息化部、公安部、市场监管总局联合发布公告，将开展2025年个人信息保护系列专项行动，其中就明确将“公共场所违法违规收集使用人脸识别信息”作为重点问题之一。近年来的“清朗”系列专项行动，也多次涉及人脸识别的相关问题。

人脸识别相关的违法侵权行为，往往存在取证难等问题，个人维权有时尤其难。这类行为侵害的一般又是很多人的利益。因此，根据个人信息保护法规定，检察机关等可以提起公益诉讼。

“高清头像”“可过脸”……广东广州某区检察院在办理一宗侵犯公民个人信息罪案件时，注意到了卷宗里的一些词。郑某等4人出售包括人脸在内的公民个人信息2000余条，造成大量公民个人信息被泄露甚至被冒用。

很快，郑某等受到了刑事处罚。但相关公民的人脸等信息权益还没有得到复原补偿，非法售卖人脸信息造成的危害仍继续存在。

于是，广东广州某区检察院以郑某等4人为被告向法院提起民事公益诉讼。最终，法院要求4人配合切断违法获取个人信息售卖的网络，以个人违法所得为标准支付公益损害赔偿金，同时以公益宣传等方式弥补和修复其对社会公共利益造成的损害。

打击行动见成效，而要从根本上、长远上解决问题，还需相关规范的跟进完善。

进出小区只能刷脸，合法吗？2021年7月，最高人民法院发布关于审理使用人脸识别技术处理个人信息相关民事案件适用法律若干问题的规定。其中明确，物业服务企业或者其他建筑物管理人以人脸识别作为业主或者物业使用人出入物业服务区域的唯一验证方式，不同意的业主或者物业使用人请求其提供其他合理验证方式的，人民法院依法予以支持。

立法不会缺位。“处理敏感个人信息应当取得个人的单独同意”，2021年颁布的个人信息保护法对于人脸识别作出了规定。

“此外，网络安全法、数据安全法、网络数据安全管理条例等法律、行政法规都对包括人脸信息在内的个人信息保护作出了规定。”中国信息通信研究院互联网法律研究中心主任何波说。

跟  进

厘清法律边界，防范技术风险

“此前的法律、行政法规对个人信息保护的规定较为原则，缺乏针对人脸识别技术应用的专门规则。”何波表示。

民有所呼，法有所应。《办法》出台，对人脸识别技术应用的范围和要求作出具体规定。《办法》聚焦人脸识别技术常见应用场景，为人脸信息的处理划定了清晰的法律边界，有效遏制技术滥用风险。

“《办法》的一大特点，就是对人脸识别技术使用中人民群众反映强烈、社会关注度高的问题，给出明确具体的回应，体现了鲜明的问题导向。”国家网信办数据与技术保障中心副主任王志成说。

去年，有消费者向有关部门反映，上海某区某游泳馆更衣室，采用了人脸识别的方式开启更衣柜。“屏幕会出现附近来往顾客没穿衣服的画面，对个人隐私造成极大危害。”该消费者说。

对此，该区委网信办协同市场监管、公安等有关部门，核实查验、指导整改，并依法作出行政处罚。

王志成介绍，针对社会广泛关注的公共场所、私密空间滥用人脸识别技术的问题，《办法》第十三条明确规定“任何组织和个人不得在宾馆客房、公共浴室、公共更衣室、公共卫生间等公共场所中的私密空间内部安装人脸识别设备”。

针对社会关注的诸多热点，《办法》给出了回应：

——针对强制使用人脸识别技术问题，例如某银行APP强制人脸验证登录，某健身房强制会员刷脸入场等，《办法》确立非唯一验证原则，第十条明确规定“实现相同目的或者达到同等业务要求，存在其他非人脸识别技术方式的，不得将人脸识别技术作为唯一验证方式”。同时，为了减少人脸信息收集、存储，第十一条明确规定“应用人脸识别技术验证个人身份、辨识特定个人的，鼓励优先使用国家人口基础信息库、国家网络身份认证公共服务等渠道实施，减少人脸信息收集、存储，保护人脸信息安全”。

——针对社会反映强烈的部分弱势群体的人脸信息权益受损的问题，《办法》第五条规定“处理残疾人、老年人人脸信息的，还应当符合国家有关无障碍环境建设的规定”。

…………

“《办法》通过个人信息保护影响评估机制，要求个人信息处理者事前评估处理活动的合法性和风险；通过备案制度，增强个人信息处理者责任意识并便于监管部门开展监督；通过数据加密、入侵检测和防御等要求，促进个人信息处理者持续改进安全策略和保护措施。”中国法学会网络与信息法学研究会常务副秘书长周辉介绍。

张勇说，保护人脸信息安全，需要社会各方努力，建议加强包括人脸信息在内的个人信息保护宣传教育，提升个人信息保护法治意识。