不得强制刷脸！新规施行：人脸信息存储达10万人的，需备案

小区、写字楼强制使用“刷脸”才能通过门禁，多地售楼处记录购房者人脸信息用于“杀熟”定价，公共卫生间“刷脸”才能免费领厕纸……近年来，越来越多生活工作场景开始使用“刷脸”识别个人信息，“人脸”逐渐成为人们第二张“身份证”。然而，“刷脸”方便快捷的背后，也暗藏着不少隐私安全担忧。

6月1日，国家网信办、公安部联合公布的《人脸识别技术应用安全管理办法》（下称《办法》）正式施行，其对应用人脸识别技术处理人脸信息的基本要求和处理规则、人脸识别技术应用安全规范、监督管理职责等作出规定，“刷脸”这一身份识别方式被施上“紧箍咒”。

《办法》立法依据包括《网络安全法》《数据安全法》《个人信息保护法》《网络数据安全管理条例》等法律、行政法规。其适用范围是在中华人民共和国境内应用人脸识别技术处理人脸信息的活动；在境内为从事人脸识别技术研发、算法训练活动应用人脸识别技术处理人脸信息的，不适用该办法的规定。

据南都记者梳理，《办法》明确了人脸信息的处理规则。首先，在履行告知义务方面，个人信息处理者应用人脸识别技术处理人脸信息前，应当以显著方式、清晰易懂的语言真实、准确、完整地向个人告知多个事项——个人信息处理者的名称或者姓名和联系方式；人脸信息的处理目的、处理方式，处理的人脸信息保存期限；处理人脸信息的必要性以及对个人权益的影响；个人依法行使权利的方式和程序等。

2020年，“94岁老人被抱起做人脸识别”一事曾引发公众热议。《办法》将脸部受伤或有残缺者、盲人、无法自理的老年人等特殊群体的合法权益也考虑在内，提出“处理残疾人、老年人人脸信息的，应当符合国家有关无障碍环境建设的规定”。

在获取同意方面，基于个人同意处理人脸信息的，应当取得个人在充分知情的前提下自愿、明确作出的单独同意。授予的“同意”能否撤回？《办法》明确，个人有权撤回同意，个人信息处理者应当提供便捷的撤回同意的方式。不过，个人撤回同意，不影响撤回前基于个人同意已进行的个人信息处理活动的效力。

未成年人个人信息更加敏感，《办法》规定基于个人同意处理不满十四周岁未成年人人脸信息的，应当取得其父母或者其他监护人的同意；应用人脸识别技术处理不满十四周岁未成年人人脸信息的，应当在存储、使用、转移、披露等方面制定专门的处理规则，依法保护未成年人个人信息安全。

在信息存储环节，《办法》还要求除法律、行政法规另有规定或者取得个人单独同意外，人脸信息应当存储于人脸识别设备内，不得通过互联网对外传输。

“刷脸”固然方便快捷，但人脸信息具有唯一性和终身性，一旦泄露，对人身与财产造成的危害也更持久和严重，使用“刷脸”应保持谨慎态度。为此，《办法》明确了人脸识别技术应用安全规范，避免“强制刷脸”等现象发生。

《办法》规定，实现相同目的或者达到同等业务要求，存在其他非人脸识别技术方式的，不得将人脸识别技术作为唯一验证方式。个人不同意通过人脸信息进行身份验证的，应当提供其他合理、便捷的方式。

同时，应用人脸识别技术验证个人身份、辨识特定个人的，鼓励优先使用国家人口基础信息库、国家网络身份认证公共服务等渠道实施，减少人脸信息收集、存储，保护人脸信息安全。

南都记者注意到，《办法》提到的国家网络身份认证公共服务，主要依托于国家统一建设的网络身份认证公共服务平台，即“国家网络身份认证”App。

据了解，该App上线于2023年6月，目前已对接400余款App。个人用户可下载该App，使用法定身份证件在该平台上申领网号、网证。今后在互联网平台接受服务、从事相关活动，若依法需要登记、核验真实身份信息，可以不再向平台提供详细的个人身份信息，而是出示国家统一认证发放的网号、网证，以减少个人信息泄露风险。

近年来，各类侵犯个人隐私的偷拍事件屡见不鲜，已成为公众的一块“心病”。《办法》明确，在公共场所安装人脸识别设备，应当为维护公共安全所必需，依法合理确定人脸信息采集区域，并设置显著提示标识。为了防范偷拍事件等，规定任何组织和个人不得在宾馆客房、公共浴室、公共更衣室、公共卫生间等公共场所中的私密空间内部安装人脸识别设备。

值得关注的是，在监督管职责方面，《办法》要求个人信息处理者应当在应用人脸识别技术处理的人脸信息存储数量达到10万人之日起30个工作日内，向所在地省级以上网信部门履行备案手续。

申请备案需要提供哪些信息？《办法》提到个人信息处理者基本情况、人脸信息处理目的和处理方式、人脸信息存储数量和安全保护措施、人脸信息的处理规则和操作规程、个人信息保护影响评估报告五类。备案信息发生实质性变更的、终止应用人脸识别技术的，分别应当在变更、终止之日起30个工作日内办理备案变更、注销备案手续。

目前，上述备案要求已逐步落地。5月30日，国家网信办宣布针对人脸信息存储数量达到10万人的个人信息处理者，开展人脸识别技术应用备案工作，并明确了办理时限。

具体而言，自6月1日起，应用人脸识别技术处理的人脸信息存储数量达到10万人的，应当自数量达到之日起30个工作日内履行备案手续。6月1日前，人脸信息存储数量已经达到10万人的，应当在7月14日前履行备案手续。

采写：南都记者 樊文扬