不得強制刷臉！新規施行：人臉信息存儲達10萬人的，需備案

小區、需備案寫字樓強制使用“刷臉”才能通過門禁，強制多地售樓處記錄購房者人臉信息用于“殺熟”定價，刷臉施行公共衛生間“刷臉”才能免費領廁紙……近年來，新規信息越來越多生活工作場景開始使用“刷臉”識別個人信息，人臉人“人臉”逐漸成為人們第二張“身份證”。存儲然而，達萬“刷臉”方便快捷的需備案背后，也暗藏著不少隱私安全擔憂。強制

6月1日，刷臉施行國家網信辦、新規信息公安部聯合公布的人臉人《人臉識別技術應用安全管理辦法》（下稱《辦法》）正式施行，其對應用人臉識別技術處理人臉信息的存儲基本要求和處理規則、人臉識別技術應用安全規范、達萬監督管理職責等作出規定，需備案“刷臉”這一身份識別方式被施上“緊箍咒”。

《辦法》立法依據包括《網絡安全法》《數據安全法》《個人信息保護法》《網絡數據安全管理條例》等法律、行政法規。其適用范圍是在中華人民共和國境內應用人臉識別技術處理人臉信息的活動；在境內為從事人臉識別技術研發、算法訓練活動應用人臉識別技術處理人臉信息的，不適用該辦法的規定。

據南都記者梳理，《辦法》明確了人臉信息的處理規則。首先，在履行告知義務方面，個人信息處理者應用人臉識別技術處理人臉信息前，應當以顯著方式、清晰易懂的語言真實、準確、完整地向個人告知多個事項——個人信息處理者的名稱或者姓名和聯系方式；人臉信息的處理目的、處理方式，處理的人臉信息保存期限；處理人臉信息的必要性以及對個人權益的影響；個人依法行使權利的方式和程序等。

2020年，“94歲老人被抱起做人臉識別”一事曾引發公眾熱議。《辦法》將臉部受傷或有殘缺者、盲人、無法自理的老年人等特殊群體的合法權益也考慮在內，提出“處理殘疾人、老年人人臉信息的，應當符合國家有關無障礙環境建設的規定”。

在獲取同意方面，基于個人同意處理人臉信息的，應當取得個人在充分知情的前提下自愿、明確作出的單獨同意。授予的“同意”能否撤回？《辦法》明確，個人有權撤回同意，個人信息處理者應當提供便捷的撤回同意的方式。不過，個人撤回同意，不影響撤回前基于個人同意已進行的個人信息處理活動的效力。

未成年人個人信息更加敏感，《辦法》規定基于個人同意處理不滿十四周歲未成年人人臉信息的，應當取得其父母或者其他監護人的同意；應用人臉識別技術處理不滿十四周歲未成年人人臉信息的，應當在存儲、使用、轉移、披露等方面制定專門的處理規則，依法保護未成年人個人信息安全。

在信息存儲環節，《辦法》還要求除法律、行政法規另有規定或者取得個人單獨同意外，人臉信息應當存儲于人臉識別設備內，不得通過互聯網對外傳輸。

“刷臉”固然方便快捷，但人臉信息具有唯一性和終身性，一旦泄露，對人身與財產造成的危害也更持久和嚴重，使用“刷臉”應保持謹慎態度。為此，《辦法》明確了人臉識別技術應用安全規范，避免“強制刷臉”等現象發生。

《辦法》規定，實現相同目的或者達到同等業務要求，存在其他非人臉識別技術方式的，不得將人臉識別技術作為唯一驗證方式。個人不同意通過人臉信息進行身份驗證的，應當提供其他合理、便捷的方式。

同時，應用人臉識別技術驗證個人身份、辨識特定個人的，鼓勵優先使用國家人口基礎信息庫、國家網絡身份認證公共服務等渠道實施，減少人臉信息收集、存儲，保護人臉信息安全。

南都記者注意到，《辦法》提到的國家網絡身份認證公共服務，主要依托于國家統一建設的網絡身份認證公共服務平臺，即“國家網絡身份認證”App。

據了解，該App上線于2023年6月，目前已對接400余款App。個人用戶可下載該App，使用法定身份證件在該平臺上申領網號、網證。今后在互聯網平臺接受服務、從事相關活動，若依法需要登記、核驗真實身份信息，可以不再向平臺提供詳細的個人身份信息，而是出示國家統一認證發放的網號、網證，以減少個人信息泄露風險。

近年來，各類侵犯個人隱私的偷拍事件屢見不鮮，已成為公眾的一塊“心病”。《辦法》明確，在公共場所安裝人臉識別設備，應當為維護公共安全所必需，依法合理確定人臉信息采集區域，并設置顯著提示標識。為了防范偷拍事件等，規定任何組織和個人不得在賓館客房、公共浴室、公共更衣室、公共衛生間等公共場所中的私密空間內部安裝人臉識別設備。

值得關注的是，在監督管職責方面，《辦法》要求個人信息處理者應當在應用人臉識別技術處理的人臉信息存儲數量達到10萬人之日起30個工作日內，向所在地省級以上網信部門履行備案手續。

申請備案需要提供哪些信息？《辦法》提到個人信息處理者基本情況、人臉信息處理目的和處理方式、人臉信息存儲數量和安全保護措施、人臉信息的處理規則和操作規程、個人信息保護影響評估報告五類。備案信息發生實質性變更的、終止應用人臉識別技術的，分別應當在變更、終止之日起30個工作日內辦理備案變更、注銷備案手續。

目前，上述備案要求已逐步落地。5月30日，國家網信辦宣布針對人臉信息存儲數量達到10萬人的個人信息處理者，開展人臉識別技術應用備案工作，并明確了辦理時限。

具體而言，自6月1日起，應用人臉識別技術處理的人臉信息存儲數量達到10萬人的，應當自數量達到之日起30個工作日內履行備案手續。6月1日前，人臉信息存儲數量已經達到10萬人的，應當在7月14日前履行備案手續。