【原】向“強制刷臉”說“NO”！人臉信息安全保護有了新辦法

近日，國家互聯網信息辦公室、公安部聯合公布《人臉識別技術應用安全管理辦法》（以下簡稱《辦法》），自2025年6月1日起施行。

從《中華人民共和國網絡安全法》《中華人民共和國數據安全法》到《中華人民共和國個人信息保護法》，一系列相關法律法規相繼落地，我國個人信息保護體系正在逐步完善。

“《辦法》首次以專門法律文件形式系統規定了人臉識別技術應用安全管理的制度框架，明確了人臉識別技術相關概念范圍，厘清了技術應用邊界。”北京師范大學法學院博士生導師、中國互聯網協會研究中心副主任吳沈括告訴《中國報道》記者。

有關“人臉識別”的爭議從未停止。今年2月，廣西大學一名法學研究生因不滿山姆超市強制使用人臉識別，以“涉嫌違法”為由將其告上法庭，目前廣西南寧市西鄉塘區人民法院已對此立案。而此前，曾有多位明星的人臉識別照片遭泄露并在網絡黑市售賣，這些事件進一步加劇了公眾對生物信息安全問題的擔憂。

“當前社會上存在公共場所無差別采集人臉信息，企業強制要求'刷臉’認證等亂象，更有不法分子倒賣人臉數據進行牟利。”吳沈括指出，人臉數據作為敏感生物信息，一旦泄露可能導致個人詐騙、身份盜用等嚴重后果。

受訪專家們普遍認為，日益迫切的個人信息保護需求與技術濫用帶來的安全風險是此次新規出臺的兩大現實動因。

針對人臉識別技術應用亂象，《辦法》從多個維度劃定了技術紅線，它不僅明確了應用人臉識別技術處理人臉信息的規則，還對人臉識別技術應用的安全規范提出了要求。《辦法》規定，應用人臉識別技術處理人臉信息時需要有特定目的與充分必要性，個人信息處理者有告知、保護個人信息等義務。同時，規定存在其他非人臉識別技術方式的，不得將人臉識別技術作為唯一驗證方式。

“'保障個人自主選擇權’和'強化未成年人保護’是新規中的重要方面。”賽迪研究院網絡安全研究所、數據安全研究室副主任李立雪告訴《中國報道》記者，例如新規第十條明確禁止“強制刷臉”行為，規定個人不同意通過人臉信息進行身份驗證的，應當提供其他合理、便捷的方式；新規第七條則對未成年人人臉數據設置更高保護標準，規定基于個人同意處理不滿十四周歲未成年人人臉信息的，應當取得未成年人的父母或者其他監護人的同意。

此外，新規創新之處還在于其明確了監管職責與法律責任，構建起覆蓋技術應用全生命周期的管理體系。依據《辦法》要求，個人信息處理者應當在應用人臉識別技術處理的人臉信息存儲數量達到10萬人之日起30個工作日內向所在地省級以上網信部門履行備案手續。“這一備案制度體現了監管部門前移治理關口，最大限度降低安全風險水平的綜合治理思路。”吳沈括解讀道。

吳沈括認為，新規突出對人臉識別技術應用的全要素監管、全流程規范。從人臉識別設備的安裝到圖像的采集，從數據的處理、存儲到數據的提供、刪除，從技術應用的準度、精度到置信度閾值的設定，從技術使用者到產品或服務提供者的責任義務，都作出明確且細致的規定。同時，新規還開創了多元共治的治理范式，明確了備案制與動態監管機制。這些規范舉措，一方面將提升相關業務的合規程度，另一方面也會加強相關部門之間的聯動監管與協同監管。

“新規的這些亮點和創新之處，既回應了公眾對隱私安全的期待，也為數字經濟可持續發展提供了制度保障。”吳沈括進一步補充道。

自2024年起，北京、深圳等多個城市陸續取消了入住酒店必須強制刷臉的規定。與此同時，上海針對人臉識別技術濫用的情況，開展了“亮劍浦江·2024”消費領域個人信息權益保護專項執法行動，并提出了公共場所“以不刷臉為原則、刷臉為例外”“收集端總體減少數量、存儲端確保安全無虞”的治理目標，涉及健身房、商場超市、無人售貨機、旅游景區、住宅小區等各種各樣的消費場所。

據了解，截至2024年底，上海已有600余家商場、6300余家酒店、1200余個游泳館和健身場所、2900余個公共廁所等場所完成了人臉識別設備的自查和整改。但需要指出的是，這并非以正式成文規定的形式在全國推行，在當前的公共區域和商業消費場所中，“刷臉”認證的方式仍然存在。

此次，《辦法》第十條明確規定，當存在其他驗證方式時，不得將人臉識別技術作為唯一驗證方式。第十一條則要求若應用人臉識別技術驗證個人身份、辨識特定個人的，鼓勵優先使用國家人口基礎信息庫、國家網絡身份認證公共服務等渠道實施。

在各類消費場景中，商業機構作為涉及場景最為廣泛的主體，其用戶驗證模式將迎來全新的變化。

“商業機構在設計用戶驗證流程時，必須考慮多種驗證方式的組合，而不能僅依賴人臉識別技術。”吳沈括說道，例如，在會員注冊、支付驗證等場景中，需提供密碼、短信驗證碼、指紋識別等多種替代方案，以滿足不同用戶的需求。其次，相關規定將促使商業機構更加注重用戶自主選擇權，尊重用戶對個人隱私的保護意愿。最后，這些規定也有助于減少人臉識別技術的濫用，降低因過度采集人臉信息而帶來的隱私泄露風險。

李立雪分析，新規出臺一方面能推動商業機構更加注重改進和優化用戶體驗；另一方面，商業機構也能更重視驗證的安全性和可靠性，多樣的驗證方式組合將會降低因單一人臉識別方式可能導致的技術故障、信息泄露等風險，提高用戶身份驗證系統的穩定性和安全性，同時也會促使商業機構投入更多資源用于安全合規和隱私保護。

李立雪強調，在新規落地實施之后，人臉識別技術應用將迎來三大變化，一是技術應用合規性加強，二是數據安全保障能力提升，三是監管力度進一步加大。

在2024至2025年期間，AI換臉技術的應用與市場規模呈現出顯著的增長趨勢。根據QY Research的統計及預測，2024年全球AI換臉軟件市場銷售額達到了1.32億美元，預計2031年將達到1.76億美元。但技術廣泛應用的背后，虛假身份、詐騙等問題正層出不窮。

2024年，杭州警方破獲一起“AI換臉技術”侵犯隱私案，犯罪團伙利用該技術成功突破平臺的人臉認證系統，獲取并出售了大量受害人的個人信息。截至被逮捕前，團伙已獲利20多萬元。

在人臉識別技術被不當使用的同時，AI換臉技術的亂象也如影隨形，成為一個不容忽視的問題。

“當前，不法分子利用AI換臉技術從事網絡詐騙、偽造身份、傳播虛假信息、生成色情內容等非法活動的現象屢見不鮮。這些行為嚴重侵犯了個人隱私，對社會秩序構成了嚴重威脅。”李立雪分析道，AI換臉技術的濫用，不僅增加了身份信息的盜用風險，還進一步加劇了人臉信息泄露的風險。

在今年全國兩會期間，全國政協委員、演員靳東再次就AI技術與網絡平臺治理建言獻策。作為連續兩年提交相關提案的委員，靳東對利用AI換臉技術實施的詐騙行為表示強烈譴責。他提到，許多喜愛他作品的觀眾，因AI偽造的視頻遭受詐騙，損失慘重。他建議應加快完善相關法律法規，建立更有效的監管機制，保護公眾權益。

“新規將推動AI換臉技術在合法、安全的框架內發展，保護公眾利益。”吳沈括說。

李立雪則認為，新規明確了人臉識別技術應用的邊界，將有助于從源頭上減少非法獲取和濫用人臉信息的行為，從而降低AI換臉技術被用于違法犯罪的風險。同時，新規要求人臉識別技術應用系統采取多種安全措施，將增強對AI換臉攻擊的防范能力。此外，新規還明確了監管責任主體，將使得AI換臉等安全問題的監管更加有章可循，形成有效的監管合力。

國務院新聞辦相關負責人在答記者問時表示，我們還要堅持發展與安全并重，妥善處理促進創新和依法治理之間的關系。新規在保護個人信息權益的同時，也鼓勵人臉識別技術的應用和創新。其中，明確在中華人民共和國境內為從事人臉識別技術研發、算法訓練活動應用人臉識別技術處理人臉信息的，不適用本辦法的規定，為開展人臉識別技術的攻關研究和應用創新預留空間。