近年来，人脸识别技术被应用于多个领域，比如刷脸支付、刷脸进小区、刷脸上下班打卡等，可以说遍布我们的衣食住行。然而便捷的背后，也隐藏着不容忽视的隐忧。比如很多人担心，万一脸被“盗用”了，可能导致个人信息泄露，被不法分子利用实施诈骗等。
为了规范人脸识别技术的使用，保护我们的个人信息安全，3月21日，国家互联网信息办公室和公安部联合发布《人脸识别技术应用安全管理办法》，《办法》将于今年6月1日开始正式实施。人脸识别技术应用，如何“立规矩”？我们可以向“强制刷脸”说“不”吗？在公共场所安装人脸识别设备有什么要求？
遭遇“强制刷脸”怎么办？
我们先来看几个关注度很高的刷脸场景，比如“刷脸”住宿、“刷脸”进小区，你是不是也遇到过这类“强制刷脸”问题？针对这类问题，《办法》中是如何规定的呢？
《人脸识别技术应用安全管理办法》在技术应用安全规范方面明确了不能把人脸识别作为唯一方式，具体规定为：实现相同目的或者达到同等业务要求，存在其他非人脸识别技术方式的，不得将人脸识别技术作为唯一验证方式。国家另有规定的，从其规定。
中国社会科学院大学互联网法治研究中心主任 刘晓春：比较典型的是线上，有时候我们在线上办一些手续，金融相关的或者一些强身份验证的，这个时候除了刷人脸，要提供其他的可行的替代的便捷方式。比如说要有一个线下的渠道，或者说是可替代的线上的其他方式。
不得以办理业务提升服务为由
强迫或误导刷脸
其次《办法》还规定，应用人脸识别技术验证个人身份、辨识特定个人的，鼓励优先使用国家人口基础信息库、国家网络身份认证公共服务等渠道实施。 同时还规定了任何组织和个人不得以办理业务、提升服务质量等为由，误导、欺诈、胁迫个人接受人脸识别技术验证个人身份。
中国信息通信研究院互联网法律研究中心主任 何波：在实践中，有一些主体或者企业，倾向于采取刷脸的方式引诱或者胁迫个人同意通过人脸识别验证的方式，但是在一定程度上侵害了我们个人的权利。我觉得这一条的意义，一方面给我们处于弱势一方的个人提供了明确的法律依据，另一方面在一定程度上对于我们的个人信息处理者，他的行为规范做了严格的要求。
公共场所安装人脸识别设备有何要求？
去年，上海一家游泳馆的更衣室，采用了人脸识别的方式开启更衣柜，当摄像头开启时，更衣室内的情况一览无余。经当地有关部门核实查验后，涉事游泳馆被处罚。在健身房、游泳馆、商场超市、旅游景区等公共场所安装人脸识别设备，《人脸识别技术应用安全管理办法》有何具体要求？
《人脸识别技术应用安全管理办法》还规定了在公共场所安装人脸识别设备，应当为维护公共安全所必需，依法合理确定人脸信息采集区域，并设置显著提示标识。任何组织和个人不得在宾馆客房、公共浴室、公共更衣室、公共卫生间等公共场所中的私密空间内部安装人脸识别设备。
中国社会科学院大学互联网法治研究中心主任 刘晓春：人脸识别设备是要严格限定在维护公共安全所必需，首先需要把这个范围划得比较合理，不能过分扩张，超出必要性。 另外，也需要在人脸识别的设备上有一个显著的标识，“此处有摄像头”。同时如果是在公共场所的一些私密的空间，比如说客房、公共浴室、更衣室、卫生间这些场所，它虽然也是公共场所，但它属于私密空间，是严格禁止去安装人脸识别设备的。
处理人脸信息 应遵守哪些“规矩”？
人脸信息是敏感个人信息，一旦泄露，容易对个人的人身和财产安全造成重大危害，甚至威胁公共安全。对应用人脸识别技术处理人脸信息活动，《办法》中提出了哪些具体要求？
《人脸识别技术应用安全管理办法》中规定了应用人脸识别技术处理人脸信息的不同具体规范。人脸识别技术应用应当具有特定的目的和充分的必要性，采取对个人权益影响最小的方式，并实施严格保护措施。
中国信息通信研究院互联网法律研究中心主任 何波：要利用人脸识别技术处理个人信息，需要具有充分的必要性。比如说在公共场所，为了公共的安全所必需；比如说在小区管理里面，为了小区的安全这样一个特定的目的；再比如说在金融支付里面，为了防止网络电信诈骗。出于这样的考量，所以使用了人脸识别的技术。
专家表示，新规明确了应用人脸识别技术处理人脸信息的，应该有充分必要性，并且应当遵守法律法规，尊重社会公德和伦理，遵守商业道德和职业道德等。
《办法》还规定：使用人脸识别信息应当履行告知义务，处理残疾人、老年人人脸信息的，还应当符合国家有关无障碍环境建设的规定。基于个人同意处理人脸信息的，应当取得个人在充分知情的前提下自愿、明确作出的单独同意。基于个人同意处理不满十四周岁未成年人人脸信息的，应当取得未成年人的父母或者其他监护人的同意。
人脸信息的存储与传输有何规定？
此外，《办法》还规定，除法律、行政法规另有规定或者取得个人单独同意外，人脸信息应当存储于人脸识别设备内，不得通过互联网对外传输。
中国信息通信研究院互联网法律研究中心主任 何波：这个规定目的其实很明确，大家都知道人脸信息本身的特殊性，一旦通过互联网去传播或者提供的话，后面的风险就很大。要求在设备内存储，其实是通过物理存储的方式来避免信息向第三方提供。比如说，银行基于业务的需求，采集了我们的人脸信息，业务办理完成了，没有存储必要性了，按照要求银行应该删除我们的人脸信息。
个人信息处理者如何履行备案手续？
当大量的人脸信息被采集、存储，这些敏感的个人信息关系到公共利益甚至是国家安全。对此，《办法》中有一个制度上的创新，就是设立了备案制度。为何要建立备案制度？个人信息处理者又该如何履行备案手续呢？
《人脸识别技术应用安全管理办法》从信息数量、备案时间、备案部门、备案材料、备案变更和注销五个方面对个人信息处理者应用人脸识别技术处理人脸信息备案提出了具体要求。《办法》规定，个人信息处理者应当在应用人脸识别技术处理的人脸信息存储数量达到10万人之日起30个工作日内向所在地省级以上网信部门履行备案手续。
中国信息通信研究院互联网法律研究中心主任 何波：这是一个非常重要的制度创新，因为10万人的敏感个人信息，是一个数量比较大的体量，所以在分级分类的思路基础上，将10万人以上的敏感个人信息作为一个特类特殊的信息，规定了备案的要求。通过这样的备案手段，能够及时掌握这些信息的处理情况，在保护我们个人信息的同时，也能有效地去维护相关的公共安全或者是国家利益。
