人脸识别的监管立法趋势及主要法律问题

专家介绍

黄春林

黄春林律师，现为汇业律师事务所高级合伙人，主要执业领域为网络与数据合规、高新技术及泛娱乐领域综合法律服务，常年为数十家境内外企业提供前瞻性法律服务解决方案，2020年初在人民法院出版社出版专著《网络与数据法律实务：法律适用及合规落地》。

黄律师先后被商法、Legalband、知产力、Lawfirm50等第三方评级机构推荐为数据与网络、知识产权等领域全国领先律师。现任上海律协互联网业务委员会副主任，中华全国律协信息网络与高新技术委员会委员，上海律协执业考核委员会、律所规范与发展委员会、信息化建设委员会委员，同济大学和华东师范大学实务导师、上海交通大学网络空间治理研究中心特邀研究员等职务。

目

录

  人脸识别相关的法律、政策及标准概览

  人脸识别系统的主要问题

  人脸识别信息全生命周期合规

  特殊领域人脸识别技术合规

  企业现在到底要做什么？

一、人脸识别相关的法律、政策及标准概览

二、人脸识别系统的主要问题

个人信息控制者应对委托行为进行个人信息安全影响评估，确保受委托者达到11.5的数据安全能力要求。

——《个人信息安全规范》

电信业务经营者、互联网信息服务提供者委托他人代理市场销售和技术服务等直接面向用户的服务性工作，涉及收集、使用用户个人信息的，应当对代理人的用户个人信息保护工作进行监督和管理，不得委托不符合本规定有关用户个人信息保护要求的代理人代办相关服务。

——工信部24号令

应对个人金融信息生命周期过程中相关的外包服务机构与外部合作机构进行审查与评估。评估其个人金融信息的保护能力是否达到国家、行业主管部门与金融业机构的要求。

——《个人金融信息保护技术规范》

三、人脸识别信息全生命周期合规

  存储最小化：摘要存储、本地存储、期限最小化

  存储隔离原则：与身份信息隔离；避免采取身份信息标识

  存储数据可溯源：数字水印技术

  加密技术合规：商用密码认证与测评

  跨境存储合规：本地化 & 安全评估

  备份与归档合规：同等原则

  缓存机制

原则不得提供+单独告知/同意

委托处理 ≠ 对外提供
业务外包 ≠ 对外提供

API OR SDK ？

《负责任地使用人脸识别技术的政策框架》

避免偏见和歧视
合比例使用
隐私保护
问责制
风险评估与审计
性能
知情权
同意
通知
儿童权利
替代选择和人工介入

（2018）粤0306民初23342号：

被告东航股份公司作为实际出票人和承运人，同样掌握了原告的姓名、身份证号、手机号、行程信息等个人信息，其应举证证明已采取有效措施保护乘客的个人信息。

被告东航股份公司提交了一系列证据证明其针对可查看订单信息的“东航B2C会员专区后台管理系统”进行了数据脱敏设置，确保任何人都无法通过该系统查询到订单信息所对应的订票人身份证号、手机号及联系人手机号；并制订了严密的安全管理制度，对数据存储安全进行专门认证、执行个人信息保护和数据安全方面最严格的国际规范等等。

基于被告东航股份公司已充分举证，故本院认为被告东航股份公司在自身掌握信息阶段不存在泄露原告信息的事实。

东航提交证据情况：

信息系统安全等级测评报告、安全保护登记认证年度测评情况说明、信息系统的登记保护备案证明、公安部第三研究所网站介绍、《网络安全合作协议》、东航NGFW选型测试报告、委托贝克进行合规的合同、委托安永进行合规的合同、东航个人信息保护政策的测评报道、2018年度常用APG隐私政策透明度排行报告

四、特殊领域人脸识别技术合规

新零售

显著处张贴告知：

注 意：
该区域设有人脸识别设备，您的面部信息可能被收集。详情可咨询服务台或扫描二维码。

在不特定人群进入的公共场所收集人脸等个人敏感信息的，明确标识信息采集设备的性质和目的。

金融科技

应用场景：身份识别、身份验证、活体检测、双录、OCR、风控与反欺诈、线下支付、智慧网点（例如VIP客户识别、客流分析）、智能安防（例如押运、金库、预警及安防黑名单等）、网点员工管理等。

• 人脸识别信息是否属于个人金融信息？
• 保险、基金、信托等产品合同签署环节的“双录”，属于收集人脸识别信息吗？
• 金融机构的人脸识别模块是否可以外包？
• 金融场景使用人脸识别鉴身的证据效力如何？

司法层面
电子证据效力判断

监管层面
表达意愿、多重认证

智能安防

• 供应商资质审查
• 人脸识别数据存储
• 黑名单机制
• 微表情技术应用合规

五、企业现在到底要做什么？