為(wèi)规范人脸识别技(jì )术应用(yòng)，根据《中(zhōng)华人民(mín)共和國(guó)网络安(ān)全法》《中(zhōng)华人民(mín)共和國(guó)数据安(ān)全法》《中(zhōng)华人民(mín)共和國(guó)个人信息保护法》等法律法规，國(guó)家互联网信息办(bàn)公(gōng)室起草(cǎo)了《人脸识别技(jì )术应用(yòng)安(ān)全管理(lǐ)规定（试行）（征求意见稿）》（以下简称為(wèi)《规定》）。

爱加密从《规定》全文(wén)25条法规中(zhōng)，按照强调的领域归纳了五大重点，《规定》全文(wén)可(kě)见文(wén)末。

 

刑事责任

《规定》第二十三条 人脸识别技(jì )术使用(yòng)者或者相关产(chǎn)品、服務(wù)提供者违反本规定的、由网信、電(diàn)信、公(gōng)安(ān)、市场监管等有(yǒu)关部门在职责范围内依照《中(zhōng)华人民(mín)共和國(guó)网络安(ān)全法》《中(zhōng)华人民(mín)共和國(guó)数据安(ān)全法》《中(zhōng)华人民(mín)共和國(guó)个人信息保护法》等法律法规进行处罚。违反《治安(ān)管理(lǐ)处罚法》的，依法给予治安(ān)管理(lǐ)处罚；构成犯罪的，依法追究刑事责任。

 

合规要求

《规定》中(zhōng)明确了技(jì )术应用(yòng)中(zhōng)需遵守的三大原则

1.最小(xiǎo)必要原则：企业拥有(yǒu)特定的目的和充分(fēn)的必要性，并采取严格保护措施的情形下才能(néng)使用(yòng)人脸识别技(jì )术，并将技(jì )术应用(yòng)限定在最小(xiǎo)必要的时间、地点或者人群范围内。

2.公(gōng)私有(yǒu)别原则：《规定》中(zhōng)将人脸技(jì )术应用(yòng)场所分(fēn)為(wèi)：公(gōng)共场合、经营场所、内部管理(lǐ)、隐私场所、场所管理(lǐ)场景，法规中(zhōng)对人脸技(jì )术在各场所中(zhōng)的使用(yòng)制定了不同的要求。

3.用(yòng)户自愿原则：企业进行人脸信息采集、处理(lǐ)必须获得用(yòng)户单独同意，其中(zhōng)未成年用(yòng)户需要经过监护人单独同意。

 

影响评估

《规定》提出必须进行个人信息保护影响评估，并对处理(lǐ)情况进行记录，个人信息保护影响评估报告应当至少保存三年。一旦出现变化应当重新(xīn)进行个人信息保护影响评估。。

个人信息保护影响评估主要包括下列内容：

（一）是否符合法律、行政法规的规定和國(guó)家标准的强制性要求，是否符合伦理(lǐ)道德(dé)；

（二）处理(lǐ)人脸信息是否具(jù)有(yǒu)特定的目的和充分(fēn)的必要性；

（三）是否限于实现目的所必需的准度、精(jīng)度及距离要求；

（四）采取的保护措施是否合法有(yǒu)效并与风险程度相适应；

（五）发生或者可(kě)能(néng)发生人脸信息泄露、篡改、丢失、毁损或者被非法获取、非法利用(yòng)的风险以及可(kě)能(néng)造成的危害；

（六）可(kě)能(néng)对个人权益带来的损害和影响，以及降低不利影响的措施是否有(yǒu)效。

 

申请备案

在公(gōng)共场所使用(yòng)人脸识别技(jì )术，或者存储超过1万人人脸信息的人脸识别技(jì )术使用(yòng)者，应向网信部门备案。备案信息发生实质(zhì)性变更的，需办(bàn)理(lǐ)备案变更手续。

 

每年检测

《规定》提出人脸识别技(jì )术使用(yòng)者应每年针对安(ān)全性和可(kě)能(néng)存在的风险进行检测评估，采取有(yǒu)效措施保护图像采集设备、个人身份识别设备免受攻击、侵入、干扰和破坏。

 

爱加密解决方案

爱加密深耕于安(ān)全保护领域多(duō)年，积累了丰富的行业实践经验和服務(wù)经验，可(kě)提供专业的移动应用(yòng)安(ān)全检测、移动应用(yòng)个人信息安(ān)全检测、移动应用(yòng)个人信息安(ān)全合规评估服務(wù)、人脸识别防护系统等服務(wù)，可(kě)以帮助企业执行《规定》文(wén)件条款及上述五大类要求，减少违规风险，评估个人信息的安(ān)全性和合规性，

移动应用(yòng)个人信息安(ān)全合规评估服務(wù)主要分(fēn)為(wèi)评估准备阶段、评估实施阶段、评估分(fēn)析阶段、评估验收阶段。可(kě)以使运营者符合监管要求，切实负起个人信息保护的责任，提升个人信息保护水平。

爱加密人脸识别防护系统可(kě)帮助企业按照《规定》第十九条的要求保护图像采集设备、个人身份识别设备免受攻击、侵入、干扰和破坏。

目前攻击者可(kě)能(néng)通过注入应用(yòng)的方式篡改程序；或查看数据结构，修改参数来篡改采集到的图像。也可(kě)通过破坏Android系统内核，在底层直接修改并返回相关函数的调用(yòng)结果，劫持摄像头，指定图像存放位置。

此外还存在各类接口防护不当及设计缺陷，如APP上传人脸图像时，没有(yǒu)对图像数据进行签名(míng)，导致图片可(kě)以被工(gōng)具(jù)截获、篡改，而有(yǒu)的则是在数据报文(wén)没有(yǒu)加入时间戳，可(kě)以通过重放数据报文(wén)的方式来实施破解。

爱加密人脸识别防护SDK通过系统环境检测、HOOK框架检测、调试攻击检测、注入攻击检测、数据防篡改、数据加密等技(jì )术，防止在APP端通过注入攻击、HOOK攻击等攻击方式获取、替换人脸识别图片、视频，绕过活體(tǐ)检测；防止攻击者在APP与服務(wù)器通信时通过劫持数据提交接口、数据传输接口、网络抓包等攻击方式获取、替换人脸识别图片、视频，绕过活體(tǐ)检测。

爱加密人脸识别防护系统通过“查、打、防”三位一體(tǐ)的人工(gōng)智能(néng)安(ān)全體(tǐ)系，协助企业进行检测，治疗和预防。

查-检测：检测环节，对人工(gōng)智能(néng)应用(yòng)系统进行全方位的安(ān)全测试，在“體(tǐ)检”中(zhōng)提前发现问题。

打-治疗：一旦发现问题，在治疗环节通过AI安(ān)全防火墙实时进行黑产(chǎn)打击和拦截，保护业務(wù)系统健康运转。

防-预防：预防环节是長(cháng)期提升能(néng)力的持久战，针对企业的AI相关人员提供模型安(ān)全检测平台，在每个系统上線(xiàn)前都能(néng)经过安(ān)全“质(zhì)检”，同时可(kě)视化的攻防对抗靶场也可(kě)以让企业在日常开发中(zhōng)不断练兵。

爱加密致力于通过人脸识别防护系统、移动应用(yòng)安(ān)全检测、移动应用(yòng)个人信息安(ān)全检测、移动应用(yòng)个人信息安(ān)全合规评估服務(wù)帮助企业遵守包含《规定》在内的多(duō)类法规要求，助力我國(guó)个人信息保护水平迈上新(xīn)台阶。

 

《规定》全文(wén)

第一条 為(wèi)规范人脸识别技(jì )术应用(yòng)，保护个人信息权益及其他(tā)人身和财产(chǎn)权益，维护社会秩序和公(gōng)共安(ān)全，根据《中(zhōng)华人民(mín)共和國(guó)网络安(ān)全法》《中(zhōng)华人民(mín)共和國(guó)数据安(ān)全法》《中(zhōng)华人民(mín)共和國(guó)个人信息保护法》等法律，制定本规定。

第二条 在中(zhōng)华人民(mín)共和國(guó)境内利用(yòng)人脸识别技(jì )术处理(lǐ)人脸信息，提供人脸识别技(jì )术产(chǎn)品或者服務(wù)，应当遵守本规定。法律、行政法规另有(yǒu)规定的从其规定。

第三条 使用(yòng)人脸识别技(jì )术应当遵守法律法规，遵守公(gōng)共秩序，尊重社会公(gōng)德(dé)，承担社会责任，履行个人信息保护义務(wù)，不得利用(yòng)人脸识别技(jì )术从事危害國(guó)家安(ān)全、损害公(gōng)共利益、扰乱社会秩序、侵害个人和组织合法权益等法律法规禁止的活动。

第四条 只有(yǒu)在具(jù)有(yǒu)特定的目的和充分(fēn)的必要性，并采取严格保护措施的情形下，方可(kě)使用(yòng)人脸识别技(jì )术处理(lǐ)人脸信息。实现相同目的或者达到同等业務(wù)要求，存在其他(tā)非生物(wù)特征识别技(jì )术方案的，应当优先选择非生物(wù)特征识别技(jì )术方案。

使用(yòng)人脸识别技(jì )术验证个人身份、辨识特定自然人的，鼓励优先使用(yòng)國(guó)家人口基础信息库、國(guó)家网络身份认证公(gōng)共服務(wù)等权威渠道。

第五条 使用(yòng)人脸识别技(jì )术处理(lǐ)人脸信息应当取得个人的单独同意或者依法取得书面同意。法律、行政法规规定不需取得个人同意的除外。

第六条 旅馆客房、公(gōng)共浴室、更衣室、卫生间及其他(tā)可(kě)能(néng)侵害他(tā)人隐私的场所不得安(ān)装(zhuāng)图像采集、个人身份识别设备。

第七条 在公(gōng)共场所安(ān)装(zhuāng)图像采集、个人身份识别设备，应当為(wèi)维护公(gōng)共安(ān)全所必需，遵守國(guó)家有(yǒu)关规定，设置显著提示标识。

在公(gōng)共场所安(ān)装(zhuāng)图像采集、个人身份识别设备的建设、使用(yòng)、运行维护单位，对获取的个人图像、身份识别信息负有(yǒu)保密义務(wù)，不得非法泄露或者对外提供。所收集的个人图像、身份识别信息只能(néng)用(yòng)于维护公(gōng)共安(ān)全的目的，不得用(yòng)于其他(tā)目的；取得个人单独同意的除外。

第八条 组织机构為(wèi)实施内部管理(lǐ)安(ān)装(zhuāng)图像采集、个人身份识别设备的，应当根据实际需求合理(lǐ)确定图像信息采集區(qū)域，采取严格保护措施，防止违规查阅、复制、公(gōng)开、对外提供、传播个人图像等行為(wèi)，防止个人信息泄露、篡改、丢失或者被非法获取、非法利用(yòng)。

第九条 宾馆、银行、車(chē)站、机场、體(tǐ)育场馆、展览馆、博物(wù)馆、美术馆、图书馆等经营场所，除法律、行政法规规定应当使用(yòng)人脸识别技(jì )术验证个人身份的，不得以办(bàn)理(lǐ)业務(wù)、提升服務(wù)质(zhì)量等為(wèi)由强制、误导、欺诈、胁迫个人接受人脸识别技(jì )术验证个人身份。

个人自愿选择使用(yòng)人脸识别技(jì )术验证个人身份的，应当确保个人充分(fēn)知情并在个人主动参与的情况下进行，验证过程中(zhōng)应当以清晰易懂的语音或者文(wén)字等方式即时明确提示身份验证的目的。

第十条 在公(gōng)共场所、经营场所使用(yòng)人脸识别技(jì )术遠(yuǎn)距离、无感式辨识特定自然人，应当為(wèi)维护國(guó)家安(ān)全、公(gōng)共安(ān)全或者為(wèi)紧急情况下保护自然人生命健康和财产(chǎn)安(ān)全所必需，并由个人或者利害关系人主动提出。

人脸识别技(jì )术使用(yòng)者应个人或者利害关系人请求使用(yòng)人脸识别技(jì )术遠(yuǎn)距离、无感式辨识特定个人或者利害关系人的，应当将相关服務(wù)限定在最小(xiǎo)必要的时间、地点或者人群范围内，不得关联与个人请求事项无直接必然相关的个人信息。

第十一条 除维护國(guó)家安(ān)全、公(gōng)共安(ān)全或者為(wèi)紧急情况下保护自然人生命健康和财产(chǎn)安(ān)全所必需，或者取得个人单独同意外，任何组织或者个人不得利用(yòng)人脸识别技(jì )术分(fēn)析个人种族、民(mín)族、宗教信仰、健康状况、社会阶层等敏感个人信息。

第十二条 涉及社会救助、不动产(chǎn)处分(fēn)等个人重大利益的，不得使用(yòng)人脸识别技(jì )术替代人工(gōng)审核个人身份，人脸识别技(jì )术可(kě)以作(zuò)為(wèi)验证个人身份的辅助手段。

第十三条 人脸识别技(jì )术使用(yòng)者处理(lǐ)不满十四周岁未成年人人脸信息的，应当取得未成年人的父母或者其他(tā)监护人的单独同意或者书面同意。

未成年人的父母或者其他(tā)监护人应当正确履行监护职责，教育引导不满十四周岁未成年人增强个人信息保护意识和能(néng)力。

第十四条 物(wù)业服務(wù)企业等建筑物(wù)管理(lǐ)人不得将使用(yòng)人脸识别技(jì )术验证个人身份作(zuò)為(wèi)出入物(wù)业管理(lǐ)區(qū)域的唯一方式，个人不同意通过人脸信息进行身份验证的，物(wù)业服務(wù)企业等建筑物(wù)管理(lǐ)人应当提供其他(tā)合理(lǐ)、便捷的身份验证方式。

第十五条 人脸识别技(jì )术使用(yòng)者处理(lǐ)人脸信息，应当事前进行个人信息保护影响评估，并对处理(lǐ)情况进行记录。

个人信息保护影响评估主要包括下列内容：

（一）是否符合法律、行政法规的规定和國(guó)家标准的强制性要求，是否符合伦理(lǐ)道德(dé)；

（二）处理(lǐ)人脸信息是否具(jù)有(yǒu)特定的目的和充分(fēn)的必要性；

（三）是否限于实现目的所必需的准度、精(jīng)度及距离要求；

（四）采取的保护措施是否合法有(yǒu)效并与风险程度相适应；

（五）发生或者可(kě)能(néng)发生人脸信息泄露、篡改、丢失、毁损或者被非法获取、非法利用(yòng)的风险以及可(kě)能(néng)造成的危害；

（六）可(kě)能(néng)对个人权益带来的损害和影响，以及降低不利影响的措施是否有(yǒu)效。

个人信息保护影响评估报告应当至少保存三年。处理(lǐ)人脸信息的目的、方式发生变化，或者发生重大安(ān)全事件的，人脸识别技(jì )术使用(yòng)者应当重新(xīn)进行个人信息保护影响评估。

第十六条 在公(gōng)共场所使用(yòng)人脸识别技(jì )术，或者存储超过1万人人脸信息的人脸识别技(jì )术使用(yòng)者，应当在30个工(gōng)作(zuò)日内向所属地市级以上网信部门备案。申请备案应当提交下列材料：

（一）人脸识别技(jì )术使用(yòng)者及其个人信息保护负责人的基本情况；

（二）处理(lǐ)人脸信息的必要性说明；

（三）人脸信息的处理(lǐ)目的、处理(lǐ)方式和安(ān)全保护措施；

（四）人脸信息的处理(lǐ)规则和操作(zuò)规程；

（五）个人信息保护影响评估报告；

（六）网信部门认為(wèi)需要提供的其他(tā)材料。

人脸识别技(jì )术使用(yòng)者处理(lǐ)人脸信息，有(yǒu)法律、行政法规规定应当保密的，按有(yǒu)关规定执行。

备案信息发生实质(zhì)性变更的，应在变更之日起20个工(gōng)作(zuò)日内办(bàn)理(lǐ)备案变更手续。终止人脸识别技(jì )术使用(yòng)的，应在终止之日起30个工(gōng)作(zuò)日内办(bàn)理(lǐ)备案注销手续。

第十七条 除法定条件或者取得个人单独同意外，人脸识别技(jì )术使用(yòng)者不得保存人脸原始图像、图片、视频，经过匿名(míng)化处理(lǐ)的人脸信息除外。

面向社会公(gōng)众提供人脸识别技(jì )术服務(wù)的，相关技(jì )术系统应当符合网络安(ān)全等级保护第三级以上保护要求，并采取数据加密、安(ān)全审计、访问控制、授权管理(lǐ)、入侵检测和防御等措施保护人脸信息安(ān)全。属于关键信息基础设施的，还应当符合关键信息基础设施安(ān)全保护的相关要求。

第十八条 使用(yòng)人脸识别技(jì )术处理(lǐ)人脸信息应当尽量避免采集与提供服務(wù)无关的人脸信息，无法避免的，应当及时删除或者进行匿名(míng)化处理(lǐ)。

第十九条 人脸识别技(jì )术使用(yòng)者应当每年对图像采集设备、个人身份识别设备的安(ān)全性和可(kě)能(néng)存在的风险进行检测评估，并根据检测评估情况改进安(ān)全策略，调整置信度阈值，采取有(yǒu)效措施保护图像采集设备、个人身份识别设备免受攻击、侵入、干扰和破坏。

第二十条 按照國(guó)家有(yǒu)关规定列入网络关键设备和网络安(ān)全专用(yòng)产(chǎn)品目录的图像采集设备、个人身份识别设备，应当按照相关國(guó)家标准的强制性要求，由具(jù)备资格的机构认证合格或者检测符合要求后，方可(kě)销售或者提供。

第二十一条 网信部门会同電(diàn)信主管部门、公(gōng)安(ān)机关、市场监管部门等有(yǒu)关部门依据职责，加强对人脸识别技(jì )术使用(yòng)的监督检查，指导督促人脸识别技(jì )术使用(yòng)者履行备案手续，及时发现安(ān)全隐患并督促限期整改。

人脸识别技(jì )术使用(yòng)者、产(chǎn)品或者服務(wù)提供者应当对有(yǒu)关部门依法开展的监督检查予以配合。

第二十二条 任何组织和个人发现有(yǒu)违反本规定行為(wèi)的，可(kě)以向网信、電(diàn)信、公(gōng)安(ān)、市场监管等有(yǒu)关部门投诉、举报。

网信、電(diàn)信、公(gōng)安(ān)、市场监管等有(yǒu)关部门收到相关投诉、举报的，应当依据职责依法作(zuò)出处理(lǐ)。

第二十三条 人脸识别技(jì )术使用(yòng)者或者相关产(chǎn)品、服務(wù)提供者违反本规定的，由网信、電(diàn)信、公(gōng)安(ān)、市场监管等有(yǒu)关部门在职责范围内依照《中(zhōng)华人民(mín)共和國(guó)网络安(ān)全法》《中(zhōng)华人民(mín)共和國(guó)数据安(ān)全法》《中(zhōng)华人民(mín)共和國(guó)个人信息保护法》等法律法规进行处罚。违反《治安(ān)管理(lǐ)处罚法》的，依法给予治安(ān)管理(lǐ)处罚；构成犯罪的，依法追究刑事责任。

违反本规定，给他(tā)人造成损害的，依法承担民(mín)事责任。

第二十四条 本规定由國(guó)家互联网信息办(bàn)公(gōng)室会同工(gōng)业和信息化部、公(gōng)安(ān)部、國(guó)家市场监督管理(lǐ)总局负责解释。

第二十五条 本规定自×年×月×日起施行。