“换脸”风险如何防范？首份“刷脸”支付行业自律公约出炉

本篇文章2955字，读完约7分钟

人民网北京1月22日电(张梅)21日，中国结算协会官方网站宣布，为规范人脸识别线下支付的应用创新，防范“刷脸”支付的安全风险，中国支付结算协会组织制定了《人脸识别线下支付行业自律公约(试行)》。

目前，人脸识别广泛应用于金融领域。根据广恒证券2019年发布的人脸识别报告，人脸识别在金融领域的主要用途分为身份验证和场景尺度应用。

身份验证，也称为1:1刷脸，广泛应用于互联网金融、远程银行开户、远程身份认证和远程支付，并通过“刷脸”进行验证。

场景比例应用也称为1:n刷脸，主要用于刷脸、付款和取款。其中，银行领域人脸识别的业务点主要包括私有云部署、智能网改造、自助机改造、网络vip、智能网改造等。

虽然人脸识别得到了广泛的应用，但由于人脸的隐私性较弱，一旦用户的面部生物信息被“黑产”从业者利用，通过“换脸”的方式侵犯并获取其个人隐私，用户将很难保证个人信息和财产的安全。

中央财经大学教授黄镇在接受《人民日报在线》采访时表示:“在‘刷脸’支付过程中，用户信息收集过多，只要‘刷脸’能与个人身份验证等信息联系起来，就有侵犯个人隐私的风险。”请务必密切关注这方面的风险。”

针对“刷面”支付行业存在的一些安全风险，《自律公约》提出了“设定单笔和日累计交易限额”、“建立刷面支付突发事件应急机制”、“建立和完善风险准备金、保险计划、应急响应等风险补偿机制”、“对因用户原因无法有效证明的资金损失进行提前支付”等条款。，从而在一定程度上规范行业行为，降低个人信息披露的风险。

以下是《人脸识别离线支付行业自律公约(试行)》全文:

第一章总则

一是规范人脸识别离线支付(以下简称刷面支付)应用创新，防范刷面支付安全风险，保护会员单位合法权益，维护公共利益。本公约由成员单位相互协商制定。

第二条会员单位开展刷面支付应严格执行国家和金融业的相关法律法规和技术规范，自觉遵守协会的各项自律制度规范，本着平等、自愿、公平、诚信的原则提供服务。

第三条本公约所称刷脸支付，是指线下商户通过使用人脸识别技术的专用受理终端提供的支付服务。

第四条本公约适用于所有开展刷面支付的会员单位，包括提供账户管理、转账结算、收单等服务的会员单位。

第五条会员单位应当确保刷脸支付中使用的活体检测、人脸识别等技术指标符合金融业的相关要求。

第二章安全管理

第六条会员单位应当建立面部信息生命周期安全管理机制。在采集过程中，应坚持“用户授权，最小化足够”的原则，明确告知用户信息使用的目的、方式和范围，并获得用户授权，避免采集与需求无关的特征。在存储阶段，原始人脸信息被加密存储，并与用户的个人隐私如银行账号、支付账号和身份证号安全隔离。在使用中，收单行、商户等中间环节不得采集或截取原始人脸信息，以实现端到端的个人隐私保护。

第七条会员单位应当根据用户意愿，为他们提供开通或关闭支付服务。用户开通刷脸支付时，会员单位应提示用户重点关注服务协议中的重大事项，并采取有效方式确认用户完全知晓并清楚了解相关权利、义务和责任，包括但不限于隐私政策、格式条款、短信提示等。

第八条用户刷卡支付时，会员单位应使用支付密码或其他可靠的技术手段(通过国家统一推广的金融技术产品认证)实现自己主动确认权利，保护用户的知情权、财产安全权等合法权益。

第九条会员单位应当确保办理刷面支付业务的信息系统符合物理安全、网络安全、主机安全、应用安全和数据备份等国家和金融行业安全标准的要求。

第十条从事刷面支付收单业务的会员单位应严格遵守《银行卡收单业务管理办法》(中国人民银行公告2013年第9号)、《非银行支付机构网络支付业务管理办法》(中国人民银行公告2015年第43号)。 根据《中国人民银行关于进一步加强银行卡风险管理的通知》(银发〔2016〕170号)、《中国人民银行关于加强银行卡收单业务外包管理的通知》(银发〔2015〕199号)等管理要求，承担收单过程中支付敏感信息安全管理的责任，不得将核心业务系统运营、终端密钥管理和特约商户资格审查移交给外包服务机构。

第十一条会员单位开展刷面支付业务涉及跨行交易的，应通过中国人民银行跨行清算系统或具有法定资格的清算机构办理。

第十二条提供账户管理和收单服务的会员单位应当遵守结算机构关于刷面支付服务联网的一般规定。

第三章终端管理

第十三条会员单位部署或接入的刷面支付受理终端应符合国家和金融业的相关标准，并通过国家统一推广的金融技术产品认证。

第十四条会员单位部署或接入的刷面支付受理终端按照《中国人民银行关于加强银行卡受理终端安全管理的通知》(银发〔2017〕21号)进行注册和管理。

第十五条会员单位部署和接入的刷面支付受理终端应符合金融业管理和自律的相关规定，支持刷面支付服务的互联互通，避免一柜多机，维护良好的市场秩序，促进行业可持续发展。

第十六条会员单位应建立覆盖刷面支付受理终端开通、使用、更换、维护、注销等环节的风险管理体系，建立刷面支付受理终端定期检查制度，加强刷面支付受理终端的风险控制，及时发现和消除潜在风险。

第四章风险管理

第十七条会员单位应当建立交易风险监控模型和系统，有效监控可疑交易和异常行为，及时分析和处理，确保交易安全。

第十八条会员单位应当按照银行卡收单业务管理的相关监管规定，加强面对面支付特约商户的资格审查和日常管理，建立健全商户风险评级管理制度和黑名单管理制度，建立面对面支付特约商户检查制度。

第十九条会员单位应结合用户信用状况、风险程度等因素，限制用户刷面支付可以开启的交易类型，通过协议约定交易限额，并采取有效的风险控制措施，确保交易和用户资金的安全。

第二十条会员单位应设定或同意特约商户的风险等级和交易类型，支付单笔交易和每日累计交易限额。

第二十一条中国支付清算协会和清算机构应当将面对面支付的特约商户纳入特约商户信息管理系统和黑名单管理机制。开展特约商户拓展时，提供收单服务的会员单位应按规定向中国支付清算协会、清算机构特约商户信息管理系统和风险信息管理系统查询确认并提交特约商户基本信息和风险信息。

第二十二条会员单位应当建立刷面支付应急机制，及时有效化解刷面支付风险。

第二十三条会员单位应当及时向监管部门和中国支付清算协会报告面对面支付业务发展情况、市场发展趋势和重大风险事件。

第五章用户权益保护

第二十四条会员单位应当建立用户刷面支付投诉处理流程，明确受理投诉的部门和责任人，并告知客户客服电话、在线客服等受理投诉的渠道。

第二十五条会员单位应及时处理客户提出的错误、争议和投诉，建立健全风险准备金、保险计划、应急处置等风险补偿机制。，并预先支付由于用户原因而无法有效证明的资本损失。

第二十六条会员单位应当建立用户刷脸付费的安全教育制度和流程，培养用户刷脸付费的良好安全习惯。

第六章附则

第二十七条本公约与国家法律、法规和监管部门规章不一致的，以相关法律、法规和监管部门规章为准。

第二十八条本公约由中国支付清算协会负责解释和修订。

第二十九条中国支付清算协会组织对会员单位执行公约的情况进行监督检查，并可以根据《中国支付清算协会自律处罚实施办法》对违反公约的行为实施自律处罚。

第三十条本公约自中国支付清算协会公布之日起施行。

来源：环球邮报中文网