人脸识别技术如今已广泛应用于生活各处，从手机解锁到门禁系统，从支付验证到安防监控，它为我们带来了极大的便利。然而，随着技术的普及，问题也逐渐浮现。人脸信息作为高度敏感的个人生物识别数据，一旦泄露，可能导致个人身份被冒用、隐私被侵犯等严重后果。
近年来，多起人脸信息泄露事件引发了公众对隐私保护的担忧。同时，部分企业为追求利益最大化，过度收集、存储人脸信息，且安全防护措施薄弱，导致信息泄露事件频发；一些机构过度依赖人脸识别技术，忽视了用户的选择权，甚至在未充分告知的情况下收集人脸信息，进一步加剧了公众的不安。
人脸识别技术应用目前面临诸多痛点与挑战。一方面，缺乏统一的规范和标准，导致部分企业和机构在应用人脸识别技术时，存在操作不规范、安全措施不到位的情况；另一方面，公众对人脸识别技术的认知和理解存在差异，部分人对其安全性持怀疑态度，而另一些人则可能因不了解自身权益而遭受侵害。此外，技术本身的局限性，如识别准确率、抗攻击能力等，也给信息安全带来了潜在风险。
人脸识别技术的发展必须在规范与保护之间找到平衡。既要充分发挥其带来的便利和效率，又要严格保护个人隐私和信息安全。《人脸识别技术应用安全管理办法》（以下简称《办法》）的出台，正是为这一目标提供了明确的法律依据和操作指引。通过规范人脸识别技术的应用流程，强化个人信息保护措施，明确各方责任和义务，我们可以在保障技术健康发展的同时，守护公众的合法权益。
一、合法性与必要性原则
《办法》明确规定了人脸识别技术应用的范围、条件和要求，这不仅保障了个人的知情权和选择权，也为企业和机构的操作提供了明确的指引，合法合规地应用人脸识别技术，避免对个人权益造成侵害。
《办法》明确要求，应用人脸识别技术处理人脸信息应具有特定目的和充分必要性，采取对个人权益影响最小的方式，并实施严格保护措施。
例如，某金融机构在客户身份验证中，严格遵循合法性与必要性原则，仅在高风险交易场景下使用人脸识别技术，且明确告知客户信息的处理目的和方式，取得了客户的明确同意。通过这种方式，该机构不仅合规地收集了人脸信息，还提高了身份验证的准确性和效率，有效防范了金融风险。
- 案例一
某连锁酒店因在客房入口处安装人脸识别设备，未经客人充分知情同意收集人脸信息，引发客人不满和投诉。这不仅损害了酒店的声誉，还可能导致法律纠纷和经济损失。而另一家酒店则在大堂设置明显提示标识，向客人告知人脸识别设备的安装目的和信息处理方式，并提供其他身份验证选项，尊重客人的选择权。这种做法不仅符合法规要求，还提升了客人的信任度和满意度。
- 案例二
在疫情防控期间，某地区在公共场所使用人脸识别技术进行体温检测和人员追踪，严格遵循合法性与必要性原则，仅收集与疫情防控直接相关的人脸信息，并在达到防控目的后及时删除多余信息。这种做法有效平衡了疫情防控需求与个人隐私保护，得到了公众的广泛认可。
二、个人信息处理者的责任与义务
《办法》中强调，个人信息处理者在应用人脸识别技术处理人脸信息前，应以显著方式、清晰易懂的语言向个人告知相关事项，并取得个人在充分知情的前提下自愿、明确作出的单独同意。
此外，处理者还应事前进行个人信息保护影响评估，并对处理情况进行记录。个人信息处理者作为数据的掌控者，承担着保护个人隐私和数据安全的重要责任。通过明确告知和取得同意，可以增强个人对自身信息的控制权，提高信息处理的透明度，为数据驱动决策营造良好的信任环境。
同时，个人信息保护影响评估能够帮助处理者提前识别潜在的风险，采取相应的措施加以防范，确保决策过程中的数据安全。
- 案例一
某互联网公司在开发一款具有人脸识别功能的应用程序时，严格按照《办法》的要求，在用户注册时以弹窗的形式详细告知人脸信息的处理目的、方式、保存期限等事项，并获得了用户的单独同意。
同时，该公司在上线前进行了全面的个人信息保护影响评估，对可能存在的风险点进行了整改，确保了应用程序的安全性。通过这种方式，该公司不仅合规地收集和使用了人脸信息，还提升了用户对其品牌的信任度，为后续的数据驱动决策奠定了良好的基础。
- 案例二
一家安防企业在为某小区安装人脸识别门禁系统时，未充分告知业主相关的人脸信息处理事项，也未取得业主的明确同意。部分业主得知后强烈反对，认为自己的隐私受到了侵犯。最终，该企业因违反规定被要求停止安装，并对业主进行赔偿。这不仅给企业带来了经济损失，还影响了其市场声誉。
数治网院iDigi产研总监老邪指出，“个人信息处理者必须严格履行告知和同意程序，这是保障个人隐私权的关键环节。同时，个人信息保护影响评估也是必不可少的，它能够帮助处理者提前发现并解决潜在的问题，降低风险。”
三、人脸识别技术应用的安全保障措施
人脸识别技术的安全性不仅取决于规范的制定，更依赖于有效的保护措施。《办法》要求，人脸识别技术应用系统应当采取数据加密、安全审计、访问控制、授权管理、入侵检测和防御等措施保护人脸信息安全。涉及网络安全等级保护、关键信息基础设施的，还应当按照国家有关规定履行相应的保护义务。
人脸识别技术的应用涉及人脸信息的收集、存储、传输和使用等多个环节，每个环节都存在信息泄露的风险。数据加密可以防止数据在传输和存储过程中被窃取或篡改；安全审计能够及时发现和处理潜在的安全威胁；访问控制和授权管理则确保只有授权人员才能访问和操作人脸信息。这些措施相互配合，形成了一个全方位的安全防护体系，有效降低了人脸信息被泄露、滥用的风险。
- 案例一
某金融机构在人脸识别技术应用中，采用了先进的数据加密技术，将人脸信息进行加密处理后存储在专门的安全服务器中。同时，该机构还建立了严格的安全审计制度，定期对系统进行审计，确保人脸信息的安全。
此外，他们还实施了多层次的访问控制和授权管理，只有经过授权的工作人员才能访问相关人脸信息，并且每次访问都会被记录，以便追溯。通过这些措施，该金融机构有效保障了客户人脸信息的安全，为数据驱动的金融决策提供了坚实的基础。
- 案例二
一家大型商场在安装人脸识别设备后，未采取有效的安全防护措施，导致人脸信息被黑客攻击泄露。泄露的信息包括顾客的面部图像、姓名、联系方式等，给顾客带来了极大的困扰和安全隐患。该商场因此受到了监管部门的严厉处罚，并承担了相应的赔偿责任。这警示其他企业在应用人脸识别技术时，必须高度重视安全保障措施，否则将面临严重的后果。
数治网院iDigi产研总监老邪强调，“人脸识别技术应用的安全保障措施是多方面的，不能仅仅依赖某一种技术手段。企业需要建立一个综合的安全防护体系，从技术、管理等多个层面入手，才能真正保障人脸信息的安全。”
四、人脸识别技术应用的监管与执法
《办法》的实施，离不开网信部门、公安机关和其他履行个人信息保护职责的部门的监管与执法。这些部门需要建立健全信息共享和通报工作机制，协同开展相关工作，依法对应用人脸识别技术处理个人信息活动实施监督检查。
有效的监管与执法能够确保人脸识别技术应用在法律框架内进行，对违规行为形成威慑，保护公众的合法权益。通过加强部门间的协作，可以提高监管效率，避免监管空白或重复监管。同时，监管部门还应加强对公众的宣传教育，提高公众对人脸识别技术的认知和自我保护意识。
- 案例一
某地网信部门和公安机关在联合检查中发现，一家教育培训机构在未经学生家长同意的情况下，使用人脸识别技术收集学生的面部信息，并用于考勤和课堂监控。监管部门立即责令该机构停止违法行为，删除非法收集的人脸信息，并对其处以罚款。
同时，还对该机构的相关人员进行了法制教育，要求他们严格遵守相关规定。这不仅保护了学生的隐私权益，也为其他教育机构敲响了警钟。
- 案例二
在某城市的智慧城市建设中，多个部门共同参与了人脸识别技术应用项目的监管。网信部门负责总体协调和技术指导，公安机关负责安全监管和执法，市场监管部门负责规范市场秩序。通过各部门的协同合作，该城市的智慧城市建设中人脸识别技术应用得到了有效规范，未出现重大信息泄露事件，为城市的数字化发展提供了有力支持。
结语
《办法》为规范人脸识别技术的应用提供了全面的指导和约束。通过遵循合法性与必要性原则、明确个人信息处理者的责任与义务、加强安全保障措施以及强化监管与执法，可以有效平衡技术发展与个人信息保护之间的关系，促进人脸识别技术的健康、可持续发展。
未来，随着人工智能、大数据等技术与人脸识别技术的深度融合，相关的安全管理和隐私保护措施也将不断创新和升级。对于企业和个人而言，应积极行动起来，共同推动人脸识别技术的合法、安全应用。以下是数治网的一些建议：
- 企业应加强对《办法》的学习和培训，确保相关人员熟悉法规要求，并在实际操作中严格遵守。
- 在应用人脸识别技术时，企业要充分评估其必要性和合法性，避免过度收集和滥用个人信息。
- 个人信息处理者应建立健全的个人信息保护制度，包括但不限于告知同意机制、安全评估制度、应急处置预案等。
- 加大对安全保障技术的投入，采用先进的数据加密、访问控制、入侵防御等技术手段，提高人脸识别技术应用系统的安全性。
- 公众应增强对人脸识别技术的认知和自我保护意识，积极维护自身合法权益，对违规行为进行投诉和举报。
在日常生活中，你是否遇到过人脸识别信息泄露或滥用的情况？你认为在哪些场景下使用人脸识别技术是必要且合理的？《办法》中哪一条规定对保护个人信息安全最重要？
从《聚焦2023网安周 | 一起掌握个人数字安全 大声说出“你真刑”》开篇，数治大课10000小时公益计划第一波来袭！每天一杯咖啡的时间，零基础掌握个人数字安全…
- 个人网安101第一课：打破10个互联网安全误区
- 个人网安101第二课：20分钟内掌握基础安全术语
- 个人网安101第三课：快速上手11个可操作的安全步骤
- 个人网安101第四课：社交媒体的最佳安全互动方式
让我们一起探讨业务安全、合规地转型，欢迎在文末留言，扫码加入数治Pro成长营分享你的看法。
免费领取你的数智第一课
2025年3月开学季起，数治网院iDigi将围绕“数字ABC：分析、业务转型及以客户为中心”陆续推出《AI和数据素养双效提升》、《数据驱动型企业构建》等体系化课程。
针对个人信息保护合规审计，我们基于知识CGC▲、能力CCV▲与实用EPI▲，为你解锁基础框架、个人信息处理合法性、数据共享与跨境传输、特殊场景合规要点、技术措施与内部管理等内容。
我们邀你升级职业“防护盾”，扫码测评即可15分钟AI适配“一人一表”“一人一课”。免费领取数智第一课，¥199开卡预约导师开讲，¥999起任选6课时，滚动开班随到随学。
首期《2025智能网联汽车数据安全与合规入门到最佳实践》现已开班，完整12课时仅需¥1998，马上扫码添加老邪企业微信付款锁定名额，领取课表、脑图、问答手册等开课包！
来源：中国网信网，本篇结合生成式 AI 做出的核心摘要和解答，仅作为参考，请以原文为准。图片：Christopher Gower，Unsplash
