6月的一天，清晨六点，程静带着孩子从天津乘坐高铁专程赶赴北京，只为在某个指定地点“刷一次脸”。

两个月前，她和孩子付费报名参加了在北京园博园举办的一场亲子趣味跑活动。然而临近活动开始时，她才接到通知，所有参赛者必须提前一天亲自到场领取内含T恤和号码布的参赛包，并同步录入人脸信息——“连小朋友也不例外”。

程静的朋友孙曼妮家在北京，她说：“本来朋友们想托我代领，因为他们住得都比较远”，但主办方坚称“不能代领”。“报名费都交了”，程静只得提前一日到北京“刷脸、领包”，然后回天津，次日再重新赶赴活动现场。

“这样性质的活动，真的需要严格到必须人脸识别才能参加吗”，程静颇为疑惑。更让她感到不安的是，自己和其他参与者的人脸信息，已被这个组织工作做得略显混乱的活动方获取。孙曼妮担心这些人脸数据是否会被第三方借机另作他用。

非必要的“刷脸”

一次带父母出游的经历，也让孙曼妮感受到“刷脸”的无孔不入。出行前，孙曼妮的父母想要通过小程序绑定民宿的门锁系统，操作过程中，程序直接弹出了人脸识别认证。等到孙曼妮发现时，年迈的父母已在系统的一步步引导下，茫然地对着手机镜头完成了眨眼认证。“早知道流程这么复杂，我绝不会让他们自己操作。”

如今，孙曼妮为是否“刷脸”划出了一条明确的信任边界：在图书馆、银行等可靠的公共场所，她尚可接受人脸识别；一旦面对健身房、临时商业活动或各类小程序等场景，她会毫不犹豫地选择拒绝。

家住江苏的左晴遇到了被健身房要求录入人脸信息作为会员进出凭证的情况。她曾提出疑问：“不能直接刷健身卡吗？”店员并未明确拒绝，但在实际使用中，她的健身卡常常无法被闸机识别。工作人员似乎也并不清楚设备的具体工作原理，只是简单建议她“最好还是录一下人脸”。为图方便，左晴最终选择了妥协。

然而每次“刷脸”通过时，左晴心中总会升起阵阵不安：这些人脸信息究竟被传输至何处？如果今后不在这里健身了，商家是否会删除自己的数据？注册会员时左晴还提供过身份证、手机号码等个人信息，而在录入人脸信息时，健身房并未就此作出任何额外说明——没有告知信息如何存储，也未承诺离馆后是否会删除数据，更未解释可能存在的信息泄露风险。“他们可能自己也不清楚。”

人脸识别“新规”构筑安全防线

中国社科院法学所网络与信息法研究室副主任周辉指出，人脸信息属于高度敏感的个人信息，往往与公民的金融账户、财产信息等深度关联，一旦保护措施不到位，极易引发直接的经济损失。

此外，人脸信息还深度关联自然人的肖像权、人格权，处理不当会造成不必要的人身损害。因此，对于人脸信息被收集后的去向，周辉强调，商家如确需存储用户信息，流程上必须符合安全标准，并优先选择本地化存储，严禁随意提交给第三方。

周辉指出，当前应用场景复杂性导致责任界定模糊：“人脸信息收集者与存储者常非同一主体。”例如超市的“无感支付”场景，超市是面向用户的收集方，但其技术设备可能由第三方提供，信息比对、存储等可能发生在云端。他强调，存储方必须依法履行风险评估、风险告知及备案等义务。

对此，《中华人民共和国网络安全法》《中华人民共和国数据安全法》《中华人民共和国个人信息保护法》《网络数据安全管理条例》及今年6月1日起施行的《人脸识别技术应用安全管理办法》（以下简称《办法》），为人脸识别技术的合规应用提供了基本的框架和制度保障。

周辉认为，《办法》出台的意义重大，提升了人脸识别技术应用的规范化和公民权益保护水平，是将人脸识别具体场景中操作细化的指南。

“应用人脸识别技术处理人脸信息时，应当具有特定的目的和充分的必要性。”周辉介绍，《办法》强调，应用人脸识别技术处理人脸信息时，应采取对个人权益影响最小的方式，并实施严格保护措施。若个人拒绝使用人脸信息进行验证，信息处理者应提供其他合理、便捷的替代选项，例如二维码、物理钥匙、身份证件等其他认证方式，不得将人脸识别作为唯一的身份认证手段。

北京市互联网信息办公室网络安全协调处工作人员孟翔主要负责人脸信息备案工作，他告诉央视网《锋面》记者，根据《办法》第十五条规定，目前个人信息处理者应用人脸识别技术处理备案的门槛被设定为“人脸信息存储数量达到10万人”。一旦个人信息处理者应用人脸识别技术达到《办法》规定的这一数量标准，应在30个工作日内，通过中国网信网首页“全国网信政务办事大厅”中的“个人信息保护业务系统”完成备案手续。

此外，公共场所应遵循合法合规原则。孟翔指出，人脸信息收集方在使用人脸识别技术前，应以显著方式清晰告知用户信息处理的目的、方式、保存期限、安全措施及用户权利，且需取得用户的单独同意。

同时，应对用户的人脸信息加强安全保护，如采用数据加密、安全审计、访问控制等措施，确保人脸信息在采集、传输、存储和使用过程中的安全。收集方也要根据实际需要确定人脸信息的保存期限，期限到期及时删除，防止信息被滥用。

孟翔提醒，公众在公共场所使用人脸识别服务前，要仔细阅读并理解相关隐私政策和用户协议，了解人脸信息的收集、使用和保护方式。

如消费者遇到强制“刷脸”的情况，可在现场依据《人脸识别技术应用安全管理办法》第十条，即“实现相同目的或者达到同等业务要求，存在其他非人脸识别技术方式的，不得将人脸识别技术作为唯一验证方式。个人不同意通过人脸信息进行身份验证的，应当提供其他合理、便捷的方式。”，与其进行交涉。若交涉无效，可立即拨打12345政务服务便民热线进行举报，或通过中国网信网的“违法违规收集使用个人信息举报”专栏进行举报，举报时需明确提供商家名称、发生时间、发生地点及具体情况。

（应受访者要求，文中程静、孙曼妮、左晴均为化名）

记者：姚抒廷