核心提示 1月20日，中国支付清算协会发布《人脸识别线下支付行业自律公约（试行）》（以下简称“试行公约”），明确信息采集要坚持“用户授权、最小够用”原则，收单机构、商户不能归集和截留个人信息。对于“换脸软件”可能对刷脸支付构成的威胁，试行公约明确，会员单位应采用支付口令或其他可靠的技术手段实现本人主动确权。此外，提出设置交易限额要求，保障交易和用户资金安全。业内人士分析称，未来还应加强专项的、具有针对性的监管制度，并加强执法力度，规范行业行为，保护个人信息。
　　刷脸支付有何门槛？
　　“金融行业必须特许经营”是业务开展的一大前提，试行公约明确要求，会员单位开展刷脸支付业务涉及跨行交易的，应当通过央行跨行清算系统或具备合法资质的清算机构处理。同时，从事刷脸支付收单服务的会员单位应承担收单环节支付敏感信息安全管理责任，不得将核心业务系统运营、受理终端密钥管理、特约商户资质审核等工作交由外包服务机构办理。
　　当前，刷脸支付赛道已有不少竞跑者。2018年以来，支付宝和微信支付推出刷脸设备“蜻蜓”与“青蛙”，瞄准线下支付场景。2019年10月，银联旗下云闪付App也推出刷脸支付服务。受访人士表示，目前已铺设布放的设备大概率会沿用。监管此前就明确提出，刷脸支付终端必须是专用设备，要具有如远红外、活脸监测等技术和能力。部分刷脸支付可通过手机终端完成，但试行公约中没有提及手机，主要规范人脸识别的线下支付领域，也是考虑非专用设备容易出技术方面的风险。
　　怎样规避信息误用？
　　近年来，监管部门在认可刷脸支付价值的同时，也多次公开示警其存在的安全隐患。2019年9月，央行科技司司长李伟就曾明確，人脸属于弱隐私生物特征，信息误用风险比较大。人脸识别数据采集应提前告知信息使用方式，不得在用户不知情、未授权的情况下擅自发起交易，不要简单地将人脸特征作为唯一的交易验证因素。
　　对此，试行公约指出，会员单位应建立人脸信息全生命周期安全管理机制。在采集环节，要坚持“用户授权、最小够用”原则，明确告知用户信息使用目的、方式和范围，并获得用户授权，避免与需求无关的特征采集。
　　此外，在信息存储环节，试行公约提出，会员单位应将原始人脸信息加密存储，并与银行账号或支付账号、身份证号等用户个人隐私进行安全隔离。信息使用上，收单机构、商户等中间环节不得归集或截留原始人脸信息，实现端到端的个人隐私保护。
　　北京师范大学法学院副教授吴沈括表示，围绕面部特征等个人信息的收集、利用，各国法律大多是以用户的“知情—同意”作为合法的基础。在“知情—同意”的背后，是用户对厂商的授权。
　　多名专家学者认为，《中华人民共和国网络安全法》中规定，网络运营者收集、使用个人信息，应当遵循合法、正当、必要的原则。但在实践中，何为“正当、必要”存在一定模糊性。对此，“最小够用”原则应运而生。