措施用于人脸识别技术应用的安全管理

人脸识别技术应用安全管理办法

核心观点与关键内容：

1. 适用范围与目的：

   • 本办法适用于在中国境内使用人脸识别技术处理面部信息的活动，旨在规范其应用，保护个人信息权利和利益，并遵守《网络安全法》《数据安全法》《个人信息保护法》等相关法律法规。
   • 不适用于以研发或算法训练为目的的面部信息处理。

2. 基本原则：

   • 处理面部信息需遵守法律法规，尊重社会公德和伦理，保护个人信息，不得危害国家安全或公共利益，不得损害个人合法权益。
   • 处理活动应具有特定目的和充分必要性，采用影响个人权利和利益最小的方法，并实施严格保护措施。

3. 个人信息处理者的义务：

   • 告知义务：在处理前以醒目方式告知个人处理目的、方法、保留期限、必要性及潜在影响等，并确保个人自愿同意。
   • 同意管理：基于个人同意处理面部信息时，需分别且自愿获取同意，并允许个人撤回同意。处理14岁以下未成年人面部信息需父母或监护人同意，并制定专门处理规则。
   • 影响评估：使用人脸识别技术前需进行个人信息保护影响评估，并记录处理活动，评估内容包括处理目的的合法性、必要性、风险及保护措施等。
   • 存储与传输：面部信息应存储在设备内，不得通过互联网传输，除非法律或单独同意。保留期限不得超过实现目的所需的最短时间，并保存处理记录至少三年。

4. 身份验证与替代方案：

   • 面部识别技术不应作为唯一身份验证手段，当存在其他可实现同等目的的非面部识别技术时，应优先使用。
   • 个人有权拒绝通过面部信息验证身份，并应提供其他合理、便捷的替代方案。

5. 公共空间应用限制：

   • 公共空间安装面部识别设备必须为维护公共安全所必需，采集区域需合法合理界定并标识，不得在私人区域（如酒店客房、浴室等）安装。

6. 安全保护措施：

   • 系统应采取数据加密、安全审计、访问控制等措施保护面部信息安全，涉及网络安全或关键信息基础设施的系统需履行相关保护义务。
   • 鼓励优先使用国家人口基础信息库等渠道进行身份验证，减少面部信息收集和存储。

7. 备案与监管：

   • 当存储的面部信息数量达到10万人时，个人信息处理者需在30个营业日内向省级以上网信部门备案，包括处理器信息、处理规则、安全措施等。
   • 网络管理部门、公安部门及个人信息保护部门需协同监管，个人可投诉或报告非法使用行为。

8. 生效日期：

   • 本办法自2025年6月1日起生效。

关键数据：

• 面部信息存储数量达到10万人需备案。
• 处理记录及影响评估报告保存至少三年。
• 备案及变更程序需在30个营业日内完成。

研究结论：

• 本办法通过明确告知、同意管理、影响评估、存储限制、安全保护及监管机制，对人脸识别技术的应用进行全方位规范，旨在平衡技术创新与个人隐私保护，确保技术应用的合法性、正当性与必要性。