【咨询有道】智能门店人脸识别应用的安全合规策略

前言

随着进入移动互联、大数据分析时代，人体的面部特征、指纹、虹膜、声音、步态等个人生物识别信息得以广泛运用，生物识别技术获得迅速发展，大量应用于各行各业安全认证领域，尤其是在数字化门店发展中。然而，随着公众隐私保护意识的加强，企业在各项业务中应用个人生物识别技术以提升效率的同时，也面临安全合规风险防范的挑战。

早在2008年，美国伊利诺伊州就率先颁布了《生物信息隐私法案》（BIPA），以规定生物标识符的收集与使用。2016年，欧盟推出了《通用数据保护条例》（GDPR），其中包含了生物识别数据在公共和私人领域的应用。我国现行的《网络安全法》、《个人信息安全规范》、《数据安全管理办法》以及2021年新施行《民法典》中，均对包含生物信息在内的个人信息的管理与使用做出了明确规定，同时督促企业加强自身风险管控。

普华永道在个人隐私保护咨询领域深耕多年，制定了个人生物信息应用安全合规建设的总体解决方案。在数字化发展时代，人脸识别技术被越来越多的企业应用，本文旨在全面分析人脸识别技术的应用场景、风险，并提出整体解决方案，提升企业安全合规水平。

人脸识别技术应用的优势和挑战

普华永道认为，人脸识别技术应用在数字化门店的优势有三：

第一，可以有效提升企业的业务效率，主要体现在设备终端身份识别、人流量统计、热区统计、店员考评等场景，改变传统门店的管理模式。

第二，将人脸识别技术应用到用户身份判别，尤其是涉及分销模式及开展渠道风控时，可以大大降低重复的人工沟通时间，结合大数据分析技术将用户进行细分，协助企业降低成本，提高利润。

第三，用户可以体验更为专业的定制化服务，如商家通过人脸识别技术进行会员管理，还可以利用实时人脸跟踪与属性分析，通过顾客的人脸互动娱乐反馈，结合产品促销信息，实现更加生动的互动营销体验，从企业角度提升用户体验。越来越多的企业将人脸识别信息与其他信息融合开展综合数据分析，便于企业制定特定化用户服务方案，提高服务质量，进而增加用户黏度。

现阶段，普华永道结合数据安全合规咨询领域的经验，归纳和总结了数字化门店在收集使用个人生物信息时所面临的挑战，主要集中在用户授权、安全防护、风险控制和治理管控四个方面。

整体解决方案

普华永道认为，企业需要制定个人生物信息全生命周期总体框架解决方案，以应对上述四个数字化门店人脸识别信息的安全合规挑战。

应对1：建设用户授权同意方案

目前国内外对人脸识别技术的关注程度日渐提升，国内部分房地产售楼处已出现无感收集客户信息等事件。由于各国政策法规各异，合规管理是目前企业在应用人脸识别技术时需要着重考虑的首要问题。应对思路如下：

梳理生物信息相关的法律法规、行业监管要求

目前我国在《民法典》、《远程人脸识别系统技术要求》以及《个人信息保护法（草案）》中分别对生物信息收集提出了明确要求。此外，针对出海企业，还需要充分梳理和识别不同国家对个人生物信息相关的安全合规要求。

识别并建立个人生物信息收集、使用场景

近年来，生物信息识别应用场景日益扩展，广泛应用于商场、景区、小区、办公楼以及政务机构等。例如，人脸识别门禁是物业的标配，售楼处无感采集个人信息识别客户来源，但这也存在个人生物信息泄露的安全隐患，所以需要全面排查目前人脸识别技术应用场景，禁止滥用现象。

设计健全的用户授权同意方案

在充分识别个人生物信息采集的目的和使用场景的基础上，依据国家法律法规和标准的要求，设计基于场景的用户授权同意方案。例如以“熟客识别场景”为例，目前很多企业在数字化转型过程中为了打通线上线下数据，采用的人脸识别系统通常具有顾客身份识别或熟客营销的功能，在本场景下可以考虑采用“双重授权”机制。

应对2：加强安全防护能力

所谓“刷脸”需谨慎，个人生物信息泄露将不可逆，人脸识别信息具有高度的直接识别性和唯一性，因此在人脸信息处理的过程中，存在更多的数据泄露、非法滥用、盗用等隐患。数据泄露造成的经济损失严重，波及范围甚广，泄露的数据被用于非法用途的可能性更高，对公司声誉影响很大，事后补救艰难。

2019年8月，由于系统存在安全漏洞，某全球知名生物识别技术公司发生重大安全事件，数据泄露包括数百万用户的指纹、面部识别数据、未加密的用户名和密码等，影响涉及83个国家的5700多个政府部门、银行和警察局等。此外，我国也发生过银行APP人脸识别技术被00后黑客攻破等一系列事件。

在应用人脸识别技术的过程中，除了合规管理的要求外，企业应主动采取安全防护措施，积极提升技术手段，全面保障生物信息安全性，防止出现信息泄露事件。

从数据生命周期的角度出发，企业应建立个人生物信息安全合规技术框架，充分识别数据全生命周期中的安全风险，按实际情况的需要采取加密保护、隔离存储、脱敏使用等技术措施，并在确认不具备处理的必要性后进行及时、彻底的销毁，制定全面有效的增强型防护措施。普华永道认为，在以下五个环节中均需要采取必要的安全防护措施：

数据收集

规范数据收集处理的流程，设置多重参数，减少环节盲区，遵循“最小化收集”、“业务开展所必须”等原则，全面满足政府监管需求。

数据存储

标准化数据存储条件，增加多重防御，抵抗外界攻击，防止数据遗失或被窃。最小化存储，在完成业务需求后及时（可参考国外实践）删除临时文件、过程文件等。

数据分析

尽量采取门店本地化分析及处理策略，降低数据在传输、共享过程中的滥用、泄露风险。限制数据转移方式，必要时采取去标识化方式，降低原始数据泄露的可能。

数据处理

提高数据处理手段，去除非必需数据的处理，减轻隐私数据长期大量保存的压力。应严格限制客户人脸原始数据（照片）的展示与披露场景，避免个人信息的二次泄露。

数据删除

生物信息要尽可能最小化存储和使用，原则上应在人脸特征信息完成身份核验后及时删除原始样本，保证数据使用的合规合法性。

应对3：构建第三方风控机制

企业应建立第三方（包括人脸技术的开发商、服务商等）风险管理机制，从法律、管理、技术等多维度，降低第三方在个人生物信息的收集、使用过程中出现泄露风险。目前市场上主流的人脸识别技术供应商，通常会采取“本地采集、云端分析、店端应用”等形式，在此过程中会涉及数据采集并采取云端算法模型进行在线处理、分析。此外，还涉及数据统计分析并共享结果到企业或门店，因此，供应商应满足国家网络安全防护、数据保护相关的安全要求，并具备相应的安全资质。

供应商应满足包括但不限于：网络安全等级保护要求、人脸识别系统商用密码技术要求、视频监控人脸识别技术要求、数据保护技术等。

应对4：健全安全合规治理与管控机制

所谓“无规矩不成方圆”，从企业自身管理角度考虑，应建立健全的治理与管控机制，使人脸识别技术的应用有“轨”可依，有“迹”可循，这是数字化门店设立前期应对安全合规风险的有效手段。普华永道认为，企业应着重考虑以下三个方面：

数据安全影响评估机制

企业在收集、处理个人面部识别信息前，应建立个人信息处理活动清单，提前开展数据安全影响评估。涉及到面部识别信息、声纹等信息时，由于该类数据的泄露对个人权力和自由造成高风险，应当特别注意。应开展DPIA评估（数据保护影响评估），全面识别安全合规风险，制定有效的安全管控与技术措施。

使用人脸识别技术、开展DPIA评估时，企业应当将收集使用个人信息的合法性、正当性、必要性，以及对个人信息主体权力的影响进行综合评估。个人信息主体有知情权、访问权、了解人脸识别使用目的及其原因的权力、反对权和更正权、删除权等。如果采用人脸识别应用技术，数据分析人员根据数据综合分析进行决策，则可被视为自动化决策。

用户权益保障策略

由于人脸识别信息是基于对个人信息的处理，用户享有充分的个人信息的选择同意权、知情权、访问权、反对权、更正权、删除权等。由于个人生物识别信息技术特性，其数据采集与匹配可能会存在数据识别率错误、数据匹配错误等情况，如在错误匹配下，数据主体可以请求更正以防止进一步或重复性的错误匹配。因此，企业应当建立健全的用户权益保障机制，包括管理规程以及用户权利管理工具平台，以支持管理机制的有效落地运行。

人脸识别应用安全合规运营机制

企业应构建个人信息保护组织，清晰定义各部门职责，尤其是在人脸识别应用环节，建设新型技术引入与管理风控机制，从而明确企业三道防线职责，编制并发布人脸识别信息在全生命周期的内部安全合规运营策略，通过人脸识别应用提升企业业务发展的同时，保障数据安全合规性，满足各项监管要求。

领先案例分享

伴随着数字化的进程，某汽车企业数字化门店项目的实施实现了从线索、商机、跟进、试驾、销售推进、赢单、交付全流程数据化服务，提升了门店运营及销售团队的执行能效。与此同时，这对人脸识别技术的应用带来了更多安全挑战。

该企业在建设数字化门店方案时，充分识别了每个环节的业务需求与对应的监管要求，开展大量行业实践经验调研分析，实施用户个人信息安全影响风险评估与处置，并引入privacy by design（隐私保护设计）理念，把隐私保护体现在产品设计阶段，加强安全合规保障能力。例如，在人脸识别技术投入生产使用前，该企业通过对生物识别设备、系统组件，以及特征信息安全、数据全生命周期等方面进行了全面的安全合规风险识别，并制定了有效的风险管控措施。

同时，该企业充分识别了人脸识别应用场景，并且在生物特征注册和身份认证这两个过程中，分析了解到生物特征识别系统处于与外界交互的状态，系统此时非常容易受到外界攻击，因此制定了增强性的安全保护策略，并且在物理安全方面对伪造身份、伪造特征、篡改特征处理器、传送攻击、侵库攻击等方面建立了安全防护策略，以减轻在进行数字化门店转型过程中生物信息的使用风险。此外，除了用户数据的安全防护之外，该企业也参照国内外最佳实践做法，结合人脸识别信息收集使用场景与目的，制定并实施了健全的用户授权方案，包括充分告知、选择同意的多种授权机制。

该企业先前根据国家数据安全、隐私保护如《网络安全法》、《信息安全技术个人信息安全规范》等国家法律法规和标准，并依据ISO27701国际标准体系，建立了健全的数据安全合规保护体系。随着建设并试点推广数字化智能门店，企业全面识别了人脸识别应用的安全合规风险，制定并实施了风险整改措施，在原有的数据安全合规保护框架体系下，细化了“人脸识别信息应用安全合规关键策略”，有效指导企业在个人信息安全合规体系的落地运行。该企业人脸识别应用技术的安全合规关键策略如下图所示（部分示例）：

联系我们

黄启佳

普华永道中国数字化与科技咨询主管合伙人

电话：[phone]

邮箱：[e-mail]

李扬

普华永道中国网络安全管理咨询合伙人

电话：[phone]

邮箱：[e-mail]

包红霞

普华永道中国网络安全管理咨询业务总监

电话：[phone]

邮箱：[e-mail]

长按二维码查看更多领先管理实践

© 2021 普华永道版权所有。普华永道系指普华永道在中国的成员机构、普华永道网络和/或其一家或多家成员机构。每家成员机构均为独立的法律实体。详情请见 www.pwc.com/structure。

免责声明：本微信文章中的信息仅供一般参考之用，不可视为详尽说明，亦不构成普华永道的法律、税务或其他专业建议或服务。普华永道各成员机构不对任何主体因使用本文内容而导致的任何损失承担责任。

您可以全文转载，但不得修改，且须附注以上全部声明。如转载本文时修改任何内容，您须在发布前取得普华永道中国的书面同意。