“换脸”风险如何防范？首份“刷脸”支付行业自律公约出炉
人民网2020-01-22 16:35
人民网北京1月22日电(张玫) 21日，中国清算协会官网发布消息，为规范人脸识别线下支付应用创新，防范“刷脸”支付安全风险等，中国支付清算协会组织制定了《人脸识别线下支付行业自律公约(试行)》。
当前人脸识别广泛应用于金融领域。根据广恒证券2019年发布的人脸识别报告，金融领域中的人脸识别，主要用途分为身份核验和场景规模化应用。
身份核验，也称作1:1刷脸，广泛地被应用于互联网金融、银行的远程开户、远程身份认证、远程支付，通过“刷脸”的方式进行校验。
场景规模化应用也称作 1:N刷脸，多用在刷脸支付、取款等。其中，人脸识别在银行领域的业务点主要有私有云部署、智慧网点改造、自助机具改造、网点 VIP、智慧网点改造等方面。
尽管人脸识别应用广泛，但由于人脸的弱隐私性，一旦用户的脸部生物信息被“黑产”从业者加以利用，通过“换脸”等手段侵入获取其个人隐私，则用户将难以保障个人信息和财产安全。
中央财经大学教授黄震此前接受人民网记者采访时表示，“在‘刷脸’支付的过程中存在用户信息过度采集的情况，只要一‘刷脸’就能和个人的身份验证等信息相关联，这就存在个人隐私被侵犯的风险。一定要高度关注这方面的风险。”
针对“刷脸”支付行业当前存在的一些安全风险，此次《自律公约》提出“设置单笔及日累计交易限额”“建立刷脸支付突发事件应急处理机制”“建立健全风险拨备资金、保险计划、应急处置等风险补偿机制”“对不能有效证明因用户原因导致的资金损失及时先行赔付”等条款，在一定程度上规范行业行为，降低个人信息泄露风险。
以下为《人脸识别线下支付行业自律公约(试行)》全文：
第一章 总则
第一条 为规范人脸识别线下支付(以下简称刷脸支付)应用创新，防范刷脸支付安全风险，保障会员单位合法权益，维护社会公众利益。经会员单位共同协商，制定本公约。
第二条 会员单位开展刷脸支付应严格执行国家及金融行业的有关法律法规、技术规范，自觉遵守协会各项自律制度规范，在平等、自愿、公平和诚信的原则下开展服务。
第三条 本公约所称刷脸支付是指线下特约商户通过专用受理终端采用人脸识别技术为用户提供的支付服务。
第四条 公约适用于开展刷脸支付的各会员单位，包括在刷脸支付中提供账户管理、转接清算、收单等服务的会员单位。
第五条 会员单位应确保其在刷脸支付中使用的活体检测、人脸识别等技术指标满足金融行业相关要求。
第二章 安全管理
第六条 会员单位应建立人脸信息全生命周期安全管理机制。在采集环节，要坚持“用户授权、最小够用”，明确告知用户信息使用目的、方式和范围，并获得用户授权，避免与需求无关的特征采集。在存储环节，将原始人脸信息加密存储，并与银行账号或支付账号、身份证号等用户个人隐私进行安全隔离。在使用环节，收单机构、商户等中间环节不得归集或截留原始人脸信息，实现端到端的个人隐私保护。
第七条 会员单位应根据用户意愿，为其提供开通或关闭刷脸支付服务。用户开通刷脸支付时，会员单位应以显著方式提示用户注意服务协议中与其有重大利害关系的事项，采取有效方式确认用户充分知晓并清晰理解相关权利、义务和责任，提示方式包括但不限于隐私政策、格式条款、短信提示等。
第八条 用户进行刷脸支付时，会员单位应采用支付口令或其他可靠的技术手段(通过国家统一推行的金融科技产品认证)实现本人主动确权，保障用户的知情权、财产安全权等合法权益。
第九条 会员单位应确保处理刷脸支付业务的信息系统满足物理安全、网络安全、主机安全、应用安全、数据备份等国家、金融行业安全规范要求。
第十条 从事刷脸支付收单服务的会员单位应严格遵守《银行卡收单业务管理办法》(中国人民银行公告〔2013〕第9号公布)、《非银行支付机构网络支付业务管理办法》(中国人民银行公告〔2015〕第43号公布)、《中国人民银行关于进一步加强银行卡风险管理的通知》(银发〔2016〕170号)、《中国人民银行关于加强银行卡收单业务外包管理的通知》(银发〔2015〕199号)等管理要求，承担收单环节支付敏感信息安全管理责任，不得将核心业务系统运营、受理终端密钥管理、特约商户资质审核等工作交由外包服务机构办理。
第十一条 会员单位开展刷脸支付业务涉及跨行交易的，应当通过中国人民银行跨行清算系统或具备合法资质的清算机构处理。
第十二条 提供账户管理、收单服务的会员单位开展刷脸支付业务应遵守和符合清算机构关于刷脸支付业务联网通用的规则等要求。
第三章 终端管理
第十三条 会员单位布放或接入的刷脸支付受理终端应符合国家和金融行业相关标准，并通过国家统一推行的金融科技产品认证。
第十四条 会员单位布放或接入的刷脸支付受理终端应按照《中国人民银行关于强化银行卡受理终端安全管理的通知》(银发〔2017〕21号)等要求进行登记注册管理。
第十五条 会员单位布放和接入的刷脸支付受理终端应遵循金融行业管理及自律有关规定，支持刷脸支付业务互联互通，避免一柜多机，维护市场良好秩序，促进产业可持续发展。
第十六条 会员单位应建立覆盖刷脸支付受理终端开通、使用、更换、维护、撤销等各环节的风险管理制度，建立刷脸支付受理终端定期巡检制度，加强对刷脸支付受理终端的风险控制，及时发现和排除风险隐患。
第四章 风险管理
第十七条 会员单位应建立交易风险监控模型和系统，有效监测可疑交易和异常行为，及时进行分析处置，保障交易安全。
第十八条 会员单位应按照银行卡收单业务管理相关监管规定，加强刷脸支付特约商户资质审核和日常管理，建立健全商户风险评级管理制度及黑名单管理制度，建立刷脸支付特约商户检查制度。
第十九条 会员单位应结合用户信用状况、风险程度等因素，对用户刷脸支付可开通的交易类型进行限制，通过协议约定交易限额，并采取有效风控措施保障交易和用户资金安全。
第二十条 会员单位应结合特约商户风险等级及交易类型等因素，设置或与其约定刷脸支付单笔及日累计交易限额。
第二十一条 中国支付清算协会、清算机构应将刷脸支付特约商户纳入特约商户信息管理系统及黑名单管理机制。拓展特约商户时，提供收单服务的会员单位应进行查询确认，并按规定向中国支付清算协会、清算机构特约商户信息管理系统、风险信息管理系统报送特约商户基本信息及其风险信息。
第二十二条 会员单位应建立刷脸支付突发事件应急处理机制，及时有效化解刷脸支付风险。
第二十三条 会员单位应及时向监管部门和中国支付清算协会报告刷脸支付业务开展情况、市场发展动态及发生的重大风险事件等信息。
第五章 用户权益保护
第二十四条 会员单位应建立用户刷脸支付投诉处理流程，明确投诉受理责任部门和责任人，向客户告知客服电话、在线客服等受理投诉的渠道。
第二十五条 会员单位应及时处理客户提出的差错争议和投诉，建立健全风险拨备资金、保险计划、应急处置等风险补偿机制，对不能有效证明因用户原因导致的资金损失及时先行赔付。
第二十六条 会员单位应建立用户刷脸支付安全教育制度及流程，培养用户良好的刷脸支付安全习惯。
第六章 附则
第二十七条 本公约与国家法律、法规和监管部门规章不一致的，依照有关法律、法规和监管部门规章执行。
第二十八条 本公约由中国支付清算协会负责解释和修订。
第二十九条 中国支付清算协会组织对会员单位公约执行情况的监督检查，对于违反公约的行为可根据《中国支付清算协会自律惩戒实施办法》实施自律惩戒。
第三十条 本公约自中国支付清算协会发布之日起实施。
举报/反馈
0
0
收藏
分享
