國家互聯(lián)網(wǎng)信息辦公室關(guān)于《人臉識別技術(shù)應(yīng)用安全管理規(guī)定(試行)(征求意見稿)》公開征求意見的通知

　　為規(guī)范人臉識別技術(shù)應(yīng)用，根據(jù)《中華人民共和國網(wǎng)絡(luò)安全法》《中華人民共和國數(shù)據(jù)安全法》《中華人民共和國個人信息保護法》等法律法規(guī)，國家互聯(lián)網(wǎng)信息辦公室起草了《人臉識別技術(shù)應(yīng)用安全管理規(guī)定(試行)(征求意見稿)》，現(xiàn)向社會公開征求意見。公眾可以通過以下途徑和方式提出反饋意見：

　　1.登錄中華人民共和國司法部 中國政府法制信息網(wǎng)(www.moj.gov.cn、www.chinalaw.gov.cn)，進入首頁主菜單的“立法意見征集”欄目提出意見。

　　2.通過電子郵件方式發(fā)送至：shujuju@cac.gov.cn。

　　3.通過信函方式將意見寄至：北京市海淀區(qū)阜成路15號國家互聯(lián)網(wǎng)信息辦公室網(wǎng)絡(luò)數(shù)據(jù)管理局，郵編100048，并在信封上注明“人臉識別技術(shù)應(yīng)用安全管理規(guī)定(試行)征求意見”。

　　意見反饋截止時間為2023年9月7日。

　　附件：人臉識別技術(shù)應(yīng)用安全管理規(guī)定(試行)(征求意見稿)

　　人臉識別技術(shù)應(yīng)用安全管理規(guī)定(試行)

　　(征求意見稿)

　　第一條 為規(guī)范人臉識別技術(shù)應(yīng)用，保護個人信息權(quán)益及其他人身和財產(chǎn)權(quán)益，維護社會秩序和公共安全，根據(jù)《中華人民共和國網(wǎng)絡(luò)安全法》《中華人民共和國數(shù)據(jù)安全法》《中華人民共和國個人信息保護法》等法律，制定本規(guī)定。

　　第二條 在中華人民共和國境內(nèi)利用人臉識別技術(shù)處理人臉信息，提供人臉識別技術(shù)產(chǎn)品或者服務(wù)，應(yīng)當(dāng)遵守本規(guī)定。法律、行政法規(guī)另有規(guī)定的從其規(guī)定。

　　第三條 使用人臉識別技術(shù)應(yīng)當(dāng)遵守法律法規(guī)，遵守公共秩序，尊重社會公德，承擔(dān)社會責(zé)任，履行個人信息保護義務(wù)，不得利用人臉識別技術(shù)從事危害國家安全、損害公共利益、擾亂社會秩序、侵害個人和組織合法權(quán)益等法律法規(guī)禁止的活動。

　　第四條 只有在具有特定的目的和充分的必要性，并采取嚴格保護措施的情形下，方可使用人臉識別技術(shù)處理人臉信息。實現(xiàn)相同目的或者達到同等業(yè)務(wù)要求，存在其他非生物特征識別技術(shù)方案的，應(yīng)當(dāng)優(yōu)先選擇非生物特征識別技術(shù)方案。

　　使用人臉識別技術(shù)驗證個人身份、辨識特定自然人的，鼓勵優(yōu)先使用國家人口基礎(chǔ)信息庫、國家網(wǎng)絡(luò)身份認證公共服務(wù)等權(quán)威渠道。

　　第五條 使用人臉識別技術(shù)處理人臉信息應(yīng)當(dāng)取得個人的單獨同意或者依法取得書面同意。法律、行政法規(guī)規(guī)定不需取得個人同意的除外。

　　第六條 旅館客房、公共浴室、更衣室、衛(wèi)生間及其他可能侵害他人隱私的場所不得安裝圖像采集、個人身份識別設(shè)備。

　　第七條 在公共場所安裝圖像采集、個人身份識別設(shè)備，應(yīng)當(dāng)為維護公共安全所必需，遵守國家有關(guān)規(guī)定，設(shè)置顯著提示標(biāo)識。

　　在公共場所安裝圖像采集、個人身份識別設(shè)備的建設(shè)、使用、運行維護單位，對獲取的個人圖像、身份識別信息負有保密義務(wù)，不得非法泄露或者對外提供。所收集的個人圖像、身份識別信息只能用于維護公共安全的目的，不得用于其他目的；取得個人單獨同意的除外。

　　第八條 組織機構(gòu)為實施內(nèi)部管理安裝圖像采集、個人身份識別設(shè)備的，應(yīng)當(dāng)根據(jù)實際需求合理確定圖像信息采集區(qū)域，采取嚴格保護措施，防止違規(guī)查閱、復(fù)制、公開、對外提供、傳播個人圖像等行為，防止個人信息泄露、篡改、丟失或者被非法獲取、非法利用。

　　第九條 賓館、銀行、車站、機場、體育場館、展覽館、博物館、美術(shù)館、圖書館等經(jīng)營場所，除法律、行政法規(guī)規(guī)定應(yīng)當(dāng)使用人臉識別技術(shù)驗證個人身份的，不得以辦理業(yè)務(wù)、提升服務(wù)質(zhì)量等為由強制、誤導(dǎo)、欺詐、脅迫個人接受人臉識別技術(shù)驗證個人身份。

　　個人自愿選擇使用人臉識別技術(shù)驗證個人身份的，應(yīng)當(dāng)確保個人充分知情并在個人主動參與的情況下進行，驗證過程中應(yīng)當(dāng)以清晰易懂的語音或者文字等方式即時明確提示身份驗證的目的。

　　第十條 在公共場所、經(jīng)營場所使用人臉識別技術(shù)遠距離、無感式辨識特定自然人，應(yīng)當(dāng)為維護國家安全、公共安全或者為緊急情況下保護自然人生命健康和財產(chǎn)安全所必需，并由個人或者利害關(guān)系人主動提出。

　　人臉識別技術(shù)使用者應(yīng)個人或者利害關(guān)系人請求使用人臉識別技術(shù)遠距離、無感式辨識特定個人或者利害關(guān)系人的，應(yīng)當(dāng)將相關(guān)服務(wù)限定在最小必要的時間、地點或者人群范圍內(nèi)，不得關(guān)聯(lián)與個人請求事項無直接必然相關(guān)的個人信息。

　　第十一條 除維護國家安全、公共安全或者為緊急情況下保護自然人生命健康和財產(chǎn)安全所必需，或者取得個人單獨同意外，任何組織或者個人不得利用人臉識別技術(shù)分析個人種族、民族、宗教信仰、健康狀況、社會階層等敏感個人信息。

　　第十二條 涉及社會救助、不動產(chǎn)處分等個人重大利益的，不得使用人臉識別技術(shù)替代人工審核個人身份，人臉識別技術(shù)可以作為驗證個人身份的輔助手段。

　　第十三條 人臉識別技術(shù)使用者處理不滿十四周歲未成年人人臉信息的，應(yīng)當(dāng)取得未成年人的父母或者其他監(jiān)護人的單獨同意或者書面同意。

　　未成年人的父母或者其他監(jiān)護人應(yīng)當(dāng)正確履行監(jiān)護職責(zé)，教育引導(dǎo)不滿十四周歲未成年人增強個人信息保護意識和能力。

　　第十四條 物業(yè)服務(wù)企業(yè)等建筑物管理人不得將使用人臉識別技術(shù)驗證個人身份作為出入物業(yè)管理區(qū)域的唯一方式，個人不同意通過人臉信息進行身份驗證的，物業(yè)服務(wù)企業(yè)等建筑物管理人應(yīng)當(dāng)提供其他合理、便捷的身份驗證方式。

　　第十五條 人臉識別技術(shù)使用者處理人臉信息，應(yīng)當(dāng)事前進行個人信息保護影響評估，并對處理情況進行記錄。

　　個人信息保護影響評估主要包括下列內(nèi)容：

　　(一)是否符合法律、行政法規(guī)的規(guī)定和國家標(biāo)準的強制性要求，是否符合倫理道德；

　　(二)處理人臉信息是否具有特定的目的和充分的必要性；

　　(三)是否限于實現(xiàn)目的所必需的準度、精度及距離要求；

　　(四)采取的保護措施是否合法有效并與風(fēng)險程度相適應(yīng)；

　　(五)發(fā)生或者可能發(fā)生人臉信息泄露、篡改、丟失、毀損或者被非法獲取、非法利用的風(fēng)險以及可能造成的危害；

　　(六)可能對個人權(quán)益帶來的損害和影響，以及降低不利影響的措施是否有效。

　　個人信息保護影響評估報告應(yīng)當(dāng)至少保存三年。處理人臉信息的目的、方式發(fā)生變化，或者發(fā)生重大安全事件的，人臉識別技術(shù)使用者應(yīng)當(dāng)重新進行個人信息保護影響評估。

　　第十六條 在公共場所使用人臉識別技術(shù)，或者存儲超過1萬人人臉信息的人臉識別技術(shù)使用者，應(yīng)當(dāng)在30個工作日內(nèi)向所屬地市級以上網(wǎng)信部門備案。申請備案應(yīng)當(dāng)提交下列材料：

　　(一)人臉識別技術(shù)使用者及其個人信息保護負責(zé)人的基本情況；

　　(二)處理人臉信息的必要性說明；

　　(三)人臉信息的處理目的、處理方式和安全保護措施；

　　(四)人臉信息的處理規(guī)則和操作規(guī)程；

　　(五)個人信息保護影響評估報告；

　　(六)網(wǎng)信部門認為需要提供的其他材料。

　　人臉識別技術(shù)使用者處理人臉信息，有法律、行政法規(guī)規(guī)定應(yīng)當(dāng)保密的，按有關(guān)規(guī)定執(zhí)行。

　　備案信息發(fā)生實質(zhì)性變更的，應(yīng)在變更之日起20個工作日內(nèi)辦理備案變更手續(xù)。終止人臉識別技術(shù)使用的，應(yīng)在終止之日起30個工作日內(nèi)辦理備案注銷手續(xù)。

　　第十七條 除法定條件或者取得個人單獨同意外，人臉識別技術(shù)使用者不得保存人臉原始圖像、圖片、視頻，經(jīng)過匿名化處理的人臉信息除外。

　　面向社會公眾提供人臉識別技術(shù)服務(wù)的，相關(guān)技術(shù)系統(tǒng)應(yīng)當(dāng)符合網(wǎng)絡(luò)安全等級保護第三級以上保護要求，并采取數(shù)據(jù)加密、安全審計、訪問控制、授權(quán)管理、入侵檢測和防御等措施保護人臉信息安全。屬于關(guān)鍵信息基礎(chǔ)設(shè)施的，還應(yīng)當(dāng)符合關(guān)鍵信息基礎(chǔ)設(shè)施安全保護的相關(guān)要求。

　　第十八條 使用人臉識別技術(shù)處理人臉信息應(yīng)當(dāng)盡量避免采集與提供服務(wù)無關(guān)的人臉信息，無法避免的，應(yīng)當(dāng)及時刪除或者進行匿名化處理。

　　第十九條 人臉識別技術(shù)使用者應(yīng)當(dāng)每年對圖像采集設(shè)備、個人身份識別設(shè)備的安全性和可能存在的風(fēng)險進行檢測評估，并根據(jù)檢測評估情況改進安全策略，調(diào)整置信度閾值，采取有效措施保護圖像采集設(shè)備、個人身份識別設(shè)備免受攻擊、侵入、干擾和破壞。

　　第二十條 按照國家有關(guān)規(guī)定列入網(wǎng)絡(luò)關(guān)鍵設(shè)備和網(wǎng)絡(luò)安全專用產(chǎn)品目錄的圖像采集設(shè)備、個人身份識別設(shè)備，應(yīng)當(dāng)按照相關(guān)國家標(biāo)準的強制性要求，由具備資格的機構(gòu)認證合格或者檢測符合要求后，方可銷售或者提供。

　　第二十一條 網(wǎng)信部門會同電信主管部門、公安機關(guān)、市場監(jiān)管部門等有關(guān)部門依據(jù)職責(zé)，加強對人臉識別技術(shù)使用的監(jiān)督檢查，指導(dǎo)督促人臉識別技術(shù)使用者履行備案手續(xù)，及時發(fā)現(xiàn)安全隱患并督促限期整改。

　　人臉識別技術(shù)使用者、產(chǎn)品或者服務(wù)提供者應(yīng)當(dāng)對有關(guān)部門依法開展的監(jiān)督檢查予以配合。

　　第二十二條 任何組織和個人發(fā)現(xiàn)有違反本規(guī)定行為的，可以向網(wǎng)信、電信、公安、市場監(jiān)管等有關(guān)部門投訴、舉報。

　　網(wǎng)信、電信、公安、市場監(jiān)管等有關(guān)部門收到相關(guān)投訴、舉報的，應(yīng)當(dāng)依據(jù)職責(zé)依法作出處理。

　　第二十三條 人臉識別技術(shù)使用者或者相關(guān)產(chǎn)品、服務(wù)提供者違反本規(guī)定的，由網(wǎng)信、電信、公安、市場監(jiān)管等有關(guān)部門在職責(zé)范圍內(nèi)依照《中華人民共和國網(wǎng)絡(luò)安全法》《中華人民共和國數(shù)據(jù)安全法》《中華人民共和國個人信息保護法》等法律法規(guī)進行處罰。違反《治安管理處罰法》的，依法給予治安管理處罰；構(gòu)成犯罪的，依法追究刑事責(zé)任。

　　違反本規(guī)定，給他人造成損害的，依法承擔(dān)民事責(zé)任。

　　第二十四條 本規(guī)定由國家互聯(lián)網(wǎng)信息辦公室會同工業(yè)和信息化部、公安部、國家市場監(jiān)督管理總局負責(zé)解釋。

　　第二十五條 本規(guī)定自×年×月×日起施行。