記者1月21日從中國支付清算協會官網獲悉，為規范人臉識別線下支付（以下簡稱刷臉支付）應用創新，防范刷臉支付安全風險，中國支付清算協會組織制定了《人臉識別線下支付行業自律公約（試行）》（以下簡稱《自律公約》）。

刷臉支付在中國已經越來越普遍，多個支付巨頭也紛紛加快在線下刷臉支付領域的布局。

去年10月，中國銀聯聯合多家銀行共同發布全新智能支付產品“刷臉付”，正式宣布進軍刷臉支付市場。

與此同時，支付寶和微信支付也均在不遺余力地推廣各自的刷臉支付產品“蜻蜓”和“青蛙”。

在各方商業力量的推動下，刷臉支付熱度漸升，與此同時，其安全性以及信息泄露等風險問題也逐漸受到大眾的關注。

業內人士表示，在這樣的背景下，支付清算協會《自律公約》的發布可謂正當其時。

《自律公約》要求，會員單位應建立人臉信息全生命周期安全管理機制。

在采集環節，要堅持“用戶授權、最小夠用”，明確告知用戶信息使用目的、方式和范圍，并獲得用戶授權，避免與需求無關的特征采集。

在存儲環節，將原始人臉信息加密存儲，并與銀行賬號或支付賬號、身份證號等用戶個人隱私進行安全隔離。

在使用環節，收單機構、商戶等中間環節不得歸集或截留原始人臉信息，實現端到端的個人隱私保護。

值得注意的是，此次《自律公約》主要適用于線下刷臉支付場景。

對此，中國社科院支付清算研究中心特約研究員趙鷂表示，相較于線下場景，線上場景的風險特殊性在于開放的網絡環境與沒有得到硬件加固的普通終端，這會加劇信息泄露風險、假體攻擊風險與非授權支付風險（更加難以舉證用戶授權的主動性與真實性），或者形成多種風險的疊加效應，因而，在現階段線上場景不應該被鼓勵發展，至少要采用可信執行環境（TEE）、安全單元（SE）等技術加強風險防控，才能審慎開展線上場景的刷臉支付業務。

他建議，在繼續凍結開展線上場景的刷臉支付業務的同時，相關金融技術監管部門應盡快發布線下場景的刷臉支付技術安全原則，明確安全紅線。

建立用戶投訴處理流程

對于大家最關注的刷臉支付被“盜刷”、“錯刷”等問題的處理，自律公約要求，會員單位應建立用戶刷臉支付投訴處理流程，明確投訴受理責任部門和責任人，向客戶告知客服電話、在線客服等受理投訴的渠道。

其中要求，會員單位應及時處理客戶提出的差錯爭議和投訴，建立健全風險撥備資金、保險計劃、應急處置等風險補償機制，對不能有效證明因用戶原因導致的資金損失及時先行賠付。

實現端到端個人隱私保護

說到底，大眾最擔憂的是刷臉支付安全性問題，畢竟與密碼、指紋等安全支付方式相比，人的面部屬于開放性信息。

在安全管理方面，自律公約要求會員單位應建立人臉信息全生命周期安全管理機制，包括采集、儲存和使用環節：

在采集環節，要堅持“用戶授權、最小夠用”，明確告知用戶信息使用目的、方式和范圍，并獲得用戶授權，避免與需求無關的特征采集。

在存儲環節，將原始人臉信息加密存儲，并與銀行賬號或支付賬號、身份證號等用戶個人隱私進行安全隔離。

在使用環節，收單機構、商戶等中間環節不得歸集或截留原始人臉信息，實現端到端的個人隱私保護。