#净网2019#偷脸”是一种新生意，人脸、指纹等成信息泄露重灾区！

反欺诈大数据

近日，杭州野生动物园规定，未录入人脸信息将影响公园年卡的正常使用，引起公众关注。目前，公民的指纹、面部特征等生物识别信息是否存在被过度采集的风险？哪些主体正在获取我们的生物识别信息？相关信息保护哪些方面亟待加强？新华社记者对此展开调查。

（本文转载自反欺诈大数据：FPData）

文字总数：2640 字

阅读时间：7分钟

标题图片：资料图

公共生物识别信息被反复过度收集

记者从北京大学法学院副院长薛军教授处获悉，目前，除了身份证之外，人脸、指纹等个人生物识别信息已成为过度收集公民信息案件中的新“重要问题”。号码、手机号码等信息。灾区”。

同时，由于生物识别信息与个人财产、人格权的联系日益紧密，一旦信息丢失或失控，将会给信息所有者造成巨大且难以弥补的损失。

这并非没有根据。 2019年2月，深圳一家人脸识别公司被证实遭遇数据泄露。超过250万人的核心数据被获取，680万条记录被泄露，包括身份证信息、面部识别图像、GPS定位记录。

部分软件还涉嫌过度收集用户生物识别信息。此前，中国消费者协会发布了《100款App个人信息收集及隐私政策评估报告》。报告显示，在评估的100个应用程序中，有10个应用程序涉嫌过度收集个人生物识别信息。一家一度成为网络热门应用的换脸软件开发公司防骗大数据，今年9月也因涉嫌未依法依规收集、使用用户个人信息而被工信部约谈。

国内某知名互联网公司视频识别安全专家向记者透露，目前存在大量不法分子和数据黑灰行业从业者。为了通过实人认证，达到注册虚假账户或直接侵犯他人账户的目的，需要相应的人员。人脸信息甚至在国内催生了一定规模的“刷脸产业”。

记者上网搜索发现，网上论坛上有大量针对电商平台和特定设备的“过脸”技术解答，甚至还有完整的“过脸”技术教程，包括软件选择、脚本设置等。等等。有些网站还设有“刷脸软件”的代码链接，供人们随意下载。

我们的生物识别信息流向哪里？安全吗？

那么在日常生活中，谁热衷于记录和存储我们的生物识别信息呢？奇安信网络安全研究中心主任裴志勇告诉记者，目前实体分为三类。

首先是一些视频监控的运营主体。例如，通过商场、酒店、会议场所等公共场所的视频设备采集信息。（本文转载自反欺诈大数据：FPData）

其次，一些公共职能部门、大型互联网公司、商业机构等，在用户授权的情况下收集含有用户个人生物特征的数据信息。

第三是科研机构需要收集并使用它们进行科学研究，比如存储一定规模的样本供人工智能学习和训练。

浙江大学计算机学院人工智能研究所教授李曦表示，目前公民生物识别信息的主要采集和存储主体在提供信息安全防护、信息披露透明度等方面能力参差不齐。不够，很容易导致海量信息存在安全风险。

同时，业内人士透露，在目前的授权采集过程中，大量商业主体为了降低自身成本，通过标准条款或单方面告知的方式“强迫”弱势公众出售生物特征信息，甚至合同中默示同意。自我豁免条款。这些都不利于相关信息的保护。

“未来，我们不排除根据收集到的数据重建个人生物特征的可能性，比如通过3D打印技术来‘复制’人脸。届时，我们面临的风险将不仅仅是在虚拟世界中被入侵，但在现实生活中却被冒充了。”奇安信集团副总裁左英男说。

善恶科技力量仍将斗争，法律空白亟待填补

接受采访的网络安全专家认为，人脸、指纹、虹膜甚至基因等生物识别信息因其便携性和唯一性，将越来越多地应用于金融、购物、安防等生活场景，这一趋势不可逆转。但其再现性也决定了围绕信息安全技术的“道魔大战”将长期持续。 （本文转载自反欺诈大数据：FPData）

记者了解到，在目前的技术层面，“换脸”的潜在风险主要可以通过“活体检测+人脸比对识别”来应对。同时，通过翻拍、3D结构光、多维生物识别信息等辅助技术，也可以在一定程度上增加相关技术的安全性。

有专家认为，目前相关法律规范的空白也亟待填补。浙江浙航律师事务所高级合伙人蒋海滨律师介绍，我国网络安全法规定了“谁收集、谁负责”的原则，规定收集个人信息必须征得被收集人的同意，包括个人信息生物识别信息。但对于相关信息收集主体需要提供的保护程度、如何评估和公开、公民个人敏感信息的保护程度以及具体保护等关键问题，尚未制定强制性法律规范。措施。

2018年5月，全国信息安全标准化技术委员会作为推荐性国家标准颁布实施了《信息安全技术个人信息安全规范》，明确将生物特征信息等信息归为“一旦泄露、非法提供或者滥用可能危及生命安全的信息”。人身和财产安全、个人敏感信息等容易导致个人名誉、身心健康受损或歧视性待遇的信息。”

北京航空航天大学法学院院长龙伟秋认为，该标准对个人信息的收集、存储、使用、委托处理等方面提出了要求，贯彻了《网络安全法》的原则规定，填补了空白。国内个人信息保护实用标准。空白防骗大数据，为企业落实个人信息保护合规提供具体指导。

目前，我国正在加快个人信息保护法的立法进程。对此，薛军还建议，应在立法层面区分普通个人信息和敏感个人信息。 “对于敏感的个人信息，可能会建立特许经营制度。也就是说，未经法律法规授权，一般企业、民间机构等，即使征得公民个人同意，也不得收集含有个人生物特征的敏感信息。”