一年来，从央视315晚会曝光多家线下门店违规使用人脸识别摄像头分析消费者行为，到部分社区居民不刷脸不能回家的无奈，再到“深度伪造”等技术使用门槛的不断降低，人脸识别的应用面临诸多挑战。 　　

　　12月17日，由杜南个人信息保护研究中心主办的“2021啄木鸟数据治理论坛”在京举行。杜南人工智能伦理研究组在大会上发布了《人脸识别应用场景合规报告（2021）》(以下简称“报告”)，对20款移动人脸识别应用的合规性进行了评估分析。 　　

　　报告显示，60%具有人脸识别功能的app没有单独的人脸识别规则。从具体场景来看，支付和转账整体表现较好，娱乐特效、门禁等领域的app则缺乏规则通知。此外，经过技术评估，测试的四款娱乐特效app不加密传输个人信息，人脸图片的链接可以公开访问，存在很大的安全隐患。 　　

　　六成没有单独人脸识别协议，刷脸支付“告知同意”较为合规 　　

　　今年7月3日，一个词条“人脸识别必须穿衣服”被热搜。很多用户误以为人脸识别系统只会上传人脸部分的信息，所以可能会在躺在被子里、洗澡或者拥抱另一半的时候做人脸识别。众所周知，脸部以外的部分也被摄像头记录下来，被别人看到。 　　

　　这种尴尬反映出App的人脸识别功能在普及的同时，其收集个人信息的方式与公众认知有所不同。课题组根据多个安卓应用商店的App下载量排名和开放互联网平台用户投诉情况，选取了20款App进行测评，包括支付转账、实名验证、财产门禁、娱乐特效等。 　　

　　结果显示，只有8款app可以在用户使用人脸识别前提示相关规则，包括中国银联快通、中国工商银行、支付宝、京东金融、淘宝、JD.COM、中国农业银行和QQ。 　　

　　具体到场景类别——刷脸支付场景下，测试的App会在用户打开刷脸支付时向用户展示人脸识别规则。比如支付宝和淘宝的《生物识别服务通用规则》，JD.COM和京东金融的《京东人脸服务协议》，中国银联快捷通的《人脸识别服务协议》，工商银行的《面容支付协议》。 　　

　　在一次性实名验证场景下，只有QQ、农行、淘宝三个app显示人脸识别规则。 　　

　　娱乐领域的四款app都没有单独的人脸识别规则。但是“趣味秀”和“ZAO”会有人脸信息短提示的处理规则。比如，趣秀会在用户触发“AI换装”功能时弹出提示，告知“视频合成后会立即删除人脸照片，不会保留你的人脸照片和数据”。 　　

　　弹出“趣味表演”通知 　　

　　两个物业门禁app中，“御景小区”在入脸前未显示任何协议；“邻居开门”会弹出《刷脸支付业务协议》。但是，该协议并不专门针对人脸信息的处理，也没有规定人脸信息的处理规则。 　　

　　报告显示，在8款提供个人人脸识别规则的app中，也存在提示不到位的情况。比如支付宝、淘宝、工商银行三个app开通刷脸支付功能时，并没有得到用户的明确同意。 　　

　　此外，“工商银行”有支付转账、实名验证等多种刷脸场景，但有些场景提示人脸识别规则，有些则没有。具体来说，当设置并开启“线下商户刷脸支付”功能时，App会向用户显示《亲邻人脸开门服务协议》；在使用“云托管”(一种云存储功能)时，虽然要求用户用人脸登录，但在这个环节中不会向用户呈现任何人脸识别规则——用户只需点击一个按钮就可以直接进入人脸验证。 　　

　　2）人脸识别规则差距大，存储位置和时限告知不明 　　

　　报告显示，与隐私政策不同，不同app的人脸识别协议框架不同，其细节和内容也有较大差异。 　　

　　比如《刷脸支付业务协议》只有短短的三段话，没有说明人脸信息的保存期限、保存方式、处理规则等信息。《QQ人脸识别功能服务协议》告知了关闭人脸登录服务的具体步骤以及人脸识别失败时的解决方案，并表示会根据隐私政策保护用户信息，在更新协议时会告知用户并征求同意。 　　

　　测评结果显示，很多App人脸识别规则都没有告知存储时限或位置，只有6款App提到人脸信息的存储。 　　

　　JD.COM、淘宝、农行、京东金融四个app表示会在必要期限内保存人脸信息；淘宝进一步承诺，验证服务完成后将及时删除原人脸图像。与淘宝相反，中国工商银行表示，每次验证时拍摄的图片可能会被保存，以帮助纠正算法。 　　

　　关于存储位置，只有支付宝1 App承诺输入的生物识别信息会存储在设备本地——“您输入的生物识别信息只会存储在设备上，一旦更换设备，您需要在新设备上重新输入生物识别信息”。 　　

报告还利用技术手段对20款App做了数据安全检测。数据安全检测通过安装启动被测App、登录实体账号并触发人脸采集上传功能，采用逆向分析、数据抓包等技术手段检测相关应用在真实环境下的个人信息收集、网络传输情况。

测评结果显示，20款App中，16款对个人信息作了信息加密和传输加密处理，另有4款娱乐特效App存在问题。

比如“趣演”没有对人脸信息进行加密处理。该App的“AI换装”功能是通过用户上传照片，然后选择视频模板后可生成一段换脸视频。但由于没有加密措施，用户的换脸视频的链接可被公开访问。这意味着，换脸视频可能被任何人获取。

“趣演”的换脸视频可被公开访问

“ZAO”“更美”“新氧医美”等3款App，尽管使用了HTTPS安全传输协议，但没有对数据本身加密，导致用户的人脸照片等信息被上传服务器后，服务器返回链接可被互联网公开访问。课题组将相关链接复制到浏览器中，可以直接查看对应的信息。这意味着，攻击者一旦截获传输数据包，就将获得用户的一系列敏感个人信息。

报告认为，人脸识别应用软件在规则告知和技术安全方面呈现出良莠不齐的现象，不同场景的应用在合规方面差距明显。头部银行和互联网平台企业在规则制定方面较为规范，但仍在政策透明度方面有明显问题，而部分娱乐特效类App则出现了非常明显的安全漏洞，可能成为人脸识别领域隐私泄露的“重灾区”，应当引起开发者的重视。

文/南都人工智能伦理课题组研究员李娅宁 胡耕硕