摘要：刷脸支付是一种新兴的支付方式，是人工智能时代的发展产物，是将生物识别技术应用于支付领域的体现。刷脸支付的出现极大地缩减了支付的手续与时间，但随之带来了相关的财产安全、个人信息安全以及运营过程中产生的矛盾纠纷等法律风险。与此同时，也给现有法律制度带来了新的挑战。在大数据的背景下，为了保护国家安全、个人信息安全、财产安全，维护社会的和谐与稳定，亟须法律做出相应规制。

关键词：刷脸支付；生物识别；法律风险；法律规制

前  言

随着网络技术的推广与普及，电子支付已逐渐取代了传统的支付方式，而随着大数据时代的到来，刷脸支付也已悄然而至。刷脸支付凭借高效便捷的支付优势备受青睐。消费者在各大商店、超市、餐馆消费时，不用打开手机扫码支付，只需要看一眼支付设备，便能完成付款。于是人们时常玩笑称“现在真是个看脸的时代”。但2019年“人脸识别第一案”的出现，使得人们开始正视刷脸支付背后所带来的安全隐患，大家开始思考刷脸支付的安全性。因此为了保证刷脸支付行业的持续健康发展，我们应明确刷脸支付的法律边界，构建完善的事前、事中、事后的监管体系。

一、刷脸支付概述

（一）刷脸支付的概念

刷脸支付既不同于传统支付方式，也不同于扫码支付，它是依据人脸识别技术的支付方式。人脸识别技术，是通过图像或视频流中检测和跟踪人脸，再基于人的面部特征信息进行身份识别的一种生物识别技术。它所依据的原理是通过终端设备采集的人脸信息与云端储存设备所保存的信息进行比对，进而判断每个人的身份，最后再将支付系统与消费者的面部信息相关联，从而完成认证与支付。刷脸支付是人脸识别技术在支付领域中的应用，除此之外，在公安移动警务、智慧校园、智慧社区、智慧办公、大型商场楼层等领域均有体现。刷脸技术不仅得到了公安、企业、政府、交通、消费者的高度重视与喜爱，应用的平台与模式也在不断创新。

（二）刷脸支付的优势

刷脸支付行业之所以近几年的发展如此迅速，得益于其新颖性和高效率性。虽然当代手机的普及改变了人们之间的交流、生活、工作和学习的方式，但越来越多的人正在尝试减少手机对其生活各方面的渗透。刷脸支付的新颖性体现在它不需借助手机的帮助就能完成支付，而二维码支付、指纹支付均需要借助手机来验证支付者的身份，耗时时间长同时又进一步加剧了对手机的依赖。刷脸支付的使用只要求消费者将其面部对准终端设备的摄像头即可，待匹配成功后即完成支付。让消费者体验到“无感接触”，传达出一种“脸即支付的密码”的理念。据统计使用刷脸支付的用户量已经破亿，可以说它的出现博足了民众的眼球。

刷脸支付除了具有新颖性以外，还具备高效率性。由于人均可支配收入的增加和生活水平的提高，各大商场与超市、餐馆的人数激增。在采用现金支付、扫码支付或指纹支付时往往会出现排长队的情形，再加上排队时间一长，时有发生消费者与消费者、消费者与经营者或店员的矛盾冲突。而采用刷脸支付，可以很大程度上节约付款时间，避免出现排长队的现象，化解潜在的矛盾。同时为商家节约人工成本，增加了运营利益。

（三）刷脸支付带来的挑战

第一个挑战是个人信息的安全问题。综上所述，面部信息属于个人信息的一种。在网络与高新技术迅猛发展的时代背景下，人们的面部数据被大量使用。只要有使用人脸识别技术的领域，便会与个人身份信息和隐私有所关联。众所周知，人脸识别技术首先是通过摄像头予以收集，其次存储在一定的终端设备中。当使用时再将已存储的数据和现场采集的数据予以对比，进而验证使用人的身份。而最容易造成信息泄露的就是采集和储存阶段。大众很有可能在不知情的情况下就被采集面部数据，抑或不法分子通过高科技手段对储存设备予攻击，进而造成信息泄露。储存库中存放着数以万计的用户信息，一旦泄露所造成的影响是无法想象的。同时，网络时代讲究一个“快”字，任何信息的传播速度都难以想象。当某个人的面部信息被泄露时，造成的扩散范围和用途都是不可控的。

除此之外，刷脸支付还会给用户带来财产安全不稳定的风险，主要体现在对公民财产的直接侵犯和间接侵犯。对用户财产的直接侵犯是指通过AI换脸技术、3D面部模型和照片盗刷的情形。用于刷脸支付的设备终究是机器，在机器眼中只认眼前的图像是否与数据库中储存的一致，并不会在意摄像头前的人是不是真人。在这里尤其要注意的就是AI换脸技术，这种技术目前已日渐成熟，被广泛应用于影视或摄影行业中。但也不排除会给犯罪分子提供可乘之机的可能。刷脸支付不同于密码支付和指纹支付，当密码或指纹被泄露时可以及时进行更换。一旦一个人的面部信息被泄露时，可能就是终生泄露，从而给用户的财产安全带来更大的不确定性，进而滋生一系列的财产安全问题。

二、国内外对于刷脸支付的研究现状

（一）国外关于刷脸支付的规定

刷脸支付技术虽然在我国发展得如火如荼，但开创这项技术的并不是我国。此项技术源于2013年7月，芬兰Uniqul公司推出了史上第一款基于脸部识别系统的支付平台，开创了刷脸支付的先河。2017年2月21日，刷脸支付被权威学术杂志《麻省理工技术评论》（MIT TechnologyReview）评为“2017年全球十大突破性技术”。随后人脸识别技术开始登上舞台，但纵观国外刷脸支付行业的发展情况并不如我国乐观。

刷脸支付技术的应用依赖于生物识别技术。对于生物识别技术，欧盟的《通用数据保护条例》把它定义为与自然人的身体、生理行为或行为特征有关的，经特定技术处理产生的个人数据，通过这些数据能确认该自然人的唯一身份。刷脸支付技术无疑是一项先进的技术，但在国外却不被重视，是因为其带来的隐私泄露、主体不平等、技术滥用的潜在风险。而刷脸支付必然会用到面部数据采集，欧盟委员会在《人工智能战略白皮书》（White Paper on ArtificialIntelligence — AEuropean Approach to Excellenceand Trust）中对于面部采集进行了严格的限制，他们考虑是否限制政府部门和私营机构在公共场所使用摄像头收集生物识别信息并识别个人身份。国外对于该项技术的担忧点在于刷脸支付必然会依赖于面部数据库，数据库里储存有大量用户的各类信息包括但不限于自然人的年龄、健康情况、面部特征等个人私密信息，但面部数据库会被潜在的网络安全所影响，一旦面部数据库被侵入，大量用户的隐私会被泄露；如果刷脸支付被应用于各大行业，那么数以万计用户的面部数据将被收集，当用户在进行消费时，利用信息技术可能会对用户的消费情况对其进行潜在的分类，从而为其贴上某一类群体的特有标签。因此外国立法者对于人脸识别技术进行了严格的限制，在美国的波士顿、旧金山等地区则禁止人们使用该项技术。

纵观各国立法，对刷脸支付的法律规制并未呈现系统化、体系化的特点，只是存有一些零星法律，例如巴西的《通用数据保护法》、欧盟的《通用数据保护条例》，或是出台了专门的保护法案进行保护，比如美国伊利诺伊州的《生物信息隐私法》、华盛顿特区的《生物识别信息法》等甚至以禁令的形式限制刷脸支付的运用。

（二）我国关于刷脸支付的立法现状

刷脸支付顺应了人工智能潮流的发展，该项技术虽不起源于我国，但在我国应用领域非常广泛，用户群体十分庞大。目前我国未对刷脸支付单独制定法律予以规范，但好在《民法典》《网络安全法》和《数据安全法（征求意见稿）》等法律对其性质均有涉猎，均是以人脸识别信息的独特性作为制定法律规范的起点。

《民法典》第1034条规定：“自然人的个人信息受法律保护。个人信息是以电子或者其他方式记录的能够单独或者与其他信息结合识别特定自然人的各种信息，包括自然人的姓名、出生日期、身份证件号码、生物识别信息、住址、电话号码、电子邮箱、健康信息、行踪信息等。个人信息中的私密信息，适用有关隐私权的规定；没有规定的，适用有关个人信息保护的规定。”《民法典》第1033条和1035条规定，收集和处理个人信息应征得被使用人的同意。在实践中自然人在公共场所中被获取的人脸信息，对此如何认定他们是知情还是反对？国内大多数学者对于知情的认定标准，都采用一般理性人的标准。当用户使用刷脸支付的方式时视为对自己的面部数据的处分。但这种处分不应以粗犷式的判断作为前提，而是需要用户对于自己的人脸识别信息和人脸图像数据的使用范围有一个明确的认知。对人脸图像的储存地点和适用范围，用户要达到知道或应当知道的程度。

刷脸支付所使用到的用户面部数据是属于个人信息中且更倾向于隐私信息的一种。我国的《民法典》和《网络安全法》均规定当用户发现自己的个人信息未经本人允许被他人使用时，为维护自己的合法权益，均有权要求使用者予以删除。部分学者将其称为删除权。这种保护方式类似于我国《知识产权法》中对于著作权的保护，同时这种方式也是属于民事责任承担方式中“停止侵害”的要求。《消费者权益保护法》第十四条规定了消费者个人信息保护权，第二十九条规定了经营者采集、使用消费者个人信息的原则，第五十条、第五十六条规定了经营者侵害消费者个人信息应承担的法律责任。但《消费者权益保护法》对于消费者个人信息权的保护仍缺乏全面详尽的规定。由此可以看出，我国对于刷脸支付的所涉及的面部数据，由于其具有强烈的个人信息专属性，在立法中更倾向于将其归纳至人格利益中予以保护。

（三）我国关于刷脸支付的司法现状

我国关于刷脸支付的司法现状呈现出两个特点：一个是适用法律冲突，另一个则是举证责任分配不合理。

“杭州人脸识别第一案”中，杭州野生动物世界在未与郭某协商一致的情形下，短信告知郭某“园区已由指纹识别升级为人脸识别，未注册人脸识别的用户将无法正常入园”。郭某与园区未达成协商一致的情况下，诉至法院。刷脸所依据的人脸信息属于自然人的个人信息，且该信息属于隐私信息。民法中并无规定个人信息权，但规定了民事主体对个人信息享有民事权益。园区的行为是否符合《消费者权益保护法》第二十九条？但园区采用人脸识别的措施确实提升入园效率，这种做法是否符合《消费者权益保护法》中免责事由？如果从《侵权责任法》的角度分析本案，难以认定园区具有过错。在刷脸支付中必定会使用消费者本人的人脸信息，而使用主体的不配合，则会造成《合同法》《消费者权益保护法》以及《侵权责任法》之间的冲突。

《民事诉讼法》第六十四条规定：“当事人对自己提出的主张，有责任提供证据。当事人及其诉讼代理人因客观原因不能自行收集的证据，或者人民法院认为审理案件需要的证据，人民法院应当调查收集。人民法院应当按照法定程序，全面地、客观地审查核实证据”。据此在民事诉讼中的举证责任分配的原则是“谁主张，谁举证”。而在有关刷脸支付的纠纷中适用“谁主张，谁举证”的原则却存在以下两点困难：（1）因地位上的不平等引起的举证困难。民法调整的是平等主体之间的民事纠纷，在运用刷脸支付的使用中，用户本人和该技术的运营者在民事交易活动中都是平等的民事主体。但一旦产生纠纷，双方各自面临的举证难度却大相径庭。因为在技术领域方面，用户与运营者相比往往处于劣势。用户要想证明自己的人脸信息被冒用或盗用，很有可能会面临无法举证的情形。若此时依据“谁主张，谁举证”的原则，显然违背了民法的公平原则，将导致双方在诉讼中享有的权利义务不一致。此时很有必要将举证责任分配给该技术的运营方，由运营方证明该用户的面部信息不存在盗用、冒用情形或证明自己已尽审核义务。（2）欲实行举证责任倒置，却无明确法律依据。“谁主张，谁举证”是我国举证责任分配的一般原则，我国民事诉讼中还存在举证责任倒置的情形，但举证责任倒置的情形需法律明文规定。因人脸识别产生的纠纷均不属于旧侵权责任法和合同法领域列举的举证责任倒置的情形。因此当出现人脸识别的纠纷时，用户无论选择以合同纠纷还是侵权纠纷时，都不满足举证责任倒置的情形，用户不得不面临因举证无力而遭遇败诉的风险。

三.关于刷脸支付法律规制的完善和建议

（一）立法层面

面部信息属于个人生物识别信息，我国并没有专门针对“个人生物识别信息”的立法，仅是在相关的法律法规中有初步涉猎。建议对个人生物识别信息保护进行专门性立法，具体细化数据采集、处理、存储法律标准。为“刷脸”数据安全划定立法边界，明确技术研发、经营、使用法律责任，划定保护隐私的责任边界。构建全方位的法律保护体系，不应只运用民法予以调整保护，还需要行政法、刑法、民事诉讼法和网络安全法等法律的共同协调。比如在民法中对于人脸信息应界定清楚其权利属性：民事诉讼中对于这类纠纷应完善责任承担方式，在当事人之间合理分配举证责任；行政法中应明确相应的行政机关对于涉及人脸信息收集或处理等行政行为的许可权、监督权和审查权；消费者权益保护法中要进一步明确个人信息权的内涵和外延；在刑法上严厉打击利用身份识别进行的犯罪活动；诉讼中对于因人脸识别而引起的纠纷中可以实行举证责任倒置，减轻用户的举证责任。

（二）政府层面

我国没有成立专门对刷脸支付行业进行监管的部门，因此对于刷脸支付带来的个人信息安全也没能进行有效地监管。为保护用户个人信息安全、财产安全以及该行业的健康发展，需要建立及完善事前的风险防范措施、事中的监管机制以及事后的惩戒机制。政府应督促采用刷脸支付的企业不断对其设备进行改造升级，提高支付设备的安全性，面对要开通刷脸支付方式的企业，政府应对其使用方式、时间、存储方式、使用边界、应急处理能力进行考核和报备，提高刷脸支付行业的准入门槛。同时政府监管部门对企业收集和处理用户人脸信息是否合法合规进行不定期的巡查，及时发现潜在的风险并尽早防范。政府应加大对于违规采集和使用消费者人脸信息的企业或个人根据事故的情节、造成的后果等对其进行惩戒。最后政府还应建立和完善相应的风险预警机制，提高面对突发泄露民众的人脸信息等其他个人信息应急处理能力。

（三）个人层面

对于消费者来说，理性对待刷脸支付，增强法律保护意识和支付安全意识，无疑是最佳的保护方式。消费者在使用刷脸支付前，有必要充分了解刷脸支付这一新型支付模式可能带来的利弊。当发现自己的人脸信息被泄露时应及时要求信息发布者删除与自己相关的信息，充分运用法律手段维护自身的合法利益。除此之外，当发现有人擅自收集或出售人脸信息，我们应及时地向政府有关部门报告，敢于和违法行为做斗争！

四、结语

当前，刷脸支付作为一种新的支付技术，在中国的发展如火如荼。但现有立法对于刷脸支付的法律规制尚有优化的空间，同时在人脸信息的收集、储存、使用等方面还涉及到技术问题，所以未来关于刷脸支付的立法还会涉及到对现有技术的考量。刷脸支付行业的健康持续发展，离不开立法部门、政府、执法机关、监管部门、企业和使用者的共同参与和努力，对于未来刷脸支付的法律规制研究任重而道远！

 

 

作者：四川致高律师事务所    曹文娟

来源：成都市律师协会网络与高新技术法律专业委员会

此文系作者个人观点，不代表成都市律师协会立场

欢迎全市律师踊跃投稿，投稿邮箱：cdlxxc@163.com