近日，“新华视点”爆料部分网络黑产从业者批量倒卖人脸信息，一张人脸信息售价仅为五毛钱，却可能被用于违法犯罪活动。问题已然浮现，应当如何解决？解放日报·上观新闻记者采访了人脸识别领域某科技公司的多位相关专家，他们分析了相关情况，并从技术和制度角度给出建议。

人脸信息易得难用

隐私信息被倒卖，对于网民来说并非新鲜话题。人脸本身即是自然人的肖像展现，具有直接识别特定自然人身份的作用，并且难以变更、调整，兼具隐私属性和个人信息属性。不过，人脸信息与其它结构化个人信息不尽相同。身份证号码、手机号码、银行卡号等隐私信息盗取比较困难，而人脸是自然人向社会展示身份的最重要途径之一，存在一定程度的易获取性。

“不过大家不必过分担心，如果自己的脸在大街上被拍到，不法分子仅凭照片一般无法找到你的身份信息。”专家表示，目前互联网上的信息如购买痕迹、搜索记录等，都未与人脸信息强绑定，很难通过人脸信息检索到。最有可能通过人脸信息检索到的，是存放很多个人照片的社交网站账号。

相对于身份证号码、手机号码、银行卡号等，孤立的人脸信息的确不太容易被检索和非法使用。但是，一方面出售的人脸信息一般与身份信息捆绑，增加了信息含量；另一方面，不法分子借助一些“人脸活化”工具，通过AI换脸技术，可将人脸照片修改为人脸验证视频，执行“眨眨眼、张张嘴、点点头”等操作，骗过部分网络平台的人脸识别系统。

因此，被出售的人脸数据可能被不法分子用来绕过人脸认证，从而盗取网络社交平台账号、窃取金融账户内财产，甚至用于精准诈骗、敲诈勒索等违法犯罪活动。

技术制度双重防治

针对人脸信息泄露问题，其实有许多办法可以防治，既需要堵住泄露源头，又需要筑牢“防火墙”，抬高不法分子利用人脸信息的难度。从技术层面来说，可以给存储和传输过程中的图像加密，添加水印，防止造成的数据泄露，也防止第三方通过信道获取信息。数据管理后台要设立严格的权限系统，除管理员及公安机关外，不允许他人访问人脸信息。

有必要采集人脸信息的企业，应当建立起完善的人脸信息管理机制。首先确保按照“告知-同意”的要求，获得相关个人的授权同意，签订授权协议，并记录备案。为保证数据只在与被采集人签订的授权书规定的范围之内使用，不做二次转让或售卖，企业应当针对人脸信息建立更加全面的数据管控与权限策略。同时在人脸信息的留存与销毁环节上，应明确人脸信息的留存期限，建立超期销毁制度，避免人脸信息被挪用、滥用、盗取。

从法律层面来看，现有法律规定中，《民法典》《网络安全法》等所建立的隐私权、肖像权、个人信息等规制框架已经能够为人脸信息的收集使用提供相对明确、清晰的方向。但是，鉴于人脸信息的多重属性和技术应用的复杂性，针对人脸信息建立更具针对性的全生命周期管控制度，将成为落实相关法律要求的必要前提。最后，专家也提醒广大网民，被第三方采集人脸信息时应当主动要求签署授权协议，“我的脸我做主。”