APP收集和使用人臉信息如何落實最小、必要原則？

11月26日，電信終端產(chǎn)業(yè)協(xié)會官網(wǎng)公布了《APP收集使用個人信息最小必要評估規(guī)范總則》，并于當日開始實施。

該總則指出，隨著移動應(yīng)用種類和數(shù)量呈爆發(fā)式增長，APP侵害用戶權(quán)益事件層出不窮，個人信息保護態(tài)勢愈加嚴峻，如何保護用戶個人信息，尤其是人臉、通訊錄、短信、位置、圖片等個人敏感信息受到國家和社會公眾高度關(guān)注。APP收集使用個人信息最小必要評估旨在對移動互聯(lián)網(wǎng)行業(yè)收集使用用戶人臉、通訊錄、短信、位置、圖片等個人敏感信息進行規(guī)范，落實最小、必要的原則。

所謂“最小、必要”原則，指的是處理個人信息應(yīng)當具有明確、合理的目的，并應(yīng)當限于實現(xiàn)處理目的的最小范圍，不得進行與處理目的無關(guān)的個人信息處理。

其中備受關(guān)注的，是APP對用戶人臉信息的收集與使用，該系列標準中的《收集使用個人信息最小必要評估規(guī)范 人臉信息》對此做出了詳細規(guī)定。

《收集使用個人信息最小必要評估規(guī)范 人臉信息》的引言寫道，隨著移動通信技術(shù)的快速發(fā)展，移動互聯(lián)網(wǎng)應(yīng)用正逐漸滲透到人們生活、工作的各個領(lǐng)域，個人信息安全問題成各方關(guān)注的重點。越來越多移動應(yīng)用軟件使用人臉識別實現(xiàn)場景體驗、賬戶登錄、移動支付等功能，人臉信息是用戶個人信息的重要部分。

目前行業(yè)中尚未有從APP收集使用人臉信息必要性出發(fā)的最小化評估規(guī)范，缺乏統(tǒng)一的標準?；谏鲜隹紤]，提出本文件，旨在對移動互聯(lián)網(wǎng)行業(yè)收集使用用戶人臉信息進行規(guī)范，落實最小、必要的原則，進一步促進移動互聯(lián)網(wǎng)行業(yè)的健康穩(wěn)定發(fā)展。

該標準對人臉信息的收集、存儲、使用和刪除做出要求。

收集方面，標準提出不應(yīng)強制或欺騙誤導(dǎo)人臉信息主體進行人臉識別，當人臉信息主體不進行人臉識別時，不應(yīng)禁止人臉信息主體的正常使用，僅可停止訪問人臉識別相關(guān)功能，法律法規(guī)要求的除外。

收集人臉信息應(yīng)遵循“最小必要”原則，收集前應(yīng)通過隱私協(xié)議等方式向人臉信息主體告知以下信息：收集、使用人臉信息的目的、方式、類型和范圍，以及授權(quán)存儲時間等規(guī)則；收集的人臉信息處理方式的描述，如：僅本地收集、遠程核身等；控制者的聯(lián)系信息，至少包括的信息有：組織機構(gòu)信息、聯(lián)系方式；人臉信息主體實現(xiàn)查看、修改、刪除其人臉信息以及撤回其授權(quán)同意的方式。

存儲方面，應(yīng)將人臉信息與人臉信息主體的身份信息分開存儲；人臉模板應(yīng)進行加密存儲，并采用授權(quán)訪問方式讀取;應(yīng)只存儲滿足人臉信息主體授權(quán)同意的目的所需的最少人臉信息。

使用方面， 不應(yīng)基于人臉信息生成用戶畫像，且不應(yīng)基于人臉信息進行定向推送；在對人臉信息的操作完成后，應(yīng)對操作過程中產(chǎn)生的臨時數(shù)據(jù)及時清除并確保不可恢復(fù)；不應(yīng)共享或轉(zhuǎn)讓人臉信息。

刪除方面，在以下條件滿足其中之一時，應(yīng)及時對人臉信息進行刪除處理：1）超出授權(quán)同意的人臉信息存儲期限；2）超出業(yè)務(wù)所必需地使用人臉信息；3）法律法規(guī)規(guī)定的存儲期限已經(jīng)屆滿。APP提供的刪除方法或途徑應(yīng)便于人臉信息主體查找和操作；不應(yīng)設(shè)置不合理的刪除條件，如僅提供現(xiàn)場辦理、要求人臉信息主體填寫精確的歷史操作記錄等。

電信終端產(chǎn)業(yè)協(xié)會是由中國信息通信研究院聯(lián)同國內(nèi)電信運營商、電信終端設(shè)備制造商、系統(tǒng)設(shè)備制造商、認證檢測機構(gòu)和研究機構(gòu)共同發(fā)起的自愿性、非盈利的國家級社會組織，主管單位為工業(yè)和信息化部。

《APP收集使用個人信息最小必要評估規(guī)范 人臉信息》稱，本標準規(guī)定了移動應(yīng)用軟件對人臉信息的收集、使用、存儲、銷毀等活動中的最小必要規(guī)范和評估方法，并通過個人信息處理活動中的典型應(yīng)用場景來說明如何落實最小必要原則。本標準適用于移動互聯(lián)網(wǎng)應(yīng)用軟件提供者規(guī)范用戶個人信息中的人臉信息的處理活動，也適用于主管監(jiān)管部門、第三方評估機構(gòu)等組織對移動互聯(lián)網(wǎng)應(yīng)用程序收集圖片信息行為進行監(jiān)督、管理和評估。

責任編輯：PSY