国家互联网信息办公室关于《人脸识别技术应用安全管理规定（试行）（征求建议稿）》公开征求建议的公告
为规范人脸识别技术应用，根据《中华人民共和国 网络安全 法》《中华人民共和国 数据安全 法》《中华人民共和国个人信息保护法》等法律法规，国家互联网信息办公室起草了《人脸识别技术应用安全管理规定（试行）（征求建议稿）》，现向社会公开征求建议。公众可以通过以下途径和方式提出反馈意见：
1.登录中华人民共和国司法部中国政府法制信息网（www.moj.gov.cn、www.chinalaw.gov.cn），进入首页主菜单的“立法意见征集”栏目提出意见。
2.通过Email方式发送至：shujuju@cac.gov.cn。
3.通过信函方式将意见寄至： 北京市 海淀区阜成路15号国家互联网信息办公室网络数据管理局，邮编100048，并在信封上注明“人脸识别技术应用安全管理规定（试行）征求建议”。
意见反馈截止时间为2023年9月7日。
国家互联网信息办公室
2023年8月8日
人脸识别技术应用安全管理规定（试行）
（征求建议稿）
第壹条 为规范人脸识别技术应用，保护个人信息权益及其它人身和财产权益，维护社会秩序和公共安全，根据《中华人民共和国 网络安全 法》《中华人民共和国 数据安全 法》《中华人民共和国个人信息保护法》等法律，制定本规定。
第贰条 在中华人民共和国境内利用人脸识别技术处理人脸信息，提供人脸识别技术产品或服务，应当遵守本规定。法律、行政法规另有规定的从其规定。
第叁条 使用人脸识别技术应当遵守法律法规，遵守公共秩序，尊重社会公德，承担社会责任，履行个人信息保护义务，不得利用人脸识别技术从事危害国家安全、损害公共利益、扰乱社会秩序、侵害个人和组织合法权益等法律法规禁止的活动。
第四条 只有在具有特定的目的和充分的必要性，并采取严格保障措施的情形下，方可使用人脸识别技术处理人脸信息。实现相同目的或达到同等业务要求，存在其它非生物特征识别技术方案的，应当优先选择非生物特征识别技术方案。
使用人脸识别技术验证个人身份、辨识特定自然人的，鼓励优先使用国家人口基础信息库、国家网络身份认证公共服务等权威渠道。
第五条 使用人脸识别技术处理人脸信息应当取得个人的单独同意或依法取得书面同意。法律、行政法规规定不需取得个人同意的除外。
第六条 旅馆客房、公共浴室、更衣室、卫生间及其它可能侵害他人隐私的场所不得安置图像收集、个人身份识别设备。
第七条 在公共场所安置图像收集、个人身份识别设备，应当为维护公共安全所务必，遵守国家有关规定，设置明显提示标识。
在公共场所安置图像收集、个人身份识别设备的建设、使用、运行维护单位，对获取的个人图像、身份识别信息负有保密义务，不得非法泄露或对外提供。所收集的个人图像、身份识别信息只能用于维护公共安全的目的，不得用于其它目的；取得个人单独同意的除外。
第八条 组织机构为实施内部管理安置图像收集、个人身份识别设备的，应当根据实际需求合理确定图像信息收集区域，采取严格保障措施，防止违规查询、复制、公开、对外提供、流传个人图像等行为，防止个人信息泄露、篡改、丢失或被非法获取、非法利用。
第九条 宾馆、银行、车站、机场、体育场馆、展览馆、博物馆、美术馆、图书馆等经营场所，除法律、行政法规规定应当使用人脸识别技术验证个人身份的，不得以办理业务、提高服务品质等为由强制、误导、欺诈、胁迫个人接受人脸识别技术验证个人身份。
个人自愿选择使用人脸识别技术验证个人身份的，应当确保个人充分知情并在个人主动参与的情景下进行，验证进程中应当以清晰易懂的语音或文字等方式即时明确提示身份验证的目的。
第十条 在公共场所、经营场所使用人脸识别技术远距离、无感式辨识特定自然人，应当为维护国家安全、公共安全或为紧急情境下保护自然人生命健康和财产安全所务必，并由个人或利害关系人主动提出。
人脸识别技术使用者应个人或利害关系人请求使用人脸识别技术远距离、无感式辨识特定个人或利害关系人的，应当将相关服务限定在最小必要的时间、地点或人群范围内，不得关联与个人请求事项无直接一定相关的个人信息。
第十一条 除维护国家安全、公共安全或为紧急情境下保护自然人生命健康和财产安全所务必，或取得个人单独同意外，任何组织或个人不得利用人脸识别技术分析个人种族、民族、宗教信仰、健康状况、社会阶层等敏感个人信息。
第十二条 涉及社会救助、不动产处罚等个人重大利益的，不得使用人脸识别技术替代人工审核个人身份，人脸识别技术可以作为验证个人身份的辅助手段。
第十三条 人脸识别技术使用者处理不满十四周岁未成年人人脸信息的，应当取得未成年人的爸妈或其它监护人的单独同意或书面同意。
未成年人的爸妈或其它监护人应当正确履行监护职责，教育引导不满十四周岁未成年人增强个人信息保护意识和能力。
第十四条 物业服务企业等建筑物管理人不得将使用人脸识别技术验证个人身份作为出入物业管理区域的唯一方式，个人不答应通过人脸信息进行身份验证的，物业服务企业等建筑物管理人应当提供其它合理、便捷的身份验证方式。
第十五条 人脸识别技术使用者处理人脸信息，应当事前进行个人信息保护影响评估，并对处理情况进行记录。
个人信息保护影响评估主要包含下列内容：
（一）是否符合法律、行政法规的规定和国家标准的强制性要求，是否符合伦理道德；
（二）处理人脸信息是否具有特定的目的和充分的必要性；
（三）是否限于实现目的所务必的准度、精度及距离要求；
（四）采取的保障措施是否合法有效并与风险水平相适应；
（五）发生或可能发生人脸信息泄露、篡改、丢失、毁损或被非法获取、非法利用的危险和可能造成的危害；
（六）可能对个人权益造成的损害和影响，和降低不利影响的措施是否有效。
个人信息保护影响评估报告应当至少保存三年。处理人脸信息的目的、方式发生变化，或发生重大安全事件的，人脸识别技术使用者应当重新进行个人信息保护影响评估。
第十六条 在公共场所使用人脸识别技术，或存储超过1万人人脸信息的人脸识别技术使用者，应当在30个工作日内向所属地市级以上网信部门备案。申请备案应当提交下列材料：
（一）人脸识别技术使用者及其个人信息保护责任人的基本情况；
（二）处理人脸信息的必要性说明；
（三）人脸信息的处理目的、处理方式和安全保证措施；
（四）人脸信息的处理规则和操作规程；
（五）个人信息保护影响评估报告；
（六）网信部门认为需要提供的其它材料。
人脸识别技术使用者处理人脸信息，有法律、行政法规规定应当保密的，按有关规定执行。
备案登记信息发生本质变更的，应在变更之日起20个工作日内办理备案变更手续。终止人脸识别技术使用的，应在终止之日起30个工作日内办理备案注销手续。
第十七条 除法定条件或取得个人单独同意外，人脸识别技术使用者不得保存人脸原始图像、图片、视频，经过匿名化处理的人脸信息除外。
面向社会公众提供人脸识别技术服务的，相关技术系统应当符合 网络安全 等级保护第叁级以上保护要求，并采取数据加密、安全审计、访问控制、授权管理、入侵检测和防御等措施保护人脸信息安全。属于关键信息基础设施的，还应当符合关键信息基础设施安全保护的相关要求。
第十八条 使用人脸识别技术处理人脸信息应当尽量避免收集与提供服务无关的人脸信息，无法避免的，应当及时删除或进行匿名化处理。
第十九条 人脸识别技术使用者应当每年对图像收集设备、个人身份识别设备的安全性和可能存在的危险进行检测评估，并根据检测评估情况改进安全策略，调整置信度阈值，采取有效措施保护图像收集设备、个人身份识别设备免受攻击、侵入、干扰和破坏。
第贰十条 根据国家有关规定列入网络关键设备和 网络安全 专用产品目录的图像收集设备、个人身份识别设备，应当根据相关国家标准的强制性要求，由具备资格的机构认证合格或检测符合要求后，方可销售或提供。
第贰十一条 网信部门会同电信主管部门、公安机关、市场监管职能部门等相关部门依据职责，强化对人脸识别技术使用的监督检查，指导督促人脸识别技术使用者履行备案手续，及时发现安全隐患并督促限期整改。
人脸识别技术使用者、产品或服务提供者应当对相关部门依法开展的监督检查予以配合。
第贰十二条 任何组织和个人发现有违反本规定行为的，可以向网信、电信、公安、市场监管等相关部门投诉、举报。
网信、电信、公安、市场监管等相关部门收到相关投诉、举报的，应当依据职责依法作出处理。
第贰十三条 人脸识别技术使用者或相关产品、服务提供者违反本规定的，由网信、电信、公安、市场监管等相关部门在职责范围内依照《中华人民共和国 网络安全 法》《中华人民共和国 数据安全 法》《中华人民共和国个人信息保护法》等法律法规进行处罚。违反《治安管理处罚法》的，依法给予治安管理处罚；构成犯罪的，依法追究刑事责任。
违反本规定，给他人造成损害的，依法承担民事责任。
第贰十四条 本规定由国家互联网信息办公室会同工业和信息化部、公安部、国家市场监督管理总局负责解释。
第贰十五条 本规定自×年×月×日起施行。
