刷臉支付的法律問題

姜川

2019年10月20日，在浙江烏鎮(zhèn)舉行的第六屆世界互聯(lián)網(wǎng)大會上，中國銀聯(lián)攜手工商銀行、農(nóng)業(yè)銀行、中國銀行等60余家機構(gòu)聯(lián)合發(fā)布全新智能支付產(chǎn)品“刷臉付”。作為“國家隊”的銀聯(lián)入場，加上更早入場的支付寶、微信支付，我國支付市場的三大主流機構(gòu)都在力推刷臉支付類產(chǎn)品，刷臉支付已然進入“三國時代”。

稍早的時候，刷臉支付就已經(jīng)獲得中國人民銀行的推廣，在2019年8月底，中國人民銀行印發(fā)《金融科技（FinTech）發(fā)展規(guī)劃（2019-2021年）》（以下簡稱《規(guī)劃》），其中明確提出“探索人臉識別線下支付安全應(yīng)用，借助密碼識別、隱私計算、數(shù)據(jù)標(biāo)簽、模式識別等技術(shù)，利用專用口令、‘無感’活體檢測等實現(xiàn)交易驗證，突破 1：N 人臉辨識支付應(yīng)用性能瓶頸，由持牌金融機構(gòu)構(gòu)建以人臉特征為路由標(biāo)識的轉(zhuǎn)接清算模式，實現(xiàn)支付工具安全與便捷的統(tǒng)一?！?《規(guī)劃》提出未來三年金融科技工作的指導(dǎo)思想、基本原則、發(fā)展目標(biāo)、重點任務(wù)和保障措施，明確了刷臉支付的發(fā)展方向，認(rèn)可了其“科技賦能支付服務(wù)”的能力。新技術(shù)的應(yīng)用也給法律帶來了挑戰(zhàn)，在現(xiàn)有法律制度中如何安置這種新科技：技術(shù)需要如何遵守法律，法律應(yīng)該如何修改來適配技術(shù)，成為一個急需解決的問題。

刷臉支付的特殊性

刷臉支付與已經(jīng)普及使用多年的指紋支付都屬于生物特征支付，具有一定的相似性。一方面，刷臉支付與指紋支付都擺脫了卡基的限制，實現(xiàn)了賬基支付方式，即使是銀聯(lián)的“刷臉付”也是基于“云閃付”賬號而非任何一張銀聯(lián)卡。另一方面，在賬戶的驗證中都將生物特征作為一種支付的驗證手段，驗證指令的發(fā)出人是賬戶所有人，通過驗證之后才能進行資金的移轉(zhuǎn)。

刷臉支付與指紋支付除了使用的生物特征類型不同，在支付影響力方面也存在較大的差異。如果說指紋支付只是替代了傳統(tǒng)賬基支付中密碼的角色，那么刷臉支付則重塑了整個支付場景。

第一個差異在于支付介質(zhì)的不同。指紋支付需要以手機作為支付賬戶的介質(zhì)，脫離手機就無法使用;而刷臉支付無需介質(zhì)，通過支付機具刷臉確定賬戶之后就可以進行支付，全程無需使用手機。

第二個差異在于生物特征在支付中發(fā)揮作用的環(huán)節(jié)不同。指紋支付第一步需要登錄支付賬戶，這通常不涉及指紋信息，第二步支付驗證環(huán)節(jié)才需要使用指紋特征。刷臉支付則不然，第一步是通過支付機具刷臉登陸支付賬戶，面部特征首先展現(xiàn)的是賬戶識別和登陸驗證的功能，然后第二步輸入其他輔助驗證手段實現(xiàn)支付。

第三個差異在于支付兩個環(huán)節(jié)的驗證強度存在不同。指紋支付的登陸驗證往往是設(shè)置強口令的驗證，要求使用數(shù)字、字母乃至符號的混合型密碼，支付驗證則是較為隱秘的生物特征指紋驗證。而刷臉支付則不然，登陸驗證是較為公開的生物特征面部特征驗證，支付驗證則是弱口令的方式，其中微信支付、支付寶采用較為公開的手機號，中國銀聯(lián)采用6位數(shù)字的支付密碼。

刷臉支付主打便捷，其特殊性也系于此，無需支付介質(zhì)奠定了其便捷性的基礎(chǔ)，為了便捷地登陸支付賬戶，便采用了刷臉作為登陸驗證手段，為了便捷支付采用了弱口令作為支付驗證的手段。支付便捷與支付安全之間的沖突是刷臉支付法律問題的核心。

刷臉支付的流程法律問題

業(yè)界人士認(rèn)為，刷臉支付采用“人臉識別+支付口令”是兼顧安全與便捷的實現(xiàn)方式，在支付體系中，人臉識別顯然是主要的驗證手段。按照2015年12月發(fā)布的《非銀行支付機構(gòu)網(wǎng)絡(luò)支付業(yè)務(wù)管理辦法》（以下簡稱《辦法》）第二十二條規(guī)定“支付機構(gòu)可以組合選用下列三類要素，對客戶使用支付賬戶余額付款的交易進行驗證：一是僅客戶本人知悉的要素，如靜態(tài)密碼等;二是僅客戶本人持有并特有的，不可復(fù)制或者不可重復(fù)利用的要素，如經(jīng)過安全認(rèn)證的數(shù)字證書、電子簽名，以及通過安全渠道生成和傳輸?shù)囊淮涡悦艽a等;三是客戶本人生理特征要素，如指紋等。”

在《辦法》的第二十四條又對驗證方式與支付限額進行了規(guī)定，唯一不設(shè)法定限額的是“采用包括數(shù)字證書或電子簽名在內(nèi)的兩類（含）以上有效要素進行驗證的交易”，《辦法》從側(cè)面承認(rèn)了這種驗證方式具有最高的安全性。目前“云閃付”、微信支付、支付寶等賬基支付采用“數(shù)字證書+靜態(tài)密碼”的方式進行驗證，同時這些機構(gòu)的生物特征支付則使用“數(shù)字證書+生物特征”的方式進行驗證。這兩種方式都是最為安全的雙重驗證。而按照《辦法》，似乎也可以推論出在監(jiān)管者眼中，生物特征信息與靜態(tài)密碼具有相似的法律效果，都是基于數(shù)字證書、電子簽名的輔助性驗證手段?？梢哉f從《辦法》而言，給刷臉支付等支付方式留出了足夠的空間，甚至從驗證流程來說都無需使用支付口令就能實現(xiàn)最大限額支付。

常見的賬基支付中，口令的地位一直為便捷性讓步而持續(xù)被削弱：經(jīng)歷了支付密碼從強密碼到弱密碼的變化。在刷臉支付時，支付寶和微信支付已經(jīng)采用手機號作為支付口令了，在特定場景下還可以免輸入。但是，顯然從安全性而言，公開的手機號作為驗證口令已經(jīng)不能算作《辦法》第二十二條下的“僅客戶本人知悉的要素”，故而不算法定的驗證手段，手機號作為驗證口令背后是支付口令的功能轉(zhuǎn)移，從支付驗證轉(zhuǎn)向支付意愿確定。這也是回應(yīng)法律的要求，《辦法》第十六條規(guī)定“對于客戶的網(wǎng)絡(luò)支付業(yè)務(wù)操作行為，支付機構(gòu)應(yīng)當(dāng)在確認(rèn)客戶身份及真實意愿后及時辦理”。畢竟臉部特征的公開性較強，面部特征作為“行走的密碼”，如何解決包括1：N在內(nèi)的特殊支付場景中支付意愿的識別，這是公開但個人化的支付口令的價值。

就支付口令而言，中國銀聯(lián)與微信支付、支付寶并不相同，中國銀聯(lián)保留了私密性的“云閃付”密碼作為支付口令，三家機構(gòu)之間不同的處理思路也表明對于支付口令地位的認(rèn)識分歧，如果將支付口令作為驗證手段，那么對于支付的實體環(huán)境提出了安全保護的設(shè)備要求，如果將支付口令作為支付意愿的確定手段，那么對人臉識別作為唯一的驗證手段的準(zhǔn)確性提出了更高的要求。

刷臉支付的硬件法律問題

刷臉這一驗證方式一直以來存在爭議。2017年，當(dāng)出現(xiàn)第一次刷臉風(fēng)潮時，央視“3·15晚會”就提示了人臉識別技術(shù)的安全漏洞問題。2019年刷臉驗證翻紅之后也不時爆出豐巢快遞柜、智能門鎖無法識別真人與照片的新聞，刷臉支付的安全性成為公眾關(guān)注刷臉支付的核心焦點。經(jīng)過技術(shù)的發(fā)展，成熟廠商的刷臉支付錯誤率已經(jīng)降到十萬甚至百萬分之一的級別，在面對雙胞胎等場景也能正確識別，基本解決賬戶誤識的問題?，F(xiàn)在的核心爭議是如何處理假體攻擊。

如今，刷臉支付的線下應(yīng)用是得到《規(guī)劃》認(rèn)可的，《規(guī)劃》提出“利用專用口令、‘無感’活體檢測等實現(xiàn)交易驗證”。目前的刷臉支付機構(gòu)都在技術(shù)方面有諸多儲備，各家廠商在宣傳中都主打活體檢測，一方面在軟件層面，通過大量的訓(xùn)練和實踐讓深度學(xué)習(xí)算法具有極強的檢測能力，另一方面在硬件層面，通過紅外等各種技術(shù)輔助驗證。饒是如此，但是在2019年12月，美國公司Kneron表示通過高清3D面具和照片欺詐了多個人臉識別系統(tǒng)，包括支付寶和微信支付。雖然該消息真實性并未得證，但依舊提示了目前刷臉支付硬件本身的潛在風(fēng)險。

目前，刷臉支付的線上應(yīng)用是不受監(jiān)管機構(gòu)認(rèn)可的。一方面是軟件原因，中國人民銀行科技司司長李偉認(rèn)為，人臉識別線上應(yīng)用仍存在諸多風(fēng)險，若要應(yīng)用推廣需采用可信執(zhí)行環(huán)境（TEE）、安全單元（SE）等技術(shù)加強風(fēng)險防控。另一方面是硬件原因，受制于智能手機的攝像頭水平，并非所有都具備主動進行活體檢測的能力，諸多在智能手機上進行人臉識別認(rèn)證的操作都需要配合“張嘴、眨眼、搖頭”等動作來進行，無法做到無感檢測，而通過視頻等手段繞過手機上的活體檢測的相關(guān)新聞也提示了刷臉線上應(yīng)用的風(fēng)險性。另外，采用指紋支付的三星S10系列的失靈事件也為刷臉支付的線上應(yīng)用提供了一個技術(shù)硬件上的鏡鑒。

推廣一個本身頗具風(fēng)險的支付方式，其成敗維系于硬件設(shè)備與軟件算法，它們對于技術(shù)的信賴是脆弱的，為維系這種信賴就有必要通過標(biāo)準(zhǔn)的方式來強化保證其性能的可靠性。雖然目前線下應(yīng)用的機具都是支付機構(gòu)的關(guān)聯(lián)企業(yè)生產(chǎn)制造的，能夠確保符合支付機構(gòu)的要求，但未來為了更廣泛地推廣，必然需要降低機具的成本，允許通過特許等方式進行機具生產(chǎn)。為此需要制定刷臉支付的相關(guān)技術(shù)標(biāo)準(zhǔn)，通過標(biāo)準(zhǔn)的認(rèn)定，讓硬件機具能夠符合法律的安全性要求。這種需求在線上刷臉應(yīng)用更加強烈，支付機構(gòu)對于手機的生產(chǎn)控制力較線下機具更差，更加需要具有法律效力的國家標(biāo)準(zhǔn)的指引和認(rèn)證。

刷臉支付的法律責(zé)任問題

因為臉部特征的公開性較強，刷臉支付的安全性備受質(zhì)疑，法律責(zé)任作為支付安全的后端規(guī)制與補償機制成為不可回避的問題，明確責(zé)任問題也有助于從業(yè)者和公眾對于刷臉支付有更明確的預(yù)期。

從支付的法律責(zé)任而言，并無專門針對刷臉支付的條款，甚至生物特征支付的相關(guān)責(zé)任規(guī)則也并無特殊化的法條，可以說刷臉支付的責(zé)任規(guī)則還是參照一般電子支付的責(zé)任規(guī)則。而就一般電子支付而言，現(xiàn)行法的責(zé)任規(guī)則已經(jīng)有一個較為完備的框架。這部分規(guī)則主要在《電子商務(wù)法》中，雖然該法是針對電子商務(wù)場景下的支付責(zé)任而言，但是至少說明一個法律的方向，并且存在被廣泛準(zhǔn)用的可能性。

刷臉機具誤識付款人的場景可以適用《電子商務(wù)法》第五十五條規(guī)定“支付指令發(fā)生錯誤的，電子支付服務(wù)提供者應(yīng)當(dāng)及時查找原因，并采取相關(guān)措施予以糾正。造成用戶損失的，電子支付服務(wù)提供者應(yīng)當(dāng)承擔(dān)賠償責(zé)任，但能夠證明支付錯誤非自身原因造成的除外。”舉例而言，甲付款人被機具識別為乙，并從乙的賬號中扣款造成了乙的損失，此時乙有權(quán)向支付機構(gòu)求償。支付機構(gòu)如要免責(zé)，則需要自查原因并證明自身并無過錯，這種損失、調(diào)查、證明責(zé)任都配置給支付機構(gòu)，可以有效保護相對弱勢的用戶。當(dāng)然對于刷臉支付的場景而言，這往往不會造成損失，因為真實付款人容易查清，此時支付機構(gòu)依據(jù)不當(dāng)?shù)美蚋犊钊酥鲝垯?quán)利即可。

刷臉機具被假體攻擊的場景可以適用《電子商務(wù)法》第五十七條規(guī)定“未經(jīng)授權(quán)的支付造成的損失，由電子支付服務(wù)提供者承擔(dān);電子支付服務(wù)提供者能夠證明未經(jīng)授權(quán)的支付是因用戶的過錯造成的，不承擔(dān)責(zé)任。” 舉例而言，甲的面部特征信息被復(fù)制，乙依據(jù)該信息騙過了支付機具從甲的賬戶內(nèi)扣款造成了甲的損失，此時甲有權(quán)向支付機構(gòu)求償，支付機構(gòu)如需免責(zé)需要證明錯誤的來源是甲本身的錯誤，否則一概由支付機構(gòu)承擔(dān)責(zé)任。在誤識場景下，支付機構(gòu)本身無錯就可免責(zé)，而在假體攻擊之下，支付機構(gòu)和用戶都無過錯，但是責(zé)任依舊是支付機構(gòu)的。這種責(zé)任配置就是為了促使支付機構(gòu)提升自身的技術(shù)水平以從根本上避免此類問題的產(chǎn)生。

當(dāng)然現(xiàn)階段，對于刷臉支付的責(zé)任問題處理更為簡單，《辦法》第二十五條規(guī)定“支付機構(gòu)網(wǎng)絡(luò)支付業(yè)務(wù)相關(guān)系統(tǒng)設(shè)施和技術(shù)，應(yīng)當(dāng)持續(xù)符合國家、金融行業(yè)標(biāo)準(zhǔn)和相關(guān)信息安全管理要求。如未符合相關(guān)標(biāo)準(zhǔn)和要求，或者尚未形成國家、金融行業(yè)標(biāo)準(zhǔn)，支付機構(gòu)應(yīng)當(dāng)無條件全額承擔(dān)客戶直接風(fēng)險損失的先行賠付責(zé)任?！爆F(xiàn)在僅有《人臉識別線下支付安全應(yīng)用技術(shù)規(guī)范（試行）》等指引性文件，尚未形成國家或金融行業(yè)標(biāo)準(zhǔn)，那么此時發(fā)生的所有損失無豁免條件的由支付機構(gòu)承擔(dān)，這種責(zé)任方式客觀上鼓勵技術(shù)的發(fā)展，推動標(biāo)準(zhǔn)的建立。當(dāng)然隨著刷臉支付的成熟，未來必將推出相應(yīng)的標(biāo)準(zhǔn)，標(biāo)準(zhǔn)出臺后的責(zé)任規(guī)則還是回歸上文所述的模式。

總之，對于各家機構(gòu)所言“刷臉支付損失全賠”的承諾，其實只是法律的強制要求而已，有廠商如果對于自身技術(shù)具有自信，或許可以提出更高的承諾，例如損失加倍賠償，五倍賠償?shù)瓤谔栆员砻髌鋵τ谥Ц栋踩某兄Z。

刷臉支付的信息法律問題

刷臉支付較之指紋支付、聲紋支付等方式在信息采集上略有不同，人臉長時間暴露在外，各種攝像頭都有充足的機會捕捉到人臉特征。而人們對于刷臉支付的信息擔(dān)憂更為嚴(yán)重，也是刷臉支付推廣中最為疑難的問題。且不說目前廣泛存在的信息過分收集、違規(guī)使用等問題，僅就信息存儲而言，金融機構(gòu)已經(jīng)問題頻發(fā)，如美國三大個人信用機構(gòu)之一的Equifax發(fā)生的信息泄露案，即使是以個人信用信息作為其核心資源的Equifax都可能發(fā)生信息泄露，可見重建公眾對于機構(gòu)的信息信心任重道遠，更遑論是包括臉部特征在內(nèi)的不可更改的生物特征信息。

現(xiàn)行法對于刷臉支付等支付場景的信息責(zé)任的規(guī)定相對簡略，主要是基于《辦法》第二十條規(guī)定“支付機構(gòu)應(yīng)當(dāng)以‘最小化’原則采集、使用、存儲和傳輸客戶信息，并告知客戶相關(guān)信息的使用目的和范圍。支付機構(gòu)不得向其他機構(gòu)或個人提供客戶信息，法律法規(guī)另有規(guī)定，以及經(jīng)客戶本人逐項確認(rèn)并授權(quán)的除外?！边@種原則性規(guī)定過于簡單，且未對包括臉部信息在內(nèi)的不可更改的生物特征信息進行區(qū)別性嚴(yán)格規(guī)定。同時，關(guān)于違反信息責(zé)任的罰則也較輕，《辦法》引用《中華人民共和國中國人民銀行法》第四十六條作為罰則，如果發(fā)生信息泄露在無違法所得的情況下只能處以最高200萬元的罰款。

刷臉支付的信息責(zé)任很難在法律領(lǐng)域進行單兵突進的制定，這一領(lǐng)域的法律進步最終依賴于個人生物信息的整體立法或者金融領(lǐng)域的專門立法，在這一立法完成之前，只能更多依靠支付服務(wù)商的自律或者支付業(yè)協(xié)會等行業(yè)協(xié)會的自律。

綜上所述，刷臉支付雖然作為一種新興的支付方式，但其還是基于現(xiàn)有支付模式而展開，現(xiàn)行支付法律框架為其預(yù)留了足夠的發(fā)展空間，也可以適用現(xiàn)有的監(jiān)管框架進行規(guī)制。然而，在具體的硬件標(biāo)準(zhǔn)和信息收集儲存方面，刷臉支付向現(xiàn)行法律體系提出了挑戰(zhàn)，現(xiàn)在已經(jīng)讓刷臉支付的“子彈”飛了這么久了，是時候考慮如何通過標(biāo)準(zhǔn)和個人信息法律來促進刷臉支付的均衡合理發(fā)展。

作者系南昌大學(xué)法學(xué)院講師，法學(xué)博士