新经济与法|如何看待政府行政部门收集人脸识别信息的合规性_乐鱼体育在线直播|乐鱼体育直播下载
  •  网站地图 |
  •  加入收藏 |
  •  乐鱼体育直播下载 |
条码与RFID解决方案专家!
集条码打印、扫描、采集于一体化解决方案的高新技术企业
全国咨询热线

029-89353355

乐鱼体育直播下载 contact us

手机:18991830957
座机:029-89353355
Q Q:359316042
邮箱:xr@x-barcode.com
地址:西安市雁塔区雁塔西路158号双鱼大厦A座13层

企业公众号

产品推荐 Related

查看更多>>

当前位置 > 首页 > 产品中心 > 数据采集器

产品名称:
新经济与法|如何看待政府行政部门收集人脸识别信息的合规性

发布时间:2022-08-24 14:31:07 来源:乐鱼体育直播 作者:乐鱼体育直播下载

产品简介:
  7月28日,《最高人民法院关于审理使用人脸识别技术处理个人信息相关民事案件适用法律若干问题的规定》出台,这说明国家对数据处理者在收集人脸识别信息上的约束越发收紧,此刻做到厘清个人信息处理者处理个人信息的边界尤为重要。但值得思考的是:政府

分享到:
订购热线:18991830957 

咨询/订购

产品介绍

  7月28日,《最高人民法院关于审理使用人脸识别技术处理个人信息相关民事案件适用法律若干问题的规定》出台,这说明国家对数据处理者在收集人脸识别信息上的约束越发收紧,此刻做到厘清个人信息处理者处理个人信息的边界尤为重要。但值得思考的是:政府行政部门是否也同样受到一系列规范的约束?比如在税务端口,人脸识别信息便是判断个人身份的主要手段。我们结合目前行政部门处理人脸识别信息的举措,以合规性为例,对这类问题进行深入探讨。

  8月20日,第十三届全国人大常委会第三十次会议表决通过《中华人民共和国个人信息保护法》(下称“《个人信息保护法》”),《个人信息保护法》自2021年11月1日起施行。

  根据《个人信息保护法》第六十九条“本法下列用语的含义: (一)个人信息处理者,是指自主决定处理目的、处理方式等个人信息处理事项的组织、个人。”以及第三十三条“国家机关处理个人信息的活动适用本法;本节有特别规定的,适用本节规定。”从中我们便可以推断出:行政部门是受《个人信息保护法》约束的数据处理者,行政部门受《个人信息保护法》的约束。

  尽管行政部门处理人脸识别这一行为在当今社会已经司空见惯,但行政部门处理人脸识别信息是否符合了《个人信息保护法》的规定呢?

  根据《个人信息保护法》第六条“处理个人信息应当具有明确、合理的目的,并应当限于实现处理目的的最小范围,不得进行与处理目的无关的个人信息处理。”以及第二十九条“个人信息处理者具有特定的目的和充分的必要性,方可处理敏感个人信息。”可以这样理解,处理个人信息需要在实现处理目的的最小范围之内;对于敏感个人信息而言基于最小范围之上,有更严格的要求,即必要性审查。

  实际上,从字面理解“最小”和“必要”本身便是一件非常困难的事情,尤其是如今在相关领域仍欠缺法律解释的情形下。为此,我们找到了CNIL’s Restricted Committee在实践GDPR“最小必要原则”的过程中出台的工作文件,发现有以下判断“最小必要”的重要维度。

  在《Deliberation of the Restricted Committee SAN-2020-003 of 28 July 2020》文件中给出一个有关公司同时收集个人的“身份证信息”以及“健康卡信息”的案例,委员会认为,该公司为了同一目的收集两种信息实际上是“无必要的”。对于委员会的这一点逻辑实际上不难理解,即“必要性”一方面体现在一种目的只需要一种信息来服务,如果一种信息便足够的情况下无需收集更多个人信息。

  但是,当信息和目的关联性没有那么清晰的情况下又该如何分析信息本身的必要性呢?在《常见类型移动互联网应用程序必要个人信息范围规定》中同样给出了答案:本规定所称必要个人信息,是指保障App基本功能服务正常运行所必需的个人信息,缺少该信息App即无法实现基本功能服务。具体是指消费侧用户个人信息,不包括服务供给侧用户个人信息。根据这份文件,我们可以轻易得知从网络社交类到女性社交类共39种App法定可以收集的“必要个人信息”。人脸识别信息虽然没有在这份文件内被规范为任一类别App可以收集的“必要个人信息”里,但是随着团体标准、国家标准和司法解释的陆续出台,处理人脸识别信息的规范也更加有法可依。

  随着相关文件出台,对数据收集的数量、频度也被规范。在《移动互联网应用程序个人信息保护管理暂行规定(征求意见稿)》以及《网络安全标准实践指南—移动互联网应用程序(App)收集使用个人信息自评估指南(征求意见稿)》两份文件中其实详列了关于数据处理者收集数据的具体频度要求。我们整理如下表所示:

  在《ADeliberation of the Restricted Committee SAN-2020-003 of 28 July 2020》文件中给出另一个案例我们也可以发现:银行在收集员工工作电话录音用以培训时,发生了同时收集到客户交易信息,对于这些交易信息应该立即删除处理,即使保存一天也违背了最小必要原则,因为此时银行手机个人信息的目的在于“培训员工”,而为了这一目的存储包含交易信息的录音即使一天,也超出了“最小必要”的界限。

  对于储存数据期限的最小界限而言。在国内法中其实可以找到依据。《中华人民共和国电子商务法》第三十一条规定:“电子商务平台经营者应当记录、保存平台上发布的商品和服务信息、交易信息,并确保信息的完整性、保密性、可用性。商品和服务信息、交易信息保存时间自交易完成之日起不少于三年;法律、行政法规另有规定的,依照其规定。”《网络交易监督管理办法》第三十一条也明确“网络交易平台经营者对平台内经营者身份信息的保存时间自其退出平台之日起不少于三年;对商品或者服务信息,支付记录、物流快递、退换货以及售后等交易信息的保存时间自交易完成之日起不少于三年。法律、行政法规另有规定的,依照其规定。”事实上,根据这两部法律,数据处理者在储存期限的问题上其实已经有法可依,不同行业也在陆续出台关于“数据储存期限”的行业标准。在这一维度上,“最小必要”的界限逐渐清晰。我们可以总结为:储存数据一方面需要符合现行国内法已经规定的“最小要求”,即交易数据以不少于三年为原则,各行业收集的其他不同数据按照行业规定施行;另一方面,储存数据的行为必须和储存数据的目的相辅相成。

  综合上述三点考察“最小必要性”原则的因素,再回顾行政部门处理人脸识别信息的问题,我们可以得出如下结论:

  第一、需要明确收集人脸识别信息的目的和用途。以税务局为例,税务部门官方APP中《隐私政策》提示:“如果您希望成为‘自然人电子税务局’平台用户,以便我们为您提供服务,包括个人任职受雇信息查询、纳税人识别号查询、票证查验等基本功能,您需要提供姓名、身份证件信息、国籍、个人生物特征、手机号码、经常居住地址和户籍所在地址,并创建“自然人电子税务局”平台账号和密码。”可见,税务局目前仅明确会收集人脸识别信息(个人生物特征),但并没有明示它将用于何种目的。

  第二、基于目的、用途,行政部门需要谨慎考察收集人脸识别信息是否必要。我们收集了英国税务局(HMRC)与美国税务局(IRS)的相关做法,英美税务局均规定,“你需要有一份由英国(美国)政府签发的身份文件。这可以是护照或带照片的驾照。”或为了验证你的身份你可以使用“1.信用卡;2.抵押贷款;3.学生贷款4.房屋净值贷款或房屋净值信用额度5.汽车贷款6.与姓名绑定的手机号。”在这种情况下,便足以说明使用人脸识别信息来认证身份,结合人脸识别信息的敏感程度而言,实际上是超出最小必要原则的。尤其是在《常见类型移动互联网应用程序必要个人信息范围规定》中也没有将“人脸识别信息”收录为任何一种类型APP的“必要信息”的情况下,收集人脸识别信息会存在较大的违规隐患。

  第三,在明确收集人脸识别信息必要时,确保收集频次、储存信息时间在最小、最短必要之内。结合《移动互联网应用程序个人信息保护管理暂行规定(征求意见稿)》,在这份文件中已经对收集人脸识别信息明确了频度要求。另一方面,虽然暂无对人脸识别信息储存期限的专门规定,就目前而言,储存人脸识别信息也应做到《信息安全 技术个人信息安全规范》中规定的“分开储存”、“明确储存期限”。

  综上所述,对行政部门以及所有信息处理者而言,我们建议:如果一定要进行人脸识别信息的采集,就必须做好自负必要性举证义务的责任、同时明确存储人脸识别的期限在最小范围之内、频度符合法律法规的要求;另一方面在需要处理人脸识别信息的情形下(比如快捷登录),避免将使用人脸识别信息作为唯一手段,并提供其他可选择的路径。

  同时,我们也建议行政部门委托第三方合规机构代为进行身份认证业务,第三方机构基于上述原则以外,同样要注意如下规范:

  第一、传输和存储人脸识别信息时,应采用加密等安全措施;存储人脸识别信息时,应采用技术措施确保信息安全后再进行存储,例如将人脸识别信息的原始信息和摘要分开存储,或仅存储摘要信息。规定具体存储人脸识别信息期限、做到分开储存信息。

  第二、收集、共享或转让人脸识别信息前,应征得个人信息主体的明示、书面同意,并应确保人脸识别信息主体的明示同意是其在完全知情的基础上自主给出的、具体的、清晰明确的意愿表示;并向个人告知处理人脸识别信息的必要性以及对个人的影响。

  第三、基于个人同意处理敏感个人信息的,个人信息处理者应当取得个人的单独同意;还应当向个人告知处理敏感个人信息的必要性以及对个人的影响。

  第四、对从事个人信息处理岗位上的相关人员签署保密协议,对接触人脸识别信息的人员进行背景审查;按照有关规定设立数据安全管理机构、明确数据安全管理责任人,并实施特别技术保护。

上一篇:DOMDEMDLG的采集方法 下一篇:称重传感器测力怎么连接电脑采集数

在线留言Online message

联系方式address

公司:乐鱼体育在线直播|乐鱼体育直播下载
电话:029-89353355
手机:18991830957
地址:西安市雁塔区雁塔西路158
           号双鱼大厦A座13层
陕ICP备16017194号  
陕公安网备 61011302000213号

扫码开启行业服务新标准

姓名:
电话:
邮箱: