2019年10月20日，在浙江烏鎮(zhèn)舉行的第六屆世界互聯(lián)網(wǎng)大會上，中國銀聯(lián)攜手工商銀行、農(nóng)業(yè)銀行、中國銀行等60余家機構(gòu)聯(lián)合發(fā)布全新智能支付產(chǎn)品“刷臉付”。作為“國家隊”的銀聯(lián)入場，加上更早入場的支付寶、微信支付，我國支付市場的三大主流機構(gòu)都在力推刷臉支付類產(chǎn)品，刷臉支付已然進入三國時代。

稍早的時候，刷臉支付就已經(jīng)獲得中國人民銀行的推廣，在2019年8月底中國人民銀行印發(fā)《金融科技（FinTech）發(fā)展規(guī)劃（2019-2021年）》（以下簡稱《規(guī)劃》），其中明確提出“探索人臉識別線下支付安全應(yīng)用，借助密碼識別、隱私計算、數(shù)據(jù)標簽、模式識別等技術(shù)，利用專用口令、‘無感’活體檢測等實現(xiàn)交易驗證，突破 1：N 人臉辨識支付應(yīng)用性能瓶頸，由持牌金融機構(gòu)構(gòu)建以人臉特征為路由標識的轉(zhuǎn)接清算模式，實現(xiàn)支付工具安全與便捷的統(tǒng)一?！?《規(guī)劃》提出未來三年金融科技工作的指導(dǎo)思想、基本原則、發(fā)展目標、重點任務(wù)和保障措施，明確了刷臉支付的發(fā)展方向，認可了其“科技賦能支付服務(wù)”的能力。新技術(shù)的應(yīng)用也給法律帶來了挑戰(zhàn)，在現(xiàn)有法律制度中如何安置這種新科技：技術(shù)需要如何遵守法律，法律應(yīng)該如何修改來適配技術(shù)，成為了一個急需解決的問題。

刷臉支付的特殊性

刷臉支付與已經(jīng)普及使用多年的指紋支付都屬于生物特征支付，具有一定的相似性。一方面，刷臉支付與指紋支付都擺脫了卡基的限制，實現(xiàn)了賬戶基支付方式，即使是銀聯(lián)的“刷臉付”也是基于“云閃付”賬號而非任何一張銀聯(lián)卡。另一方面，在賬戶的驗證中都將生物特征作為一種支付的驗證手段，驗證指令的發(fā)出人是賬戶所有人，通過驗證之后才能進行資金的移轉(zhuǎn)。

刷臉支付與指紋支付除了使用的生物特征的類型不同，在支付影響力方面也存在較大的差異。如果說指紋支付只是替代了傳統(tǒng)賬基支付中密碼的角色，那么刷臉支付則重塑了整個支付場景。

第一個差異在于支付介質(zhì)的不同。指紋支付需要以手機作為支付賬戶的介質(zhì)，脫離手機就無法使用；而刷臉支付無需介質(zhì)，通過支付機具刷臉確定賬戶之后就可以進行支付，全程無需使用手機。

第二個差異在于生物特征在支付中發(fā)揮作用的環(huán)節(jié)不同。指紋支付第一步需要登錄支付賬戶，這通常不涉及指紋信息，第二步支付驗證環(huán)節(jié)才需要使用指紋特征。刷臉支付則不然，第一步是通過支付機具刷臉登陸支付賬戶，面部特征首先展現(xiàn)的是賬戶識別和登陸驗證的功能，然后第二步輸入其他輔助驗證手段實現(xiàn)支付。

第三個差異在于支付兩個環(huán)節(jié)的驗證強度存在不同。指紋支付的登陸驗證往往是設(shè)置強口令的驗證，要求使用數(shù)字、字母乃至符號的混合型密碼，支付驗證則是較為隱秘的生物特征指紋驗證。而刷臉支付則不然，登陸驗證是較為公開的生物特征面部特征驗證，支付驗證則是弱口令的方式，其中微信、支付寶采用較為公開的手機號，銀聯(lián)采用6位數(shù)字的支付密碼。

刷臉支付主打便捷，其特殊性也系于此，無需支付介質(zhì)奠定了其便捷性的基礎(chǔ)，為了便捷地登陸支付賬戶，便采用了刷臉作為登陸驗證手段，為了便捷支付采用了弱口令作為支付驗證的手段。支付便捷與支付安全之間的沖突是刷臉支付法律問題的核心。

刷臉支付的流程法律問題

業(yè)界人士認為，刷臉支付采用“人臉識別+支付口令”是兼顧安全與便捷的實現(xiàn)方式，在支付體系中，人臉識別顯然是主要的驗證手段。按照2015年12月發(fā)布的《非銀行支付機構(gòu)網(wǎng)絡(luò)支付業(yè)務(wù)管理辦法》（以下簡稱《辦法》）第二十二條規(guī)定“支付機構(gòu)可以組合選用下列三類要素，對客戶使用支付賬戶余額付款的交易進行驗證：一是僅客戶本人知悉的要素，如靜態(tài)密碼等；二是僅客戶本人持有并特有的，不可復(fù)制或者不可重復(fù)利用的要素，如經(jīng)過安全認證的數(shù)字證書、電子簽名，以及通過安全渠道生成和傳輸?shù)囊淮涡悦艽a等；三是客戶本人生理特征要素，如指紋等。”

在《辦法》的第二十四條又對驗證方式與支付限額進行了規(guī)定，唯一不設(shè)法定限額的是“采用包括數(shù)字證書或電子簽名在內(nèi)的兩類（含）以上有效要素進行驗證的交易”，《辦法》從側(cè)面承認了這種驗證方式具有最高的安全性。目前“云閃付”、微信、支付寶等賬基支付采用數(shù)字證書+靜態(tài)密碼的方式進行驗證，同時這些機構(gòu)的生物特征支付則使用“數(shù)字證書+生物特征”的方式進行驗證。這兩種方式都是最為安全的雙重驗證。而按照《辦法》，似乎也可以推論出在監(jiān)管者眼中，生物特征信息與靜態(tài)密碼具有相似的法律效果，都是基于數(shù)字證書、電子簽名的輔助性驗證手段?？梢哉f從《辦法》而言，給刷臉支付等支付方式留出了足夠的空間，甚至從驗證流程來說都無需使用支付口令就能實現(xiàn)最大限額支付。

常見的賬基支付中，口令的地位一直為便捷性讓步而持續(xù)被削弱：經(jīng)歷了支付密碼從強密碼到弱密碼的變化。在刷臉支付時，支付寶和微信已經(jīng)采用手機號作為支付口令了，在特定場景下還可以免輸入。但是，顯然從安全性而言，公開的手機號作為驗證口令已經(jīng)不能算作《辦法》第二十二條下的“僅客戶本人知悉的要素”，故而不算法定的驗證手段，手機號作為驗證口令背后是支付口令的功能轉(zhuǎn)移，從支付驗證轉(zhuǎn)向支付意愿確定。這也是回應(yīng)法律的要求，《辦法》第十六條規(guī)定“對于客戶的網(wǎng)絡(luò)支付業(yè)務(wù)操作行為，支付機構(gòu)應(yīng)當在確認客戶身份及真實意愿后及時辦理”。畢竟臉部特征的公開性較強，面部特征作為“行走的密碼”，如何解決包括1：N在內(nèi)的特殊支付場景中支付意愿的識別，這是公開但個人化的支付口令的價值。

就支付口令而言，銀聯(lián)與微信支付寶并不相同，銀聯(lián)保留了私密性的“云閃付”密碼作為支付口令，三家機構(gòu)之間不同的處理思路也表明對于支付口令地位的認識分歧，如果將支付口令作為驗證手段，那么對于支付的實體環(huán)境提出了安全保護的設(shè)備要求，如果將支付口令作為支付意愿的確定手段，那么對人臉識別作為唯一的驗證手段的準確性提出了更高的要求。

刷臉支付的硬件法律問題

刷臉這一驗證方式一直以來存在爭議。2017年，當出現(xiàn)第一次刷臉風潮時，央視“315晚會”就提示了人臉識別技術(shù)的安全漏洞問題，2019年刷臉驗證翻紅之后也不時爆出豐巢快遞柜、智能門鎖無法識別真人與照片的新聞，刷臉支付的安全性成為公眾關(guān)注刷臉支付的核心關(guān)切。經(jīng)過技術(shù)的發(fā)展，成熟廠商的刷臉支付錯誤率已經(jīng)降到十萬甚至百萬分之一的級別，在面對雙胞胎等場景也能正確識別，基本解決賬戶誤識的問題。現(xiàn)在的核心爭議是如何處理假體攻擊。

如今，刷臉支付的線下應(yīng)用是得到《規(guī)劃》認可的，《規(guī)劃》提出“利用專用口令、‘無感’活體檢測等實現(xiàn)交易驗證”。目前的刷臉支付機構(gòu)都在技術(shù)方面有諸多儲備，各家廠商在宣傳中都主打活體檢測，一方面在軟件層面，通過大量的訓(xùn)練和實踐讓深度學習算法具有極強的檢測能力，另一方面在硬件層面，通過紅外等各種技術(shù)輔助驗證。饒是如此，但是在2019年12月，美國公司Kneron表示通過高清3D面具和照片欺詐了多個人臉識別系統(tǒng)，包括支付寶和微信。雖然該消息真實性并未得證，但依舊提示了目前刷臉支付硬件本身的潛在風險。

目前，刷臉支付的線上應(yīng)用是不受監(jiān)管機構(gòu)認可的。一方面是軟件原因，中國人民銀行科技司司長李偉認為，人臉識別線上應(yīng)用仍存在諸多風險，若要應(yīng)用推廣需采用可信執(zhí)行環(huán)境（TEE）、安全單元（SE）等技術(shù)加強風險防控。另一方面是硬件原因，受制于智能手機的攝像頭水平，并非所有都具備主動進行活體檢測的能力，諸多在智能手機上進行人臉識別認證的操作都需要配合“張嘴、眨眼、搖頭”等動作來進行，無法做到無感檢測，而通過視頻等手段繞過手機上的活體檢測的相關(guān)新聞也提示了刷臉線上應(yīng)用的風險性。另外，采用指紋支付的三星S10系列的失靈事件也為刷臉支付的線上應(yīng)用提供了一個技術(shù)硬件上的鏡鑒。

推廣一個本身頗具風險的支付方式，其成敗維系于硬件設(shè)備與軟件算法，對于技術(shù)的信賴是脆弱的，為維系這種信賴就有必要通過標準的方式來強化保證其性能的可靠性。雖然目前線下應(yīng)用的機具都是支付機構(gòu)的關(guān)聯(lián)企業(yè)生產(chǎn)制造的，能夠確保符合支付機構(gòu)的要求，但未來為了更廣泛地推廣，必然需要降低機具的成本，允許通過特許等方式進行機具生產(chǎn)。為此有需要制定刷臉支付的相關(guān)技術(shù)標準，通過標準的認定，讓硬件機具能夠符合法律的安全性要求。這種需求在線上刷臉應(yīng)用更加強烈，支付機構(gòu)對于手機的生產(chǎn)控制力較線下機具更差，更加需要具有法律效力的國家標準的指引和認證。

刷臉支付的責任法律問題

因為臉部特征的公開性較強，刷臉支付的安全性備受質(zhì)疑，法律責任作為支付安全的后端規(guī)制與補償機制成為不可回避的問題，明確責任問題也有助于從業(yè)者和公眾對于刷臉支付有更明確的預(yù)期。

從支付的責任法律而言，并無專門針對刷臉支付的條款，甚至生物特征支付的相關(guān)責任規(guī)則也并無特殊化的法條，可以說刷臉支付的責任規(guī)則還是參照一般電子支付的責任規(guī)則。而就一般電子支付而言，現(xiàn)行法的責任規(guī)則已經(jīng)有一個較為完備的框架。這部分規(guī)則主要在《電子商務(wù)法》中，雖然該法是針對電子商務(wù)場景下的支付責任而言，但是至少說明一個法律的方向，并且存在被廣泛準用的可能性。

刷臉機具誤識付款人的場景可以適用《電子商務(wù)法》第五十五條規(guī)定“支付指令發(fā)生錯誤的，電子支付服務(wù)提供者應(yīng)當及時查找原因，并采取相關(guān)措施予以糾正。造成用戶損失的，電子支付服務(wù)提供者應(yīng)當承擔賠償責任，但能夠證明支付錯誤非自身原因造成的除外?！迸e例而言，甲付款人被機具識別為乙，并從乙的賬號中扣款造成了乙的損失，此時乙有權(quán)向支付機構(gòu)求償。支付機構(gòu)如要免責，則需要自查原因并證明自身并無過錯，這種損失、調(diào)查、證明責任都配置給支付機構(gòu)，可以有效保護相對弱勢的用戶。當然對于刷臉支付的場景而言，這往往不會造成損失，因為真實付款人容易查清，此時支付機構(gòu)依據(jù)不當?shù)美蚋犊钊酥鲝垯?quán)利即可。

刷臉機具被假體攻擊的場景可以適用《電子商務(wù)法》第五十七條規(guī)定“未經(jīng)授權(quán)的支付造成的損失，由電子支付服務(wù)提供者承擔；電子支付服務(wù)提供者能夠證明未經(jīng)授權(quán)的支付是因用戶的過錯造成的，不承擔責任?！?舉例而言，甲的面部特征信息被復(fù)制，乙依據(jù)該信息騙過了支付機具從甲的賬戶內(nèi)扣款造成了甲的損失，此時甲有權(quán)向支付機構(gòu)求償，支付機構(gòu)如需免責需要證明錯誤的來源是甲本身的錯誤，否則一概由支付機構(gòu)承擔責任。在此場景之下，支付機構(gòu)的責任比機具誤識更重，在誤識場景下，支付機構(gòu)本身無錯就可免責，而在假體攻擊之下，支付機構(gòu)和用戶都無過錯，但是責任依舊是支付機構(gòu)的。這種責任配置就是為了促使支付機構(gòu)提升自身的技術(shù)水平以從根本上避免此類問題的產(chǎn)生。

當然現(xiàn)階段，對于刷臉支付的責任問題處理更為簡單，《辦法》第二十五條規(guī)定“支付機構(gòu)網(wǎng)絡(luò)支付業(yè)務(wù)相關(guān)系統(tǒng)設(shè)施和技術(shù)，應(yīng)當持續(xù)符合國家、金融行業(yè)標準和相關(guān)信息安全管理要求。如未符合相關(guān)標準和要求，或者尚未形成國家、金融行業(yè)標準，支付機構(gòu)應(yīng)當無條件全額承擔客戶直接風險損失的先行賠付責任。”現(xiàn)在僅有《人臉識別線下支付安全應(yīng)用技術(shù)規(guī)范（試行）》等指引性文件，尚未形成國家或金融行業(yè)標準，那么此時發(fā)生的所有損失無豁免條件的由支付機構(gòu)承擔，這種責任方式客觀上鼓勵技術(shù)的發(fā)展，推動標準的建立。當然隨著刷臉支付的成熟，未來必將推出相應(yīng)的標準，標準出臺后的責任規(guī)則還是回歸上文所述的模式。

總之，對于各家機構(gòu)所言“刷臉支付損失全賠”的承諾，其實只是法律的強制要求而已，有識廠商如果對于自身技術(shù)具有自信，或許可以提出更高的承諾，例如損失加倍賠償，五倍賠償?shù)瓤谔栆员砻髌鋵τ谥Ц栋踩某兄Z。

刷臉支付的信息法律問題

刷臉支付較之指紋支付、聲紋支付等方式在信息采集上略有不同，人臉長時間暴露在外，各種攝像頭都有充足的機會捕捉到人臉特征。而人們對于刷臉支付的信息擔憂更為嚴重，也是刷臉支付推廣中最為疑難的問題。且不說目前廣泛存在的信息過分收集、違規(guī)使用問題，僅就信息存儲而言，金融機構(gòu)已經(jīng)問題頻發(fā)，如美國三大個人信用機構(gòu)之一的Equifax發(fā)生的信息泄露案，即使是以個人信用信息作為其核心資源的Equifax都可能發(fā)生信息泄露，可見重建公眾對于機構(gòu)的信息信心任重道遠，更遑論是包括臉部特征在內(nèi)的不可更改的生物特征信息。

現(xiàn)行法對于刷臉支付等支付場景的信息責任的規(guī)定相對簡略，主要是基于《辦法》第二十條條規(guī)定“支付機構(gòu)應(yīng)當以‘最小化’原則采集、使用、存儲和傳輸客戶信息，并告知客戶相關(guān)信息的使用目的和范圍。支付機構(gòu)不得向其他機構(gòu)或個人提供客戶信息，法律法規(guī)另有規(guī)定，以及經(jīng)客戶本人逐項確認并授權(quán)的除外。”這種原則性規(guī)定過于簡單，且未對包括臉部信息在內(nèi)的不可更改的生物特征信息進行區(qū)別性嚴格規(guī)定。同時，關(guān)于違反信息責任的罰則也較輕，《辦法》引用《中華人民共和國中國人民銀行法》第四十六條作為罰則，如果發(fā)生信息泄露在無違法所得的情況下只能處以最高200萬元的罰款。

刷臉支付的信息責任很難在法律領(lǐng)域進行單兵突進的制定，這一領(lǐng)域的法律進步最終依賴于個人生物信息的整體立法或者金融領(lǐng)域的專門立法，在這一立法完成之前，只能更多依靠支付服務(wù)商的自律或者支付業(yè)協(xié)會等的行業(yè)自律。

綜上所述，刷臉支付雖然作為一種新興的支付方式，但其還是基于現(xiàn)有支付模式而展開，現(xiàn)行支付法律框架為其預(yù)留了足夠的發(fā)展空間，也可以適用現(xiàn)有的監(jiān)管框架進行規(guī)制。然而，在具體的硬件標準和信息收集儲存方面，刷臉支付向現(xiàn)行法律體系提出了挑戰(zhàn)，現(xiàn)在已經(jīng)讓刷臉支付的子彈飛了這么久了，是時候考慮如何通過標準和個人信息法律來促進刷臉支付的均衡合理發(fā)展。