人脸识别技术应用安全管理规定（试行）｜企业采用人脸打卡方式，这4条规定值得关注

近日，为规范人脸识别技术应用，国家互联网信息办公室起草了，并向全社会公开征求意见。该规定一共列举了25条，企业如借助人脸识别技术采集考勤打卡数据，以下4条规定值得关注。

第四条只有在具有特定的目的和充分的必要性，并采取严格保护措施的情形下，方可使用人脸识别技术处理人脸信息。实现相同目的或者达到同等业务要求，存在其他非生物特征识别技术方案的，应当优先选择非生物特征识别技术方案。

第五条使用人脸识别技术处理人脸信息应当取得个人的单独同意或者依法取得书面同意。法律、行政法规规定不需取得个人同意的除外。

第八条组织机构为实施内部管理安装图像采集、个人身份识别设备的，应当根据实际需求合理确定图像信息采集区域，采取严格保护措施，防止违规查阅、复制、公开、对外提供、传播个人图像等行为，防止个人信息泄露、篡改、丢失或者被非法获取、非法利用。

第十五条人脸识别技术使用者处理人脸信息，应当事前进行个人信息保护影响评估，并对处理情况进行记录。

个人信息保护影响评估主要包括下列内容：

（一）是否符合法律、行政法规的规定和国家标准的强制性要求，是否符合伦理道德；

（二）处理人脸信息是否具有特定的目的和充分的必要性；

（三）是否限于实现目的所必需的准度、精度及距离要求；

（四）采取的保护措施是否合法有效并与风险程度相适应；

（五）发生或者可能发生人脸信息泄露、篡改、丢失、毁损或者被非法获取、非法利用的风险以及可能造成的危害；

（六）可能对个人权益带来的损害和影响，以及降低不利影响的措施是否有效。

个人信息保护影响评估报告应当至少保存三年。处理人脸信息的目的、方式发生变化，或者发生重大安全事件的，人脸识别技术使用者应当重新进行个人信息保护影响评估。

结合规定中第四条和第五条，建议企业优先选择非生物特征识别的方式采集考勤打卡数据，例如可考虑移动端GPS、蓝牙、WiFi等打卡方式。如果企业出于管理需求仍然选用人脸识别打卡方式，则须要在采取严格的保护措施并取得员工同意的情况下，才能采集员工的人脸信息用于考勤打卡。而根据规定的第八条及第十五条内容，企业如选用人脸考勤机采集员工个人图像后，需要防止违规查阅、复制、公开、对外提供、传播个人图像等行为，并且防止个人信息泄露、篡改、丢失或者被非法获取、非法利用。

企业采用人脸识别技术管理考勤时

需要注意哪些事项？

企业应对内部管理中使用到人脸识别技术的场景进行充分评估，对于非充分必要使用人脸识别技术的，应尽快采取其它非生物特征识别技术方案进行替换。
在使用人脸识别技术时，应采用最少化的数据收集原则，只收集必要的人脸信息，并对人脸信息在最小必要周期内保存，使用完成后及时删除人脸信息。
确保在部署使用人脸识别技术之前，向员工充分说明使用目的、范围、处理方式等，并取得书面同意。可以在入职时让员工充分了解企业管理中需要使用人脸识别技术的具体场景，后安排员工签署同意收集人脸信息的告知同意书。
对于特殊岗位需要使用人脸识别技术的，应当在劳动合同中明确写明，并让员工充分知晓。
对于不须用户取得同意的情形，要确保符合法律法规的规定，企业不能擅自拓展适用范围。
建立并落实人脸信息的收集、存储、使用、共享等环节的保护机制，确保员工的人脸信息安全。同时提供其它选项给不愿参与的员工。
建立数据分类保护制度，对不同安全级别的数据采取不同保护措施。对人脸信息实施最高级别的保护措施，避免人脸信息的泄露、篡改和未授权访问。
定期对人脸识别系统进行安全审计和风险评估，确保系统的可靠性和安全性。
建立人脸识别技术使用的监督机制，如聘请第三方进行审计，让员工对人脸识别技术的使用进行监督等。
与员工及工会进行沟通，充分听取意见和建议，改进人脸识别技术的应用流程，维护员工权益；向员工开放隐私诉求反馈途径，当发生人脸识别技术应用相关的争议时，应及时调查和处理，保障员工的合法权益，规范人脸信息的使用行为。

如何合规采集人脸考勤数据？

盖雅劳动力管理云App提供多种打卡方式其中包括蓝牙定位打卡、特定无线网络打卡、GPS定点打卡，企业也可利用指纹、面部识别考勤机，采集准确考勤打卡数据，实时同步至盖雅考勤系统。如企业选择采集人脸打卡方式，盖雅提供的人脸打卡考勤设备以及移动端拍照打卡功能已嵌入相关合规设计，可帮助企业更好地遵守以上规定。

1. 员工首次使用盖雅劳动力管理云App的拍照打卡功能前，会提供隐私政策并征求同意后才可使用该功能；而对于利用盖雅人脸打卡考勤机采集打卡数据的企业，也需要征集到员工的书面同意后才可使用。

2. 在使用盖雅劳动力管理云App拍照打卡之前，App需要获得用户手机的拍照以及其他相关访问权限后才能使用，确保使用过程的合法合规。

3. 盖雅提供的人脸打卡考勤设备或移动端拍照打卡功能采集到的人脸信息会被妥善保存，每个员工打卡后只可查看本人的打卡数据，可以有效避免信息泄露、篡改、非法利用等行为。

4. 通过盖雅提供人脸打卡考勤机以及移动端拍照打卡功能采集到的人脸信息，在员工离职后都会将其人脸信息自动删除，避免非必要的存储。

目前，盖雅已获得了安永出具的覆盖安全、可用、保密和隐私四大范畴的 SOC 2 Type II 和 SOC 3 鉴证报告，并通过了ISO27001信息安全管理体系、ISO20000-1信息技术服务管理体系及ISO9001 质量管理体系认证。这些充分证明了盖雅稳定可用的服务水准，以及高度保障客户数据安全性的能力。