举案说法 | 在这个“刷脸”的时代，你们准备好了吗？

2018年12月13日，支付宝宣布推出一款全新的刷脸支付产品——“蜻蜓”。此前，笔者一直认为刷脸支付只是个传说。

近期，笔者在多家便利店发现了一种支付设备，普通ipad大小，只要你在支付终端完成人脸支付设置，就能在便利店通过刷脸付款。这给笔者带来极速付款体验的同时也让作为律师的笔者隐隐担忧。

01刷脸支付的方式是否合法？

根据2015年12月发布的《非银行支付机构网络支付业务管理办法》（下称《管理办法》）第二十二条“支付机构可以组合选用下列三类要素，对客户使用支付账户余额付款的交易进行验证：…（三） 客户本人生理特征要素，如指纹等。”之规定，用户本人的生理特征可以作为交易验证的要素。而人脸与指纹、虹膜、声音、步态等都属于生物识别的鉴别项目，对每个人来说，具有唯一性。故将人脸这一生理特征要素作为支付指令的验证方式是符合《管理办法》规定的。

02刷脸支付设备造成信息泄漏时如何处罚？

举个例子：张三在某个电子支付平台注册并设置了刷脸支付，该电子支付平台在运营过程中造成了张三个人信息的泄漏。

根据《管理办法》第二十条的规定“支付机构应当以“最小化”原则采集、使用、存储和传输客户信息，并告知客户相关信息的使用目的和范围。支付机构不得向其他机构或个人提供客户信息，法律法规另有规定，以及经客户本人逐项确认并授权的除外。”支付机构应当避免对用户信息进行过度采集，同时未经用户授权不得擅自使用用户信息。

根据《管理办法》第四十二条关于“未按规定处理客户信息，或者未履行客户信息保密义务，造成信息泄露隐患或者导致信息泄露的。”，支付机构在运营过程中造成用户信息泄漏的，主管机关应当依据《中华人民共和国中国人民银行法》第四十六条“没有违法所得或者违法所得不足五十万元的，处五十万元以上二百万元以下罚款”之规定，对其处以最高二百万元的罚款。客户因信息泄露造成损失的，可以提起民事诉讼。

信息泄露是全社会面临的问题，更是刷脸支付领域面临的棘手问题，因为支付密码可以随时更改，但人脸信息却无法随时更改，这不仅需要立法层面加以规制，更需要支付机构不断革新技术，以将风险降到最低。

03刷脸支付设备误读付款人情况下的责任承担？

举个例子：张三作为付款人被刷脸设备误读为李四，在张三点击确认付款后，刷脸设备便完成了对李四账户的扣款，因此造成了李四的损失。

根据《中华人民共和国电子商务法》（下称《电子商务法》）第五十五条“支付指令发生错误的，电子支付服务提供者应当及时查找原因，并采取相关措施予以纠正。造成用户损失的，电子支付服务提供者应当承担赔偿责任，但能够证明支付错误非自身原因造成的除外。”之规定，在支付指令发生错误时，支付机构应当及时查找原因并予以纠正，同时承担李四的损失。

04刷脸支付设备遭假体攻击情况下的责任承担？

举个例子：张三的面部生理特征信息被李四获取，李四依据该面部生理特征信息，通过一定的技术手段（比如3D打印的面具），成功骗过刷脸设备的识别从张三账户内实现扣款，造成了张三的损失。

根据《电子商务法》第五十七条“未经授权的支付造成的损失，由电子支付服务提供者承担；电子支付服务提供者能够证明未经授权的支付是因用户的过错造成的，不承担责任。”之规定，在李四采用上述手段造成张三损失的情况下，只要张三能够证明自身不存在过错，支付机构应当赔偿张三的损失。

可是在上述情况下，支付机构也无过错的情况下是否可以免责？答案是不能。法律将责任承担分配给支付机构是基于以下三个方面的考虑：

（一）支付机构对于刷脸支付设备、运行系统有着绝对的掌控，应当对自己的服务行为负责；

（二）广大的使用群体处于弱势地位，根据公平原则应当给予倾斜保护；

（三）促使支付机构快速提高自身的技术水平以从根本上避免上述问题的发生。

《管理办法》对于刷脸支付用户的保护更加简单暴力：

根据《管理办法》第二十五条规定“支付机构网络支付业务相关系统设施和技术，应当持续符合国家、金融行业标准和相关信息安全管理要求。如未符合相关标准和要求，或者尚未形成国家、金融行业标准，支付机构应当无条件全额承担客户直接风险损失的先行赔付责任。”

目前，我国对于刷脸支付仅形成了《人脸识别线下支付安全应用技术规范（试行）》等指引性文件，尚未形成国家或金融行业标准，那么此时发生的所有损失，将无豁免条件的由支付机构承担。

结语

刷脸的时代已经到来，希望支付机构不断努力保护好用户的“脸面”，留住自己的“颜面”。也希望法律尽快完善，让人们“笑颜永驻”。

作者：高耀光律师（陕西金沙6038官方网站-［VIP线路］律所）