为规范刷脸支付应用创新、防范安全风险，近日，中国支付清算协会印发了《人脸识别线下支付行业自律公约》。这是刷脸支付兴起以来的首份行业自律公约。

刷脸支付市场现状

移动支付市场上，首先推出线下刷脸支付服务的机构是支付宝，于2018年底上线了刷脸支付产品“蜻蜓”，之后财付通于2019年上半年上线刷脸支付产品“青蛙”。

2019年10月份，在世界互联网大会召开期间，中国银联联合60多家机构发布全新智能支付产品“刷脸付”，并已在多个城市落地应用。

此外，包括农行、建行、招行等商业银行也依托自身手机银行APP或银联“云闪付”APP开展刷脸支付探索。

封闭应用模式或将导致“一柜多机”

刷脸支付目前主要有两种业务模式，一是以商业银行、支付宝和财付通为代表的封闭应用模式；二是以银联“云闪付”为代表的联网通用模式。

根据中国支付清算协会《2019年网络支付应用和移动支付工作委员会调研报告》，封闭应用模式将导致类似“一柜多机”情况再次出现。封闭应用模式下，支付宝、财付通、部分银行选择独立开发具有人脸识别功能的智能终端，无法与其他市场主体通用。未来，在市场上还会出现由银联、各商业银行开发的智能终端。

据悉，目前终端价格在2500元至6000元不等，商户需要布放多个终端。这一方面造成社会资源浪费，另一方面也会增加收单机构或商户成本。

针对这一情况，上述自律公约在“终端管理”章节强调：会员单位布放或接入的刷脸支付受理终端应符合国家和金融行业相关标准，并通过国家统一推行的金融科技产品认证。会员单位布放和接入的刷脸支付受理终端应遵循金融行业管理及自律有关规定，支持刷脸支付业务互联互通，避免一柜多机，维护市场良好秩序，促进产业可持续发展。

设置刷脸支付限额管理

除终端管理，自律公约还涉及安全管理、风险管理和用户权益保护等内容，并适用于开展刷脸支付的各会员单位，包括在刷脸支付中提供账户管理、转接清算、收单等服务的会员单位。

个人隐私保护方面，自律公约要求会员单位应建立人脸信息全生命周期安全管理机制：

在采集环节，要坚持“用户授权、最小够用”，明确告知用户信息使用目的、方式和范围，并获得用户授权，避免与需求无关的特征采集。

在存储环节，将原始人脸信息加密存储，并与银行账号或支付账号、身份证号等用户个人隐私进行安全隔离。

在使用环节，收单机构、商户等中间环节不得归集或截留原始人脸信息，实现端到端的个人隐私保护。

风险管理方面，自律公约要求：会员单位应结合特约商户风险等级及交易类型等因素，设置或与其约定刷脸支付单笔及日累计交易限额。

目前来看，为防范刷脸支付风险，市场主体对刷脸支付交易进行限额管理。例如，招商银行对商户和用户刷脸支付均设置了单笔或单日1000元的交易限额；支付宝从交易额度上加以限制，并根据交易资金大小和频度，进行风险分级控制，增加验证要素，对于大于限定金额的交易需补充扫码及交易密码验证，对于大额交易额外增加PIN码验证等；财付通刷脸支付限额受到用户支付账户类型的限制以及快捷支付银行卡限额的限制，同时对同一用户反复尝试刷脸支付的次数进行限制，一个实名用户只能为一个微信支付账户开通刷脸支付。

用户权益保护方面，公约要求会员单位建立用户刷脸支付投诉处理流程，建立健全风险拨备资金、保险计划、应急处置等风险补偿机制，对不能有效证明因用户原因导致的资金损失及时先行赔付。