1月20日，为规范人脸识别线下支付（以下简称刷脸支付）应用创新，防范刷脸支付安全风险，保障会员单位合法权益，维护社会公众利益，中国支付清算协会发布《人脸识别线下支付行业自律公约（试行）》，即日起实施。

《公约》要求从事刷脸支付收单服务的会员单位应严格遵守《银行卡收单业务管理办法》（中国人民银行公告〔2013〕第9号公布）、《非银行支付机构网络支付业务管理办法》（中国人民银行公告〔2015〕第43号公布）、《中国人民银行关于进一步加强银行卡风险管理的通知》（银发〔2016〕170号）、《中国人民银行关于加强银行卡收单业务外包管理的通知》（银发〔2015〕199号）等管理要求，承担收单环节支付敏感信息安全管理责任，不得将核心业务系统运营、受理终端密钥管理、特约商户资质审核等工作交由外包服务机构办理。

人脸识别线下支付行业自律公约（试行）

第一章 总则

第一条为规范人脸识别线下支付（以下简称刷脸支付）应用创新，防范刷脸支付安全风险，保障会员单位合法权益，维护社会公众利益。经会员单位共同协商，制定本公约。

第二条会员单位开展刷脸支付应严格执行国家及金融行业的有关法律法规、技术规范，自觉遵守协会各项自律制度规范，在平等、自愿、公平和诚信的原则下开展服务。

第三条本公约所称刷脸支付是指线下特约商户通过专用受理终端采用人脸识别技术为用户提供的支付服务。

第四条公约适用于开展刷脸支付的各会员单位，包括在刷脸支付中提供账户管理、转接清算、收单等服务的会员单位。

第五条会员单位应确保其在刷脸支付中使用的活体检测、人脸识别等技术指标满足金融行业相关要求。

第二章 安全管理

第六条会员单位应建立人脸信息全生命周期安全管理机制。在采集环节，要坚持“用户授权、最小够用”，明确告知用户信息使用目的、方式和范围，并获得用户授权，避免与需求无关的特征采集。在存储环节，将原始人脸信息加密存储，并与银行账号或支付账号、身份证号等用户个人隐私进行安全隔离。在使用环节，收单机构、商户等中间环节不得归集或截留原始人脸信息，实现端到端的个人隐私保护。

第七条会员单位应根据用户意愿，为其提供开通或关闭刷脸支付服务。用户开通刷脸支付时，会员单位应以显著方式提示用户注意服务协议中与其有重大利害关系的事项，采取有效方式确认用户充分知晓并清晰理解相关权利、义务和责任，提示方式包括但不限于隐私政策、格式条款、短信提示等。

第八条用户进行刷脸支付时，会员单位应采用支付口令或其他可靠的技术手段（通过国家统一推行的金融科技产品认证）实现本人主动确权，保障用户的知情权、财产安全权等合法权益。

第九条会员单位应确保处理刷脸支付业务的信息系统满足物理安全、网络安全、主机安全、应用安全、数据备份等国家、金融行业安全规范要求。

第十条从事刷脸支付收单服务的会员单位应严格遵守《银行卡收单业务管理办法》（中国人民银行公告〔2013〕第9号公布）、《非银行支付机构网络支付业务管理办法》（中国人民银行公告〔2015〕第43号公布）、《中国人民银行关于进一步加强银行卡风险管理的通知》（银发〔2016〕170号）、《中国人民银行关于加强银行卡收单业务外包管理的通知》（银发〔2015〕199号）等管理要求，承担收单环节支付敏感信息安全管理责任，不得将核心业务系统运营、受理终端密钥管理、特约商户资质审核等工作交由外包服务机构办理。

第十一条会员单位开展刷脸支付业务涉及跨行交易的，应当通过中国人民银行跨行清算系统或具备合法资质的清算机构处理。

第十二条提供账户管理、收单服务的会员单位开展刷脸支付业务应遵守和符合清算机构关于刷脸支付业务联网通用的规则等要求。

第三章 终端管理

第十三条会员单位布放或接入的刷脸支付受理终端应符合国家和金融行业相关标准，并通过国家统一推行的金融科技产品认证。

第十四条会员单位布放或接入的刷脸支付受理终端应按照《中国人民银行关于强化银行卡受理终端安全管理的通知》（银发〔2017〕21号）等要求进行登记注册管理。

第十五条会员单位布放和接入的刷脸支付受理终端应遵循金融行业管理及自律有关规定，支持刷脸支付业务互联互通，避免一柜多机，维护市场良好秩序，促进产业可持续发展。

第十六条会员单位应建立覆盖刷脸支付受理终端开通、使用、更换、维护、撤销等各环节的风险管理制度，建立刷脸支付受理终端定期巡检制度，加强对刷脸支付受理终端的风险控制，及时发现和排除风险隐患。

第四章 风险管理

第十七条会员单位应建立交易风险监控模型和系统，有效监测可疑交易和异常行为，及时进行分析处置，保障交易安全。

第十八条会员单位应按照银行卡收单业务管理相关监管规定，加强刷脸支付特约商户资质审核和日常管理，建立健全商户风险评级管理制度及黑名单管理制度，建立刷脸支付特约商户检查制度。

第十九条会员单位应结合用户信用状况、风险程度等因素，对用户刷脸支付可开通的交易类型进行限制，通过协议约定交易限额，并采取有效风控措施保障交易和用户资金安全。

第二十条会员单位应结合特约商户风险等级及交易类型等因素，设置或与其约定刷脸支付单笔及日累计交易限额。

第二十一条中国支付清算协会、清算机构应将刷脸支付特约商户纳入特约商户信息管理系统及黑名单管理机制。拓展特约商户时，提供收单服务的会员单位应进行查询确认，并按规定向中国支付清算协会、清算机构特约商户信息管理系统、风险信息管理系统报送特约商户基本信息及其风险信息。

第二十二条会员单位应建立刷脸支付突发事件应急处理机制，及时有效化解刷脸支付风险。

第二十三条会员单位应及时向监管部门和中国支付清算协会报告刷脸支付业务开展情况、市场发展动态及发生的重大风险事件等信息。

第五章 用户权益保护

第二十四条会员单位应建立用户刷脸支付投诉处理流程，明确投诉受理责任部门和责任人，向客户告知客服电话、在线客服等受理投诉的渠道。

第二十五条会员单位应及时处理客户提出的差错争议和投诉，建立健全风险拨备资金、保险计划、应急处置等风险补偿机制，对不能有效证明因用户原因导致的资金损失及时先行赔付。

第二十六条会员单位应建立用户刷脸支付安全教育制度及流程，培养用户良好的刷脸支付安全习惯。

第六章 附则

第二十七条本公约与国家法律、法规和监管部门规章不一致的，依照有关法律、法规和监管部门规章执行。

第二十八条本公约由中国支付清算协会负责解释和修订。

第二十九条中国支付清算协会组织对会员单位公约执行情况的监督检查，对于违反公约的行为可根据《中国支付清算协会自律惩戒实施办法》实施自律惩戒。

第三十条本公约自中国支付清算协会发布之日起实施。