金融業(yè)生物識(shí)別技術(shù)應(yīng)用管理辦法第一章總則第一條目的與依據(jù)為規(guī)范金融業(yè)生物識(shí)別技術(shù)應(yīng)用，保障金融消費(fèi)者個(gè)人信息安全與財(cái)產(chǎn)安全，促進(jìn)金融科技健康發(fā)展，依據(jù)《中華人民共和國(guó)網(wǎng)絡(luò)安全法》《中華人民共和國(guó)個(gè)人信息保護(hù)法》《中華人民共和國(guó)銀行業(yè)監(jiān)督管理法》《中華人民共和國(guó)證券法》《中華人民共和國(guó)保險(xiǎn)法》等法律法規(guī)，制定本辦法。第二條適用范圍本辦法適用于在中華人民共和國(guó)境內(nèi)依法設(shè)立的銀行業(yè)金融機(jī)構(gòu)、證券期貨經(jīng)營(yíng)機(jī)構(gòu)、保險(xiǎn)機(jī)構(gòu)、支付機(jī)構(gòu)（以下統(tǒng)稱“金融機(jī)構(gòu)”）及其合作的技術(shù)服務(wù)提供商，在提供金融產(chǎn)品或服務(wù)過(guò)程中使用生物識(shí)別技術(shù)的行為。第三條核心定義生物識(shí)別技術(shù)：指通過(guò)計(jì)算機(jī)與光學(xué)、聲學(xué)、生物傳感器和生物統(tǒng)計(jì)學(xué)原理等高科技手段，利用人體固有的生理特征（如指紋、人臉、虹膜、掌紋、靜脈等）或行為特征（如筆跡、步態(tài)、聲紋等）進(jìn)行個(gè)人身份鑒定的技術(shù)。生物識(shí)別信息：指基于自然人的生物特征生成的、可單獨(dú)或與其他信息結(jié)合識(shí)別特定自然人的信息，包括但不限于指紋信息、人臉特征信息、虹膜信息、聲紋信息、掌紋信息、靜脈信息等。金融消費(fèi)者：指購(gòu)買、使用金融機(jī)構(gòu)提供的金融產(chǎn)品或服務(wù)的自然人。第四條基本原則金融機(jī)構(gòu)應(yīng)用生物識(shí)別技術(shù)應(yīng)遵循以下原則：合法合規(guī)原則：嚴(yán)格遵守國(guó)家法律法規(guī)及監(jiān)管要求，未經(jīng)金融消費(fèi)者明確同意，不得收集、存儲(chǔ)、使用其生物識(shí)別信息。最小必要原則：僅收集與金融服務(wù)直接相關(guān)且實(shí)現(xiàn)服務(wù)目的所必需的生物識(shí)別信息，不得過(guò)度收集。安全保障原則：建立健全生物識(shí)別信息安全管理制度，采取技術(shù)措施和其他必要措施，確保信息安全，防止信息泄露、篡改、丟失。透明公開(kāi)原則：向金融消費(fèi)者充分告知生物識(shí)別技術(shù)的應(yīng)用目的、方式、范圍及信息保護(hù)措施，保障消費(fèi)者的知情權(quán)和選擇權(quán)。權(quán)責(zé)一致原則：金融機(jī)構(gòu)對(duì)其自身及合作方的生物識(shí)別技術(shù)應(yīng)用行為負(fù)責(zé)，因不當(dāng)應(yīng)用導(dǎo)致消費(fèi)者權(quán)益受損的，應(yīng)依法承擔(dān)責(zé)任。第二章生物識(shí)別信息的收集與存儲(chǔ)第五條收集規(guī)則金融機(jī)構(gòu)收集生物識(shí)別信息，應(yīng)滿足以下要求：明確告知：通過(guò)通俗易懂的方式（如服務(wù)協(xié)議、彈窗提示、書(shū)面告知書(shū)等）向金融消費(fèi)者告知以下內(nèi)容，并獲得其單獨(dú)同意（不得與其他服務(wù)條款捆綁同意）：收集的生物識(shí)別信息類型及具體內(nèi)容；收集目的、使用場(chǎng)景及期限；信息存儲(chǔ)方式、地點(diǎn)及安全措施；消費(fèi)者拒絕提供的后果（不得以此為由拒絕提供基本金融服務(wù)，除非該生物識(shí)別是提供特定服務(wù)的唯一必要條件）。場(chǎng)景必要：僅在以下場(chǎng)景可收集生物識(shí)別信息，且需證明無(wú)其他更安全、便捷的替代方式：賬戶開(kāi)立、身份核驗(yàn)（如遠(yuǎn)程開(kāi)戶時(shí)的人臉比對(duì)）；大額交易驗(yàn)證、轉(zhuǎn)賬授權(quán)（如超過(guò)5萬(wàn)元轉(zhuǎn)賬時(shí)的指紋驗(yàn)證）；登錄金融機(jī)構(gòu)APP或自助設(shè)備（如ATM機(jī)人臉登錄）；其他經(jīng)監(jiān)管部門認(rèn)可的高風(fēng)險(xiǎn)金融操作場(chǎng)景。來(lái)源合法：生物識(shí)別信息應(yīng)直接從金融消費(fèi)者本人處收集，不得通過(guò)第三方間接獲?。ǚ煞ㄒ?guī)另有規(guī)定或消費(fèi)者明確同意的除外）。第六條存儲(chǔ)要求金融機(jī)構(gòu)存儲(chǔ)生物識(shí)別信息，應(yīng)采取以下安全措施：加密存儲(chǔ)：對(duì)收集的生物識(shí)別信息進(jìn)行不可逆加密處理（如將人臉特征轉(zhuǎn)換為哈希值存儲(chǔ)），禁止存儲(chǔ)原始生物特征數(shù)據(jù)（如原始人臉圖像、指紋圖像）。隔離存儲(chǔ)：將生物識(shí)別信息與金融消費(fèi)者的賬戶信息、交易信息等其他敏感信息物理隔離或邏輯隔離存儲(chǔ)，避免數(shù)據(jù)關(guān)聯(lián)泄露。期限限制：生物識(shí)別信息的存儲(chǔ)期限不得超過(guò)實(shí)現(xiàn)服務(wù)目的所需的最短時(shí)間，服務(wù)終止后應(yīng)立即刪除或匿名化處理。本地優(yōu)先：鼓勵(lì)在金融消費(fèi)者終端設(shè)備（如手機(jī)、平板電腦）本地存儲(chǔ)生物識(shí)別信息（如指紋信息存儲(chǔ)在手機(jī)安全芯片），確需云端存儲(chǔ)的，應(yīng)選擇符合國(guó)家信息安全標(biāo)準(zhǔn)的云服務(wù)提供商。備份與恢復(fù)：建立生物識(shí)別信息備份機(jī)制，定期備份數(shù)據(jù)并進(jìn)行恢復(fù)測(cè)試，防止數(shù)據(jù)丟失；備份數(shù)據(jù)同樣需加密處理。第七條禁止行為金融機(jī)構(gòu)不得實(shí)施以下存儲(chǔ)行為：存儲(chǔ)原始生物特征圖像或未加密的生物特征模板；將生物識(shí)別信息用于存儲(chǔ)協(xié)議約定之外的目的；向第三方共享、轉(zhuǎn)讓生物識(shí)別信息（法律法規(guī)另有規(guī)定或消費(fèi)者明確同意的除外）；未經(jīng)消費(fèi)者同意，將生物識(shí)別信息用于模型訓(xùn)練、數(shù)據(jù)分析等非必要場(chǎng)景。第三章生物識(shí)別技術(shù)的應(yīng)用與管理第八條應(yīng)用場(chǎng)景與限制金融機(jī)構(gòu)應(yīng)用生物識(shí)別技術(shù)，應(yīng)嚴(yán)格限定在已告知消費(fèi)者的場(chǎng)景內(nèi)，并遵守以下限制：身份核驗(yàn)強(qiáng)度匹配：根據(jù)金融操作的風(fēng)險(xiǎn)等級(jí)選擇相應(yīng)安全級(jí)別的生物識(shí)別技術(shù)：|風(fēng)險(xiǎn)等級(jí)|操作類型|推薦生物識(shí)別技術(shù)||----------|----------|------------------||低風(fēng)險(xiǎn)|賬戶查詢、余額查看|人臉（弱驗(yàn)證）、聲紋||中風(fēng)險(xiǎn)|小額轉(zhuǎn)賬（≤5萬(wàn)元）、理財(cái)產(chǎn)品購(gòu)買|指紋、人臉（強(qiáng)驗(yàn)證）||高風(fēng)險(xiǎn)|大額轉(zhuǎn)賬（>5萬(wàn)元）、貸款審批、賬戶注銷|多因子認(rèn)證（如“人臉+短信驗(yàn)證碼”“指紋+U盾”）|拒絕強(qiáng)制：不得強(qiáng)制要求金融消費(fèi)者使用生物識(shí)別技術(shù)，應(yīng)提供其他替代驗(yàn)證方式（如密碼、短信驗(yàn)證碼、硬件令牌等）；對(duì)老年人、殘疾人等特殊群體，應(yīng)提供更便捷的替代方案。實(shí)時(shí)驗(yàn)證：生物識(shí)別驗(yàn)證應(yīng)基于實(shí)時(shí)采集的生物特征數(shù)據(jù)，不得使用預(yù)先存儲(chǔ)的生物特征數(shù)據(jù)進(jìn)行非實(shí)時(shí)驗(yàn)證（如不得用存儲(chǔ)的人臉照片通過(guò)人臉核驗(yàn)）。第九條技術(shù)安全要求金融機(jī)構(gòu)使用的生物識(shí)別技術(shù)應(yīng)符合以下安全標(biāo)準(zhǔn)：技術(shù)認(rèn)證：采用的生物識(shí)別技術(shù)產(chǎn)品（如人臉比對(duì)算法、指紋傳感器）應(yīng)通過(guò)國(guó)家相關(guān)部門的安全認(rèn)證（如國(guó)家網(wǎng)絡(luò)安全等級(jí)保護(hù)認(rèn)證、金融行業(yè)技術(shù)標(biāo)準(zhǔn)認(rèn)證）?？构裟芰Γ壕邆涞钟Ｒ?jiàn)攻擊的能力，包括但不限于：人臉技術(shù)應(yīng)能抵御照片、視頻、3D模型等假體攻擊；指紋技術(shù)應(yīng)能抵御假指紋（如硅膠指紋、指紋膜）攻擊；聲紋技術(shù)應(yīng)能抵御錄音、合成語(yǔ)音攻擊。錯(cuò)誤率控制：生物識(shí)別技術(shù)的錯(cuò)誤接受率（FAR）應(yīng)不高于1/100000，錯(cuò)誤拒絕率（FRR）應(yīng)不高于1%，確保驗(yàn)證準(zhǔn)確性與用戶體驗(yàn)的平衡。第十條合作方管理金融機(jī)構(gòu)委托第三方技術(shù)服務(wù)提供商（如生物識(shí)別算法公司、云服務(wù)提供商）處理生物識(shí)別信息的，應(yīng)履行以下管理責(zé)任：資質(zhì)審核：審核第三方提供商的營(yíng)業(yè)執(zhí)照、信息安全資質(zhì)（如等保三級(jí)以上）、技術(shù)能力證明等文件，確保其具備相應(yīng)的安全保障能力。合同約束：與第三方簽訂書(shū)面協(xié)議，明確約定以下內(nèi)容：生物識(shí)別信息的處理目的、范圍及期限；第三方的安全保障義務(wù)及違約責(zé)任；禁止第三方將生物識(shí)別信息用于約定之外的目的，或向其他第三方轉(zhuǎn)讓；第三方應(yīng)配合金融機(jī)構(gòu)進(jìn)行安全審計(jì)和監(jiān)督檢查。監(jiān)督檢查：定期對(duì)第三方提供商的生物識(shí)別信息處理活動(dòng)進(jìn)行安全評(píng)估和審計(jì)，發(fā)現(xiàn)安全隱患應(yīng)立即要求整改，整改不到位的應(yīng)終止合作。第十一條系統(tǒng)安全管理金融機(jī)構(gòu)應(yīng)建立生物識(shí)別技術(shù)應(yīng)用系統(tǒng)的安全管理體系：訪問(wèn)控制：對(duì)生物識(shí)別系統(tǒng)的訪問(wèn)進(jìn)行嚴(yán)格權(quán)限管理，實(shí)行“最小權(quán)限原則”，僅授權(quán)必要人員訪問(wèn)；操作人員應(yīng)進(jìn)行身份認(rèn)證（如雙因子認(rèn)證）后方可訪問(wèn)系統(tǒng)。日志記錄：完整記錄生物識(shí)別技術(shù)應(yīng)用的全過(guò)程日志，包括但不限于：生物識(shí)別信息的收集時(shí)間、地點(diǎn)、操作人員；身份核驗(yàn)的時(shí)間、結(jié)果、操作終端信息；系統(tǒng)登錄、數(shù)據(jù)修改、刪除等操作記錄。日志應(yīng)至少保存6個(gè)月，以備監(jiān)管檢查和事故追溯。安全評(píng)估：定期（至少每年一次）對(duì)生物識(shí)別系統(tǒng)進(jìn)行安全評(píng)估，邀請(qǐng)第三方安全機(jī)構(gòu)進(jìn)行滲透測(cè)試，及時(shí)修復(fù)漏洞；發(fā)生重大安全事件后應(yīng)立即進(jìn)行專項(xiàng)評(píng)估。第四章風(fēng)險(xiǎn)防控與應(yīng)急處置第十二條風(fēng)險(xiǎn)評(píng)估金融機(jī)構(gòu)應(yīng)建立生物識(shí)別技術(shù)應(yīng)用的風(fēng)險(xiǎn)評(píng)估機(jī)制：事前評(píng)估：在引入新的生物識(shí)別技術(shù)或拓展應(yīng)用場(chǎng)景前，應(yīng)進(jìn)行風(fēng)險(xiǎn)評(píng)估，評(píng)估內(nèi)容包括技術(shù)安全性、合規(guī)性、消費(fèi)者接受度等，評(píng)估報(bào)告應(yīng)留存?zhèn)洳?。事中監(jiān)控：實(shí)時(shí)監(jiān)控生物識(shí)別系統(tǒng)的運(yùn)行狀態(tài)，對(duì)異常操作（如短時(shí)間內(nèi)多次核驗(yàn)失敗、異地核驗(yàn)）進(jìn)行預(yù)警和攔截；建立生物識(shí)別技術(shù)的誤識(shí)率、拒識(shí)率監(jiān)控機(jī)制，及時(shí)優(yōu)化算法。事后審計(jì)：定期對(duì)生物識(shí)別技術(shù)應(yīng)用情況進(jìn)行審計(jì)，檢查是否存在違規(guī)收集、存儲(chǔ)、使用生物識(shí)別信息的行為，審計(jì)結(jié)果應(yīng)向監(jiān)管部門報(bào)告。第十三條應(yīng)急處置金融機(jī)構(gòu)應(yīng)制定生物識(shí)別信息安全事件應(yīng)急預(yù)案，并定期演練：事件分級(jí)：根據(jù)生物識(shí)別信息泄露的數(shù)量、影響范圍、危害程度，將安全事件分為一般事件、較大事件、重大事件、特別重大事件四個(gè)等級(jí)。處置流程：發(fā)生安全事件后，應(yīng)立即啟動(dòng)應(yīng)急預(yù)案，采取以下措施：停止相關(guān)生物識(shí)別系統(tǒng)的運(yùn)行，防止事件擴(kuò)大；及時(shí)通知受影響的金融消費(fèi)者，告知風(fēng)險(xiǎn)情況及應(yīng)對(duì)措施（如修改密碼、更換驗(yàn)證方式）；向監(jiān)管部門、公安機(jī)關(guān)報(bào)告事件情況（重大事件應(yīng)在24小時(shí)內(nèi)報(bào)告）；配合監(jiān)管部門和公安機(jī)關(guān)進(jìn)行調(diào)查，查找事件原因并進(jìn)行整改；對(duì)受損的金融消費(fèi)者進(jìn)行賠償，承擔(dān)相應(yīng)法律責(zé)任。后續(xù)整改：事件處置完成后，應(yīng)總結(jié)經(jīng)驗(yàn)教訓(xùn)，完善安全管理制度和技術(shù)措施，防止類似事件再次發(fā)生。第十四條消費(fèi)者權(quán)益保護(hù)金融機(jī)構(gòu)應(yīng)建立金融消費(fèi)者權(quán)益保護(hù)機(jī)制：投訴處理：設(shè)立專門的投訴渠道，及時(shí)處理消費(fèi)者關(guān)于生物識(shí)別技術(shù)應(yīng)用的投訴（如核驗(yàn)失敗、信息泄露等），投訴處理結(jié)果應(yīng)在15個(gè)工作日內(nèi)反饋消費(fèi)者。損害賠償：因生物識(shí)別技術(shù)應(yīng)用不當(dāng)導(dǎo)致金融消費(fèi)者財(cái)產(chǎn)損失或個(gè)人信息泄露的，應(yīng)依法承擔(dān)賠償責(zé)任；造成嚴(yán)重后果的，應(yīng)公開(kāi)道歉并承擔(dān)相應(yīng)的民事或刑事責(zé)任。教育宣傳：通過(guò)官網(wǎng)、APP、線下網(wǎng)點(diǎn)等渠道，向金融消費(fèi)者宣傳生物識(shí)別技術(shù)的安全知識(shí)，提高消費(fèi)者的風(fēng)險(xiǎn)防范意識(shí)（如提醒不要輕易向他人泄露生物特征信息）。第五章監(jiān)督管理與法律責(zé)任第十五條監(jiān)管職責(zé)國(guó)務(wù)院金融監(jiān)督管理機(jī)構(gòu)（包括中國(guó)人民銀行、中國(guó)銀行保險(xiǎn)監(jiān)督管理委員會(huì)、中國(guó)證券監(jiān)督管理委員會(huì)）按照職責(zé)分工，對(duì)金融機(jī)構(gòu)生物識(shí)別技術(shù)應(yīng)用進(jìn)行監(jiān)督管理：制定規(guī)則：根據(jù)本辦法制定具體行業(yè)的實(shí)施細(xì)則，明確生物識(shí)別技術(shù)的安全標(biāo)準(zhǔn)和應(yīng)用規(guī)范。監(jiān)督檢查：定期或不定期對(duì)金融機(jī)構(gòu)生物識(shí)別技術(shù)應(yīng)用情況進(jìn)行現(xiàn)場(chǎng)檢查或非現(xiàn)場(chǎng)檢查，檢查內(nèi)容包括合規(guī)性、安全性、消費(fèi)者權(quán)益保護(hù)等。違規(guī)處罰：對(duì)違反本辦法的金融機(jī)構(gòu)，依法采取責(zé)令整改、罰款、暫停相關(guān)業(yè)務(wù)、吊銷許可證等處罰措施；對(duì)直接負(fù)責(zé)的主管人員和其他直接責(zé)任人員，依法給予處分。技術(shù)指導(dǎo)：組織開(kāi)展生物識(shí)別技術(shù)的行業(yè)交流和培訓(xùn)，推廣先進(jìn)的安全技術(shù)和管理經(jīng)驗(yàn)。第十六條金融機(jī)構(gòu)的報(bào)告義務(wù)金融機(jī)構(gòu)應(yīng)向監(jiān)管部門履行以下報(bào)告義務(wù)：年度報(bào)告：每年1月31日前，向監(jiān)管部門提交上一年度生物識(shí)別技術(shù)應(yīng)用情況報(bào)告，內(nèi)容包括應(yīng)用場(chǎng)景、信息收集量、安全事件處理情況等。重大事項(xiàng)報(bào)告：發(fā)生生物識(shí)別信息安全重大事件或引入新的高風(fēng)險(xiǎn)生物識(shí)別技術(shù)時(shí)，應(yīng)在3個(gè)工作日內(nèi)向監(jiān)管部門報(bào)告。第十七條法律責(zé)任金融機(jī)構(gòu)違反本辦法規(guī)定的，應(yīng)承擔(dān)以下法律責(zé)任：民事責(zé)任：違反本辦法第五條、第六條、第七條規(guī)定，侵犯金融消費(fèi)者個(gè)人信息權(quán)益的，應(yīng)依法承擔(dān)停止侵害、消除影響、賠償損失等民事責(zé)任。行政責(zé)任：違反本辦法規(guī)定，由監(jiān)管部門責(zé)令限期改正，并處以5萬(wàn)元以上50萬(wàn)元以下罰款；情節(jié)嚴(yán)重的，處50萬(wàn)元以上500萬(wàn)元以下罰款，并可以責(zé)令停業(yè)整頓或吊銷相關(guān)業(yè)務(wù)許可證。刑事責(zé)任：違反本辦法規(guī)定，構(gòu)成犯罪的（如非法獲取公民個(gè)人信息罪、侵犯公民個(gè)人信息罪），依法追究刑事責(zé)任。第十八條合作方責(zé)任金融機(jī)構(gòu)的合作方違反本辦法規(guī)定，泄露、篡改、濫用生物識(shí)別信息的，金融機(jī)構(gòu)應(yīng)立即終止合作，并要求其承擔(dān)賠償責(zé)任；金融機(jī)構(gòu)未盡到審核、監(jiān)督義務(wù)的，應(yīng)對(duì)消費(fèi)者的損失承擔(dān)連帶責(zé)任。第六章附則第十九條過(guò)渡期安排本辦法施行前已收集生物識(shí)別信息的金融機(jī)構(gòu)，應(yīng)在本辦法施行之日起6個(gè)月內(nèi)完成以下整改：對(duì)已收集的生物識(shí)別信息進(jìn)行加密處理，刪