上海地铁现允许用户通过手机扫描二维码进站
无需携带交通卡
最近还有各种免费订单和折扣。
市民童女士兴奋地下载了地铁App
然而，在选择使用支付宝实名认证时，
系统弹出《芝麻认证服务协议》后，
该指令要求进行“人脸识别”认证。
看到我的脸出现在屏幕上，
佟小姐犹豫了一下，决定放弃。
“
“我觉得我必须谨慎授权使用我的脸。毕竟，它一生都不会改变，不像我的银行卡、手机号码和密码，”童女士解释道。
解放日报·上观新闻记者随机调查发现，她身边还有不少人和佟女士持类似态度。
有受访者表示，现在对于需要授权个人信息的服务、商业优惠等，尤其是“人脸识别”等较为敏感的生物特征识别功能，不再像几年前那样粗心地勾选“同意”，而是会略微权衡“是否存在隐私泄露的可能”。
虽然有时人们因为“别无选择”而接受协议，但内心总感到不安，因为“关于隐私被侵犯的新闻报道很多”。
所以，
这样的担心是否“多余”？
记者联系了支付宝和芝麻信用母公司蚂蚁金服相关负责人。蚂蚁金服回应称，当用户选择使用芝麻信用实名认证时，一般无需刷脸即可完成实名认证；当系统无法确认是否为用户本人操作时，为保障用户账户安全，会升级为刷脸进行进一步验证。后者具体情况比较复杂，由系统决定。
蚂蚁金服表示，在组织支撑方面，他们已经成立了专门的数据隐私保护部门；在内部管理方面，对全员开展《网络安全法》培训，加强数据处理流程内控，对支付宝网络运行安全体系、数据安全制度进行全面自检和完善。
尽管如此，
一些网络安全专家仍然建议
谨慎使用面部和指纹等生物特征密码
去年9月，科普作家@奥卡姆剃刀的一篇博文引发热议，他指出，人体的生物密码现在是独一无二的、不可改变的，一旦泄露，将终身泄露。
无独有偶，在2017网络安全博览会暨网络安全成果展览会新闻发布会上，众仁科技创始人、上海市信息安全行业协会会长谭建锋也表示，生物特征具有自身的唯一性，因此生物特征认证技术应该是安全的；但这种唯一性也意味着，生物特征认证信息一旦“遗失”，就无法再生；普通密码如果遗失，可以再次更改，但如果生物特征信息被窃取，就无法再次使用。因此，他认为，在目前所有的互联网身份认证技术中，生物特征认证是“最不安全的”。
针对企业通过指纹识别、人脸识别、语音识别等方式向手机用户索要生物特征密码的安全性问题，共青团中央在微博上发起了一项投票。
致网络运营商：
数据收集应克制且谨慎
蚂蚁金服表示，由于上海地铁要求乘客实名登记才能扫描二维码，因此用户在使用地铁App时需要授权上海地铁查询其姓名和身份证号。用户允许地铁查询的信息会在页面上展示，用户勾选同意后才会输出这些信息。
实名认证是我国互联网管理的重要举措。张勋告诉解放日报·上观新闻记者，我国自2012年全国人大常委会发布《关于加强互联网信息保护的决定》以来，开始推行电话实名认证。此后，国家互联网信息办公室又发布《互联网用户帐号名称管理规定》《移动互联网应用服务管理规定》，将真实身份信息认证的要求延伸至所有互联网及移动互联网用户。“用户实名制”已成为监管部门规范行业发展的重要方式，核实身份的方式有很多种。
她认为，一方面，地铁都市APP创新性地为地铁乘客提供了手机扫码、乘车后支付的地铁出行新模式，让市民公共交通跟上移动互联网的步伐；另一方面，公共交通大数据的应用有助于提升地铁交通运营的效率、安全水平和服务能力，为市民带来智慧的出行体验。“但实名制是否需要收集一些敏感的个人身份信息，还值得商榷。”张勋说。
她指出，我国《网络安全法》第41条规定，网络运营者收集个人信息，应当遵循必要原则。2017年年底，全国人大常委会执法检查组在《中华人民共和国网络安全法》和《全国人大常委会关于加强网络信息保护的决定》执行情况的报告中建议：“要认真研究用户实名制的范围和方式，坚决避免信息收集主体过多、实名登记事项过多的问题。完善实名信息收集方式，减少实名信息收集内容。”
因此，她建议“从网络运营者的角度，对个人信息的收集应当适当克制、审慎”。
