在8月的最後一天，一款名叫ZAO的AI換臉App刷屏了，你只需將照片上傳到這款App上，就可以和張柏芝、秦嵐等一眾明星換臉。很快就有律師尖銳地指出，這款App涉嫌違法。
值得特別注意的是，這個換臉協議暗藏殺機，對公民個人資訊安全構成了威脅。協議提出，“在您上傳及／或發佈用戶內容以前，您同意或者確保實際權利人同意授予ZAO及其關聯公司以及ZAO用戶全球範圍內完全免費、不可撤銷、永久、可轉授權和可再許可的權利”。雖然被媒體批評後，ZAO修改用戶協議，刪除了原有的上傳肖像權可被ZAO完全免費、不可撤銷、永久、可轉授權和可再許可的權利等描述，但依然保留“您同意對用戶內容進行網路資訊傳播的權利”。
儘管我們不知道這款換臉App的目的到底是遊戲，還是以遊戲為誘餌，釣取別人的個人資訊，但是我們知道，這一明顯違法的協議對我國依法保護公民個人資訊提出了新的挑戰。
首先，公民的生物資訊受法律保護。2012年《全國人民代表大會常務委員會關於加強網路資訊保護的決定》（以下簡稱《決定》）第一條規定，“國家保護能夠識別公民個人身份和涉及公民個人隱私的電子資訊”。從這一條來看，公民個人資訊不僅包括傳統意義上的姓名、住址、電話、工作單位、財産狀況等物理資訊，還包括個人的生物資訊。尤其是隨著資訊技術的發展，人臉識別、虹膜技術、指紋、DNA等一些個人生物資訊將更加廣泛地應用，完善相關法律，依法保護公民的生物資訊必須擺到更加突出的位置上來。
從企業的角度來講，根據我國相關法律，既然收集了用戶的個人資訊，企業就要承擔保護資訊的義務，而不是像ZAO換臉App協議中所説的，不但不保護，還有權對資訊轉授和再許可。
其次，企業濫用公民個人資訊要依法嚴懲。《決定》規定，“網路服務提供者和其他企業事業單位及其工作人員對在業務活動中收集的公民個人電子資訊必須嚴格保密，不得洩露、篡改、毀損，不得出售或者非法向他人提供”。同時，《中華人民共和國網路安全法》也規定，網路運營者不得違反法律、行政法規的規定和雙方的約定收集、使用個人資訊，並應當依照法律、行政法規的規定和與用戶的約定，處理其保存的個人資訊。
我國法律明確禁止企業濫用公民個人資訊，對ZAO換臉App利用違法協議濫用公民個人資訊的行為，有關部門應依法予以查處，不能讓企業的違法行為披上用戶“自願”的外衣大行其道。
最後，必須依法規範網際網路企業對公民個人資訊的收集。一些網際網路企業以提供服務為名，違法過度收集公民個人資訊早就不是什麼秘密了。
ZAO換臉App不但公開收集公民個人資訊，而且還在協議中提出“全球範圍內完全免費、不可撤銷、永久、可轉授權和可再許可”，這種明目張膽的違法行為令人震驚，同時，也對立法規範企業收集公民個人資訊，依法遏制企業過度收集公民個人資訊的衝動，提出了更加迫切的要求。
ZAO換臉App的意外走紅，從一個側面再次暴露出我國公民個人資訊保護的短板和難題，迫切需要立法者和執法者共同尋求符合網際網路發展規律的破解之道。
