在8月的最后一天，一款名叫ZAO的AI換臉App刷屏了，你只需將照片上傳到這款App上，就可以和張柏芝、秦嵐等一眾明星換臉。很快就有律師尖銳地指出，這款App涉嫌違法。

值得特別注意的是，這個換臉協議暗藏殺機，對公民個人信息安全構成了威脅。協議提出，“在您上傳及／或發布用戶內容以前，您同意或者確保實際權利人同意授予ZAO及其關聯公司以及ZAO用戶全球范圍內完全免費、不可撤銷、永久、可轉授權和可再許可的權利”。雖然被媒體批評后，ZAO修改用戶協議，刪除了原有的上傳肖像權可被ZAO完全免費、不可撤銷、永久、可轉授權和可再許可的權利等描述，但依然保留“您同意對用戶內容進行網絡信息傳播的權利”。

盡管我們不知道這款換臉App的目的到底是游戲，還是以游戲為誘餌，釣取別人的個人信息，但是我們知道，這一明顯違法的協議對我國依法保護公民個人信息提出了新的挑戰。

首先，公民的生物信息受法律保護。2012年《全國人民代表大會常務委員會關于加強網絡信息保護的決定》（以下簡稱《決定》）第一條規定，“國家保護能夠識別公民個人身份和涉及公民個人隱私的電子信息”。從這一條來看，公民個人信息不僅包括傳統意義上的姓名、住址、電話、工作單位、財產狀況等物理信息，還包括個人的生物信息。尤其是隨著信息技術的發展，人臉識別、虹膜技術、指紋、DNA等一些個人生物信息將更加廣泛地應用，完善相關法律，依法保護公民的生物信息必須擺到更加突出的位置上來。

從企業的角度來講，根據我國相關法律，既然收集了用戶的個人信息，企業就要承擔保護信息的義務，而不是像ZAO換臉App協議中所說的，不但不保護，還有權對信息轉授和再許可。

其次，企業濫用公民個人信息要依法嚴懲。《決定》規定，“網絡服務提供者和其他企業事業單位及其工作人員對在業務活動中收集的公民個人電子信息必須嚴格保密，不得泄露、篡改、毀損，不得出售或者非法向他人提供”。同時，《中華人民共和國網絡安全法》也規定，網絡運營者不得違反法律、行政法規的規定和雙方的約定收集、使用個人信息，并應當依照法律、行政法規的規定和與用戶的約定，處理其保存的個人信息。

我國法律明確禁止企業濫用公民個人信息，對ZAO換臉App利用違法協議濫用公民個人信息的行為，有關部門應依法予以查處，不能讓企業的違法行為披上用戶“自愿”的外衣大行其道。

最后，必須依法規范互聯網企業對公民個人信息的收集。一些互聯網企業以提供服務為名，違法過度收集公民個人信息早就不是什么秘密了。

ZAO換臉App不但公開收集公民個人信息，而且還在協議中提出“全球范圍內完全免費、不可撤銷、永久、可轉授權和可再許可”，這種明目張膽的違法行為令人震驚，同時，也對立法規范企業收集公民個人信息，依法遏制企業過度收集公民個人信息的沖動，提出了更加迫切的要求。

ZAO換臉App的意外走紅，從一個側面再次暴露出我國公民個人信息保護的短板和難題，迫切需要立法者和執法者共同尋求符合互聯網發展規律的破解之道。