■本报记者 武晓莉
　　刘德华领着一帮兄弟走过来。别急，这华仔怎么看着像胖胖？
　　王祖贤衣袂飘飘，回首时满含幽怨。嗯？这个脸好像是李薇。
　　……
　　这几天，一个叫作ZAO的换脸APP刷爆了朋友圈。通过这款免费软件，你可以把影视剧、综艺节目片段中任何明星的脸一键换成自己的。换后的视频脸部表情自然、效果逼真。
　　由于该软件的用户协议严重侵犯用户权益，被媒体和用户一通口诛笔伐，仅仅3天就被停止了微信分享。在专家看来，用户用ZAO玩一次换脸尝鲜，可能就已经埋下了很大的个人信息安全隐患。
上线三天就被封
　　正如ZAO的宣传口号所说的“仅需一张照片，出演天下好戏”，用户上传自拍，就可以把经典影视剧主角的脸换成自己的脸。你可以纵横江湖、你可以含情脉脉，你还可以和自己的爱豆合演剧中桥段。
　　一位女性用户上传自己和李现演情侣的视频后，直呼“圆梦了、圆梦了。”
　　作为一款利用AI技术进行换脸的APP，ZAO正是抓住了普通人的这些星梦情结，才能从正式上线到走红网络，登上各大APP应用商店的排行榜首页，只用了不到一天的时间。
　　但也仅仅一天时间，随着该软件的走红，质疑声也随之出现并形成排山倒海之势。因为明眼人发现，这款软件用起来非常“傻瓜”，只需要上传照片或者验证人脸，就能在模板里天衣无缝地将各种经典角色换成自己，实在是很过瘾。但其背后的用户协议却隐藏着容易被忽略的严重侵权条款。
　　9月1日，记者发现ZAO的微信分享链接已停止访问，页面显示“网页存在安全风险，被多人投诉，为维护绿色上网环境，已停止访问”。但依然可以换脸之后，自己上传视频到朋友圈。
　　也有用户对此不以为然，有人说：“美图秀秀哪个女生没用过？反正都有那么多照片在数据库里了，ZAO一下又有什么关系？”
用户协议藏“雷”
　　ZAO遭人诟病的主要原因，是其用户协议藏着“雷”。
　　根据协议，如果你玩了换脸，就意味着你免费将个人照片的肖像权授予了ZAO。即同意授予ZAO及其关联公司以及ZAO用户在全球范围内完全免费、不可撤销、永久、可转授权和可再许可的权利，包括但不限于：人脸照片、图片、视频资料等肖像资料中所含的肖像权利人的肖像权，以及利用技术对肖像权利人的肖像进行形式的改动。简单说，就是拥有你的肖像权以及可以对用户内容进行全部或部分修改与编辑（如将短视频中的人脸或者声音换成另一个人的人脸或者声音等）。
　　根据协议，用户要授予ZAO“对修改前后的用户内容进行信息网络传播以及《著作权法》规定的由著作权人享有的全部著作财产权利及邻接权利”。
　　在用户协议中还显示，ZAO将根据用户的浏览及搜索记录、设备信息、位置信息、交易信息，提取用户的浏览、搜索、偏好、行为习惯、位置信息等特征，基于特征标签进行间接人群画像并展示、推送信息。“包括电话号码、电子邮件、银行卡号或支付宝账号，都是用户提供并相应授权的个人信息。”一位业内人士说，“一家公司拥有包括支付宝在内的个人信息和面部特征，倘若泄漏或挪作他用，其危害程度可想而知。”
　　ZAO究竟侵犯了用户哪些权益？网经社电子商务研究中心特约研究员、浙江泰杭律师事务所主任汪政认为有三条：一是用户无法直接删除自行体验并上传的图片，只能根据平台要求上传新的脸部照片用于替代，从而达到删除旧照片的效果；二是用户无法通过自行操作注销自己的ID；三是用户协议存在霸王条款，严重损害用户合法权益，且其用户协议违反国家标准《个人信息安全规范》。
ZAO的风险在哪里
　　这中间究竟藏着多大的隐患呢？要玩“换脸”，首先要用手机号动态验证码进行验证登录，如果想要下载或分享，还需要通过在摄像头前做眨眼、扭头、张嘴等动作，验证所使用的照片的确是用户本人。这个验证的方式是不是很熟悉？没错，支付宝等人脸识别都是这样的。“这个过程中，可能存在核心个人信息泄露的风险。”中国政法大学传播法研究中心副主任朱巍指出，“‘换脸’技术包括在搜集过程中左脸右脸转动、眨眼，本质是搜集了你的面部识别信息，而这是一个用户最核心的个人信息。如果落到坏人的手里面，个人信息一旦被比对之后，就有可能涉及到财产安全和人身安全的问题。”
　　ZAO的“隐私协议”第四条以“为确保用户身份真实性、向您提供更好的安全保障”为由，向用户索要包括身份证、军官证、护照、驾驶证、社保卡、居住证等身份信息及面部特征等生物识别信息、芝麻信用等个人敏感信息。“在这个信息时代里，一旦让别有用心的人拿到了上述这么一大串的真实信息，别说什么给你撸上一身上百万元的网贷了，在你本人不参与的前提下，给你把婚结了、孩子生了都只是小意思。”公号化缘的小柴这样写道。
　　尽管有支付机构出来澄清说“换的脸刷不了”，但在专家看来，这很难说。“这个可以类比身份证。”DCCI互联网研究院院长刘兴亮认为，“银行大额转账时，怎样通过APP确定你的身份呢？就是让你摇头、点头、眨眼，所以ZAO的这个验证是最危险的。”
　　刘兴亮认为，人脸识别未来会更多地运用身份信息进行绑定。比方说无人超市，之所以能实现购物行为，就是因为你的人脸信息、身份信息跟支付信息都绑定了。
　　此外，专家指出，由于已经让出了肖像权，因此对于公众人物或明星而言，ZAO若利用他们的头像照片做代言或营销等商业行为，似乎也是合理的。
ZAO之前多个心眼
　　在个人信息频频遭泄露的今天，APP收集、滥用个人信息是主要原因。网经社电子商务研究中心特约研究员、浙江垦丁律师事务所律师麻策说：“我国《网络安全法》规定，收集、使用个人信息时应当公开收集、使用规则并经被收集者同意。”
　　“谁会认真看用户协议？再说也看不懂。”天津用户庞磊对记者说，“没想到危险性，以后不玩了。”
　　麻策认为，朋友圈经常出现的上传照片生成匹配画像的模式，很多都只是让用户直接上传照片，却没有向这些用户事先说明收集照片的合法性以及上传照片后的用途。该类工具甚至会直接调用用户微信昵称、姓名、头像等内容，从而生成比对照片。这些海量照片会成为图片库，以做进一步的数据画像。这些不事先公开收集规则并获得用户同意的营销方式，其实是严重违反个人信息保护的相关规定的，也无法保护用户日后对于该类照片信息的删除、撤回等权利，建议相关部门加以严厉查处。
　　麻策提醒广大网络服务提供者和其他企业事业单位，在业务活动中收集、使用公民个人电子信息，应当遵循合法、正当、必要的原则，明示收集、使用信息的目的、方式和范围，并经被收集者同意，不得违反法律、法规的规定和双方的约定收集、使用信息。网络服务提供者和其他企业事业单位收集、使用公民个人电子信息，应当公开其收集、使用规则。