在8月的最后一天，一款名叫ZAO的AI换脸App刷屏了，你只需将照片上传到这款App上，就可以和张柏芝、秦岚等一众明星换脸。很快就有律师尖锐地指出，这款App涉嫌违法。

　　值得特别注意的是，这个换脸协议暗藏杀机，对公民个人信息安全构成了威胁。协议提出，“在您上传及/或发布用户内容以前，您同意或者确保实际权利人同意授予ZAO及其关联公司以及ZAO用户全球范围内完全免费、不可撤销、永久、可转授权和可再许可的权利”。虽然被媒体批评后，ZAO修改用户协议，删除了原有的上传肖像权可被ZAO完全免费、不可撤销、永久、可转授权和可再许可的权利等描述，但依然保留“您同意对用户内容进行网络信息传播的权利”。

　　尽管我们不知道这款换脸App的目的到底是游戏，还是以游戏为诱饵，钓取别人的个人信息，但是我们知道，这一明显违法的协议对我国依法保护公民个人信息提出了新的挑战。

　　首先，公民的生物信息受法律保护。2012年《全国人民代表大会常务委员会关于加强网络信息保护的决定》(以下简称《决定》)第一条规定，“国家保护能够识别公民个人身份和涉及公民个人隐私的电子信息”。从这一条来看，公民个人信息不仅包括传统意义上的姓名、住址、电话、工作单位、财产状况等物理信息，还包括个人的生物信息。尤其是随着信息技术的发展，人脸识别、虹膜技术、指纹、DNA等一些个人生物信息将更加广泛地应用，完善相关法律，依法保护公民的生物信息必须摆到更加突出的位置上来。

　　从企业的角度来讲，根据我国相关法律，既然收集了用户的个人信息，企业就要承担保护信息的义务，而不是像ZAO换脸App协议中所说的，不但不保护，还有权对信息转授和再许可。

　　其次，企业滥用公民个人信息要依法严惩。《决定》规定，“网络服务提供者和其他企业事业单位及其工作人员对在业务活动中收集的公民个人电子信息必须严格保密，不得泄露、篡改、毁损，不得出售或者非法向他人提供”。同时，《中华人民共和国网络安全法》也规定，网络运营者不得违反法律、行政法规的规定和双方的约定收集、使用个人信息，并应当依照法律、行政法规的规定和与用户的约定，处理其保存的个人信息。

　　我国法律明确禁止企业滥用公民个人信息，对ZAO换脸App利用违法协议滥用公民个人信息的行为，有关部门应依法予以查处，不能让企业的违法行为披上用户“自愿”的外衣大行其道。

　　最后，必须依法规范互联网企业对公民个人信息的收集。一些互联网企业以提供服务为名，违法过度收集公民个人信息早就不是什么秘密了。

　　ZAO换脸App不但公开收集公民个人信息，而且还在协议中提出“全球范围内完全免费、不可撤销、永久、可转授权和可再许可”，这种明目张胆的违法行为令人震惊，同时，也对立法规范企业收集公民个人信息，依法遏制企业过度收集公民个人信息的冲动，提出了更加迫切的要求。

　　ZAO换脸App的意外走红，从一个侧面再次暴露出我国公民个人信息保护的短板和难题，迫切需要立法者和执法者共同寻求符合互联网发展规律的破解之道。