这段时间，618从高潮进入尾声，大家一边“薅羊毛”一边“剁手”，清空购物车，助力快递小哥。实际上，“剁手”不仅会发生在电商大促期间，现在可能真的要时刻保护自己的手了，因为“刷掌支付”来了。

此前，腾讯宣布推出微信“刷掌”支付，在北京轨道交通大兴机场线，刷掌乘车已经实现了。根据腾讯的说法，刷掌支付未来会普及，会在很多场景上使用，比如与交通卡、会员卡、校园卡、门禁卡等绑定，刷掌验证身份就能进行支付、入门、签到等，目前正在逐步邀请商家联合打造更多刷掌的应用场景。对于刷掌支付，有网友调侃说“我挥一挥手掌，钱就刷走了”“出门在外必须握紧拳头”。

迈向“刷掌”的尝试

早在2015年，就有银行尝试应用刷掌支付。公开信息显示，2015年6月，原四川攀枝花市商业银行推出全国首台掌静脉识别银行自助机，操作上，用户可在该行的自助机上选择“掌静脉”，输入手机号，一秒钟扫描出手掌静脉，输入密码后即可办理存款、取款等业务。2018年，日本信用卡公司JCB开发过一项刷手支付技术，2020年9月，亚马逊发布手掌掌纹识别技术Amazon One。在国内，汉王科技、远方信息等公司也在进行刷掌服务相关的布局。

那么，为什么在那个时候刷掌支付没有得到进一步推广呢？可能主要有两个原因。一是应用场景的局限。刷掌支付首次出现是在2015年，而那个时候二维码支付正席卷全国，同时刷脸支付也正如火如荼发展，刷掌支付的应用场景没有二维码普及，也没有刷脸便捷，用户更无法靠移动设备上传自己的掌纹信息。二是设备成本的问题。刷掌支付需要一套全新的设备，相较几乎无设备更换成本的二维码支付，其并不具有优势，而且还需要商家增加额外的数据搜集设备，因此得到商家的支持并不容易。

另外，刷掌可能会面临和刷脸一样的问题，所带来的生物信息识别风险不可小觑。有不少报道表示，在刷掌支付时，设备读取的是手掌中皮下的血管纹路，和指纹的表皮纹路识别相比，更安全，比刷脸支付更难以伪造，而且支付过程无接触，更加卫生。

生物信息作为识别的一种方式，虽然非常方便，但弊端也是显而易见的，主要在于其是唯一的、不可篡改的、裸露在外的，如果被盗，生物信息的主人没有任何退路，不可能换脸、换眼睛、换手掌。在安全与便捷之间，安全显得更为重要。至少，用最原始的密码，一旦被盗，还有挽回的余地。

生物识别信息商用还需谨慎

根据官方的说法，“刷掌”这样的识别技术比指纹支付、刷脸支付先进了一点，来得更安全一些，但其实盗取生物信息的技术也在进步。此前，公安部门发布过几起由AI变脸、变声引发的诈骗案件，因为变脸、变声效果非常逼真，在短短的时间内，受害者就损失了几百万元，技术的发展程度不可估量。如果自己的手掌信息被盗取，恐怕“剁手”也来不及了。

我国《个人信息保护法》明确规定，生物识别信息属于敏感个人信息，个人信息处理者只有在具有特定目的和充分的必要性，并采取严格保护措施的情形下，方可处理敏感个人信息。而掌纹信息作为生物识别信息的一种，属于用户敏感个人信息，因此掌纹信息并不能游离于个人信息保护之外。

而且，生物识别信息可以单独识别特定个人身份，这相较于购物信息、家庭住址等，敏感性更强，这对数据存储提出了更高的安全要求，世界上不乏生物信息数据库被泄露的案例，比如印度政府构建的居民生物身份数据库Aadhaar，就曾经因为泄露丑闻深陷质疑。

因此，生物识别的商业应用需要更加谨慎，应当遵循“最小必要”原则。最小是数据获取的范围，必要是数据的性质，实际上这个原则的本质是对企业提出了一个要求，即企业获取利润的渠道应当来自数据处理和进一步的连带服务，来自对数据价值的挖掘以及通过优化消费者体验而增加的消费，而不是来自对用户信息的过渡攫取或者是数据贩卖。

然而，出于利益的驱动，在监管不够完备的情况下，企业会更加倾向于短期利益，因此，将生物识别技术应用于商业领域时需要更加谨慎，以防止由此可能带来的个人信息泄露和财产损害问题。

“刷掌支付”如何成为现实？

去年，亚马逊宣布将向65家新的商店推广掌纹识别系统Amazon One，这是迄今为止规模最大的一次推广。Amazon One官网显示，目前美国境内已有70家门店支持这项服务，包括公司旗下的无人商店Amazon Go、连锁超市全食超市（Whole Foods）以及第三方商户星巴克等。除全食超市等外，2021 年，该公司还宣布与数字票务公司 AXS 合作，使用 Amazon One 作为活动参与者的验票设备。

Amazon One是亚马逊公司推出的掌纹识别系统，旨在基于手掌扫描，为用户提供一系列非接触式的支付、输入或识别身份服务。顾客可以在亚马逊指定的销售网点或服务终端进行Amazon One服务的注册，需提供支付方式（储蓄卡、信用卡等）、手机号码和手掌的照片等信息。

通过扫描用户手掌的特征信息（包括表面细节，如掌纹；以及皮下特征，如静脉），Amazon One的专用设备会创建可识别的“手掌签名（palm signature）”。完成注册后，这些特殊的用户“签名”会被保存在云端。服务器对这些数据的保存是长期的，除非用户主动删除，或在两年内不使用刷掌支付的服务。顾客在相应门店中结账时，只需要将手掌悬停在识别设备上扫描，就可以完成支付。

三位美国参议院议员曾在给亚马逊首席执行官的公开信中表达了对用户信息安全的强烈担忧。他们指出，掌纹是和面部特征一样的生物识别信息，不能像账户、密码等信息一样被随意改变，和用户个人是唯一对应的，如果泄漏很可能影响到用户；其次，Amazon One将这些数据长期存储在云端，意味着生物特征信息会被提供给不同地点的设备，有更大的泄漏风险。正如亚马逊推广“刷掌”支付遭到质疑，对于我国用户而言，使用掌纹、掌静脉这类生物信息识别支付服务的担忧仍是数据安全问题。

观韬中茂律师事务所合伙人、律师吴丹君认为，个人生物识别信息可以单独或与其他信息结合以识别用户个人的身份。虽然掌纹、掌静脉信息相对于脸部特征信息更不容易被采集，但仍然存在被泄露、伪造或滥用的风险。而除保障储存掌纹的数据库不遭受黑客攻击及其他数据泄露外，如何防止掌纹支付服务提供者超出个人同意的范围和权限应用其掌握的大型生物识别信息数据库，也是“刷掌”支付值得注意的安全问题。

目前，我国尚未专门针对掌纹和掌静脉信息的管理规范。然而，根据国家标准《信息安全技术个人信息安全规范》，掌纹、掌静脉信息是个人生物识别信息，正属于敏感信息的范畴。此外，全国信息技术标准化技术委员会生物特征识别分技术委员会官方公众号发布消息称，掌纹、掌静脉通用规范正在制定中。

吴丹君则认为，掌纹、掌静脉识别支付服务提供商的责任贯穿支付服务提供的全流程。首先，需要评估提供该服务对于个人信息主体权益的侵害风险，并采取相匹配的安全措施。其次，支付服务提供者需严格遵守《个人信息保护法》等法律规范要求，比如在收集掌纹或掌静脉信息前落实获取个人信息主体单独同意的要求；在存储时，将掌纹、掌静脉信息与个人身份信息分开存储，且原则上只存储摘要信息，及时删除可提取掌纹、掌静脉信息的原始图像。再次，服务提供者还需考虑如何应对用户退出服务，当用户不再同意使用掌纹或掌静脉信息时，其有权要求删除相应信息。最后，应制定应急预案，在发生安全事件时，及时采取应对措施降低损失，并依法通知个人信息主体和有关监管部门。

随着亚马逊和国内微信刷掌支付方案的推广提上日程，相信掌纹识别技术的普及应用也会呈现后发动力，很快会被公众熟悉。