法律属性的精准界定
人脸信息属于生物识别信息，归为《中华人民共和国个人信息保护法》第二十八条规定的敏感个人信息，核心保护法益是自然人人格权项下的个人信息自决权。
该条文明确规定，只有在具有特定的目的和充分的必要性，并采取严格保护措施的情形下，个人信息处理者方可处理敏感个人信息。相较于一般个人信息，人脸信息收集过程中，收集方和被收集方的权利义务明显不对称——你刷脸进门，根本不知道你的脸存在哪、会不会被流转、会不会被用于其他用途，所以法律把绝大多数义务都压在了收集一方身上。
说实话，很多机构掉坑，都是从根本没搞清这个义务分配开始的。
合法与违法的场景边界
我接触过两个同场景的案子，裁判结果完全不同。
第一个，某商业写字楼装人脸考勤，物业提前两周给所有入驻企业发了单独告知，列明了收集目的、存储期限、使用范围，给每个员工签了独立同意书，不同意人脸考勤的还保留了打卡签到选项，最后员工起诉，法院驳回了原告诉求。
第二个，同样是写字楼装人脸考勤，物业装完才发通知，说不刷脸就不让进楼，也没说明信息存储和使用规则，法院直接判物业构成侵权，要求删除全部人脸信息，还判决向原告支付精神损害抚慰金。
两个案子结果天差地别，核心的唯一区分变量就是是否履行单独告知并取得个人明示同意，半点含糊都没有。
司法裁判的实证观察
根据北京市西城区人民法院2022—2024年度发布的《人脸信息纠纷审判白皮书》统计，该区间内生效判决中，收集信息的机构一方败诉的案件占比超过86%。其中，超过八成的败诉原因，就是没有取得符合法律要求的明示同意，剩下不到两成，是超期限存储、超目的使用人脸信息。
你看，法院对规则的把握其实非常统一，根本不存在什么模糊空间。很多人抱着法不责众的心态，觉得大家都这么干我也这么干，真出事了才后悔，晚了。
可落地的风控动作
开始收集人脸信息之前，单独印制一页仅有人脸信息收集内容的告知同意书，由被收集人手写签名确认后，同步扫描存入加密云端和本地硬盘双备份，留存期限不短于业务终止后三年。
在日常运行过程中，每满一个自然季度，安排专人对已存储的人脸信息做一次全量梳理，已经终止业务关系的主体信息，全部导出后做彻底物理删除，删除过程全程录屏，存入风控档案留存。
如果接到被收集人提出的删除申请，要在三个工作日内完成全部删除操作，把删除确认的截图加盖公章后，邮寄给申请人并留存邮寄存根和截图复印件。
本内容仅供法律信息参考，不构成委托关系，不构成对裁判结果的任何形式承诺。
