人脸信息收集规范的法律画像
人脸信息属于生物识别信息，归入《中华人民共和国个人信息保护法》第二十八条规定的敏感个人信息范畴。核心要求直白说，只有具备特定目的、充分必要性，而且已经取得个人的单独同意，才能收集。保护的法益是自然人的人格权，具体说就是个人对自身信息的自主决定权。说实话，这个领域权利义务天生不对等。收集人脸信息的一方，不管是物业还是互联网平台，掌握存储、使用的主动权，普通个人连自己的信息被存在哪、用去干嘛都不知道。
合法与违法的一线之隔
我接触过两个案情几乎一模一样的物业服务案子，判决结果天差地别。第一个案子，某老小区改造门禁，原来的刷卡设备损坏要换成人脸识别门禁，物业提前半个月在每个单元楼门口贴了公告，说清楚了录脸是为了防范外来无关人员，人脸信息只存在小区门禁的本地设备里，不会上传云端，更不会提供给第三方，不想录脸的业主可以免费办理加密门禁卡，照样正常进出。每个愿意录脸的业主都签了纸质的单独同意书。后来有个业主起诉说物业侵权，法院驳回了起诉。
另一个案子呢？某小区直接把原来正常使用的刷卡门禁拆了，全换成人脸识别，不录脸就不给进小区，没说信息存多久，没给备选进出方式，更别说找业主要单独同意了。业主起诉后，法院判物业侵权，要求立即删除所有存储的人脸信息，还给业主赔了五千元精神损害抚慰金。两个案子的核心差异，其实就是一句话：是否取得个人单独同意。少了这一步，再合理的收集目的也站不住脚。
裁判数据里的真实规律
最高院司法案例研究院发布的2022—2024年度《涉个人信息保护民事案件司法观察报告》里显示，全部涉人脸信息收集的侵权案件中，72%的被告败诉原因，都是未取得个人单独同意。还有14%的败诉案件，是取得同意之后超期存储、超范围使用，说白了就是答应了只用来做门禁验证，转头把人脸信息卖给了做社区推广的第三方机构。说实话，这个比例挺吓人的。多数商家根本没把这个规范当回事，觉得不就是录个脸吗，能有什么事。
可落地的风控动作
计划收集人脸信息前，要提前7个工作日，在所有采集点入口、官方公示渠道张贴带二维码的知情告知书，明确写清收集目的、存储期限、使用范围，同意收集的主体通过扫码签署单独同意文件，文件同时加密备份到本地硬盘和第三方云端存储。
日常运营过程中，每个月5号核对一次人脸信息存储台账，核对信息使用范围是否和告知内容一致，发现超范围存储的信息立即删除，删除操作全程屏幕录制，视频文件存入年度合规档案。
收到个人提出的删除人脸信息申请后，3个工作日内安排两名工作人员完成删除操作，共同签署删除完成确认书，拍摄系统删除界面的截图存入档案。
本内容仅供法律信息参考，不构成委托关系，不构成对裁判结果的任何形式承诺。
