人脸信息收集规范的法律画像
人脸信息属于《中华人民共和国个人信息保护法》第二十八条规定的敏感个人信息，法条明确要求”只有在具有特定的目的和充分的必要性，并采取严格的保护措施的情形下，个人信息处理者方可处理敏感个人信息”。它归属于人格权法领域，保护的核心法益是自然人人格尊严与个人信息自决权。
收集方和信息主体的权利义务完全不对称。收集方掌握信息存储、使用的全部主动权，个人甚至很难知道自己的人脸信息被传到了哪里、会被用去做什么。所以立法从一开始就给收集方套了紧箍咒，不是想收就能收。
合法与违法的裁判边界
我见过两个几乎场景高度重合的案件，判决结果天差地别。
第一个，南方某老旧小区更换人脸识别门禁，物业提前30天在所有单元楼公告栏贴了纸质告知，明确写了收集的人脸信息只用于门禁通行，不会对外提供，存放周期和业主会籍期限一致，到期自动删除，愿意使用刷脸功能的业主签纸质同意书，不愿意的可以免费领门禁卡，完全不强制。最后有业主起诉物业侵权，法院驳回了全部诉讼请求。
第二个，市中心某商圈停车场改造，改成必须刷脸才能进场抬杆，不刷脸不让进，也没贴任何告知，进去了也没人问同不同意，最后有车主联合起诉，法院判停车场侵权，要求删除全部车主人脸信息，还要赔每人一千块精神损害抚慰金。
说实话，差别真的很小吗？不对，核心区别就一个：是否履行单独告知并取得信息主体的单独同意。就是这一步，太多人嫌麻烦省了，最后赔了钱还觉得冤。
不过话说回来，你连告诉人家你拿人脸干嘛都不说，凭什么随便拿人家的生物信息？对吧。
实证数据里的踩雷规律
根据最高院司法案例研究院公布的2022—2025年度全国人脸信息侵权案件统计数据，统计范围内的127份生效判决里，收集方败诉的案件占比78%，其中91%的败诉案件，败诉原因都是未取得单独同意，剩下的才是信息泄露、超期存储这类问题。
可见大部分企业的风险根本不是技术问题，就是程序问题。很多商家觉得，不就是个刷脸，方便大家不好吗？方便归方便，合规的程序不走，方便就是给你自己埋雷。
可落地的风控动作
上线人脸收集系统前，提前15个工作日委托第三方个人信息合规机构出具专项评估报告，报告加盖机构公章后，扫描存入加密云端档案，纸质版存档十年。
日常运行阶段，每个自然季度导出一次人脸信息系统的访问操作日志，由运维负责人签字后打印归档，一旦出现争议，能直接证明你日常尽到了管理义务。
收到信息主体提出的删除、更正人脸信息申请后，3个工作日内完成全链路删除操作，由技术负责人出具删除完成确认单，签字后存入对应档案，留存至信息应当删除的期限届满后三年。
本内容仅供法律信息参考，不构成委托关系，不构成对裁判结果的任何形式承诺。
