前阵子去商场，导购小姐热情地让我办会员，说刷脸就能积分。我愣了一下——我的脸，什么时候变成会员卡了？
说实话，当时我有点懵。回家查了查，才发现这事没那么简单。人脸信息，在法律上有个专门的称呼，叫“生物识别信息”。它跟你的密码、身份证号不一样——密码能改，脸能改吗？整容？那也得先经过系统重新录入吧。
法律怎么管这张“脸”的？
很多人以为，人脸信息收集规范就是“你情我愿”的事。错。法律上，人脸信息属于敏感个人信息，处理起来有严格的规矩。2021年《个人信息保护法》第二十六条讲得很明白：在公共场所安装图像采集、个人身份识别设备，应当为维护公共安全所必需，遵守国家有关规定，并设置显著的提示标识。什么意思？翻译成大白话：人脸不是想刷就能刷的。
什么叫“为维护公共安全所必需”？举个例子，小区门禁刷脸，为了安全，可以。但是商场刷脸做会员积分——这算公共安全吗？算吗？不算吧。这是典型的商业用途，得单独取得你的同意，而且得是自愿、明确、充分知情的同意。不是那种“你不刷就别想进”的变相强迫。
还有一条容易被忽略：即使你同意了，处理人脸信息的单位也有保密义务。他们不能把数据卖给第三方，不能随意泄露。否则就是违法。去年就有家地产公司因为刷脸抓拍客户，没告知也没同意，被罚了款。你看，真罚。
两个最常见的误解，你中招了吗？
误解一：只要没有直接说“采集人脸”，就不算侵权。哈，天真。法律看的是实质，不是形式。有些App打着“美颜”“年龄检测”的旗号，悄悄上传你的脸部特征点。后台只要做了身份识别，那就是收集人脸信息。哪怕它只是提取了你的面部特征数据，没有直接存照片，也违法。
误解二：我同意了，就万事大吉。同意是重要，但法律还规定了“最小必要原则”。什么意思？就好比你去饭店吃饭，点个菜，结果服务员非要把你体重、血压都测了才给上菜。你虽然同意了，但这不是必要的。收集人脸信息也要看是不是真的“必要”——办个会员而已，需要你的人脸吗？不需要吧。所以，就算你点了“同意”，如果对方收集的范围超出必要，那同意也可能无效。
遇到乱刷脸的，普通人怎么办？
别慌，也别忍。三步走，成本低，效果还行。
第一步，当面问清楚。“为什么要刷脸？不刷行不行？数据存哪？怎么删？”这些问题，法律没有规定对方必须当场回答，但你可以通过录音录像留个证据。他要是支支吾吾，大概率心里有鬼。
第二步，向监管部门举报。记住两个电话：12315（市场监管）和12345（政务服务热线）。就说“某商场非法采集人脸信息，没有提示标识，也没有单独同意”。这些部门接到举报后会去查。别怕麻烦，举报不需要你出庭，匿名也行。
第三步，要求删除，不行就起诉。民法典第一千零三十五条说了，处理个人信息应当遵循合法、正当、必要原则。你要是发现自己被人脸识别了，可以书面要求对方删除。对方拒绝的话，你可以告他。别担心诉讼费，这种案件一般也就几十块。而且，一旦真起诉，还胜诉了，对方不仅要删，还得赔偿——当然，我不会跟你说“包赢”这种话，但至少你有这个权利。
写在最后
人脸信息收集规范听着玄乎，其实就一句话：你的脸，不经过你点头，谁都不能乱碰。这种碰，指的不仅是拍照，还包括背后的数据处理。我见过太多人觉得“算了，小事”，可哪天你的脸被拿去贷款、注册公司，你就知道什么叫大事了。
所以，下次再遇到刷脸，别不好意思。问一句“为什么”，不是矫情，是法律给你的底气。
（本文仅代表作者观点，不作为正式法律意见，具体案件请咨询专业律师。）
