人脸信息收集规范的法律定位
人脸信息属于《中华人民共和国个人信息保护法》第二十八条规定的敏感个人信息，该条明确要求“只有在具有特定的目的和充分的必要性，并采取严格保护措施的情形下，个人信息处理者方可处理敏感个人信息”。它归属于民商法下的人格权保护范畴，保护的核心法益是自然人人格利益中的个人信息自决权——说白了就是你自己的脸，你说了算，收集不收集、用在哪、什么时候删，都得你点头。
权利义务天生不对称，收集方大多是企业或机构，掌握技术和存储优势，一旦出纠纷，举证责任全在收集方。你拿不出证据证明你合法，那就是侵权。说实话，这点绝大多数收集者都没搞清楚。
合法与违法的核心分野
我接触过两个同类型案例，判出来结果差得离谱。同一个城市的两家小区物业，一个全没事，一个赔了钱还要公开道歉。
第一个小区装人脸识别门禁，提前一个月贴公告，门口放了单独的告知单，写清楚人脸信息只用来开门，存储180天，物业员工离职就立刻删除权限，不愿意刷脸的业主可以免费办实体门禁卡，最后自愿录入的业主都签了单独的同意书。后来有业主起诉，法院直接驳回了诉请。
另一个小区，直接把人脸门禁装在主入口，不录脸就进不了家，还把收集到的人脸信息同步给了门口合作的超市，用来统计客流和会员到访频率，最后法院判物业给每个原告赔了两千元精神损害抚慰金，要求立刻删除全部人脸信息。
本案中唯一的关键区分变量就是是否超出收集时明确告知的使用范围，同时有没有给信息主体拒绝的选择权。太多机构觉得装人脸方便，就逼着所有人录，完全忘了法律给的边界在哪。
裁判数据背后的共性规律
根据最高人民法院司法案例研究院发布的2020—2024年度涉个人信息侵权司法大数据报告，这五年间公开的1147份涉人脸信息收集的生效判决中，收集方败诉率超过76%。
其中超过六成的败诉原因，都是收集者把人脸信息收集的同意条款，藏在了几十页服务合同的末尾小字里，和其他一堆乱七八糟的条款绑在一起，普通人根本看不到，也没法单独选择同意或者不同意。法院对这种“捆绑同意”，一概不认。
不过话说回来，不是只有超范围收集才会出事。哪怕你一开始收集合法，存的时间太久超过必要期限，也会翻船。之前有个商业写字楼，公司换了三批，十年前录入的所有访客人脸信息还存在服务器里，最后被原访客起诉，还是判了侵权。
启动人脸收集前，单独印制一页不小于五号字的告知文件，把收集目的、使用范围、保存期限写得明明白白，给每个信息主体单独签字，签字后的纸质文件存入带锁文件柜，扫描件上传加密云盘留存，保存期限不少于约定删除期限后三年。
运行过程中，每满六个月，做一次全量人脸信息盘点，找出所有超过保存期限的信息，在独立操作环境下做不可逆删除，整个操作过程用屏幕录屏完整记录，录屏文件存入离线移动硬盘，至少保留三年。
收到信息主体的删除申请后，三个工作日内完成全部删除操作，把删除操作的录屏截图，用中国邮政挂号信寄出，留存挂号信底根，不要只发个微信就完事。
本内容仅供法律信息参考，不构成委托关系，不构成对裁判结果的任何形式承诺。