人脸信息收集规范的法律画像
说实话，现在走到哪都有人脸识别，小区进门要刷，商场会员注册要录，就连进写字楼上班都得扫。方便是真方便，但踩了法律雷区的，也不在少数。
从部门法归属看，人脸信息收集规范归属于《中华人民共和国个人信息保护法》调整范畴，该法第二十八条明确将人脸信息界定为敏感个人信息，保护的核心法益是自然人人格尊严，以及附着在人格利益之上的人身、财产安全。相较于普通个人信息，人脸信息收集过程中，收集方与信息主体的权利义务天然不对称——收集方掌握数据存储、使用的全部主动权，信息主体往往只有“同意”或者“不让用服务”两个选项，法律也因此给收集方施加了更严苛的义务。《中华人民共和国个人信息保护法》第六条明确规定：收集个人信息，应当限于实现处理目的的最小范围，不得过度收集个人信息。
合法与违法的裁判实证观察
2022—2024年度，最高人民法院司法案例研究院公开的涉人脸信息收集纠纷统计显示，该区间内79%的生效判决中，收集方因违规收集被判承担责任。我随手翻了两个同场景的判决，结果差异特别大。
第一个是某小区物业，为了提升通行效率装了人脸识别门禁，提前三个月在小区公告栏贴了告知书，说明只用于门禁通行，存储期限不超过业主在本小区居住期间，同时保留了刷门禁卡、登记放行的备选通行方式，有业主起诉要求确认收集行为违法，法院驳回了起诉。第二个是同省另一个小区，物业直接关掉了原有的刷卡通道，不录人脸就不让进，还把收集到的人脸数据同步给了小区周边的商铺发广告，法院直接判物业停止收集，删除所有数据，还给原告赔了精神损害抚慰金。
两个案子场景几乎一样，结果天差地别，核心原因只有一个：是否保障信息主体的选择权与同意的真实性。第一个案子里，物业给了业主选择权，你愿意刷脸就刷，不愿意就走别的通道，完全符合最小必要原则，也满足了知情同意的要求。第二个案子，等于变相胁迫业主同意，还超范围使用数据，当然违法。
可落地的三阶风控动作
不过话说回来，大部分收集方都不是故意违法，只是不知道哪里踩线了，给三个实打实的动作，照着做就能避开绝大多数风险。
收集启动前，提前7个工作日，把收集人脸信息的用途、存储期限、删除方式、第三方共享范围整理成字体不小于五号的纸质告知文件，贴在收集场景入口最显眼的位置，拍一张带日期水印的现场照片存入业务档案，留存到收集停止后至少3年。
日常运营过程中，每满12个月，对所有存储的人脸信息做一次全量梳理，给每个信息主体发一次确认短信，询问是否仍同意继续存储你的人脸信息，把所有回复截图存入系统档案，超过30天没有得到明确同意回复的，直接删除对应人脸数据。
收到信息主体的删除申请后，3个工作日内完成所有存储平台的数据删除操作，删完给申请人发一份加盖公章的书面删除确认函，留存好申请人的签收凭证，不管是电子签收还是纸质签收都可以。
本内容仅供法律信息参考，不构成委托关系，不构成对裁判结果的任何形式承诺。
