人脸信息收集规范的法律画像
人脸信息属于典型的敏感个人信息，归入《中华人民共和国个人信息保护法》的规制范围。该法第二十八条明确规定：敏感个人信息是指一旦泄露或者非法使用，容易导致自然人的人格尊严受到侵害或者人身、财产安全受到危害的个人信息，包括生物识别、宗教信仰、特定身份等信息。
它保护的核心法益，是自然人人格权项下的个人信息自决权——也就是你自己决定你的脸能不能被别人收集、用来干嘛的权利。权利义务天生不对等，收集人脸信息的一方往往掌握技术和存储优势，普通个人既没办法监控数据流向，也很难轻易撤回同意。说白了，个人从一开始就是弱势方。
合法与违法的一线之隔
先讲两个生效判决。
2022年杭州某住宅小区物业，为了提升门禁效率上线刷脸系统，同时原有的门禁卡、密码进门方式完全保留，物业在所有单元楼门口贴了半个月的公示，明确写了收集的人脸信息只用来做门禁识别，保存期限不超过业主的房屋居住期限，还给每个业主发了单独的同意书，只有主动签字同意的才录入信息。后来有业主起诉到法院，说物业违规收集，法院驳回了起诉。
另一个，2023年广州某商场，为了统计客流，直接把闸机改成必须刷脸才能进，不刷不让进，全程没贴告知，也没问过任何人同意。几个消费者起诉后，法院直接判商场侵权，赔了每人三千块精神损害抚慰金，要求立刻删除所有收集的人脸信息。
差就差这么一步。两个案子结果天差地别，核心的唯一区分变量就是是否取得个人的单独同意并明确告知收集的全部用途。很多商家觉得，不就是收集个脸，我又不卖数据，至于吗？真至于。立法原意就是把完整的选择权还给个人，半点儿含糊都不行。
近五年裁判数据的实证观察
根据最高人民法院司法案例研究院发布的2020—2024年度个人信息侵权案件报告，全国公开可查的人脸信息收集相关侵权案件一共1147件，其中82%的案件中，收集方因为没有满足单独同意的要求被认定侵权。只有12%的案件，收集方被认定完全合法。
不过话说回来，也不是所有收集都是为了干坏事。很多商家只是没搞懂规则，觉得走个一般的用户协议勾选就够了，哪知道法律要求必须单独同意，不能和其他服务条款混在一起勾。这就是规则的细节，踩了坑就是侵权。
可落地的三阶风控建议
事前，上线人脸收集系统或者签订相关合作协议前，单独印制纸质《人脸信息收集同意书》，同意书核心条款字号不小于五号字，单独列清收集范围、用途、保存期限，让被收集对象手写签字后，扫描存入企业加密电子档案，纸质版留存不少于十年。
事中，运行过程中，每个自然年度的1月份，向所有已录入人脸信息的对象重新发送一次同意征询短信，短信附带可一键撤回同意的链接，对提出撤回的对象，24小时内完成人脸数据删除，整个操作过程全程录屏，录屏文件存入加密硬盘留存。
事后，收到监管问询或者个人的删除请求后，三个工作日内出具加盖企业公章的人脸信息收集清单，标注清楚全部人脸信息的存储位置，删除过程全程录屏，最终的录像文件写入不可改写的光盘留存归档。
本内容仅供法律信息参考，不构成委托关系，不构成对裁判结果的任何形式承诺。
