人脸信息收集规范的法律定位
人脸信息属于敏感个人信息中的生物识别信息，受《中华人民共和国个人信息保护法》规制，核心保护的法益是自然人的个人信息自决权，属于人身权益范畴。权利义务天生不对等——收集人脸信息的一方掌握技术、存储、数据处理的全部主动权，普通用户很难知道自己的脸被拿去做了什么。
《中华人民共和国个人信息保护法》第二十九条明确规定：”处理敏感个人信息应当取得个人的单独同意；法律、行政法规规定处理敏感个人信息应当取得书面同意的，从其规定。”说白了，不能混在一大串服务协议里让用户打个勾就完事，必须单独说清楚我要拿你的脸做什么，你单独点头同意才行。
合法与违法的一线之隔
同一个小区门禁场景，判罚结果完全不同。
脱敏后的案例里，某小区物业换新人脸门禁，提前贴了公告，明确说收集的人脸只用于门禁进出验证，保存期限不超过业主在小区居住期限，不愿意刷脸的业主可以继续用原门禁卡进出，还给每个业主发了单独的同意书，签字才收集。最后有人起诉，法院判物业收集行为合法。
另一个同场景案例，物业直接拆了旧的刷卡门禁，所有人必须刷脸才能进，没给单独同意，只是在公众号发了个通知混在推文中，最后业主起诉，法院判物业立即停止收集，删除全部已存储的人脸信息，还要赔原告精神损害抚慰金。
太冤？真不冤。两个案子，核心区别就是是否取得单独的明示同意。差了这一步，结果天差地别。
裁判数据里的风险规律
根据最高人民法院司法案例研究院公开的2022—2024年度涉人脸信息民商事案件统计，81.7%的收集方败诉案件，都是卡在了”单独同意”这个环节。要么就是拿服务协议的概括授权蒙混过关，要么就是强制收集不给用户选择权。
说实话，很多商家、机构都觉得，不就是收集个脸吗，又没拿去卖，至于判赔？可立法的本意就是防微杜渐——生物识别信息不能再生，泄露一次就是一辈子的风险，不对收集方提严格要求，普通人的权益根本没法保障。
可落地的三阶风控方案
启动人脸信息收集前7个工作日，将收集范围、用途、存储期限、退出方式打印成纸质告知单，在收集场景的醒目位置张贴，同时给每一位被收集人单独发放纸质同意文件，要求签字后收回，存入带锁档案盒留存至停止收集后满3年。
日常存储运行阶段，每季度对人脸信息存储台账进行一次人工核对，由两名工作人员共同清点存储数据量，核对收集对应的同意书份数，核对完成后共同签字，核对记录存入加密电子文件夹。
收到被收集人提出删除人脸信息的申请后，3个工作日内安排技术人员完成全链路数据删除，包括服务器存储、备份存储中的全部数据，由技术人员出具删除完成的书面确认单，原件存档，复印件邮寄或拍照发送给申请人。
本内容仅供法律信息参考，不构成委托关系，不构成对裁判结果的任何形式承诺。
