人脸信息收集规范的法律定位
人脸信息属于生物识别信息，人脸信息属于法律明确规定的敏感个人信息，归《中华人民共和国个人信息保护法》调整，核心保护的是自然人人格权范畴下的个人信息权益。说实话，很多人没意识到，这里的权利义务天生不对称。收集人脸的一方掌握技术、存储全流程，个人根本没法盯着自己的脸什么时候被用了、会不会被卖。所以法律直接把大部分合规义务压给了收集方。《中华人民共和国个人信息保护法》第二十八条明确规定：”敏感个人信息是指一旦泄露或者非法使用，容易导致自然人的人格尊严受到侵害或者人身、财产安全受到危害的个人信息，包括生物识别、宗教信仰、特定身份、医疗健康、金融账户、行踪轨迹等信息，以及不满十四周岁未成年人的个人信息。只有在特定的目的和充分的必要性下，方可处理敏感个人信息，并且应当取得个人的单独同意。”
合法与违法的一线之隔
我见过两个几乎场景一样的案子，判决结果天差地别。
第一个，小区物业换新人脸门禁，提前半个月在单元楼门口、业主群都发了通知，说收集人脸只是为了门禁放行，存储用了加密算法，不会传给第三方，业主要是不想录人脸，可以办实体门禁卡，不收额外费用，最后每个录脸的业主都签了单独的知情同意书。法院审理后认定，这个收集符合人脸信息收集规范，合法。
第二个，同一个城市的另一个小区，物业换了人脸门禁之后直接把旧的刷卡门禁拆了，说所有人必须录脸才能进，既没说人脸存多久，也没说会不会给开发商用，更没有其他进门选项。业主告到法院，法院直接判物业违法，要求立刻删除所有人的人脸信息，恢复刷卡门禁。
两个案子，场景一样，结果相反，根源在哪里？关键区分变量是：是否给信息主体提供了可替代的收集使用方案。就这么一点差，风险完全不一样。
裁判数据里的合规倾向
2021—2023年度，最高院司法案例研究院公开发布的《个人信息保护司法实践报告》显示，该区间公开的117件涉人脸信息收集的民商事案件中，收集方败诉率达到67.5%。排名前三的败诉原因分别是：未取得个人单独同意、未明确告知收集使用范围、未提供可替代方案。你看，法院对人脸信息收集的尺度卡得非常严，毕竟人脸信息你泄露了，这辈子都没法换，不像密码还能改。这就是立法的初衷，从根子上防控不可逆转的人格权风险。
可落地的风控动作
说实话，很多合规建议都是空架子，我给三个实打实能做的动作，没有虚的。
收集启动前，在收集场景的醒目位置张贴纸质告知文件，列明人脸信息的收集目的、存储期限、使用范围、泄露应急措施，告知文件原件留底归档，同步对每个选择替代方案的用户做纸质登记，签字确认后存入档案。
收集完成后，每季度末对系统存储的所有人脸信息做一次全量加密完整性校验，对所有访问、导出人脸信息的操作生成不可篡改的操作日志，日志文件做离线备份存储，存储期限不短于人脸信息存储期限加三年。
收到删除申请后，三个工作日内完成业务系统、备份存储内所有对应人脸信息的全链路删除操作，将删除操作的系统日志截图加盖公章后，邮寄给申请人留底。
本内容仅供法律信息参考，不构成委托关系，不构成对裁判结果的任何形式承诺。
