上个月我去家楼下的生鲜超市，满减活动本来挺香，结果结账的时候收银员抬抬下巴，指了指台面上的摄像头，说”现在会员都刷脸，不用掏手机，给你打九折”。我当时愣了，我上个月刚在这家店用手机号注册的会员，怎么突然就要刷脸了？我说我用会员码不行吗？对方说”刷脸快，大家都这么弄”。那瞬间真的有点不舒服——我买个菜而已，凭什么要把脸的信息交出去？说真的，我掏手机输个付款码也就两秒的事，凭什么要把我整张脸的生物信息，交给一个卖菜的超市存着？
不是所有刷脸，都算“合规收集”
很多人觉得，现在刷脸到处都是，上班刷、进小区刷、去银行办业务刷，好像收集人脸是天经地义的事。根本不是。
我们现在说的人脸信息收集规范，说穿了就是给所有想收集你脸的机构划三条硬线，碰了就算违规。
得是真的“没别的办法替代”。比如机场过安检，要核验证件和人是不是同一个，这时候用人脸识别是必要的，总不能让安检员把所有旅客的身份证照片都背下来对吧？但你要是个卖奶茶的，点个单要刷脸，领个停车券要刷脸，甚至进个店没刷脸就不让进——这根本不是必要，是商家图自己省事，把存储用户信息的成本全转嫁给普通人。
再就是，收集人脸必须单独征得你同意。什么叫单独同意？就是不能把“同意收集我的人脸信息”藏在几十页的用户协议最末尾，你注册的时候点个“我已阅读全部协议”，就算默认同意了。正规的做法是，要收集你人脸的时候，专门弹个提示框，写清楚“我们要收集你的人脸信息用来干什么，存多久，会不会给第三方，你不同意的话能不能用别的方式办业务”，等你明确点了“同意”，才能采集。
还有，收集到的人脸信息不能乱存乱用。之前有新闻说，某连锁健身房把收集的会员人脸信息，存在一个没设密码的云盘里，谁都能下，这已经不是违规了，是违法。
两个最容易踩的认知误区
做了这么多年普法内容，碰到最多的关于人脸收集的疑问，基本就俩。
第一个误区：“现在到处都是摄像头，我的脸早就被拍遍了，多这一次少这一次有啥区别？”
真不是。路上的公共摄像头拍你，那是公共安全的范畴，存储的权限、调用的流程都有严格规定。但商家自己收集的人脸，是存在他们自己的系统里的，一旦泄露，人家拿你的脸生成个假的动态视频，去盗刷你的支付账号，或者冒充你去办网贷，你根本没处说理去。毕竟手机号泄露了能换号，银行卡丢了能补卡，人脸是你自带的、没法更换的唯一标识，这才是为什么它被归为最高等级的敏感个人信息。
第二个误区：“商家在墙上贴了个‘本区域有人脸采集’的告示，就可以随便拍了？”
也不对。贴告示只是履行了“告知”的义务，不代表可以强制采集。比如你去饭店吃饭，人家说“我们店里装了人脸识别摄像头，你进来吃饭就是同意我们拍你”——这逻辑根本站不住脚。你要是不刷脸、不把人脸信息存在他们系统里，就不能结账、不能进包间、不能享受正常服务，这就不是告知，是强制。
碰到强制刷脸，普通人能做的三件小事
别觉得这些规范是写在纸上看的，真碰到事的时候，普通人不用找律师，做这几件事就够。
碰到要你刷脸才能办业务的场合，先开口问一句：“不刷脸，有没有别的办法能办？”
就这么简单。如果对方说不行，你完全可以转身就走，换一家能接受的地方消费。真的，别觉得麻烦。我去年有个读者，家楼下的小区换了新门禁，物业说必须录人脸才能进，不肯录的话就不让走单元门。她就站在物业办公室问了这句话，最后物业妥协，给她升级了实体门禁卡。
要是之前已经录过人脸的商家，现在不用了，或者商家倒闭、换老板了，你可以直接找对方要求删除你的人脸信息。
这不是你在添麻烦，是法律明确给你的权利。对方不能以“系统已经录了删不掉”为理由拒绝。之前有个读者退了健身房的卡，专门找健身房要求删除她的人脸信息，对方一开始推脱，她直接说“如果你们不删，我就找消协反馈”，当天下午就收到了对方发的删除确认邮件。
平时看到公共场合的人脸识别设备，没贴明确的提示，比如没写清楚是谁装的、用来干嘛、存多久，你可以随手拍个照片，打12315反馈就行。
不用写长文投诉。就说清楚“某某路某某商铺，装了人脸识别设备没提示，强制顾客刷脸才能结账”，监管部门自然会去查。
本文仅代表作者观点，不作为正式法律意见，具体案件请咨询专业律师。