法律属性界定
人脸信息属于《中华人民共和国个人信息保护法》明文规定的敏感个人信息。该法第二十八条明确，敏感个人信息是指一旦泄露或者非法使用，容易导致自然人的人格尊严受到侵害或者人身、财产安全受到危害的生物识别信息，人脸信息正是典型。
整个规范体系保护的核心法益，是自然人人格权项下的个人信息自决权。由于信息收集方和被收集方天然存在信息差、地位差，权利义务明显不对等——法律直接把绝大多数证明义务分配给了收集方，对收集方的合规要求远高于普通个人信息。
真没那么简单。
合法与违法的情景对比
我们拿常见的社区门禁场景举例。第一种情景：小区更换人脸门禁，物业单独印制了告知页，写清楚收集人脸仅用于门禁核验，存储期限不超过业主在本小区居住期间，不会向第三方泄露，每位业主自愿签字同意才录入，不同意的可以继续用实体门禁卡。最终业主起诉物业侵权，法院驳回了原告诉求。
第二种情景：同是小区换人脸门禁，物业只在大门口贴了一张A4通知，说“下月起全部改用刷脸，不录脸不让进”，没有取得任何一位业主的单独同意，直接强行录入了所有登记业主的人脸信息。最终法院判决物业构成侵权，要求删除全部人脸信息，赔偿原告精神损害抚慰金。
两种场景结果天差地别，核心的唯一关键区分变量就是是否履行了单独告知并取得明确同意。很多机构觉得，我都贴通知了，不反对就是同意啊？对不起，法律对敏感个人信息的要求就是要你拿到明确、单独的同意，默示推定不算数。
说实话，很多收集方到败诉都没搞懂这个要求，觉得太苛刻。其实立法逻辑很简单，你的脸是你最重要的生物识别信息，一辈子改不了，当然要给你足够的选择权。
实证数据观察
根据北京互联网法院2022—2024年度发布的《涉互联网个人信息保护审判白皮书》统计，该时间段内法院受理的117件涉人脸信息收集侵权案件中，有82%的案件是收集方败诉，其中超过九成的败诉原因，都是未满足单独告知同意的要求。
这个数据其实很说明问题，绝大多数人脸收集的法律风险，都是可以提前避免的，只是很多机构没当回事，嫌麻烦，觉得走流程没必要，最后反而赔了钱还坏了名声。
不过话说回来，也不是说只要拿到同意就万事大吉，要是超过约定的存储期限还不删，或者把人脸信息用在当初说的目的之外，照样会侵权。可落地的风控建议
收集前72小时，将载明收集目的、存储期限、使用范围、泄露处置方式的告知文件，打印纸质版在收集场景显眼位置公示，同时向所有被收集人推送短信或站内信，留存公示现场照片和推送发送记录。
每满6个月，由单位信息安全负责人导出全量人脸信息存储清单，签字后密封存入单位档案保管柜，手动删除超过约定存储期限的人脸信息，留存删除操作日志的纸质打印件。
发现人脸信息存在泄露或遗失风险后，24小时内，向所有被采集人发送书面风险告知函，同时向属地网信部门提交书面情况说明，留存告知函的送达回执和网信部门的签收记录。
本内容仅供法律信息参考，不构成委托关系，不构成对裁判结果的任何形式承诺。
