人脸识别的法律精准定位
人脸识别采集的生物识别信息，属于《中华人民共和国个人信息保护法》第二十八条规定的敏感个人信息，该条明确要求”处理敏感个人信息应当取得个人的单独同意”。保护的核心法益是自然人的人格尊严与个人信息自主决定权。
说实话，这里的权利义务天生不对等。掌握采集权限的企业握着技术和数据存储权，普通人连自己的人脸信息存在哪、会不会被二次售卖都搞不清楚。这种信息差本身，就是立法为什么要给处理者加更重义务的原因。
合法与违法的判决结果对比
我近年接触过两个同属劳动关系场景的案子，裁判结果天差地别。
第一个案子，企业为了优化考勤推出刷脸打卡选项，同时完整保留了原来的刷卡打卡方式，HR挨个找员工签了单独的知情同意书，明确约定人脸信息只存储在本地设备，不对外传输、不做考勤以外的用途。后来有员工起诉，法院直接驳回了诉求，认定处理行为完全合法。
第二个案子，企业一刀切砍掉所有其他打卡方式，强制要求所有员工必须录入人脸才能上班，不录就算旷工，从头到尾没有提过单独同意，直接把录入要求写进了员工手册绑在劳动合同里。法院最终认定企业处理行为违法，判令立即删除所有存储的人脸信息，向起诉员工赔礼道歉。
为什么结果差这么多？核心区分变量就是是否取得个人的单独同意。这不是走形式的文字游戏，人脸信息是一旦泄露就一辈子没法更改的个人身份标识，立法就是要求你给用户单独的选择权，不能把同意绑在其他文件里打包拿走。
不过话说回来，很多企业老板都觉得，不就是录个脸打个卡，至于吗？真至于。
裁判数据的实证观察
根据北京市高级人民法院2025年发布的《2022—2024年度劳动争议审判白皮书》统计，该区间内北京法院受理的劳动关系场景人脸识别纠纷共117件，企业一方败诉率高达73.5%。其中89%的败诉案件，核心诱因就是未履行单独同意程序，或是超出约定范围使用人脸信息。
很少有法院会仅以”企业管理需要”为由，绕过单独同意要求认定采集行为合法。管理效率的提升，不能建立在直接侵害员工核心人格权益的基础上，这是目前司法实践的共识。
可落地的三阶风控建议
准备引入人脸识别系统前10个工作日，将人脸信息的存储地点、使用范围、保存期限打印成纸质告知单，让每一个对应的员工单独签字确认，签字页存入员工个人劳动合同档案盒永久留存。
每个季度由行政和IT部门共同导出人脸信息使用日志，截图后加密存储在企业内部涉密网盘，日志记录的保存期限不短于人脸识别系统停用后三年。
收到员工提出的删除人脸信息的书面请求后，3个工作日内安排两名不相关的工作人员共同在场完成删除操作，拍摄设备删除完成后的屏幕截图，由两名操作人签字确认后存入档案留存。
本内容仅供法律信息参考，不构成委托关系，不构成对裁判结果的任何形式承诺。
