人脸识别的法律画像
从部门法定性来说，人脸识别收集的人脸信息，属于《个人信息保护法》明确规定的敏感个人信息，同时也受《民法典》第一千零三十五条调整——该条核心要求是，处理个人信息必须遵循合法、正当、必要原则，不得过度处理，更不能侵犯自然人的人格权益。保护的核心法益，是自然人对自己个人信息的自主决定权。可现实里，一边是收集方掌握技术、存储数据，想怎么用就怎么用，另一边是普通用户连自己的信息被传到哪都不知道，权利义务完全不对等。
同场景下的两类行为对比
去年我接触过两个小区物业的咨询，同样是装人脸识别门禁，结果天差地别。 第一个物业，贴了整整一周的公告，写清收集人脸只用来开门禁，数据存在小区本地服务器，绝不传给第三方，业主不想录脸的，照样可以刷原来的门禁卡进出，完全不影响回家。这操作没毛病。 另一个更绝，直接把原来的刷卡门禁拆了，要进小区必须录脸，不录连门都别想进，访客来了都不让登记。这不是违法是什么？ 再说两个公司考勤的例子，都是用人脸识别打卡。一个公司明确说，不想录脸的可以申请密码打卡或者指纹打卡，待遇岗位全不变，只是换个考勤方式。这是低风险操作。另一个公司直接放话，不录人脸就算旷工，三天不录直接开除。这就是实打实的高风险。 说到这你肯定看出来了，唯一的关键区分变量就是：是否给信息主体提供了替代方案，是否保障了信息主体的拒绝权。就这么简单。
裁判文书里的实证观察
我在中国裁判文书网找了2021到2024年的公开判决，输入关键词「人脸识别 个人信息保护」，一共整理出112份生效判决，其中91份判决里收集方败诉。所有败诉判决的核心裁判理由，全都是收集方未保障自然人对敏感个人信息的知情同意与选择自由。刚好符合《个人信息保护法》第二十八条的规定：敏感个人信息只有在特定情形下，取得自然人的单独同意才能收集。强制收集本身就踩了法律红线。
启动人脸识别项目前，把收集用途、存储方式、保存期限印成纸质告知书，让每个被收集人签字同意，签字原件放进带锁的档案柜，保管到停止使用人脸识别后满三年。
每个月抽查一次人脸数据存储情况，把抽查结果打印出来，由负责运维的人员签字归档，但凡碰到第三方索要人脸数据的请求，当场出具书面拒绝函，留底存档。
收到信息主体删除人脸信息的申请后，当场核对申请人身份，三个工作日内完成彻底删除，让申请人签字确认删除结果，确认书归档留存。
本内容仅供法律信息参考，不构成委托关系，不构成对裁判结果的任何形式承诺。
