公共场所强制刷脸合法吗？不合法——把刷脸设成唯一通行方式、不给替代方案，既不符合"公共安全所必需"的要求，也构成用拒绝服务来逼人同意。2026 年 10 月 9 日，甘肃公安在"护网—2026"专项工作中公布十起网络安全行政执法典型案例，其中案例一：嘉峪关某游乐园运维管理的智能储物柜、入园闸机仅支持人脸识别一种认证方式，未提供其他替代通行方案。经查，该游乐园作为个人信息处理者，采集人脸信息时未向顾客履行告知义务、采集行为不具备特定目的和充分必要性、未落实安全技术措施，属地公安机关依法对其作出行政处罚，并监督其销毁擅自留存的人脸信息。
① 公共场所安装人脸识别设备，法定前提是"为维护公共安全所必需"，并设置显著提示标识。 ② 收集到的人脸信息只能用于维护公共安全的目的，不能挪作他用，除非取得单独同意。 ③ 把刷脸作为唯一方式、不提供替代方案，等于"不同意就不让用"，属于法律禁止的变相强制。 ④ 遇到"不刷脸不让进"，可以要求提供替代方式、向监管部门投诉举报，造成损害的还可以主张侵权责任。
一、公共场所装人脸识别，不是想装就能装
《中华人民共和国个人信息保护法》对公共场所的图像采集、人脸识别，单独设了一道门槛——注意，这一条针对的是在公共场所安装、使用这类设备的管理者，和大家熟悉的"手机 App 强制收集信息"是两个场景。
- 《中华人民共和国个人信息保护法》第二十六条在公共场所安装图像采集、个人身份识别设备，应当为维护公共安全所必需，遵守国家有关规定，并设置显著的提示标识。所收集的个人图像、身份识别信息只能用于维护公共安全的目的，不得用于其他目的；取得个人单独同意的除外。
这一条里有三个硬性要求，缺一不可：
- 目的必须"为维护公共安全所必需"。游乐园用闸机核验入园资格、储物柜开柜取物，本质上是经营服务的需要，不是"维护公共安全"，很难套进这个前提。
- 必须设置显著的提示标识。偷偷装、不告知，直接违反。
- 只能用于公共安全目的。收集来的人脸信息如果被留存、被用于其他分析，就超出了合法用途。
本案被处罚的理由正好对应这三条：未履行告知义务、不具备特定目的和充分必要性、未落实安全技术措施。
二、"不刷脸就不能进"为什么站不住
很多场所的辩解是"你可以不刷脸，只是就没法用这个服务"。法律对这种"变相强制"有直接回应：
- 《中华人民共和国个人信息保护法》第十六条个人信息处理者不得以个人不同意处理其个人信息或者撤回同意为由，拒绝提供产品或者服务；处理个人信息属于提供产品或者服务所必需的除外。
关键在于"处理是否属于提供产品或者服务所必需"。入园通行、开储物柜，用一张纸质票、一个手环、一个密码、一次人工核验，都能实现——刷脸并不是唯一可行的方式，自然也就谈不上"所必需"。当刷脸成了唯一通道，用户实际上只有两个选项：同意，或者放弃使用服务。这就不是"自愿同意"，而是被结构性地逼出来的"同意"。
而个人信息的"同意"，法律要求的是真实、自愿、明确。用"不同意就不让进"换来的同意，效力本身就存疑。
三、哪些做法会被认定侵权
最高人民法院专门就人脸识别出台了司法解释，其中第二条用列举的方式，把常见的违法情形说得很具体：
- 《最高人民法院关于审理使用人脸识别技术处理个人信息相关民事案件适用法律若干问题的规定》第二条信息处理者处理人脸信息有下列情形之一的，人民法院应当认定属于侵害自然人人格权益的行为：
- （一）在宾馆、商场、银行、车站、机场、体育场馆、娱乐场所等经营场所、公共场所违反法律、行政法规的规定使用人脸识别技术进行人脸验证、辨识或者分析；
- （二）未公开处理人脸信息的规则或者未明示处理的目的、方式、范围；
- （三）基于个人同意处理人脸信息的，未征得自然人或者其监护人的单独同意，或者未按照法律、行政法规的规定征得自然人或者其监护人的书面同意；
- （四）违反信息处理者明示或者双方约定的处理人脸信息的目的、方式、范围等；
- （五）未采取应有的技术措施或者其他必要措施确保其收集、存储的人脸信息安全，致使人脸信息泄露、篡改、丢失；
- （六）违反法律、行政法规的规定或者双方的约定，向他人提供人脸信息；
- （七）违背公序良俗处理人脸信息；
- （八）违反合法、正当、必要原则处理人脸信息的其他情形。
对照来看，本案游乐园同时触碰了其中几条：在娱乐场所违法使用人脸识别进行验证（第（一）项）、未公开处理规则与目的（第（二）项）、未采取应有技术措施（第（五）项）。"仅支持刷脸、没有替代方案"本身，就落在第（八）项的"违反合法、正当、必要原则"里。
人脸信息为什么被单独立规矩？因为它是不可更改的——密码泄露了可以改，人脸泄露了没法换。一旦被批量留存、非法流转，风险是不可逆的。
遇到"不刷脸不让进"，可以这样做：① 当场要求对方说明采集目的、依据，并提供替代通行方案（人工核验、证件、票码等）；② 索要个人信息处理规则，看是否公示、是否写明目的与范围；③ 不同意就明确表示不同意，不必为"配合"而勉强授权；④ 向网信、公安或市场监管部门投诉举报，涉及经营者侵害消费者权益的可以向消协反映；⑤ 已造成损害的（如人脸信息被泄露），可主张停止侵害、赔偿损失等侵权责任。
小区门禁、公司考勤也要刷脸，是不是一样违法？
同样要过"合法、正当、必要"这道关，并给替代方案。门禁刷脸若作为唯一方式、又没有充分必要性和告知，同样存在违法风险；具体要结合场景判断。
我只是"被拍到了"，没刷脸，算不算被采集？
安装在公共场所的图像采集设备本身就要符合第 26 条的条件；拍摄到人脸并用于身份识别、分析的，属于人脸信息的处理。
已经刷过脸，能要求删除吗？
可以。个人对其个人信息的处理享有知情、决定、删除等权利；对方超范围留存、使用的，有权要求删除。
投诉了没用怎么办？
可以向监管部门举报，由监管部门依法查处；也可以就具体侵害行为提起民事诉讼。本案中行政机关的处理方式就包括监督销毁擅自留存的人脸信息。
一句话："人脸是钥匙"，但钥匙不该只有一把，更不该被强行收走。关于个人信息被收集、泄露后的维权路径，还可参阅手机 App 强制收集信息，可以拒绝吗？、邻居安装摄像头正对我家，是否侵犯隐私权？、个人信息被泄露、被人肉搜索怎么办？与个人信息被平台泄露，可以索赔吗？。
以上内容为一般性法律知识分享，不构成正式法律意见；具体案件请结合证据情况咨询执业律师。