小区换人脸门禁、写字楼闸机强制刷脸、商场摄像头悄悄抓拍人脸做客流分析——围绕人脸识别单独同意的争议，答案写在个人信息保护法的两条条文里：第二十六条要求公共场所安装图像采集和身份识别设备必须为维护公共安全所必需、设显著提示、信息只能用于公共安全目的；第二十九条要求处理敏感个人信息必须取得单独同意，而人脸属于生物识别信息，正是敏感信息的第一类。本文把两条放在一起拆，讲清合法采集人脸的要件清单、五处不许碰的红线，以及你拒绝刷脸时依法可以怎么走。
先看这三个要点
- 人脸是敏感信息：生物识别信息位列敏感个人信息第一类，处理必须特定目的＋充分必要性＋严格保护措施，且取得单独同意。
- 公共场所三条铁律：装图像采集、身份识别设备要为维护公共安全所必需、守国家规定、设显著提示标识；收集的人脸和身份信息只能用于公共安全目的。
- 不得强制刷脸：用户拒绝同意，处理者不得以此为由拒绝提供服务——门禁必须有刷卡、密码等替代验证方式。
一、条文原文
- 《中华人民共和国个人信息保护法》第二十六条
- 在公共场所安装图像采集、个人身份识别设备，应当为维护公共安全所必需，遵守国家有关规定，并设置显著的提示标识。所收集的个人图像、身份识别信息只能用于维护公共安全的目的，不得用于其他目的；取得个人单独同意的除外。
- 《中华人民共和国个人信息保护法》第二十九条
- 处理敏感个人信息应当取得个人的单独同意；法律、行政法规规定处理敏感个人信息应当取得书面同意的，从其规定。
二、两类场景的要件对照
| 要件 | 公共场所设备采集（第26条） | 业务场景人脸核验（第28、29条） |
|---|---|---|
| 适用范围 | 商场、小区、道路等公共场所安装的采集/识别设备 | 门禁核身、支付核验、App 刷脸登录等业务处理 |
| 目的限制 | 为维护公共安全所必需 | 特定目的＋充分必要性：不用人脸就实现不了才可采 |
| 程序要件 | 遵守国家有关规定＋显著提示标识 | 单独同意＋告知必要性及对权益的影响（第30条） |
| 用途边界 | 只能用于公共安全目的，他用需单独同意 | 不超告知范围；变更目的重新取得同意 |
| 拒绝后果 | 不配合采集不影响通行（可用非人脸通道） | 不得拒绝提供服务，须提供替代验证方式（第16条） |
三、逐项拆解：合法采人脸的四个门槛
门槛一：必要性。第二十八条要求「特定的目的和充分的必要性」。小区门禁用刷卡、密码就能解决的问题，换人脸门禁再强制全员采集，必要性站不住；银行转账大额核身，弱口令防不住风险，人脸核验的必要性就充分得多。判断方法还是反向砍：不用人脸这件事成不成立？
门槛二：单独同意。人脸信息属于生物识别信息，第二十九条要求单独同意——打包在物业公约、用户协议里的一次性授权不算数； Silent 抓拍更谈不上任何同意。同意还要过第三十条的加强版告知：讲清处理人脸的必要性和对个人权益的影响。
门槛三：场景限制。第二十六条给公共场所设备加了双闸：目的必须是公共安全（防盗、治安），客流分析、精准营销、情绪识别这类商业用途超出法定目的，除非另行取得单独同意；提示标识必须显著，偷拍偷识不合规。
门槛四：不得捆绑。第十六条兜底：拒绝刷脸不能被拒绝服务。物业无权因业主不录入人脸而禁止其进入小区；商家不能把刷脸注册设成使用前置的唯一通道。这不是政策口号，是条文明文。
四、边界与误区
- 误区一：「设了提示牌就能随便用」。提示标识只是要件之一；目的超出公共安全、没有单独同意，照样违法。反之，取得单独同意后可以用于其他目的——但商业场景的同意必须真实单独。
- 误区二：「人脸只存在本地就没事」。存储环节也属于「处理」；本地化只是安全措施的一部分，处理规则（必要性、单独同意、告知）一项不能少。
- 误区三：「公安能采，物业也能采」。国家机关为履行法定职责处理个人信息有第三十四条的权限程序约束，同样不得超出履职必需；物业服务企业是普通处理者，门槛只高不低。
- 不适用：私人之间拍合照、家庭摄像头拍摄自家院内，属个人或家庭事务处理信息，不适用本法（第七十二条）；但在公共楼道对着邻居家门口持续摄录，已进入他人权益范围，另当别论。
五、延伸问答
问：企业考勤用刷脸，也适用这些规则吗？ 适用。考勤场景是典型的业务处理：要走第十三条第二项的人力资源必需＋合法制度依据，而人脸属敏感信息，单独同意、必要性、替代方式（指纹、打卡）一项不能少；把「换新考勤机」当成可以强制全员录脸的通行证，法条不认。
问：小区门禁是物业装的，业主大会能替所有人同意吗？ 不能。单独同意是每个自然人自己的权利，业主大会决议、物业服务合同都替代不了个体同意；少数不同意刷脸的业主，依法有权使用刷卡、密码等替代方式，物业不得设置歧视性待遇。
问：人脸信息丢了能「挂失」吗？ 不能。密码泄露可以改，人脸终身不可更换——这正是第二十八条把生物识别列为敏感信息的原因。一旦泄露，损害具有不可逆性；这也是处理者安全义务被从严要求、泄露后果被从重评价的底层逻辑。
问：手机 App 的人脸解锁也要单独同意吗？ 要。本地化存储不改变「处理敏感个人信息」的性质：采集、特征值计算、比对都在处理范畴。设备端处理降低了外泄风险，但同意与告知义务不因此免除，只是保护措施的要求有所不同。
问：拒绝刷脸后，商家给「替代方式」但收额外费用，合法吗？ 存疑。替代方式的提供不应成为变相加价或惩罚；把免费的人脸通道设为「唯一低价入口」、对替代通道收「人工核验费」，实质是诱导放弃拒绝权，与第十六条的精神相悖。
问：已经录进系统的脸能要回来吗？ 可以。撤回同意或目的实现后，依第四十七条请求删除人脸特征值及对应底层数据；删除请求被拒的，按第五十条走投诉与诉讼。
问：戴口罩、低头躲镜头，能避开公共场所的人脸采集吗？ 个体回避意义有限，规则的意义在事后：设备端没满足必要性、标识、目的限制的，其采集行为本身违法，个人可以投诉要求整改与删除；法律约束的是装设备的人，不是路过的人。
问：人脸数据可以存在云上吗？ 可以，但叠加要求：云端存储属于处理活动，安全措施要与其敏感等级相称（加密、访问控制、留存期限），涉及出境的再走出境规则。「存在云上所以管不着」的想象，与第五十一条的安全义务相反——恰恰是重点检查对象。
问：商家拿人脸做「会员到店识别」，值不值得做？ 商业识别已超出公共安全目的，必须单独同意；且要回答必要性：会员到店用扫码、会员码同样实现，人脸的「充分必要性」很难论证。投入与风险不成比例，是这类方案最现实的劝退点。
问：孩子的人脸能录进小区系统吗？ 同样要走监护人同意；不满十四周岁未成年人的信息整体按敏感信息对待，物业要单独取得监护人确认，并说明对孩子权益的影响。拿「为了孩子安全」一句话代替同意程序，不是合规。
问：已录入的人脸信息，业主换房、搬走后怎么办？ 目的（本小区通行核验）随服务终止而消灭，触发第四十七条的删除；搬离时书面提出删除请求，要求物业反馈处理结果，是最容易被忽略的收尾动作。
问：人脸识别与门禁卡并用，成本更高，物业拒绝加通道怎么办？ 诉诸条文明文：第十六条要求提供产品服务不得捆绑，第（二）项讲解的替代路径在物业场景同样适用；拒绝提供替代方式的，向住建、街道与网信渠道反映，条文明文是交涉的最硬底气。
问：人脸门禁的「必要性」有没有更细的判断材料？ 可以从三问入手：现有方式（卡、密码）是否已解决通行与安全问题？加装人脸解决的是真实问题还是营销卖点？刷脸之外是否影响通行自由？三问答完，必要性结论自然浮出——多数小区场景答不出必要性。
问：企业内部测评「刷脸签到」，员工拒绝会丢工作吗？ 不应。考勤方式的选择不能成为就业歧视的载体；拒绝刷脸的员工有权使用其他签到方式，以拒绝为由作出不利处理的，叠加劳动法上的风险，员工可双线主张。
问：商场「以旧换新」活动要求刷脸核身，怎么评价？ 核身用身份证、扫码即可实现，刷脸的充分必要性论证不出来；活动场景的刷脸属于典型的高敏感低必要组合，单独同意＋必要性两关都存疑，用户拒绝不应影响参加活动。
问：已提示「本区域有监控」，还算偷拍吗？ 提示标识解决的是公共场所设备的合法性要件之一；没有公共安全必要性、标识含糊或设备藏在提示覆盖之外，仍属违规。标识不是免罪牌，是要件清单里的一项。
六、实操建议：拒绝刷脸的正确姿势
- 书面提出替代方案：向物业、商户明确引用第十六条，要求提供刷卡、密码、二维码等替代验证方式，并保留书面记录；
- 核查同意痕迹：回想自己的授权方式——若人脸授权藏在公约或 App 协议里一揽子勾选，可主张该授权不符合单独同意要求，要求删除人脸信息（引第四十七条）；
- 投诉有门：向网信部门或属地主管部门投诉违法采集；涉及强制刷脸的小区，住建部门与街道也可介入协调。
站内《小区装人脸识别门禁：业主可以拒绝吗、怎么拒绝》《商场门店抓拍人脸合规吗：经营场所人脸识别的三条规则》《公共场所装摄像头采集人脸，合法吗》对具体场景有专文，可对照使用。
一句话总结：合法采人脸要过四道门——必要、单独同意、场景限定、提供替代；强制刷脸不是「方便」，是条文明文禁止的捆绑。
以上内容为一般性法律知识介绍，不构成正式法律意见。具体案件请结合采集场景与授权方式，咨询执业律师后主张。