人脸识别合法吗？小区换成刷脸门禁、进公司要打卡刷脸、商场摄像头会“数人头”、售楼处装人脸抓拍——这些场景已经渗进日常生活。人脸信息在法律上属于生物识别信息，是被单列保护的高敏感个人信息。是否合法，不看“大家都这么做”，而看三条硬红线有没有踩线。
先说结论：人脸信息是敏感个人信息，三条红线
民法典第一千零三十四条：自然人的个人信息受法律保护。个人信息是以电子或者其他方式记录的能够单独或者与其他信息结合识别特定自然人的各种信息，包括自然人的姓名、出生日期、身份证件号码、生物识别信息、住址、电话号码、电子邮箱、健康信息、行踪信息等。个人信息中的私密信息，适用有关隐私权的规定；没有规定的，适用有关个人信息保护的规定。
个人信息保护法第二十六条：在公共场所安装图像采集、个人身份识别设备，应当为维护公共安全所必需，遵守国家有关规定，并设置显著的提示标识。所收集的个人图像、身份识别信息只能用于维护公共安全的目的，不得用于其他目的；取得个人单独同意的除外。
- 红线一：目的限定——公共场所的图像采集、身份识别设备，须为维护公共安全所必需
- 红线二：显著提示——必须设置显著的提示标识，让人知道“这里有摄像头”
- 红线三：用途锁定——收集的个人图像、身份识别信息只能用于维护公共安全，不得用于其他目的；除非取得单独同意
- 人脸信息属于敏感个人信息，处理须取得单独同意，并告知必要性与影响
最容易踩线的一句话是“为了安全”。“为了安全”不能成万能理由——要证明是“所必需”，即不刷脸就无法达到同等安全效果。小区门禁有刷卡、密码、人工登记等替代方式时，强制刷脸通常难以成立。
第一步：区分四个场景，规则各不同
- 小区门禁刷脸：物业不是公共安全机关，强制刷脸才能进门，通常缺乏合法性基础；应提供刷卡、密码等替代方式
- 商场、写字楼摄像头：安装须有显著提示，且不得用于客流分析、精准营销等商业目的
- 售楼处、门店人脸抓拍：用于识别“自然来访还是渠道客户”的，属商业目的，须单独同意
- App 强制刷脸：不给权限就不让用，属于“以捆绑方式取得同意”，不符合自愿、明确的要求
- 单位考勤刷脸：属劳动关系场景，同样须遵循必要性原则，员工可要求替代方式
个人信息保护法第十四条：基于个人同意处理个人信息的，该同意应当由个人在充分知情的前提下自愿、明确作出。法律、行政法规规定处理个人信息应当取得个人单独同意或者书面同意的，从其规定。个人信息的处理目的、处理方式和处理的个人信息种类发生变更的，应当重新取得个人同意。
民法典第一千零三十五条：处理个人信息的，应当遵循合法、正当、必要原则，不得过度处理，并符合下列条件：（一）征得该自然人或者其监护人同意，但是法律、行政法规另有规定的除外；（二）公开处理信息的规则；（三）明示处理信息的目的、方式和范围；（四）不违反法律、行政法规的规定和双方的约定。个人信息的处理包括个人信息的收集、存储、使用、加工、传输、提供、公开等。
第二步：不同意刷脸，能不能进小区、进公司
这是最现实的困境。规则上有三条依据可以用：
要求替代方案
书面要求物业提供刷卡、密码、人工登记等非人脸方式，并说明拒绝理由。
引用必要性原则
如果已有其他方式可以达到同等安全管理效果，人脸识别就不属于“所必需”。
向监管部门投诉
网信、公安、市场监管部门对个人信息处理有监管职责，投诉成本低、见效快。
提起诉讼
以个人信息权益、隐私权受侵害为由起诉，请求停止处理、删除信息、赔偿损失。
集体维权
业主人数众多时，可通过业主委员会统一交涉，或由检察机关提起公益诉讼的线索举报。
“不同意刷脸就进不了门”这类做法，在多地已被认定不当。您的正确姿态不是“忍一忍”，而是书面提出替代方案要求，把拒绝留下痕迹。这份书面材料，是日后投诉和起诉的核心证据。
第三步：取证——人脸看不见，但证据看得见
- 拍设备与位置：摄像头、人脸识别终端的安装位置、数量，有没有提示标识
- 拍通知与公告：物业通知、业主群消息、门禁张贴的“人脸采集须知”
- 录操作过程：刷卡失败、被要求刷脸才能进门的全过程录像
- 存 App 页面：不同意授权就无法使用的界面截图、隐私政策全文
- 存沟通记录：与物业、公司 HR 的书面沟通、投诉工单号
- 查告知内容：有没有告知处理目的、方式、保存期限、是否向第三方提供
人脸信息一旦泄露无法“换脸”。所以取证时不要自己先提交人脸信息去“试”，而是固定“对方要求、我方拒绝、对方限制通行”的事实链。
第四步：能要求什么、能赔多少
个人信息保护法第六十九条：处理个人信息侵害个人信息权益造成损害，个人信息处理者不能证明自己没有过错的，应当承担损害赔偿等侵权责任。前款规定的损害赔偿责任按照个人因此受到的损失或者个人信息处理者因此获得的利益确定；个人因此受到的损失和个人信息处理者因此获得的利益难以确定的，根据实际情况确定赔偿数额。
- 停止侵害：要求停止采集、停止使用人脸信息
- 删除信息：要求删除已采集的人脸数据及衍生数据
- 赔礼道歉：造成不良影响的，可要求书面或公开道歉
- 赔偿损失：可按实际损失或对方获利计算；难以确定的，由法院根据实际情况酌定
- 举证责任倒置：处理者要证明自己没有过错，这是对个人有利的规则
- 单纯“被采集但无实际损害”的，赔偿金额通常不高，但停止处理、删除信息的诉请更容易获得支持
- 因信息泄露被诈骗、被骚扰的，可主张实际损失，注意保存损失凭证
- 涉及大规模违规采集的，可向检察机关反映公益诉讼线索
第五步：给不同身份的四份清单
- 业主：要求物业公示人脸信息的处理目的、保存期限、第三方共享情况；书面要求提供替代通行方式；不同意采集的，要求删除已采集数据
- 员工：可要求以工牌、指纹以外的非生物方式考勤；拒绝不得作为处罚依据
- 消费者：进店被要求刷脸才能享受服务的，可拒绝并要求说明必要性；发现被用于营销分析的，可投诉
- App 用户：非必要不授权；发现“拒绝即不能使用”的，可向网信部门举报
有一类机构不受“个人同意”规则约束：国家机关为履行法定职责处理个人信息，依法律、行政法规规定的权限、程序进行，不需取得个人同意，但同样要遵守必要原则，并且不得超出履行法定职责所必需的范围和限度。这不等于“公权力可以随便刷脸”，只是同意规则不适用而已。
人脸识别的合规判断，其实就三句话：是不是所必需、有没有单独同意、能不能不用刷脸。这三问答不上来，就有问题。
本站相关文章可以对照阅读：个人信息被泄露、被人肉搜索怎么办、能要求平台删除我的个人信息吗、商家泄露消费者个人信息，能赔多少。
以上内容为一般性法律知识分享，不构成正式法律意见；具体案件请结合证据情况咨询执业律师。