人脸识别：物业能不能强制刷脸、商场摄像头算什么、不同意能不能进

一句话定义：人脸识别是提取人脸特征进行身份验证、辨识或者分析的技术。人脸信息属于民法典第一千零三十四条规定的生物识别信息，在个人信息保护法上属于敏感个人信息，处理需要特定的目的、充分的必要性、严格的保护措施，并取得单独同意。个人信息保护法第二十六条对公共场所的图像采集、个人身份识别设备另设三项限制；最高人民法院的专门司法解释进一步列出八类侵害情形、四类「已取得同意」抗辩不成立的情形，并明确物业服务企业不得以人脸识别作为唯一验证方式。

本词条属于网络与数据栏目。这一领域的争议高度集中在一个场景：小区门禁。物业说「刷脸最方便、大家都同意了」，业主说「我不想交人脸」。法律给的答案比双方想的都具体——不是「能不能用」，而是「能不能作为唯一方式」；不是「有没有签字」，而是「签字是不是被逼的」。

构成要件

一、定性是第一步：人脸信息属敏感个人信息。司法解释第一条第三款明确：人脸信息属于民法典第一千零三十四条规定的「生物识别信息」。落到个人信息保护法上，生物识别在第二十八条的列举范围内，因此人脸信息是敏感个人信息。这一定性带来三个直接后果：需要特定的目的和充分的必要性（第二十八条第二款）；需要取得单独同意（第二十九条）；处理前要做个人信息保护影响评估（第五十五条第一项）。「人脸只是一张照片」这种理解，在定性上就错了——照片是图像，人脸信息是可比对的特征数据，后者可以远程、无感、批量化地识别个人。

二、公共场所装设备，第二十六条设了三项限制加一个目的锁定。条文要求：应当为维护公共安全所必需；遵守国家有关规定；设置显著的提示标识。并且明确：所收集的个人图像、身份识别信息只能用于维护公共安全的目的，不得用于其他目的；取得个人单独同意的除外。四个要点要一起读：「必需」是必要性门槛，不是「有用就行」；「国家有关规定」意味着还要看专门规定；「显著提示标识」是形式义务；「只能用于公共安全」是目的锁定。商场用摄像头统计客流、分析顾客年龄性别，属于「其他目的」，需要单独同意，不能靠「公共安全」兜过去。

三、八类情形直接构成侵害人格权益，这是最实用的一张清单。司法解释第二条列了八项：在宾馆、商场、银行、车站、机场、体育场馆、娱乐场所等经营场所、公共场所违反法律、行政法规的规定使用人脸识别技术进行人脸验证、辨识或者分析；未公开处理规则或者未明示目的、方式、范围；基于同意处理的，未取得单独同意或者未按规定取得书面同意；违反明示或者约定的目的、方式、范围；未采取应有措施致使人脸信息泄露、篡改、丢失；违反规定或者约定向他人提供；违背公序良俗；违反合法、正当、必要原则的其他情形。这张清单的价值在于：不需要证明「有什么损害后果」，落进这八项之一，侵害行为即成立。

四、「我已经同意了」这个抗辩，在四种情形下不成立。司法解释第四条明确：以「要求同意处理人脸信息才提供产品或服务」为抗辩的，不予支持（但属于提供产品或服务所必需的除外）；以「与其他授权捆绑」方式要求同意的，不予支持；强迫或者变相强迫同意的其他情形，不予支持。这一条直接击穿了实务中最常见的两种做法：「不刷脸就不能进小区」「不同意就不同意用全部功能」。「捆绑」包括把刷脸同意写进一揽子授权、默认勾选、以及把拒绝的代价设得明显不合理。

五、五类情形可以免责，但范围很窄。司法解释第五条列了五项：为应对突发公共卫生事件，或者紧急情况下为保护生命健康和财产安全所必需；为维护公共安全，依据国家有关规定在公共场所使用；为公共利益实施新闻报道、舆论监督等在合理范围内处理；在自然人或者其监护人同意的范围内合理处理；符合法律、行政法规规定的其他情形。注意第三项与第四项的限定词：「合理范围」「同意范围内合理处理」——免责不等于随便用，超出范围照样构成侵害。

六、物业不得把人脸识别作为唯一验证方式，这是本条最硬的一句。司法解释第十条规定：物业服务企业或者其他建筑物管理人以人脸识别作为业主或者物业使用人出入物业服务区域的唯一验证方式，不同意的业主或者物业使用人请求其提供其他合理验证方式的，人民法院依法予以支持。三个要点：义务主体是物业服务企业或者其他建筑物管理人；禁止的是「唯一方式」，不是「使用人脸」；救济内容是「提供其他合理验证方式」，不是「拆除设备」。实务中可行的替代方式包括：门禁卡、二维码、密码、人工核验、手机远程开门。「其他方式要收费」「其他方式要排队登记」这类安排，如果实质上让业主无法选择，仍可能被认定为变相强制。

七、格式条款里的三类授权，可以直接主张无效。司法解释第十一条：采用格式条款要求自然人授予「无期限限制、不可撤销、可任意转授权」等处理人脸信息的权利，自然人依据民法典第四百九十七条请求确认该条款无效的，人民法院依法予以支持。这三类表述在产品协议里非常常见，尤其是「不可撤销」与「可转授权」——前者与个人信息保护法第十五条的撤回权直接冲突，后者意味着人脸可能被转给不特定的第三方。

八、违约也能告，而且可以一并要求删除。司法解释第十二条：违反约定处理人脸信息的，可以请求承担违约责任；请求承担违约责任时一并请求删除人脸信息的，法院予以支持；处理者以「双方没约定删除」抗辩的，不予支持。这一条解决了一个常见困境：用户与平台之间往往只有一份点击同意的协议，很难证明「侵权」，但可以证明「超出约定使用」——违约路径的门槛更低。

九、责任轻重要看三个因素，未成年人是加重情节。司法解释第三条要求适用民法典第九百九十八条，并结合具体情况综合考量：受害人是否为未成年人、告知同意情况、信息处理的必要程度。三个因素的实务含义：涉及未成年人，认定侵权的门槛更低、赔偿可能更高；告知同意越不规范，责任越重；处理越不必要，责任越重。「必要程度」这一项，对小区门禁、公司考勤、校园管理三类场景尤其关键。

十、处理者一侧还有三项独立的合规义务，不因「取得同意」而免除。一是告知（第十七条）：处理目的、方式、种类、保存期限；二是影响评估（第五十五条第一项）：事前完成、报告与记录至少保存三年；三是安全保障：加密存储、访问控制、不得随意对外提供。这三项与同意是并行的，取得同意不能替代告知，也不能替代评估。实务中大量人脸识别项目只做了同意，没做评估，检查时一查就是硬伤。

法条依据

与相邻概念的区别

第一，与一般个人信息处理的区别。一般个人信息的处理可以用「同意」以外的基础（如合同必需、法定义务），人脸信息虽然也适用第十三条，但第二十八条第二款加了「特定的目的和充分的必要性」这道门——意味着「别人都在用人脸，我们也用」不构成必要性。实务中的判断方法是问一句：不用人脸，这件事能不能做成。能做成，必要性就不成立。

第二，与指纹、声纹等其他生物识别的区别。三者同属生物识别信息，规则相通，差别在「可采集性」：指纹通常需要主动按压，声纹需要录音，人脸可以在无感、远距离、多人同时的情况下采集。这个技术特点决定了监管对人脸的关注度更高，也解释了为什么专门针对人脸出了司法解释。做合规评估时，「无感采集」是一个必须写进去的风险点。

第三，与「监控录像」的区别。普通监控录像是图像采集，人脸识别是对图像做特征提取与比对。两者的规制强度不同：普通监控受第二十六条约束（公共安全必需、显著标识、目的锁定），人脸识别在此基础上还要过敏感个人信息的门槛。实务中常见的越界是「装了普通监控，后台悄悄开了人脸比对功能」——设备是同一个，处理行为变了，合规要求也随之变了。

第四，与「实名制」的区别。实名制要求的是身份信息的真实核验，可以通过身份证、手机号、银行卡等多种方式实现；人脸识别只是其中一种手段。「实名制」不能成为强制刷脸的理由——实现实名的方式有多种，选择人脸这一种，就要承担敏感个人信息的合规成本。同理，「防疫」「安全管理」这类目的，也不能自动正当化人脸识别，仍要过必要性这道门。

第五，与「深度合成中的换脸」的区别。换脸是生成伪造的人脸图像，落点在肖像权与内容治理；人脸识别是采集真实人脸做比对，落点在敏感个人信息保护。两者的共同点是都涉及人脸，但侵害形态不同：前者是「假脸冒充」，后者是「真脸被采集」。实务中两类纠纷的举证重点完全不同：前者要证明伪造，后者要证明采集与使用超出必要范围。

第六，与「公共安全视频监控」的行政管理规定的区别。公共安全视频监控有一套行政管理规则（安装主体、区域、备案、调用权限），人脸识别在此基础上叠加个人信息保护规则。两套规则并行：符合行政管理要求，不等于符合个人信息保护要求；反过来，取得了单独同意，也不等于可以违反行政管理规定安装设备。遇到具体项目，两条线都要过。

实操指引

第一步，个人一侧：先分清自己面对的是哪一类场景。三类场景的应对不同：小区门禁——直接援引司法解释第十条，要求提供其他合理验证方式；商场、门店的摄像头——看有没有显著标识、有没有告知处理规则，怀疑做了人脸分析可以要求说明；用人单位考勤——看劳动合同与规章制度有没有约定、有没有提供替代方式、有没有超出考勤目的使用。分清场景，才知道该援引哪一条。

第二步，把「我不同意」表达成可举证的动作。口头说「我不想刷脸」很难留下记录。可行做法：书面向物业或者经营者提出，写明不同意处理人脸信息、要求提供其他合理验证方式，保留送达记录；对方拒绝的，要求其书面说明依据。这份书面往来，就是后续起诉或者投诉的基础材料。

第三步，遇到「不刷脸不让进」，先固定现场。拍下提示牌、闸机、以及「请刷脸通行」的告示；记录时间、地点、被拒绝通行的经过；如果有其他业主遇到同样情况，可以共同主张。「唯一验证方式」这个事实，需要证据支撑——如果其实还有刷卡通道但被引导不用，主张就会打折扣。

第四步，主张的请求要写对。不要写「要求拆除人脸识别设备」，那是超出司法解释第十条的请求；正确的写法是「请求判令提供其他合理验证方式」，并可以一并请求删除已采集的人脸信息、赔偿损失。如果涉及格式条款里的「不可撤销」「可转授权」，可以另提确认条款无效的请求。

第五步，企业一侧：先做必要性论证，再做技术方案。必要性论证要回答三问：这项业务不用人脸能不能实现；有没有对个人权益影响更小的替代方式；如果必须用人脸，范围能不能再缩小。三个问题的书面回答，就是影响评估的核心内容。跳过这一步直接采购设备，是这类项目最常见的合规缺陷。

第六步，企业一侧：把同意做成真正的单独同意。三个要求：独立入口（不与总政策共用勾选）；独立说明（讲清目的、范围、保存期限、是否对外提供）；独立开关（可以只关人脸、不影响其他功能）。同时要提供替代方式——这不是「额外福利」，而是降低「变相强迫」风险的必要设计。「不同意就走人工通道但要排长队」这类安排，仍然可能被认定为变相强迫。

常见问题