宾馆的客房内部不得安装人脸识别设备，公共浴室等内部也不得安装人脸识别设备，“强制刷脸”的行为受到了规范。
人脸信息安全保护有了新办法(深阅读)
小区门禁需通过“刷脸”来解锁。移动支付平台不知在何时开通了“扫脸即付”的功能。人脸信息在不法平台上竟然以“0.5 元一张”的价格售卖。人脸识别技术在给人们生活带来便利的同时，随之出现的一些现象也让公众开始担忧个人信息的安全。
以个人信息保护法作为代表，各部门从多个方面不断加强对人脸识别技术应用的治理，包括立法和执法等方面。3 月，国家网信办与公安部联合公布了《人脸识别技术应用安全管理办法》（以下简称《办法》），该《办法》对应用人脸识别技术处理人脸信息的基本要求、处理规则以及人脸识别技术应用安全规范等作出了规定，并且将于 6 月 1 日开始实施。
烦 恼
滥用人脸识别，信息储存不当
个人信息保护法等确立了“告知—同意”这一个人信息保护的核心规则，把信息主体的“同意”当作人脸识别处理行为的必要条件。然而，时常有商家对“告知—同意”原则视而不见，过度使用人脸识别。
某装修企业此前被曝光在各门店安装了具备人脸识别功能的摄像头。顾客进入该企业门店后，人脸信息会在其不知情的情况下被捕捉和记录。之后，无论顾客去哪家店，去了几次，以及如何谈价，该企业都能知晓。
清华大学法学院教授程啸指出：该企业的行为不符合个人信息保护法中的“告知—同意”原则。在诸多应用场景中，人脸识别设备的安装与使用，既未明确告知用户，也未征求用户同意，用户的人脸信息被悄然收集和使用，甚至在未经授权的情况下被挪作他用。
信息处理者与个人之间存在着显著的信息不对称情况。个人通常缺乏足够的信息以及知识，难以对信息收集的风险和后果进行评估。并且，有些人还随意就表示“同意”了。华东政法大学教授张勇指出了这一现象。
同时，人脸识别技术使用不当所引发的敏感个人信息泄露情况也受到了广泛的关注。
一些不法分子借助深度伪造技术以及泄露的人脸信息，再结合 AI 换脸，开展犯罪行为。去年夏天，浙江某地区的公安机关察觉到，在境外的某一个平台上，有团伙在大力推广“帮忙获取他人网络信息”的这类业务。他们宣称，能够利用大模型技术，并且结合通过非法途径获取的人脸信息来制作视频，以此突破平台登录时的人脸识别验证，进而实现强制登录平台账号的目的。
公安机关调查得知，该团伙人员借助外国某 AI 大模型，并且结合通过非法手段获取的人脸照片，从而输出人脸视频。凭借此，他们突破了认证，得以登录账号，接着进一步窃取了更多的个人信息。不久之后，相关犯罪嫌疑人被公安机关成功抓获。
人脸识别系统存在技术问题而导致误判，部分人脸信息收集者在存储所收集信息时不当，特定领域的人脸信息处理规定过于宽泛，这些问题都在困扰着广大群众。
这些人脸识别出现的混乱状况，对构建安全且清朗的网络生态不利，也不利于保护个人的权益。厦门大学法学院的教授郭春镇表示，应当健全人脸识别的法律规制模式，以回应群众所关心的问题。
探 索
针对乱象，出台完善相关规范
如何应对刷脸乱象？
在信息处理领域，个人所面对的是极为强大且组织化的信息处理机构；并且在信息时代，个人信息处理通常呈现出动态化和复杂化的特点；由于这些原因，个人很难在参与以及做出选择的过程中始终保持知情和自治的状态。所以，国家需要通过行政执法、公益诉讼等积极的行动来保护个人信息安全。北京大学法学院教授王锡锌如是说道。
3 月 28 日，中央网信办、工业和信息化部、公安部、市场监管总局联合发布公告。这些部门将开展 2025 年个人信息保护系列专项行动。在这些专项行动中，明确将“公共场所违法违规收集使用人脸识别信息”作为重点问题之一。近年来的“清朗”系列专项行动，多次涉及人脸识别的相关问题。
人脸识别相关的违法侵权行为，存在取证难等情况，个人维权有时会特别困难。这类行为侵害的通常是很多人的利益。所以，依据个人信息保护法的规定，检察机关等能够提起公益诉讼。
“高清头像”以及“可过脸”等词汇，在广东广州某区检察院办理的一宗侵犯公民个人信息罪案件中被注意到。郑某等 4 人出售包含人脸等在内的公民个人信息达 2000 余条，致使大量公民个人信息出现泄露情况，甚至被他人冒用。
郑某等很快受到了刑事处罚。然而，相关公民的人脸等信息权益尚未得到复原补偿，非法售卖人脸信息所造成的危害依然在持续。
广东广州某区检察院将郑某等 4 人作为被告向法院提起了民事公益诉讼。最终，法院要求这 4 人配合把违法获取个人信息并进行售卖的网络切断，按照个人违法所得来作为标准支付公益损害赔偿金，并且通过公益宣传等方式来弥补和修复他们对社会公共利益所造成的损害。
打击行动取得了成效，然而，要从根本的层面以及长远的角度来解决问题，还需要相关规范不断地跟进并加以完善。
2021 年 7 月，最高人民法院发布了关于审理使用人脸识别技术处理个人信息相关民事案件适用法律的若干规定。在规定中明确，进出小区只能刷脸这一行为是否合法。其中明确，物业服务企业或其他建筑物管理人若将人脸识别当作业主或物业使用人出入物业服务区域的唯一验证方式，而那些不同意的业主或物业使用人请求其提供其他合理验证方式，那么人民法院会依法予以支持。
立法不会缺位。2021 年颁布的个人信息保护法规定，处理敏感个人信息应当取得个人的单独同意。
此外，网络安全法作出了规定，数据安全法作出了规定，网络数据安全管理条例也作出了规定，这些法律、行政法规都对包括人脸信息在内的个人信息保护作出了规定。中国信息通信研究院互联网法律研究中心主任何波说。
跟 进
厘清法律边界，防范技术风险
此前的法律以及行政法规对于个人信息保护所做的规定是比较原则性的，在针对人脸识别技术应用这方面，是缺乏专门的规则的。何波做出了这样的表示。
民有呼喊，法有回应。《办法》得以出台，对人脸识别技术应用的范畴和要求进行了具体的规定。《办法》将目光聚焦在人脸识别技术常见的应用场景上，为处理人脸信息划定了明确的法律界限，能够有效地遏制技术被滥用的风险。
《办法》有一大特点，即针对人脸识别技术使用过程中人民群众反映强烈且社会关注度高的问题，给出了明确且具体的回应，这体现了鲜明的问题导向。国家网信办数据与技术保障中心副主任王志成表示。
去年，有消费者向相关部门进行反映。在上海的某区，某游泳馆的更衣室里，采用了人脸识别来开启更衣柜。该消费者称，屏幕上会出现附近来往顾客没穿衣服的画面，这给个人隐私带来了极大的危害。
对此，该区委网信办与市场监管部门、公安部门等有关部门进行协同。他们对相关情况进行了核实查验，还给予了指导整改，并依据法律作出了行政处罚。
王志成介绍，对于社会广泛关注的在公共场所以及私密空间滥用人脸识别技术的情况，《办法》第十三条有明确规定，即任何组织和个人都不可以在宾馆客房内安装人脸识别设备，也不可以在公共浴室里安装，不可以在公共更衣室中安装，同样不可以在公共卫生间等公共场所的私密空间内部安装人脸识别设备。
针对社会关注的诸多热点，《办法》给出了回应：
针对强制使用人脸识别技术的问题，像某银行 APP 强制进行人脸验证登录，某健身房强制让会员刷脸入场等情况。《办法》确立了非唯一验证的原则，并且在第十条中明确规定，当实现相同目的或者达到同等业务要求时，如果存在其他非人脸识别技术的方式，就不可以将人脸识别技术作为唯一的验证方式。同时，为了降低人脸信息的收集与存储量。第十一条明确规定，在应用人脸识别技术来验证个人身份以及辨识特定个人时，应当优先选用国家人口基础信息库、国家网络身份认证公共服务等渠道来进行实施。这样做的目的是减少人脸信息的收集和存储，从而更好地保护人脸信息的安全。
部分弱势群体的人脸信息权益受损这一问题在社会上反映强烈，《办法》第五条规定，在处理残疾人、老年人人脸信息时，应当符合国家有关无障碍环境建设的规定。
…………
《办法》借助个人信息保护影响评估机制，规定个人信息处理者需在事前对处理活动的合法性与风险进行评估；凭借备案制度，提升个人信息处理者的责任意识，同时也便于监管部门展开监督工作；通过数据加密、入侵检测以及防御等相关要求，促使个人信息处理者不断改进安全策略和保护措施。周辉，中国法学会网络与信息法学研究会常务副秘书长，对此进行了介绍。
张勇表示，要保护人脸信息安全，这需要社会上的各个方面共同努力。他建议，应当加强对包括人脸信息在内的个人信息的保护宣传教育工作，以此来提升个人在信息保护方面的法治意识。
