人脸识别技术是目前最主流的生物识别技术，应用越来越广，但它也是监管高敏感区，企业用得好能提升效率，用不好容易踩合规红线，特别要注意使用后的人脸数据销毁。

一、什么是人脸识别技术？

所谓人脸识别,是自动处理包含个人面部的数字图像,以便对这些个人进行识别、认证/验证或分类。简单说，人脸识别技术就是让计算机认脸的智能工具。通过摄像头捕捉人脸图像，用算法提取五官位置、轮廓形状等核心特征，再和数据库里已有的人脸信息做比对，最终完成确认身份或查找匹配对象的操作。核心流程就三步：

（1）采集：用摄像头拍人脸；

（2）提取：通过算法自动提炼人脸关键特征/数据；

（3）比对：把提取的特征和数据库数据对比，得出是/不是同一个人或找到匹配者的结果。

二、为什么人脸信息属于敏感信息？

人脸信息是法律明确的敏感信息，保护标准远高于手机号、姓名等，主要是：

1、与生俱来，没法更换：人脸是天生的，不像手机号、密码能随时换，一旦泄露或被滥用，风险会伴随一辈子；

2、易被采集，难以察觉：摄像头能远距离、隐蔽式采集（比如商场监控、路边探头），很多人被采集了都不知道，容易“被动泄露”；

3、独一无二，直接可定位到个人：每个人的人脸都是独特的，能直接对应到具体的人，还能和消费记录、行踪轨迹绑定，一旦泄露，个人隐私可能被全面曝光。

1、身份核验与验证类：验证你是你本人，替代密码、证件，实现实名实人核验。比如手机解锁、APP 登录、银行卡刷脸支付。

2、出入通行与考勤管理类：管控进出权限、记录通行/考勤数据，提升管理效率。比如小区/写字楼门禁、工厂/学校考勤打卡、景区入园检票、地铁/高铁安检核验。

3、公共安全与安防监控类：治安防控、风险预警、安全保障，维护公共秩序。比如公共场所安防管控、人员查找；商场/超市防盗监控、城市道路治安监控等等。

4、商业运营与消费服务类：优化消费体验、提升运营效率、辅助商业分析。比如商场客流统计（分析不同年龄段、性别客户的光顾情况）、无人超市付款等。

5、政务服务与社会民生类：便民办事、简化流程、实现刷脸办政务。比如社保/公积金刷脸认证、户籍/出入境业务核验；图书馆刷脸借阅、博物馆刷脸入场。

6、智能设备与家居场景类：智能家居交互、设备智能管控，提升生活便捷性。智能门锁刷脸开门、家庭摄像头人脸抓拍、汽车驾驶员人脸监测、车内权限管控

提醒：有些场景看似方便，但容易踩坑，比如未经同意在商场用人脸识别做精准营销、在公共区域长期存储人脸数据等。

1、基础法律：《个人信息保护法》。明确要求：人脸信息属于敏感个人信息，处理必须满足必要性（确实需要用，没有其他替代方式）；实操要求：

（1）必须明确告知用户“采集目的、用途、留存时间”，让用户主动同意（不能默认同意）；

（2）不能“不同意就不让用核心服务”（比如 APP 登录时，不授权刷脸就不让用，哪怕有密码登录方式）；

（3）用户要求删除自己的人脸信息，必须无条件配合，还要进行人脸数据销毁。

2、专门规定：《人脸识别技术应用安全管理规定（试行）》。明确要求：规范人脸识别的全流程，从采集、存储到使用、删除都有具体要求；实操要求：

（1）公共场合安装人脸识别设备，必须有明显提示（比如贴公告、设指示灯）；

（2）不能强制要求公众刷脸（比如小区门禁，必须提供刷脸之外的其他方式，如门禁卡）；

（3）人脸信息不能用来做与采集目的无关的事（比如用门禁采集的人脸信息做营销）。

3、民事纠纷依据：《最高人民法院关于审理使用人脸识别技术处理个人信息相关民事案件适用法律若干问题的规定》。明确要求：未经同意偷偷采集人脸信息、超范围使用，都属于侵权，要承担赔偿责任；实操要求：

（1）商场酒店等经营场所，不能强制要求消费者刷脸（比如不刷脸就不让进）；

（2）收集人脸信息时，必须单独获取同意（不能和其他服务协议捆绑在一起让用户勾选）。

4、技术标准：《信息安全技术人脸识别数据安全要求》等。明确要求：人脸信息的存储、加密、传输要符合技术规范，避免泄露；实操要求：

（1）存储人脸信息必须加密（比如用特殊算法把数据加密，就算被黑客攻击也看不懂）；

（2）不能存储完整人脸图片，尽量只存储人脸特征数据；

（3）留存时间不能超过实现目的的最短时间（比如考勤数据存1 个月算工资，之后必须删除），存储的个人人脸信息必须进行数据销毁。