人脸识别新规实施，“刷脸”不能滥用

2025年6月1日正式施行的《人脸识别技术应用安全管理办法》，是我国在个人信息保护领域的又一重要立法成果。随着 “刷脸支付”“刷脸考勤”“刷脸入园” 等场景的普及，人脸识别技术在便利生活的同时，也引发了诸如过度采集、数据泄露、强制使用等乱象。《办法》的出台，旨在通过构建“目的限定-最小影响-全程合规”的制度体系，平衡技术创新与权益保护的关系，防止人脸识别成为商业机构的“偷懒式解决方案”。
01、核心条款深度解析
（一）“充分必要且影响最小”原则：技术应用的“红绿灯”
《办法》第四条确立的这一原则，是人脸识别技术应用的根本性约束。其内涵包括三重审查：
目的特定性：禁止 “为刷脸而刷脸”，要求每项应用必须对应明确的业务需求（如安防、身份验证等），反对将人脸识别作为变相收集用户数据的手段。假设健身房以“提升服务体验”为由要求会员刷脸入场，但若其实际目的是收集数据用于精准营销，则可能构成目的不正当。
必要性审查：存在非人脸识别技术可实现同等目的时，不得强制使用刷脸。在2021年“杭州野生动物世界刷脸案”，法院判决动物园删除用户面部信息，核心理由即在于“指纹识别足以满足入园需求，刷脸并非必要”。《办法》将这一司法裁判规则上升为法规，明确“非唯一验证原则”。
影响最小化：要求技术方案选择对个人权益损害最小的方式。例如，在商场客流统计场景中，应采用模糊化处理技术，仅识别客流量而不采集具体人脸信息。
（二）告知同意机制：用户知情权的“防护网”
1.显著性：需通过弹窗、书面文本等醒目方式告知，避免埋没在冗长的隐私政策中。
2.清晰性：禁用晦涩术语，需明确说明 “收集人脸信息用于门禁识别，保存期限1年，逾期删除”等具体内容。
3.完整性：需涵盖处理者身份、处理目的、保存期限、维权途径等内容。
此外，《办法》还明确了单独同意规则，即区别于一般个人信息的“概括同意”，人脸信息处理需用户 “二次确认”。同时明确，处理不满 14 周岁未成年人信息需监护人同意，且应制定专门处理规则。
（三）数据存储与流转：筑牢安全“防火墙”
1.原则上应存储于本地设备，禁止通过互联网传输，除非法律特别规定或获得单独同意。这一规定直击部分企业将人脸数据上传至云端存储的普遍做法。
2.明确“实现目的所必需的最短时间”，例如考勤系统应在员工离职后立即删除人脸信息，而非无限期保留。
3.存储量达10万人时需向省级网信部门备案，备案内容包括处理规则、安全措施等。
（四）技术应用限制：划定场景“负面清单”
禁止唯一验证规则：用户不同意刷脸时，必须提供密码、指纹等替代方式。
公共场所安装规范：仅限 “维护公共安全必需”场景使用，如机场、地铁站安防，并需设置显著提示。
优先使用公共数据源：鼓励接入国家人口基础信息库等官方渠道，减少企业自建数据库。
02、企业合规与个人维权指引
（一）企业合规 “checklist”
1.开展全面合规审计：
自查现有系统是否符合“必要性”要求，对非必需场景立即停用人脸识别。
委托第三方机构进行个人信息保护影响评估，重点审查风险等级与保护措施匹配度。
2.优化告知同意流程：
制定独立的《人脸信息处理告知书》，避免与隐私政策混同。
采用“一揽子选择 + 单独勾选”模式，确保用户明确知悉并单独授权。
3.数据安全加固措施：
落实本地化存储要求，确需联网的需通过加密传输、去标识化处理。
建立数据定期删除机制，设置自动提醒程序，避免超期存储。
4.员工培训与制度建设：
对技术、运营、客服等岗位开展专项培训，确保一线人员熟悉新规要求。
制定《人脸识别应急处置预案》，明确数据泄露后的报告、处置流程。
（二）个人维权指引
1.事前防范：
消费时注意观察场所是否设置人脸识别提示标识，询问是否有替代验证方式。
拒绝签署含“强制刷脸”条款的合同，要求企业明确告知信息用途。
2.事中监督：
发现违规采集时，可当场要求停止处理，并留存告知书、沟通记录等证据。
通过企业客服渠道申请撤回同意，要求出具书面回执。
3.事后救济：
行政投诉：向属地网信办或公安机关提交书面投诉，附证据材料。
民事诉讼：违反法律规定采集、处理人脸信息的，可以以个人信息保护纠纷向法院提起诉讼。
《人脸识别技术应用安全管理办法》的实施，标志着我国对生物识别技术的治理进入“精准规制” 阶段。对于企业而言，这并非限制技术发展，而是引导其以更合规的方式实现技术价值；对于个人而言，新规赋予的不仅仅是维权工具，更是参与数字社会治理的权利——每一次对过度刷脸的拒绝，都是在推动技术伦理的进步。