不刷脸就不让进？小区、商场、写字楼的强制刷脸，有三个合规红线

　　先说一个几乎人人都遇到过的场景。小区换了新门禁，物业通知业主"到物业办公室录一下人脸"，没有录的，上下班高峰期站在闸机前刷卡也不开；写字楼大堂的闸机同样只认脸，访客刷不了，得打电话让人下来接；商场会员中心则更委婉一点，说扫码入会能领券，但绑定时顺手把人脸也采了，理由是"下次到店免登录"。这些做法看起来都只是"图个方便"，但在法律上，它们指向的其实是同一个问题：处理人脸信息，到底需要什么前提，边界又划在哪里。

　　人脸信息不是普通信息。《中华人民共和国个人信息保护法》第二十八条把它明确列入"敏感个人信息"，理由是它属于生物识别信息，一旦泄露或者被非法使用，容易导致自然人的人格尊严受到侵害或者人身、财产安全受到危害。同法第二十九条规定，处理敏感个人信息应当取得个人的"单独同意"。《人脸识别技术应用安全管理办法》（国家互联网信息办公室、中华人民共和国公安部令第19号，2025年3月13日公布）自2025年6月1日起施行后，又给"刷脸"这件事单独立了一套更细的规矩。

　　需要先厘清一个适用范围的问题。办法第二条把两种情况分开：在境内应用人脸识别技术处理人脸信息的活动适用本办法；而为从事人脸识别技术研发、算法训练而处理人脸信息的，不适用本办法。也就是说，做算法的实验室和卖门禁的厂商装机调试，与物业、商场、写字楼真正面向人流"用"这套系统，是两回事——后者的合规压力落在使用方身上。

　　下面三个判断，是这类项目里最容易判错、也最容易在投诉或诉讼中被抓住的地方。

#一、把"刷脸"设成唯一进门方式，问题出在哪

#规则：唯一验证方式本身就是一条红线

　　办法第四条要求，应用人脸识别技术处理人脸信息应当具有特定的目的和充分的必要性，采取对个人权益影响最小的方式，并实施严格保护措施。真正给出硬性禁止的，是同办法第十条：实现相同目的或者达到同等业务要求，存在其他非人脸识别技术方式的，不得将人脸识别技术作为唯一验证方式；个人不同意通过人脸信息进行身份验证的，应当提供其他合理、便捷的方式。

　　这一条把很多经营者的做法直接顶到了墙上。门禁通行这件事，刷卡、二维码、密码、人工核验都能达到同等业务要求，很难论证"除了刷脸别无他法"。也就是说，当物业或者写字楼把闸机调成只认脸、连本楼的实体卡和二维码都不给用时，问题已经不在于有没有让业主签同意书，而在于处理方式本身缺乏"充分必要性"。

　　再叠加《个人信息保护法》第十六条：个人信息处理者不得以个人不同意处理其个人信息或者撤回同意为由，拒绝提供产品或者服务，处理个人信息属于提供产品或者服务所必需的除外。把这几条放在一起看，态度就很清楚了——"不刷脸就不让进"，在没有别的合法通道的前提下，几乎无法自证正当。

#风险：签了字的同意，也可能站不住

　　实务中，物业和运营方的第一反应往往是"我们让业主签过字了"。但同意在这类场景里有两重考验。其一是形式：人脸信息属于敏感个人信息，需要的是单独同意，而不是夹在物业服务合同或者会员协议里的一句概括授权；把刷脸和交物业费、办会员打包在一起，很难被认定为"充分知情前提下自愿、明确作出"。其二是实质：如果拿不出别的通行方式，员工、业主、访客在"不同意就进不去"的压力下作出的同意，本身就可能被质疑是被迫的。

　　一旦被认定为未取得有效同意而处理人脸信息，后果不只体现在民事赔偿上。《个人信息保护法》第六十六条规定，违法处理个人信息或者未履行个人信息保护义务的，由履行个人信息保护职责的部门责令改正、给予警告、没收违法所得；拒不改正的，并处一百万元以下罚款；情节严重的，由省级以上部门责令改正、没收违法所得，并处五千万元以下或者上一年度营业额百分之五以下罚款，并可以责令暂停相关业务或者停业整顿、通报有关主管部门吊销相关业务许可或者吊销营业执照，对直接负责的主管人员和其他直接责任人员另处罚款。对连锁经营的商超、物业公司而言，这个量级的风险并不遥远。

#实务建议：并行通道是成本最低的解法

　　比较务实的做法是三条路各看一眼。第一条是彻底不刷脸，回到刷卡或二维码，合规成本最低，但前期设备投入变成沉没成本，且运营方往往舍不得放弃刷脸带来的效率。第二条是保留刷脸、同时并行提供非生物识别的通行方式，由个人自行选择，这是多数场景下性价比最高的方案，代价是要改造闸机的并行逻辑，并把每个人的选择记录留存下来，证明公司确实给了"其他合理、便捷的方式"。第三条是坚持把刷脸作为唯一方式，那就必须准备"非刷脸方式无法实现同等业务要求"的论证材料，并说明替代方案的合理性——在门禁这种场景里，这道门槛通常很难跨过去。

　　还需要提醒一点：《个人信息保护法》第五十一条要求个人信息处理者根据处理目的、方式、信息种类和风险，采取制定内部制度、分类管理、加密去标识化、权限控制与人员培训、应急预案等措施。小区、写字楼这类项目里，人脸数据由谁录入、谁能调取、离职后账号是否回收，如果连台账都没有，"我们采取了严格保护措施"这句话在检查时是撑不住的。

#二、商场、售楼处的人脸摄像头：公共安全还是营销工具

#规则：公共场所装设备，"目的"被限定死了

　　办法第十三条规定，在公共场所安装人脸识别设备，应当为维护公共安全所必需，依法合理确定人脸信息采集区域，并设置显著提示标识；任何组织和个人不得在宾馆客房、公共浴室、公共更衣室、公共卫生间等公共场所中的私密空间内部安装人脸识别设备。《个人信息保护法》第二十六条则规定得更直接：在公共场所安装图像采集、个人身份识别设备，应当为维护公共安全所必需，遵守国家有关规定，并设置显著的提示标识；所收集的个人图像、身份识别信息只能用于维护公共安全的目的，不得用于其他目的，取得个人单独同意的除外。

　　这两条合在一起，划出了两条独立的线。第一条是场所线：私密空间内一律不得安装，没有例外论证的空间。第二条是目的线：公共场所的设备，其正当用途是"维护公共安全"，商业客流统计、回头客识别、按人脸推送营销，属于另一套目的，需要另行取得单独同意，不能借"安防"之名行营销之实。

#风险：商业分析用途最容易踩线

　　现实中风险最集中的，恰恰是"人脸识别到店"这类商业分析。摄像头装在店门口、售楼处沙盘旁、商场中庭，对外说辞是安全防范，实际用途却是识别会员到访次数、统计新老客户比例、给特定到访者打标签。这在目的上与"公共安全"相去甚远，被认定为超范围处理的可能性很高。曾经广泛出现的"戴头盔看房"现象，本质上就是消费者对这种用途的抵触与规避。

　　另外两个常被忽略的坑：一是提示标识缺失。办法第五条要求处理前以显著方式、清晰易懂的语言告知处理者名称、处理目的与方式、保存期限、必要性及影响、行使权利的方式和程序；《个人信息保护法》第十七条有同类要求。只在门口贴一张模糊的"监控区域"贴纸，不足以覆盖人脸识别的告知义务。二是委托第三方。很多门店的人脸系统由外部技术服务商提供并按调用量付费，数据也会回传。这种关系属于《个人信息保护法》第二十一条项下的委托处理，双方应当约定处理目的、期限、方式、信息种类、保护措施以及权利义务，处理者还负有监督义务，受托人不得超范围处理，未经同意不得转委托。把这些内容留在一份通用软件销售合同里，是远远不够的。

#实务建议：把"安全"和"营销"两套系统彻底分开

　　稳妥的处理是把用途拆开。真正为公共安全服务的部分，保留设备，但要在入口设置显著的提示标识，并明确告知用途；用于商业分析的场景，则优先改用非生物识别方式（客流计数、Wi-Fi 探针之外，更常见也更安全的是不识别个体身份的统计手段），确实需要识别到人的，必须单独取得同意，并且提供不针对其个人特征的选项。

　　私密空间则没有折中空间——客房、浴室、更衣室、卫生间内部一律不得安装，这条线不要试图用"防损""防纠纷"来论证。对委托第三方的项目，应补齐委托处理协议，写清是否用于模型训练、留存与删除机制、数据存储位置，并把服务商纳入定期检查范围。

#三、人脸信息存到哪、存多久、要不要备案：很多项目技术上就已经违规

#规则：原则上不能联网外传，还要算一道人数账

　　办法第八条给出了两条容易被忽略的硬要求：除法律、行政法规另有规定或者取得个人单独同意外，人脸信息应当存储于人脸识别设备内，不得通过互联网对外传输；除法律、行政法规另有规定外，人脸信息的保存期限不得超过实现处理目的所必需的最短时间。《个人信息保护法》第十九条同样要求保存期限应为实现处理目的所必要的最短时间。

　　办法第九条要求，应用人脸识别技术处理人脸信息前应当事前进行个人信息保护影响评估，并对处理情况进行记录，评估报告和处理情况记录至少保存3年；处理目的、方式发生变化或者发生重大安全事件的，应当重新评估。这与《个人信息保护法》第五十五、五十六条对影响评估的情形与内容要求一脉相承。

　　最容易被漏掉的，是办法第十五条的备案义务：个人信息处理者应当在应用人脸识别技术处理的人脸信息存储数量达到10万人之日起30个工作日内，向所在地省级以上网信部门履行备案手续；备案信息发生实质性变更的，应在变更之日起30个工作日内办理变更，终止应用的应在终止之日起30个工作日内注销备案并依法处理人脸信息。国家互联网信息办公室2025年5月28日发布的备案工作公告进一步明确：自2025年6月1日起存储数量达到10万人的，自数量达到之日起30个工作日内备案；2025年6月1日前已达到10万人的，应在2025年7月14日前补履行备案手续；变更同样在30个工作日内办理，备案通过线上"个人信息保护业务系统"完成。

#风险：上云、超期保存、漏备案，都指向同一个举证困境

　　不少项目的架构是：门店或门禁终端采集人脸，统一上传到总部服务器或者第三方云平台做比对与统计。这种"终端采集、云端比对"的部署方式，与办法第八条"存储于设备内、不得通过互联网对外传输"的原则正好相反，除非能落到前述法定例外或者单独同意的例外上，并且仍然要采取严格保护措施。技术上方便，法律上却先丢了一分。

　　超期保存是第二个高发问题。业主、员工、会员已经搬离或者解约，人脸模板还留在系统里——《个人信息保护法》第四十七条明确，处理目的已实现、无法实现或者不再必要，处理者停止提供服务，或者个人撤回同意的，处理者应当主动删除，未删除的个人有权请求删除。此时若拿不出删除记录，"过期还留着"本身就是一项独立的违法事实。

　　第三道坎是备案。一个大型小区、一栋写字楼或者一个连锁品牌的门店网络，人脸信息存储量跨过10万人并不困难，但真正履行备案手续的比例并不高。漏备案不只是一个形式瑕疵，它同时意味着前面的影响评估、存储措施、处理规则大多没有建立——因为备案材料里恰恰要求提交人脸信息的存储数量和安全保护措施、处理规则和操作规程、以及个人信息保护影响评估报告，缺了这些，备案本身也无从填起。

#实务建议：先做一次"人数与流向"盘点

　　整改的第一步不是改技术，而是做盘点：现有人脸信息到底有多少条、存在哪台设备或哪个云上、谁能访问、保存期限怎么设定、有没有对外传输给第三方。这张表决定了后面所有动作的优先级。

　　第二步是改造存储与期限。能落到设备内的，优先本地化存储；确需集中处理的，做加密、去标识化与访问权限最小化，并设定明确的到期删除规则与执行记录。第三步是补齐程序文件：影响评估报告与处理记录至少保存3年，处理规则与操作规程对外公开、对内可查，达到10万人的按规定完成备案。如果涉及向其他个人信息处理者提供人脸信息，还要回到《个人信息保护法》第二十三条，另行取得单独同意；涉及向境外提供的，则落入第三十九条的单独同意与相应跨境条件。

#律师实务建议：把合规落到三张清单和三份文件上

　　这类项目真正的落地动作，其实集中在几个可核查的物件上。三张清单：一是场景清单，把所有涉及人脸识别的场所和用途列出来，逐项标注是"公共安全"还是"商业分析"，后者一律单独论证；二是合法性基础清单，逐场景写明依据是何种单独同意、何种法定例外，并附上对应的告知与选择记录；三是技术部署清单，写清数据的存储位置、传输路径、保存期限、访问权限与删除机制。

　　三份文件：一是单独同意的授权文本，把人脸识别从物业服务合同、会员协议里拆出来单独告知与勾选，并提供便捷的撤回渠道；二是与技术服务商之间的委托处理协议，明确目的、期限、方式、是否用于训练、留存与删除、数据位置以及泄露通知义务；三是个人信息保护影响评估报告，覆盖处理目的合法正当必要、对个人权益的影响与风险、以及保护措施是否与风险相适应。

　　还有一件事平时用不上、出事后却决定损失大小：《个人信息保护法》第五十七条要求，发生或者可能发生个人信息泄露、篡改、丢失的，应立即采取补救措施，并通知履行个人信息保护职责的部门和个人。把这条做成一份简单的应急流程——谁来定位范围、谁来评估影响、什么时候通知、通知写什么——成本不高，但能把一次事故从"失控"拉回到"可解释"。

#结语

　　刷脸这件事的难点，从来不在于技术，而在于经营者愿不愿意为"方便"补上对应的义务。一条充分的必要性论证、一条并行的通行通道、一份单独同意、一份影响评估、一次按期备案，加起来的成本远低于事发之后的整改与处罚。相反，把"用户已经同意"当成唯一挡箭牌，恰恰是最容易被推翻的那个假设。真正需要先问清楚的，是这三个问题：这件事有没有别的做法、这个人是不是真的同意了、这份数据现在躺在哪里。

---

正在推进门禁、商场客流或会员体系的人脸识别项目，或者收到了关于刷脸的个人信息投诉？预约测绘，帮你把场景清单、合法性依据和备案材料一次理清楚。