适用场景
计划或已在海外市场（尤其是对数据隐私监管严格的地区）部署人脸识别技术的中国出海企业，涉及零售客流分析、智能安防、身份验证、员工考勤等业务场景。
核心要点
1. 明确人脸信息的多重法律属性
人脸信息不仅是受《个人信息保护法》保护的个人信息，其提取的生物识别特征属于敏感个人信息，受到更严格规制。同时，它还可能涉及个人的肖像权与隐私权，需综合《民法典》等法律进行合规判断。企业必须首先识别其处理的人脸信息具体属于何种法律性质的数据。
2. 遵守敏感个人信息处理的特殊要求
处理人脸生物识别信息，必须具备特定的、充分的必要性，并采取严格保护措施。处理前必须进行个人信息保护影响评估，并向个人清晰告知处理者身份、目的、方式、影响及权利等事项，且必须取得个人的单独同意，不得捆绑授权或变相强迫。
3. 遵循人脸识别技术的使用限制
在线上线下场景中，均不得将人脸识别作为唯一的身份验证方式，必须提供替代方案。在公共场所安装设备，必须是为维护公共安全所必需，设置显著提示标识，且所收集信息除取得单独同意外不得用于其他目的。
4. 区分不同应用场景的合规重点
人脸识别应用主要分为人脸验证（1:1比对）、人脸辨识（1:N比对）和人脸分析（统计检测）三类。企业需根据具体场景（如安防、考勤、客流分析）评估数据敏感性，并采取相应层级的合规措施，特别是对人脸分析这类“无感”采集场景要保持高度警惕。
实务建议
- 部署前必须进行个人信息保护影响评估，并记录存档。
- 获取同意时，必须设置独立的勾选框或同意按钮，确保是‘单独同意’，不得与其他授权捆绑。
- 始终提供人脸识别以外的替代身份验证方式（如密码、刷卡），并确保用户体验顺畅。
- 线下使用自动采集设备时，必须在入口设置清晰、显著的物理或语音提示标识，告知收集行为。
- 制定清晰的隐私政策，明确告知人脸信息的处理目的、保存期限及个人行使权利的方式。
- 优先考虑非自动采集设备（如需要用户主动对准的屏幕），以降低‘无感’采集的合规风险。
- 严格控制人脸识别设备的覆盖范围，避免在非必要公共区域全覆盖。
风险提示
- 切勿将人脸识别设为唯一验证方式，这是明确的监管红线。
- 避免‘无感’或‘隐形’采集，未履行告知义务即收集人脸信息是高频处罚点。
- 不要认为公开的人脸照片（如社交头像）可随意处理，若从中提取生物特征仍需遵守敏感信息规则。
- 线下场景的合规设计比线上更复杂，需特别注意告知与同意的实现形式。
- 仅以‘优化服务’或‘提升体验’为由，难以证明处理人脸生物信息的‘充分必要性’。