《人脸识别技术应用安全管理办法》由国家互联网信息办公室与公安部联合公布，2025 年 6 月 1 日起施行。公共场所装刷脸设备、采集人脸信息从此有硬约束：显著提示、单独同意、设备内存储、不能强制刷脸、私密空间禁装。本文把落地要点与自查项列清楚。
人脸信息在法律上是什么地位
人脸信息属于敏感个人信息，受《个人信息保护法》约束。该办法是国家网信部门依据个保法第六十二条，针对人脸识别专门制定的个人信息保护规则，与其配套的上位法还有《网络安全法》《数据安全法》《网络数据安全管理条例》。监管口径很明确：处理人脸信息必须遵守法律法规，尊重社会公德和伦理，不得危害国家安全、损害公共利益、侵害个人合法权益。从事人脸识别技术研发与算法训练活动而处理人脸信息的，不适用该办法，为研发创新留了空间。
采集与使用五条硬规则
- 目的正当：应当具有特定的目的和充分的必要性，采取对个人权益影响最小的方式，并实施严格保护措施。
- 显著告知：以显著方式、清晰易懂的语言，真实、准确、完整地向个人履行告知义务。
- 单独同意：基于个人同意处理人脸信息的，应当取得个人在充分知情前提下自愿、明确作出的单独同意；处理不满十四周岁未成年人的人脸信息，应取得其父母或其他监护人同意。
- 设备内存储：除法律、行政法规另有规定或取得个人单独同意外，人脸信息应存储于人脸识别设备内，不得通过互联网对外传输。
- 最短期限：人脸信息的保存期限不得超过实现处理目的所必需的最短时间，并应事前进行个人信息保护影响评估、对处理情况进行记录。
公共场所装设备有哪些要求
在公共场所安装人脸识别设备，应当为维护公共安全所必需，依法合理确定人脸信息采集区域，并设置显著提示标识。安防场景里的抓拍比对、黑名单布控，属于维护公共安全的应用，但仍要满足"采集区域合理 + 显著提示"两个前提，提示牌应写明采集主体、目的、范围与联系方式。
私密空间是红线：任何组织和个人不得在宾馆客房、公共浴室、公共更衣室、公共卫生间等公共场所中的私密空间内部安装人脸识别设备。写字楼卫生间、酒店房间内装刷脸设备或隐蔽摄像头，都属于明确违规。
不能强制刷脸：替代方式与禁止行为
办法要求，实现相同目的或达到同等业务要求、存在其他非人脸识别技术方式的，不得将人脸识别技术作为强制验证方式；个人不同意通过人脸信息进行身份验证的，应当提供其他合理、便捷的方式。同时明确禁止以办理业务、提升服务质量等为由，误导、欺诈、胁迫个人接受人脸识别验证。实际落地时，访客登记、会员核验、出入控制等场景都应保留刷卡、扫码、人工核验等选项，避免把刷脸做成过关条件。
备案义务与自查五问
存储人脸信息数量达到 10 万人之日起 30 个工作日内，个人信息处理者应当向所在地省级以上网信部门履行备案手续，并提交相应备案材料。安防项目多数达不到这个量级，但达到就要按期备案。
落地自查按五问过一遍：
- 采集点位有没有显著提示标识，区域划定是否合理？
- 有没有取得单独同意，未成年人信息有没有监护人同意？
- 人脸信息是不是只存在设备本地、没有走互联网外传？
- 是不是给了刷卡、扫码等非刷脸替代方式，没有强制？
- 存储量过 10 万条有没有在 30 个工作日内备案？
监管侧，四部门联合专项行动已把"公共场所违法违规收集使用人脸识别信息"列为治理重点，覆盖未履行告知同意、未设置显著提示标识、未采取加密等严格保护措施、未开展个人信息保护影响评估等情形，违反办法将依法承担法律责任。
TL;DR
- 人脸信息是敏感个人信息，专门的《人脸识别技术应用安全管理办法》2025 年 6 月 1 日施行。
- 五条硬规则：目的正当、显著告知、单独同意、设备内存储、最短期限。
- 公共场所刷脸要"公共安全必需 + 采集区域合理 + 显著提示"三件套，私密空间一律禁装。
- 有替代方式的场景不能强制刷脸，还得给非刷脸的便捷通道。
- 存储满 10 万条 30 个工作日内向省级以上网信部门备案，落地按自查五问过一遍。
参考资料
- public-camera-regulation
- gb31488-face-recognition
- visitor-id-verification-compliance
- gb37300-video-collection-guide
- facial-access-control