进商场，入口的摄像头在计数；进服装店，试衣区外的探头对着通道；逛售楼处，门口的人脸抓拍机记录下你的每一次到访；办张健身卡，前台要求先刷脸录指纹。商家说这是安防需要，是客流统计，是会员服务。消费者的疑问是：我在店里被认出来了吗？我的脸被存到哪里去了？商家拿它做了什么？

这些问题在监管和司法层面已经有相当清晰的答案。市场监管部门对售楼处人脸识别持续开出罚单，最高检将健身房强制刷脸案列入个人信息保护检察公益诉讼典型案例，上海三中院对“违规收集消费者人脸信息”的磋商协议作出司法确认。但商家端的普遍认知仍然滞后，最常见的一句话是：“我们贴了提示牌，也告知了。”本文要说明的是：贴了提示牌，不等于可以收集人脸。

本文讨论的问题归为四类：商场、门店装摄像头和“认脸”在法律上有什么区别；以安防为名的摄像如何与营销用途的人脸识别划界；商家收集人脸信息要满足什么条件；消费者发现被“认脸”后如何维权。售楼处的“防飞单”人脸抓拍和健身房的强制刷脸，是其中问题最集中的两个业态，本文一并分析。

先厘清一个前提：安防监控和身份识别是两件事。商场装摄像头防盗，属于经营场所的安全管理，法院认可其正当性；但摄像头如果带人脸识别功能，用于识别回头客、判断情绪、跨店追踪、与中介结算佣金，就超出了安防范畴，进入人脸识别应用的规制轨道。“装了摄像头”与“识别你是谁”，法律评价完全不同。

1. 安防摄像可以，识别追踪不可以。昆明五华区法院在王某东诉超市案中确认，经营场所基于经营安全需要安装安防摄像头具有正当性；但同一摄像头如果用于识别个人身份、分析个体行为，属于另行的人脸识别应用，须回到单独同意的轨道。商家不能以“安防”为名，行“认脸”之实。

2. “贴了提示牌就合法”不能成立。个保法第 26 条要求公共场所安装图像采集、个人身份识别设备的，应当设置显著提示标识，但提示解决的是透明问题，不解决合法性基础。商家在门口贴“本店有人脸识别”的告示，不等于取得消费者处理其敏感个人信息的单独同意；把提示牌当作商业人脸识别的通行证，是执法中被反复纠正的错误认知。

3. 营销用途的人脸识别，必须取得单独同意。识别回头客、VIP 迎宾、情绪分析、跨店追踪、与中介结算佣金，都是与“公共安全”无关的经营目的。个保法第 26 条规定公共场所采集的信息原则上只能用于维护公共安全，其他目的必须取得个人单独同意。实践中，商家几乎无法在顾客进出门店的瞬间取得真实、自愿、可撤回的单独同意——做不到，正确做法就是不做人脸识别，改用匿名客流统计或人工观察。

4. 匿名客流统计可以做，但必须真匿名。如果系统确实不保存可识别图像、不生成持久标识、不关联个人信息，匿名客流统计风险较低；只要技术上还能回溯到具体个人，就不能自称匿名（个保法第 73 条第 4 项对匿名化的要求是不可识别且不可复原）。“打码”“模糊化后仍可还原”都不是匿名化。

5. 售楼处“防飞单”人脸识别是重灾区。房企在售楼处安装人脸抓拍系统，用于识别客户到访次数、与中介结算佣金，是市场监管处罚和检察公益诉讼集中打击的对象：上海华稼被罚 5 万元、青浦两家房企被查出违法收集 2.8 万条人脸数据、上海三中院对整改磋商协议作出司法确认。所谓“防飞单”的销售管理利益，不能正当化未经同意的人脸收集。

6. 服务场所强制刷脸，同样踩线。最高检新吴区案中，健身房强制会员刷脸或录指纹进入，未告知收集清单。会员拒绝后，健身房仍擅自将办卡照片录入系统作刷脸凭证，并且在会员要求删除时，拒绝其请求——检察机关立案并制发检察建议后，当地市场监管部门对 5 家服务场所责令改正，全市排查服务场所 126 处、督促整改 56 处、删除违法采集信息 9300 余条。服务场所不能以“办卡必须录脸”作为唯一入口。

7. 人脸数据同样受设备内存储、最短保存期约束。门店人脸识别系统采集的人脸信息，原则上应存储于识别设备内、不得经互联网传输（19 号令第 8 条）；保存期限不得超过实现目的所必要的最短时间。青浦案中，房企把人脸数据藏匿于异地云服务器，恰恰是规避设备内存储要求的典型手法，最终通过远程勘验被起获。

8. 备案双轨，不可替代。王某东案中，原告主张在超市被“跟踪”，但提交的证据只是安防摄像头，未能证明系统存在人脸识别和追踪功能，被判驳回。反过来，这一判决也提示商家：合规审查和诉讼应对围绕设备真实功能展开——设备是否有人脸库、是否提取特征模板、是否跨店追踪、是否联网，白纸黑字的事实决定责任。

《消费者权益保护法》第 29 条要求经营者收集、使用消费者个人信息须明示并经同意，不得违反法律、法规的规定和双方的约定收集、使用；第 56 条规定了相应行政处罚。《个人信息保护法》第 26 条（公共场所图像采集、个人身份识别设备的目的限定与显著标识）、第 28-29 条（人脸信息属敏感个人信息，须特定目的、充分必要、严格保护并取得单独同意）、第 44-50 条（消费者权利）、第 66-71 条（法律责任）同样适用于经营场所。此外，《民法典》第 1032-1039 条的人格权保护是消费者主张权利的实体基础。

《最高人民法院关于审理使用人脸识别技术处理个人信息相关民事案件适用法律若干问题的规定》（法释〔2021〕15 号）第 2 条第 2 项和第3项将“未公开处理规则、未明示处理目的、方式、范围”“未取得单独同意”的经营场所人脸识别列为侵害人格权益的情形——这是市场监管部门处罚售楼处人脸识别的直接依据之一（上海华稼案处罚决定书即援引该项）。第 4 条否定捆绑、强迫取得的同意，第 8 条、第 9 条支持删除信息、赔偿损失、合理维权费用和人格权侵害禁令。

《公共安全视频图像信息系统管理条例》（国务院令第 799 号）第 7 条规定，商贸中心、景区、文体娱乐场所等涉及公共安全的区域，由负有经营管理责任的单位依标准建设公共安全视频系统。商场、门店自建监控是否属于条例所称公共安全视频系统，取决于系统属性认定，实践中应按当地公安备案口径办理；条例关于提示标识、保存期限、调取限制、公开传播保护的一般要求，对经营场所监控具有参照意义。条例第 8 条私密空间禁止安装的规定，直接约束试衣间、卫生间等区域的摄像行为。

《人脸识别技术应用安全管理办法》（网信办、公安部令第 19 号）对经营场所人脸识别的约束包括：处理前显著、完整告知（第 5 条）；自愿明确的单独同意（第 6 条）；原则上设备内存储、不得经互联网传输（第 8 条）；事前个人信息保护影响评估（第 9 条）；非唯一验证方式（第 10 条）；公共场所安装限于公共安全所需并合理确定采集区域（第 13 条第 1 款）；存储人脸信息达 10 万人之日起 30 个工作日内备案（第 15 条）。《侵害消费者权益行为处罚办法》第 11 条将“未经消费者同意收集、使用消费者个人信息”列为侵害消费者权益行为，是市场监管执法的直接依据。

《深圳经济特区数据条例》（2022 年1月1日施行）第 19 条要求处理生物识别数据（含面部识别特征）在征得明示同意时提供非生物识别替代方案，并禁止超目的使用；广东、广州亦制定了公共安全视频系统管理的地方规章。经营场所人脸识别的合规判断，在地方层面有更细的标尺。

四
各主体的责任与合规要点

（一）场所经营者（商场、门店、售楼处、健身房等）

经营者是处理者，对安装目的和数据处理方式承担完整合规义务。逐项自查：

1. 摄像头是否具备人脸识别功能——普通安防摄像与识别人脸的系统，义务完全不同；

2. 人脸识别的用途是否属于“维护公共安全所必需”，还是营销、客流画像、佣金结算等经营目的；

3. 经营目的的人脸识别，是否取得消费者自愿、明确的单独同意，同意是否与购物、办卡等服务捆绑；

4. 是否设置显著提示标识——提示不能替代同意；

5. 人脸数据是否设备内存储、加密，是否上传云端、跨店共享；

6. 保存期限是否控制在必要最短时间，消费者请求删除是否及时处理；

7. 匿名客流统计是否真匿名（不可识别且不可复原）；

8. 存储人脸信息达 10 万人是否向省级以上网信部门备案。

（二）技术服务商（人脸识别系统供应商、云平台）

供应商按经营者指令提供系统、存储数据的，是受托处理者，不得超范围访问、留存、分析，不得将客户人脸数据并入自有数据集。供应商自行决定保存期限、跨店复用数据、向关联方提供的，转为独立处理者。青浦案中，人脸数据“隐匿于异地云服务器”的取证难题，正说明供应商的存储安排直接决定合规与追责格局。

（三）商业地产方与品牌方

商场管理方对场内商户的人脸识别行为，负有合理管理义务：入场协议中应明确禁止商户未经同意收集消费者人脸信息，发现违规应及时制止并向监管部门报告。品牌总部对加盟店、经销商的客流分析系统，同样负有监督义务，不能以“加盟商独立经营”为由放任。

（四）消费者

消费者有权拒绝录入人脸、要求商家说明处理目的并删除已收集的人脸信息；对未明示的“认脸”行为，可以投诉、举报、起诉。同时应意识到：主张被“跟踪”须提供设备存在识别功能的证据——留意提示牌内容、保留被识别的记录，比笼统主张“感觉被监控”更有效。

可以做的：

不能做的：

六
典型案例与执法动态