人臉識別技術目前所呈現出的雙刃劍效應尤為明顯。該技術在提高社會效率、增加便利性的同時，在隱私、安全、公平等方面目前亦引發了諸多爭議。

2021年7月28日，《最高人民法院關于審理使用人臉識別技術處理個人信息相關民事案件適用法律若干問題的規定》（以下簡稱司法解釋）正式發布，對人臉識別案件的處理方式進行了明確，司法解釋也將對企業什么情況下可以使用人臉識別技術、如何使用，起到了進一步的引導作用。2021年8月20日，《個人信息保護法》公布，進一步確立了敏感個人信息的處理規則，該法于2021年11月1日正式實施。

一、處理人臉信息需有必要性

在被稱為人臉識別第一案的郭兵與杭州野生動物世界有限公司服務合同糾紛一案中，法院認為：當事人在辦卡時簽訂的是采用指紋識別方式入園的服務合同，野生動物世界收集郭兵及其妻子的人臉識別信息，超出了必要原則的要求，不具有正當性。盡管野生動物世界在涉案指紋識別的年卡辦理流程中規定流程包含至年卡中心拍照，但其并未告知郭兵與其妻子拍照即已完成對人臉信息的收集及其收集目的，郭兵與其妻子同意拍照的行為，不應視為對野生動物世界通過拍照方式收集兩人人臉識別信息的同意。最終，法院判令野生動物世界賠償郭兵合同利益損失及交通費共計1038元；刪除其辦理指紋年卡時提交的包括照片在內的面部特征信息。

司法解釋第二條第（八）款

違反合法、正當、必要原則處理人臉信息的情形應當認定屬于侵害自然人人格權益的行為。

《個人信息保護法》第五條

處理個人信息應當遵循合法、正當、必要和誠信原則

因此，企業如需要進行人臉信息的收集工作，需對于自身的收集及使用場景作出相應的必要性分析。當然由于必要性這一概念本身具有一定的抽象性及模糊性，具體的裁判尺度仍需靜待司法機關在后續相關案件中給出進一步的答案。

二、使用人臉信息需事先同意

《個人信息保護法》第十三條明確規定：除為履行法定職責或法定義務所必需等特定情形外，需取得個人同意，個人信息處理者方可處理個人信息。

司法解釋第二條第（一）款

基于處理人臉識別的場景與技術，將人臉信息處理方式區分為了：人臉驗證、人臉辨識，以及人臉分析，并強調在經營場所、公共場所違法違規處理人臉信息涉及上述任意方式的均應當認定屬于侵害自然人人格權益的行為。 三、處理人臉信息必須向當事人公示、告知人臉信息的處理規則

司法解釋第二條第（二）款的規定，只要涉及人臉信息的收集不但需經過當事人授權同意，還需進一步采取明示的手段將人臉信息的處理規則（包括收集、使用人臉信息的目的、方式和范圍）向當事人公示或者告知。

四、應對合法收集得來的人臉信息采取必要的管理和技術保護措施確保其安全

司法解釋第二條第（五）款：

未采取應有的技術措施或者其他必要措施確保其收集、存儲的人臉信息安全，致使人臉信息泄露、篡改、丟失的應當認定屬于侵害自然人人格權益的行為。

具體而言如何做到安全合規存儲這類生物識別信息可以參考《網絡安全法》、《信息安全技術個人信息安全規范》中的相關規定，即存儲個人敏感信息時應作到：

1、應采用加密等安全措施，密碼技術需要遵循密碼管理的相關國家標準；

2、個人生物識別信息與個人身份信息分開存儲。避免人臉信息和個人身份信息組合、匯集而形成信息組合體，降低信息泄露導致的個人風險；

3、原則上，企業不應當存儲原始個人生物識別信息（如樣本、圖形等）。

人臉識別這一新型技術從剛出現到逐步推廣至商業應用，其爭議就一直不斷。新技術的應用總會面臨很多挑戰，我們不必過度謹慎人臉信息的應用，而是建立科學的管控規則，擴大其人臉識別技術優勢的同時抑制其使用風險，引導新型技術發揮其更大的作用。