2023 年 8 月 8 日，国家互联网信息办公室就《人脸识别技术应用安全管理规定（试行）（征求意见稿）》公开征求意见。文件篇幅不长，但把人脸识别从“技术选型问题”推回到“处理依据问题”。
对人脸识别产品与使用者而言，需要先回答五个问题：有没有必要、是不是唯一方式、装在哪里、存多少、数据去哪里。
有没有必要
征求意见稿要求使用人脸识别技术处理人脸信息，应当具有特定目的和充分必要性，并采取对个人权益影响最小的方式。必要性不是企业自我声明，而是需要能够说明：为什么其他方式无法实现同等目的，为什么选择人脸识别而不是指纹、密码、证件核验。
对办公门禁、会员识别、考勤等场景，必要性论证往往最薄弱。企业需要把“效率提升”与“个人权益影响”放在同一张表上权衡，而不是默认刷脸更先进。
是不是唯一方式
征求意见稿明确，除法律、行政法规规定应当使用人脸识别技术的情形外，不得将人脸识别作为唯一验证方式。个人不同意通过人脸信息进行身份验证的，应当提供其他合理、便捷的方式。
这条规定直接影响产品设计。若产品只提供刷脸登录，可能需要增加替代路径；替代路径不能是隐藏很深、体验明显更差的“摆设”，否则仍可能被认定为变相强制。
装在哪里
在公共场所安装人脸识别设备，应当为维护公共安全所必需，遵守国家有关规定，并设置显著标识。禁止在旅馆客房、浴室、更衣室、卫生间等私密空间安装人脸识别设备。
对商业场所而言，“公共安全所必需”是比“经营管理需要”更高的门槛。商场、门店出于客流分析安装摄像头时，需要区分“人脸识别”与“一般视频监控”，后者并不当然可以使用人脸识别功能。
存多少、存多久
征求意见稿提出，人脸信息应当存储于人脸识别设备内，不得通过互联网对外传输，但取得个人单独同意或者法律、行政法规另有规定的除外。存储超过一万人人脸信息的，应当向所在地省级以上网信部门备案。
备案不是简单的数量登记，通常需要说明处理目的、方式、范围、存储期限与安全措施。对连锁门店、园区、物业等场景，累计人数很容易越过门槛，需要提前做集中统计，而不是等到检查时才发现。
数据去哪里
人脸信息属于敏感个人信息。征求意见稿要求原则上在境内存储；确需向境外提供的，应当通过安全评估、标准合同或者保护认证等途径。涉及未成年人的人脸信息，还应取得监护人同意，并制定专门的个人信息处理规则。
对企业而言，最容易被忽略的是供应商链路。人脸识别算法、摄像头、门禁系统往往由第三方提供，数据可能在供应商云端处理。合同里需要明确处理目的、期限、方式、安全措施与删除义务，并约定事件通知与协助义务。
涉及人脸信息处理与备案，可参见数据合规服务；涉及算法与系统上线，参见算法备案服务；涉及设备与系统安全，另见网络安全合规服务。
本文依据国家网信办 2023 年 8 月 8 日公布的《人脸识别技术应用安全管理规定（试行）（征求意见稿）》编写，仅供参考，不构成法律意见。