商家在经营场所采集顾客人脸信息，原则上不合法。人脸属于生物识别信息，是《个人信息保护法》明确列举的"敏感个人信息"，其收集、使用受到最严格限制：必须有特定目的和充分必要性，并取得个人的"单独同意"，且只能用于约定目的。普通商家以"会员识别""客流统计""安防"等名义在门店安装人脸识别摄像头、未设显著标识、未单独征得同意就抓取顾客面部特征的，违反《个人信息保护法》和《网络安全法》，也违反最高人民法院专门司法解释关于"经营场所违法使用人脸识别"的禁止性规定，顾客有权要求停止采集、删除已收集信息、赔礼道歉并索赔。
从法律依据看，《中华人民共和国个人信息保护法》第二十八条规定，敏感个人信息是一旦泄露或非法使用容易导致人格尊严受侵害或人身财产受危害的个人信息，包括生物识别、宗教信仰、特定身份、医疗健康、金融账户、行踪轨迹等；只有在具有特定的目的和充分的必要性，并采取严格保护措施的情形下，方可处理敏感个人信息。第二十九条要求处理敏感个人信息应当取得个人的单独同意。第三十条要求向个人告知处理的必要性及对个人的影响。第二十六条规定在公共场所安装图像采集、个人身份识别设备，应当为维护公共安全所必需，遵守国家有关规定并设置显著提示标识；所收集的个人图像、身份识别信息只能用于维护公共安全目的，不得用于其他目的，取得个人单独同意的除外。可见，商家以营销、会员识别、客流分析等非公共安全目的采集人脸，已明显超出"维护公共安全"的合法性边界，除非取得单独同意，否则违法。《中华人民共和国网络安全法》第四十一条要求网络运营者收集使用个人信息遵循合法、正当、必要原则并经被收集者同意。最高人民法院《关于审理使用人脸识别技术处理个人信息相关民事案件适用法律若干问题的规定》（法释〔2021〕15号）第二条规定，在宾馆、商场、银行、车站、机场、体育场馆、娱乐场所等经营场所、公共场所违反法律、行政法规的规定使用人脸识别技术进行人脸验证、辨识或者分析，人民法院应当认定属于民法典第一千零三十五条规定的"违反法律、行政法规的规定处理个人信息"，从而构成侵权；该规定还明确，未征得自然人单独同意、或违背公序良俗处理人脸信息的，无效。第四条确立多个处理者（如设备商与商家）的连带责任；第八条支持被侵权人主张违约金（如商家承诺不采集却违反）、赔偿损失及精神损害赔偿。
实务中顾客维权可分四步。第一步，识别违法采集：进店留意是否有"人脸识别""客流统计"提示标识，是否有正对入口的摄像设备；若商家以"刷脸会员""无感通行""智能营销"为由要求刷脸而拒绝提供其他验证方式，依上述司法解释第二条，强制索取人脸属于违法。第二步，拒绝并固定证据：当场明确表示不同意采集，对摄像头位置、提示标语（或无标语）、商家要求刷脸的对话录屏录音；保存被采集的会员注册页、消费记录。第三步，要求停止与删除：依《个人信息保护法》第十五条（撤回同意）、第四十七条（保存期限已过的应主动删除）向商家发函，要求立即停止采集、删除已建人脸库及关联信息，并保留函件与回复。第四步，投诉与起诉：向商家所在地网信办、市场监管部门、公安网安举报，依据《个人信息保护法》第六十六条可责令整改、警告、罚款、责令暂停业务；民事上依《民法典》及最高法人脸识别规定起诉，主张停止侵害、删除信息、赔礼道歉、赔偿（含精神损害），并适用第六十九条举证责任倒置，由商家自证处理合法。
风险提示：其一，公共安全目的（如机场、车站安检，门店配合公安机关的安防）与商业目的不同，前者依法可为但须显著标识且限公共安全用途，不能挪作会员营销；遇到"为了安全"的说辞要追问是否仅为安防、是否另作商用。其二，商家常把采集写进冗长隐私政策，依最高法人脸识别规定，经营场所违法使用人脸识别不因"已告知"而合法，且敏感信息须"单独同意"而非一揽子勾选，格式条款不能替代单独同意。其三，精神损害赔偿需证明严重损害，但人脸信息具有不可更改性（无法像密码一样重置），法院对这类敏感信息侵权通常更倾向保护，举证相对有利。其四，发现被采集后宜尽早主张，拖延可能导致信息被反复用于画像、比对，损害扩大且取证变难。
再补充，判定商家采集人脸是否合法，关键看三点：是否限于公共安全目的、是否设显著标识、是否取得单独同意。多数商家的会员刷脸、客流分析均非公共安全目的，又无单独同意，已踩红线。顾客被要求刷脸而商家拒绝提供其他验证方式时，可明确拒绝并援引最高法人脸识别规定第二条主张其违法。对商家而言，合规做法是用会员卡、手机号等非生物识别方式替代，确需人脸的须单独弹窗告知并取得同意。人脸信息不可更改，一旦泄露无法像密码那样重置，故监管与司法对其保护力度明显高于一般个人信息，被侵权人维权时举证相对有利，应果断主张停止采集、删除与赔偿。
在举报路径上，顾客可向商家所在地网信办、市场监管部门、公安网安同步举报，依《个人信息保护法》第六十六条可责令整改、警告、罚款乃至责令暂停业务。民事索赔时，依最高法人脸识别规定，经营场所违法使用人脸识别不因已告知而合法，且敏感信息须单独同意而非一揽子勾选，格式条款不能替代单独同意。被侵权人可主张停止侵害、删除人脸库、赔礼道歉及赔偿，并依第六十九条举证责任倒置，由商家自证处理合法。人脸信息不可重置，法院对其保护力度高，受害人应果断维权，不必因未直接损失而放弃停止侵害与删除的诉求。日常遇强制刷脸且拒绝提供其他验证方式的，可明确拒绝并援引司法解释主张其违法。
【特别声明：本文仅供个人学习使用，不作为任何决策依据，任何人参考或采用本文或本文观点引发的任何后果由当事人自行承担！】
