前言

人脸识别，是基于人的脸部特征信息进行身份识别的一种生物识别技术，其应用场景已经蔓延到社会和生活的各个方面，典型的应用场景包括机场、火车站等使用人脸识别数据进行人证比对，移动智能终端、应用程序使用人脸识别数据进行解锁、支付，以及小区刷脸核对人员身份等，人脸识别技术的应用为消费者和用户提供更加便捷的高效的身份验证方式，但同时，该技术的广泛应用也带来了更高合规风险。本文将以民航机场使用人脸识别技术作为典型的合规场景进行分析，说明机场适用人脸识别技术的合法依据，以及如何合规处理和保护人脸信息。

一：常见的合规场景

在《信息安全技术 人脸识别数据安全要求》的征求意见稿中说明了涉及人脸图像处理的三类场景1包括：

a) 人脸验证：将采集的人脸识别数据与存储的特定自然人的人脸识别数据进行比对（1：1比对），以确认特定自然人是否为其所声明的身份。典型应用包括机场、火车站的人证比对，移动智能终端的人脸解锁功能等。简言之，人脸验证为“证明此人是你”。

b) 人脸辨识：将采集的人脸识别数据与已存储的指定范围内的人脸识别数据进行比对（1：N比对），以识别特定自然人。典型应用包括公园入园、居民小区门禁等。简言之，人脸辨识为“证明里面有你”。

c) 人脸分析：不开展人脸验证或人脸辨识，仅对采集的人脸图像进行统计、检测或特征分析。典型应用包括公共场所人流量统计、体温检测、图片美化等。

具体到民航机场领域，人脸识别技术应用的主要场景包括以下几种：

1.机场安检：飞机出行已经成为商务、旅游出行常用的交通工具，利用相貌相似或伪造变造的证件出入境的情形也时有发生，为打击违法人员冒用他人身份蒙混出入安检，身份验证工作在机场安检工作中的重要性日益突出。当旅客进行安检时，安检人员在阅读旅客身份信息的同时，安检口摄像头会捕捉旅客的人脸图像，并与旅客身份证图像进行比对，完成对旅客身份信息的验证和辨别，该场景下主要是为了进行人脸验证。

2.视频监控：根据《民用运输机场安全保卫设施》（MH/T 7003-2017）要求，目前，机场范围内飞行区、航站楼、场区范围内容按照“以点带面、大场景跟踪、卡口目标检测和识别”的建设原则部署视频监控系统，并对监控清晰度提出了具体要求，其中明确要求图像要能清晰反映人的脸部正面特征，以满足人眼或计算机自动识别、比对的要求。要求满足这种清晰度的区域有以下四个：航站楼出入口、乘机手续柜台、安全检查通道验证柜台和登机口。

3.安防布控：为提升机场安保等级，实现实时布控预警，采用人脸识别技术，及时辨别违法违规的旅客，实现特殊重点人员的布控。

4.旅客出行服务：人脸识别技术可覆盖会员注册、刷脸值机、旅客安检、航程显示、刷脸登机等等环节，如旅客通过刷脸可完成会员实名注册，并提供相关的会员升级、升舱服务，便于机场为客户提供差异化服务；基于人脸识别系统还可主动识别旅客身份，显示该旅客的航班信息及状态，提供个性化信息提示及登机口信息；机场通过人脸识别技术，可精准定位旅客位置，有针对性地进行广播通知，减少声音干扰，也避免未及时通知到旅客登机等。该场景下，可能存在对人脸进行分析的情况，比如对场馆内人流量、人流轨迹、用餐人数、卫生间使用情况等进行监测，融合其他数据的情况下，还可以对旅客进行精准营销或做进一步的用户画像分析。

5.运营管理：机场内部的管理区域，可采用内部人脸识别完成考勤和门禁出入，会议考勤，巡更管理，内部刷脸就餐或购物，提升内部员工管理效率。

二：机场处理旅客的人脸信息的合法依据

从全世界范围来看，法律层面上处理个人信息，都要面对两个问题，一是基于个人信息自决权强化保护，二是基于社会公共利益优先，个人信息权利需要适度限缩，加强个人信息利用2。在处理保护和利用的关系时，人脸信息作为生物识别信息，属于敏感个人信息，应坚持“保护”优先，但保护优先并不意味着禁止利用，因此，在讨论人脸识别技术如何合规应用之前，需要先考虑的是，机场主体是否能够采集和处理旅客的人脸信息，其合法依据是什么，在什么条件下机场才有足够的必要性处理人脸信息？

#1.人脸信息的性质

尽管《民法典》以及《个人信息保护法》（以下简称《个保法》）均对于“个人信息”作出了定义，但人脸信息具体属于哪一类别并未具体明确。2021年7月27日，最高人民法院发布《关于审理使用人脸识别技术处理个人信息相关民事案件适用法律若干问题的规定》（以下简称《人脸识别规定》），第一条即规定了人脸信息属于《民法典》第1034条规定的“生物识别信息”。而根据《个保法》的规定，生物识别信息属于个人敏感信息，相较于其他个人信息而言，个人敏感信息的保护标准更高。

人脸识别技术与其他生物识别技术相比，具有不可复制性、非接触性、可扩展性等特点，人脸识别技术的使用提高了商业交易的效率与便捷性，因此，人脸识别技术逐步在手机解锁、智能支付、刷脸购物、门禁安防、交通出行、金融认证、公共安全监控识别领域得到全场景推广应用。而人脸识别技术中，涉及大量人脸识别数据的处理活动。（注：根据《信息安全技术 人脸识别数据安全要求GB/T41819-2022》3.3 人脸识别数据：可识别自然人身份的人脸图像或人脸特征。）

#2.处理人脸信息的合法性基础

《个保法》第13条是关于处理个人信息合法性基础的规定，包括处理个人信息取得个人同意以及取得个人同意之外的6种情形。结合机场处理个人信息的场景来看，本部分主要讨论“取得个人同意”以及“为履行法定职责或者法定义务所必须”两种合法性基础：

(1)取得个人同意，即取得机场旅客的同意。

截止2022年1月1日，全国已经有41家旅客吞吐量较大的机场陆续开通了“易安检”服务，旅客在航班出发前48小时内，可通过支付宝“民航公安服务”小程序完成用户信息进行认证。根据民航公安的实名制管理要求，使用该服务前，需要通过支付宝进行认证，支付宝也展示了《认证服务协议》，主要是对于预约主体进行人脸识别的验证，经验证后，旅客可以到机场采用“易安检”通道过关。

航空公司在收集个人信息时，都会以隐私政策的形式取得旅客的同意，以东方航空为例，登录官网可便捷地查询东航隐私政策，其中对于认证与身份核验，专门设置了《人脸信息使用授权书》3：

且在《人脸信息使用授权书》中，明确人脸识别的相关服务：

需要关注到，在上述《人脸信息使用授权书》中，处理人脸识别的相关服务提供方可能并非只是航空公司，或许还包括机场方，因此还需要进一步分析，被授权处理人脸信息的主体和实际处理人脸信息的主体是否一致，如果不一致，是否还涉及人脸信息共享或者委托处理的情形。

通过公开信息查询，南方航空的隐私政策中披露，其App使用有“公安人脸SDK”，用于人脸识别进行认证、验密，该第三方SDK的所属机构为广东公安机关。但并未明确披露人脸信息的实际处理方。4

深圳航空的隐私政策中阐明深圳航空可能收集旅客的身份认证信息，包括姓名、身份证号码、电话号码、身份凭证图像等信息用于完成实名认证和身份认证，同时明确，对于部分必须验证为本人方可办理相关业务的场景，深航需要旅客通过与深航合作的第三方进行个人生物识别来验证旅客的身份，深航对旅客的人脸信息不做任何采集和存储，仅从第三方获取返回的身份核验结果。5

山东航空则明确说明，如用户使用实名认证服务，需要提供人脸信息，并且提供《人脸信息使用授权》，但其中的人脸信息及银行卡信息仅做当次验证使用，山航将不存储人脸信息及银行卡信息。6

我们理解，即便获得旅客的明确授权同意，人脸信息的处理行为依然要满足最小必要原则，身份的验证也应当包括但不限于人脸验证这一种验证方式。

(2)为履行法定职责或者法定义务所必需。在该种情形下，个人信息处理主体不需要取得个人的同意。

结合《个保法》第13条和第26条以及《人脸识别规定》第2条第1款及第5条来看，在公共场所为维护公共安全所必需，可以按照图像采集、个人身份识别设备，但需要设置显著的提示标识，所收集的个人图像和身份识别信息只能用户维护公共安全的目的，但取得个人单独同意的除外。

首先，民航机场具有一定法定的安保义务。根据《民用航空法》第53条规定可知，民用机场，是指专供民用航空器起飞、降落、滑行、停放以及进行其他活动使用的划定区域，包括附属的建筑物、装置和设施。且第62条明确规定，对公众开放的民用机场应当取得机场使用许可证，申请机场许可证，需要具备符合国家规定的安全保卫条件，《民用航空安全保卫条例》第10条明确规定了民用机场需要具备的安全保卫条件，《民用机场管理条例》第3条进一步言明，民用机场是公共基础设施。因此民航机场有法定的职责履行相关安保义务。

其次，民航机场具有公共场所的区域。中共中央办公厅、国务院办公厅印发的《关于加强社会治安防控体系建设的意见》强调了重点场所的公共安全视频监控系统要求，《反恐怖主义法》也区分了公共重点区域、重点目标与其他区域的不同安全防范责任，根据《公共安全重点区域视频图像信息采集规范 》（GB 37300-2018）中，明确规定了民用机场属于公共安全的重点行业、领域，其中涉及公共区域的采集部位包括民用机场航站楼安检区以外开放区域和航站楼周边区域的人员聚集部位，对于用于目标识别的视频信息和图像信息还有像素要求，如需要识别人员面部特征（发型、五官、配饰）时，人员头部水平像素应不小于300。

第三，符合指导性鼓励。除法律规定之外，近年来民航局陆续发布各类指导文件，也在推广人脸识别技术的应用，尽可能实现“旅客出行一张脸”。2018年民航局发布《关于进一步提升民航服务质量的指导意见》，指出“推行‘无纸化’便捷出行，推广人脸识别技术；改进安检手段，完善安检设施，增加繁忙时段安检通道，提高安检效率。”

2020年，民航局的《民航局关于印发〈推动新型基础设施建设促进民航高质量发展实施意见〉的通知》（民航发〔2020〕62号）指出“以提升旅客出行体验和服务品质为重点，做好‘旅客出行一张脸’，简化出行流程，压缩综合出行时间。推行出行即服务，向旅客提供精准的地面交通信息和航班动态信息，在门到门行李服务、无感安检、无感通道、无感通关取得突破。拓展民航服务链条，提供个性化餐饮、购物和娱乐服务，提升消费体验，实现更全面、更精准、更及时的民航服务。”

因此，机场内具有较高的公共安全保障需求，直接关联公共利益的保护需求，在安防、安检、视频监控等领域，机场有法定的职责对公共区域的人员进行安全监控，采集人脸信息是基于机场的公共属性，为服务公共场所秩序，通行便捷等社会利益目的，具有适用人脸技术的合法正当必要性。

第四，随着机场范围所提供给旅客的服务内容越来越广泛，机场采集人脸信息的应用范围也更加广泛，不仅仅在安检以及监控环节需要采集人脸信息进行验证，也不仅仅是为了满足公共安全的需求，目前很多机场已经或者正在探索搭建智慧机场，通过收集个人信息用于提升机场的服务，比如采集旅客人脸信息，用以精准定位通知提醒和帮助旅客登机（民航总局也在倡导机场以精准推送的方式取代大范围广播通知）；采集人脸信息和室内定位信息，为旅客规划行程路线，甚至是做一些商业推广和营销服务。在这些场景下，采集旅客的人脸信息并不是为了公共安全，也不是履行法定职责和义务，那么采集和处理旅客人脸信息，就必须以取得旅客的授权同意为合法依据。

#3.处理人脸信息的条件

对于人脸信息的处理，要特别注意以下几个要求：

第一，人脸信息属于敏感个人信息，只有在“具有特定的目的和充分的必要性，并采取严格保护措施的情形下，个人信息处理者方可处理敏感个人信息”，即便是机场范围内，能否收集人脸信息或者是否能够免授权也不能一概而论，需要结合不同的场景和不同的处理环境，判断每个场景是否具有特定的目的和充分的必要性；

第二，根据《信息安全技术 人脸识别数据安全要求》（GB/T 41819-2022）中有关安全通用的要求规定，应仅在人脸识别方式比非人脸识别方式更具有安全性或便捷性时，采取人脸识别方式进行身份验证，人脸信息的应用应当具有限缩性，在做合规性的判断时，需要考虑“更安全和更便捷”与个人信息或个人隐私权益保障之间的价值权衡；

第三，为旅客提供其他验证方式作为选择项。机场应提供人脸识别方式和非人脸识别方式，并由旅客可选择使用。在《人脸识别规定》第10条中规定，物业服务企业或者其他建筑物管理人以人脸识别作为业主或者物业使用人出入物业服务区域的唯一验证方式，不同意的业主或者物业使用人请求其提供其他合理验证方式的，人民法院依法予以支持。虽然这里只对物业服务企业有明确规定，要求其提供其他合理验证方式，但是从整体人脸信息的合规趋势来看，进行主体身份的验证或识别最好是能提供多种可选择的验证方式，人脸识别一般不应当作为唯一的验证或识别方案，机场应当提供其他合理的可替代方案供旅客选择，如身份证验证、指纹验证等，并应当在告知内容中一并作出说明。

#4.免“同意”情形下的告知义务

《个保法》对处理个人信息确定了“告知+同意”的规则，如前所述，在履行法定职责或法定义务所必需的情况下，是可以免于取得同意的，比如在《信息安全技术 个人信息处理中告知和同意的实施指南》（GB/T 42574-2023）中，6.2.2明确说明“差旅住宿、航空、铁路运输、出行服务等行业，按照相关法律法规规定处理个人的实名身份信息”属于履行法定职责或者法定义务所必需；《人脸识别规定》第5条规定，在应对突发公共事件或者紧急情况下为保护自然人的生命健康和财产安全所必需而处理人脸信息的，以及为维护公共安全，依据国家有关规定在公共场所使用人脸识别技术等情形下，也可以免除承担民事责任。由此可见，机场收集人脸信息在部分场景下是可以免授权同意的。

但免授权同意，不代表可以免除告知义务，尤其是在收集个人信息的环节，通过软件程序或硬件设备（包括SDK、API、浏览器、智能终端、传感器、摄像头等）自动采集个人信息，也必须进行告知。那么，机场收集人脸信息，告知的方式应当如何实现呢？

（1）常见的一般告知，是指个人信息处理者在处理个人信息前向个人全面展示个人信息处理规则，通常会通过“隐私政策”、“隐私协议”等形式进行告知；

（2）有些机场可能会通过小程序、公众号、APP或者机场网页的渠道和旅客进行交互，通过该渠道展示个人信息处理规则；

（3）在图像信息的采集的公告区域，要设置显示的提示，使个人信息主体明确知悉自己已经进入信息收集区域；

（4）如果无法实现交互式界面展示个人信息保护政策的，可以考虑通过机场网站、宣传册、广播、发通知、邮件、张贴告示、播放语音视频等方式，向个人信息主体主动地提供或展示个人信息处理的政策；并可以在采集设备、移动端、问询处、柜台等向公众展示个人信息处理规则或隐私政策文本；

（5）由于人脸信息本身就属于非常敏感的个人信息，该个人信息的处理活动可能会对个人权益造成重大影响，尽管目前民航监管部门未颁布针对民航体系个人信息保护的细则规定，但根据相关国家标准，不排除监管部门会认定处理人脸信息须采取逐一告知的方式增强告知，以确保告知内容能够送达，比如要求采取邮件、短信、电话语音提示等方式逐一告知相关个人信息主体。

#5.“告知+同意”的基本规则

除了上述在履行法定职责或法定义务所必需的情况下可以免授权同意，其他场景下，机场处理旅客人脸信息还是应当遵循“告知+同意”的基本规则。

（1）由于人脸信息属于个人敏感信息，根据《个保法》第29条规定应当取得“单独同意”或“书面同意”，即不得采用概括授权、捆绑授权、兜底条款授权的方式取得用户同意。应当将人脸信息授权单独列出，单独取得用户授权；在不同的服务和不同的产品之间，如都需要收集人脸信息，各项产品和服务均需单独取得授权，不得捆绑授权；还有不能将人脸信息包括到“其他信息”中。人脸信息作为敏感个人信息，不能以兜底条款的形式取得授权。未取得数据主体单独同意收集的人脸图像应立即删除并确保不可恢复，数据主体不同意收集人脸识别数据的，不应拒绝主体使用基本业务功能。

（2）收集人脸识别数据时，应向数据主体告知人脸识别数据的相关事项，包括但不限于告知个人信息处理者的身份、联系方式；信息处理的规则、目的、方式、范围、信息保存期限；个人权利（如查阅、复制、更正、补充其个人信息，请求删除个人信息，撤回授权同意）的方式和程序；处理的必要性、对个人权益的影响等。

（3）应采用需要数据主体主动配合的措施收集人脸识别数据：应在识别过程中持续告知数据主体验证目的，并通过语言、文字等向数据主体进行提示，需要数据主体主动配合的措施包括要求主体直视收集设备并做出目光注视、特定姿势、表情，或者通过标注了人脸识别应用的文字、图示、图标或符号的专用收集通道等。

（4）应仅收集生成人脸特征所需的最小数量、最少图像类型的人脸图像：应采取安全措施保证人脸识别数据的真实性、完整性和一致性，防止人脸识别数据在收集过程中泄漏或篡改。

（5）非经数据主体单独同意或书面同意，不应将人脸识别数据用于数据主体的评估或预测，包括但不限于评估或预测数据主体的工作表现、经济状况、健康状况、偏好、兴趣、消费行为和活动轨迹等。

三、机场处理人脸识别数据的合规要求

《个保法》的出台，让个人信息处理活动有了整体法律层面的依据，但不同的行业具有处理个人信息不同的场景，民航机场不仅受《个保法》的规制，也受民航局的监督管理。机场在处理个人信息时，应综合考虑《民法典》、《个保法》《消费者权益保护法》、《人脸识别规定》等相关要求，同时，也应符合《民用航空安全信息保护管理办法》、《民航网络信息安全管理规定（暂行）（征求意见稿）》、《公共航空运输企业航空安全保卫规则（2018修正）》以及有关个人信息、人脸识别、生物识别信息安全的国家标准等文件的综合性规定。具体而言，建议民航机场可开展以下合规工作：

#1.明确个人信息保护机构和负责人

确定个人信息保护机构和负责人是从组织架构的层面上确保该合规义务有具体的人员和岗位去执行，以免各种制度和流程管控形同虚设。《个保法》明确规定，在处理个人信息达到一定数量的情况下，应指定个人信息保护负责人。具体到处理人脸识别数据而言，根据国标的相关要求，对于处理超过10万人的人脸识别数据的处理者，应设置专门的个人信息保护机构和个人信息保护负责人，并对个人信息保护负责人和关键岗位的人员进行安全背景审查，公开个人信息保护负责人的联系方式。但目前根据公开查询情况显示，很多机场并未公开个人信息保护负责人的联系方式，大多设置的是客服热线和投诉建议电话。

#2.在个人信息安全管理制度中明确人脸识别数据的保护要求

《个保法》要求个人信息处理主体建立内部管理制度以及操作规程，在涉及人脸信息时，要明确人脸识别数据的管理规定和操作规程，以及该数据的处理规则，明确人员的处理权限，并对相关人员进行安全教育和培训。

#3.个人信息分类分级

机场收集个人信息的场景多样，部分采集信息的场景是在公共区域，为了履行安保义务；但还有一些场景下，采集数据是为了给旅客提供更多服务，机场在不同的区域，出于不同的目的，都可能涉及个人信息的处理行为。为进一步满足机场对于个人信息安全保护的合规要求，建议机场对个人信息进行分类分级管理，梳理在不同的区域或者不同的业务场景下，收集个人信息的类型、内容以及收集的目的，并进一步明确针对不同类型和不同级别的个人信息应采取哪些安全保障措施。人脸信息属于敏感个人信息，但收集该信息可能是基于不同的业务场景，具有不同的目的性，甚至可能采取不同的系统进行存储和处理，应在确定机场个人信息分类分级整体标准的基础上，明确人脸信息的保护措施和管理规范。

#4.进行个人信息保护影响评估

《个保法》明确规定处理敏感个人信息前要进行个人信息保护影响评估，并且在《信息安全技术 人脸识别数据安全要求》（GB/T 41819-2022）第5条（f）款也要求应在处理人脸识别数据前自行或委托第三方机构开展个人信息保护影响评估，处理人脸信息对于个人信息主体权益可能产生较大影响，因此一定要进行影响评估工作，评估内容包括，是否符合法律法规和国家标准的强制性要求，是否符合公序良俗；是否具有特定的目的和充分的必要性；是否满足实现目的所需的准度、精度要求；是否采取了相应的安全防护措施，用于防范人脸识别数据的泄露、篡改、损毁或被非法获取和非法利用；是否采取措施以降低可能对数据主体权益带来的损害和不利影响。当人脸识别数据的处理目的、处理方式发生变化，或者发生人脸识别数据发生泄漏、篡改、丢失、损毁或被非法获取、非法利用等安全事件，表明已有安全措施难以有效防范安全风险等情形，均需要重新进行个人信息保护影响评估。

#5.采取技术措施保障人脸识别数据

机场处理人脸识别数据，应符合GB/T 35273、GB/T 41479以及数据安全能力成熟度三级的规定，并且采取双向身份验证、数据完整性校验、数据加密等措施保障数据的安全。在存储方面应采用物理或逻辑隔离方式分别存储人脸识别数据和个人身份信息等，同时采取加密存储等安全措施存储人脸识别数据。收集的人脸特征应具有可更新、不可逆、不可链接的特性：可更新指当特定人脸特征泄漏或作废时，同一人脸图像可提取与该特征不同的人脸特征；不可逆指无法从人脸特征恢复出对应的人脸图像；不可链接指同一人脸图像提取的不同人脸特征之间不具备关联性。在本地和远程人脸识别方式均适用时，应优先使用本地人脸识别，本地人脸识别是在终端设备中进行人脸识别数据收集、使用等处理活动的过程，该方式中人脸识别数据的处理均在终端设备完成。远程人脸识别是在终端设备收集人脸识别数据，在服务器端使用人脸识别数据的过程，该方式中人脸识别数据的处理在终端设备和服务器端分别进行。并且应对人脸识别数据使用行为进行审计。

#6.建立保障个人信息主体权利的机制

建立保障个人信息主体权利的机制，保障个人信息主体的知情同意，获取人脸识别数据处理情况、注销账号、投诉、获得及时响应等方面的权利，及时响应个人信息主体的相关请求。比如，根据国标规定，个人信息处理者在个人信息主体撤回同意或明示停止使用，的情形下，应在15日内删除人脸识别数据并确保不可恢复，那么个人信息处理者如何进行撤回同意或明示停止使用？根据公开查询，目前很多机场并未提供明确的渠道供个人信息主体行使其权利，也未公示机场采取何种措施保障个人信息主体权利。

#7.建立风险事件应急预案

针对人脸识别数据泄漏、篡改、丢失、损毁或被非法获取、非法利用等安全风险，机场应制定应急预案并开展应急演练，当发生上述安全事件时，机场应立即启动应急预案，采取相应处置或补救措施，包括但不限于：1）评估可能造成的安全风险，必要时暂停相关服务；2）24h内以电话、短信、邮件等方式向数据主体告知安全事件情况和防止、减轻损害的措施，确实无法单独告知数据主体的，可采用发布公告的方式告知；3）向民航总局、网信办等相关主管部门报告。

#8.涉及人脸识别数据对第三方提供或委托处理

旅客进入机场领域后，机场可能涉及与航空公司、机票销售平台、各类机构在机场开设的贵宾服务厅、机场内的商户进行数据的共享，根据相关规定，原则上不宜向第三方提供或委托处理人脸识别数据，因业务需要确实需要的，必须经数据主体单独同意或书面同意，同时也应当满足一定的安全要求。

在该场景下，机场应对数据接收方开展调查以及安全评估，包括但不限于：

1）按照GB/T 39335规定的要求对数据接收方开展安全评估，并通过合同等方式约定提供或委托处理的目的、期限、方式、保护措施等，并对数据接收方的处理活动进行监督；

2）在提供或委托处理前，单独告知数据主体人脸识别数据向数据接收方提供或委托其处理的目的、数据接收方身份、数据接收方数据安全能力、数据类别、可能产生的影响等相关信息，并征得数据主体单独同意或书面同意；

3）数据接收方应按约定处理人脸识别数据，不得超出约定的目的、方式等处理人脸识别数据，不得转委托；数据接收方应采取安全措施保障所处理的人脸识别数据安全；委托不生效、无效、被撤销或终止的，数据接收方应将人脸识别数据返还，并予以删除，不得保留或恢复。并在后续业务中持续地监督。

#9.涉及不满十四岁未成年的人脸识别数据处理

使用人脸识别方式对不满十四周岁的未成年人进行身份识别的，原则上即使获得了其人脸信息使用的单独同意，也不应当对其进行身份识别。还应取得其监护人单独同意，同时需要设置专门的未成年人个人信息保护规则和用户协议，并指定专人负责未成年人个人信息保护。

#10.关注可能存在的个人信息出境

在中华人民共和国境内收集或产生的人脸识别数据应在境内存储，因业务需要确需出境的，应按照个人信息出境相关规定进行安全评估。根据《数据出境安全评估办法》的规定，安全评估路径是一项强制性的合规路径，针对个人信息出境来说，处理100万人以上个人信息的数据处理者，或自上年1月1日起累计向境外提供10万人个人信息或者1万人敏感个人信息的数据处理者，应当通过所在地省级网信部门向国家网信部门申报数据出境安全评估。

附注

【1】正式稿中删除了有关应用场景的描述。

【2】马俊军、王星宇：《人脸识别法律规范初探：权利属性、保护基础与法律对策》

【3】 https://global.ceair.com/global/static/ceairRules/LegalAndPrivacyTerms/index.html

【4】

https://www.csair.com/cn/tourguide/booking/orders/static/yinsitiaokuan/index.shtml

【5】

https://www.shenzhenair.com/szair_B2C/getMsgInfo.action?msgId=8a8de190665d071e01665d923fbc0009

【6】

https://www.sda.cn/friendly/privacyPolicy.html

作者介绍

樊思琪律师

京师深圳律所数字经济法律事务中心副主任、京师深圳律所金融科技法律事务部副主任、深圳市大数据产业协会、深圳市大数据研究与应用协会专家顾问、数据合规研究院高级研究员。

曾就职于银行、证券公司等多家金融机构，主要从事资产管理相关业务，以非标投资、房地产并购基金、股权投资基金以及资产证券化等业务为主，具有法律和金融复合知识背景。

业务领域：

企业合规、数据合规、投融资并购。

教育背景：

中南财经政法大学法学院

武汉大学法学院经济法系

专业资质：

证券从业资格证、基金从业资格证、CFA-LEVEL3 CANDITATE、德国TUV莱茵学院数据合规官DPO

作者介绍

蒋杰律师

京师深圳律所青工委副主任、新媒体法律事务部副主任，西南政法大学深圳校友会办公室副主任、深圳市网络直播协会法律专家顾问

业务领域：

在直播电商行业、游戏行业、影视娱乐等领域为客户提供法律服务，并持续专注于文化娱乐行业法律事务。

教育背景：

西南政法大学法学学士

专业资质：

德国TUV莱茵学院数据合规官DPO