要。《个人信息保护法》（2021 年施行）把人脸等生物识别信息列为敏感个人信息，处理时必须取得单独同意，具备特定目的和充分必要性，并开展个人信息保护影响评估。四条底线是：单独同意、提供替代方案、最小必要存储、影响评估加告知。景谱客户里，按这四条改造后，人脸核验投诉量下降七成以上。

 

一、人脸为什么被单独管

人脸有三个特殊性：不可更改、远程可采集、无感可获取。密码泄露可以改，人脸泄露改不了；而且游客走过摄像头就完成采集，本人可能完全不知道。所以《个人信息保护法》把生物识别信息列入敏感个人信息，适用更严格的处理规则。

 

这里要纠正一个常见误解：「游客自愿刷脸」不等于合规。合规要求的是「知情、自愿、单独、可撤回」，四个条件同时满足，缺一不可。

 

二、四条底线

底线一：单独同意，不能藏在隐私政策里

敏感个人信息需要取得单独同意，不能混在一份长长的隐私政策里靠一个勾选框打包同意。落地做法是在刷脸之前单独弹一次提示，写清采集什么、用来干什么、存多久、怎么删，游客点「同意」才进入人脸通道。

 

底线二：必须提供替代方案

这是容易被忽略、也容易被投诉的一条。刷脸是便捷选项，不能是单一选项。景区应同时提供刷身份证、刷二维码、人工核验等通道，并在现场明确告知「不刷脸也能入园」。如果只留人脸通道，即便告知充分，也可能被认定为强制收集。

 

底线三：最小必要，能不存就不存

实现核验目的不一定要存原图。技术上可以只提取特征值做比对，特征值不可逆、无法还原成人脸图像，风险远低于存照片。更保守的做法是「本地比对、不上传」：人脸特征存在闸机本地，比对完成即丢弃，云端只留核验结果。

 

底线四：影响评估加告知

《个人信息保护法》要求处理敏感个人信息前开展个人信息保护影响评估，并留存评估报告。评估不是形式文件，要真实回答四个问题：处理是否必要、对个人权益有什么影响、防护措施是否与风险匹配、是否有更小影响的方式。

底线合规要求落地动作常见错误
单独同意敏感信息单独取得同意刷脸前单独弹窗，记录同意时间与版本混在隐私政策里一次勾选
替代方案不得强制保留身份证、二维码、人工通道并现场告知只开人脸通道
最小必要只收集实现目的所必需的信息只存特征值，或本地比对不上传长期保存人脸原图
影响评估处理前完成评估并留存形成评估报告，每年复核从未做过评估
告知义务告知目的、方式、种类、保存期限现场告示加电子告知双通道只在官网挂一份政策

三、技术上怎么做才算合规

本地比对优先于云端比对

本地比对指特征值存在闸机或本地服务器，核验时现场比对，不上传人脸数据。这种方式数据不出场，泄露风险较低，也更符合最小必要原则。云端比对适合跨园区、跨场景使用，但需要更严格的加密和访问控制。

 

票务系统功能界面

 

特征值要不可逆

合规的特征值应该是单向算法生成、无法还原为图像的。如果系统存的是可以还原的照片，那本质上就是存了人脸原图，风险等级完全不同。这一点在选型时要明确问服务商。

 

删除与撤回要能执行

游客有权撤回同意并要求删除。系统要能按游客标识删除其人脸数据，并留删除记录。很多系统能存不能删，这在合规检查中会被直接指出来。

 

和第三方共享要单独交代

闸机、人脸终端、算法服务往往来自不同厂商，数据一旦在多方之间流转，责任就模糊了。合规做法是：要么约定厂商只提供设备不接触数据，要么在告知中明确说明共享对象、共享内容和共享目的，并取得单独同意。实务中省事的方案是选一体化交付的供应商——设备、算法、系统来自同一方，数据不出这一个闭环，告知和同意只需要做一次。

 

四、数据效果

景谱在一家华东主题乐园客户身上做的改造：该客户人脸通道日均核验约 8000 人次，此前采用云端比对并长期保存原图。

指标改造前改造后
人脸数据存储形式云端保存原图本地特征值，不可逆
人脸核验平均耗时1.2 秒0.4 秒
单日核验人次约 8000 人次约 9000 人次
人脸相关投诉每月 15 到 20 起每月 5 起以内
游客排队时长高峰约 20 分钟缩短 80.00%，约 4 分钟
个人信息保护影响评估未开展已完成并年度复核

本地比对带来的速度提升是个意外收获：数据不出场，网络往返少了，核验反而更快。

 

五、容易踩的坑

· 把刷脸做成单一通道。这是高频的违规点，也容易引发投诉。

 

· 同意混在隐私政策里。敏感信息必须单独同意，打包勾选不成立。

 

· 长期保存人脸原图。存储风险远高于特征值，且没有业务必要性。

 

· 不提供删除功能。游客撤回同意后系统删不掉，等于违规持续。

 

· 不做影响评估。这是法定前置程序，检查时必看。

 

结语

 

票务系统运营管理

 

人脸识别的合规不是「让游客签个字」那么简单，它要求景区在技术方案上就做对：只存该存的、存了能删、删了有记录。技术选型决定了合规成本，事后补救往往要推翻重来。

 

景谱票务系统的人脸识别模块支持本地特征值比对、单独同意弹窗与记录、按游客删除数据、核验日志留存，闸机与人脸终端一体化交付。配合刷身份证和扫码通道，游客始终有替代选择。

 

如果景区现在还在云端存人脸原图，建议先做一件事：问服务商一个问题——这些照片能不能改成只存特征值。这一个改动，能把大部分合规风险消掉。

 

常见问题

Q1：游客不同意刷脸，能拒绝入园吗？

 

A：不能。必须提供替代核验方式。拒绝入园可能构成对消费者权益的侵害。

 

Q2：人脸数据算不算敏感个人信息？

 

A：算。生物识别信息属于《个人信息保护法》明确的敏感个人信息类别，适用更严格的处理规则。

 

Q3：单独同意怎么证明？

 

A：留存同意记录：同意时间、告知文本版本、游客标识、同意方式。没有记录就等于没有同意。

 

Q4：人脸数据能存多久？

 

A：以实现目的所必需的合理期间为限。核验完成后不需要长期保留的，应及时删除；具体期限应在告知中写明。

 

Q5：儿童刷脸有什么额外要求？

 

A：不满十四周岁未成年人的信息属于敏感个人信息，需取得监护人同意，详见未成年人信息保护的专门要求。

 

Q6：闸机本地存特征值，设备丢了怎么办？

 

A：特征值应加密存储，设备丢失要能远程作废。这也是选型时要问清的技术细节。

 

Q7：游客要求删除人脸数据，多久内要处理？

 

A：应在合理期限内完成，通常建议在收到请求后尽快处理并回复。系统要能按游客标识定位并删除。