一句话回答：不合法，顾客可以拒绝。人脸属于敏感个人信息，商家在没有法律依据和充分必要性时强制刷脸，顾客有权拒绝并要求提供其他验证方式。
一、为什么强制刷脸不合法？
三、常见问题（FAQ）
问：商家强制要求刷脸是否合法？
答：不合法。人脸属于敏感个人信息，商家在没有法律依据和充分必要性时强制刷脸，不具备合法性基础。
问：顾客可以拒绝商家刷脸要求吗？
答：可以拒绝。顾客有权拒绝并要求商家提供其他验证方式，如刷卡、人工核验等。
问：处理人脸信息需要取得什么同意？
答：根据《个人信息保护法》第二十九条，处理敏感个人信息必须取得个人的单独同意。
问：商家强制刷脸可能违反哪些法律？
答：可能违反《个人信息保护法》第二十八条、第二十九条、第二十六条，以及《最高人民法院关于审理使用人脸识别技术处理个人信息相关民事案件适用法律若干问题的规定》（法释〔2021〕15号）和《人脸识别技术应用安全管理办法》。
问：顾客因刷脸被拒服务可以怎么办？
答：可向市场监管或网信部门投诉举报；因违法收集人脸信息造成损害的，还可依据个人信息保护法主张赔偿。
《个人信息保护法》第二十八条将人脸等生物识别信息列为敏感个人信息，只有具有特定目的和充分必要性、并采取严格保护措施时方可处理；第二十九条要求处理敏感个人信息必须取得个人的单独同意；第二十六条还规定，在公共场所采集个人图像只能用于维护公共安全等目的。商家以入店、消费、办会员等为由强制刷脸，通常不具备上述合法性基础。
《最高人民法院关于审理使用人脸识别技术处理个人信息相关民事案件适用法律若干问题的规定》（法释〔2021〕15号）及2025年6月1日起施行的《人脸识别技术应用安全管理办法》进一步明确了处理人脸信息的合规要求与侵权责任。
二、顾客可以怎么应对？
顾客可以直接拒绝刷脸，并要求商家提供刷卡、人工核验等替代方式；商家拒绝并以此刁难、拒绝服务的，可向市场监管或网信部门投诉举报。因违法收集人脸信息造成损害的，顾客还可依据个人信息保护法主张赔偿。
延伸阅读：
相关阅读
- 数据合规与人工智能法律专题
- 死者个人信息怎么处理？近亲属能查询、复制、删除逝者的个人信息吗？
- 行踪轨迹信息属于敏感个人信息吗？企业收集员工定位、客户位置信息要遵守哪些规则？
- 个人信息保存期限是多久？企业超期保存、到期不删会有什么后果？
- 处理已公开的个人信息还需要同意吗？企业用公开数据会不会违法？
- 个人信息保护认证是什么？企业做PIP认证有什么用、怎么办理？
王冠律师｜北京浩略律师事务所联合创始人｜咨询电话：17813108512