一句话回答：属于。个人信息保护法第二十八条把“生物识别”信息明确列为敏感个人信息——人脸、指纹、虹膜、声纹都在里面；处理这类信息，必须具有特定的目的和充分的必要性、采取严格保护措施，并且按第二十九条取得个人的单独同意。
一、法律依据：个保法第28条、第29条与罚则
《中华人民共和国个人信息保护法》第二十八条：敏感个人信息是一旦泄露或者非法使用，容易导致自然人的人格尊严受到侵害或者人身、财产安全受到危害的个人信息，包括生物识别、宗教信仰、特定身份、医疗健康、金融账户、行踪轨迹等信息，以及不满十四周岁未成年人的个人信息。只有在具有特定的目的和充分的必要性，并采取严格保护措施的情形下，个人信息处理者方可处理敏感个人信息。
第二十九条紧接着规定：处理敏感个人信息应当取得个人的单独同意；法律、行政法规规定处理敏感个人信息应当取得书面同意的，从其规定。第六十六条是罚则：违反本法处理个人信息，由履行个人信息保护职责的部门责令改正，给予警告，没收违法所得，对违法处理个人信息的应用程序，责令暂停或者终止提供服务；拒不改正的，并处一百万元以下罚款，对直接负责的主管人员和其他直接责任人员处一万元以上十万元以下罚款。情节严重的，由省级以上部门责令改正，没收违法所得，并处五千万元以下或者上一年度营业额百分之五以下罚款，并可以责令暂停相关业务、停业整顿、吊销许可，对直接负责的主管人员和其他直接责任人员处十万元以上一百万元以下罚款，并可以决定禁止其在一定期限内担任相关企业的董事、监事、高级管理人员和个人信息保护负责人。
二、实务中要注意的三件事
第一，“单独同意”不等于普通的勾选同意。它要求就“处理敏感个人信息”这一件事单独向个人征求同意，不能和隐私政策里的一揽子条款捆在一起，也不能靠默认勾选。第二，员工指纹打卡、公司人脸门禁是最常见的雷区。用人单位以管理为由强制采集，如果没有特定目的、充分必要性和严格保护措施，容易被认定违法；实务中建议提供替代方案，比如工牌刷卡。第三，收集只是第一步，存储、传输、对外提供同样受约束——对外提供还要按第二十三条向个人告知接收方名称、联系方式、处理目的和方式，并取得单独同意。
三、案例分析（示意情景）
举个示意情景：某公司为管理考勤，在未告知、未取得单独同意的情况下要求全体员工录入指纹，并把指纹模板上传到公有云考勤系统。风险点有三层：一是没有履行告知义务（第二十八条、第三十条要求向个人告知处理敏感个人信息的必要性和对个人权益的影响）；二是没有取得单独同意；三是把生物识别信息上传云端，加密、权限、留存期限等安全措施是否到位。一旦被监管部门认定为拒不改正，就可能落入第六十六条的处罚区间。（以上为示意情景，非真实案件）
收个尾：处理生物识别信息，先问“有没有必要”，再问“有没有单独同意”，最后看“守不守得住”，这三步缺一步都是合规缺口。
四、常见问题（FAQ）
问：生物识别信息包括哪些？
答：个保法第28条把“生物识别”列为敏感个人信息，通常包括人脸、指纹、掌纹、虹膜、声纹、步态等可用于识别特定自然人的身体特征信息。
问：处理生物识别信息必须取得单独同意吗？
答：是。第29条要求取得个人的单独同意；法律、行政法规规定应当取得书面同意的，从其规定。
问：公司强制员工录指纹打卡合法吗？
答：不一定违法，但要满足特定目的、充分必要性和严格保护措施，并履行告知与单独同意；能满足管理目的时可提供替代方案，且不宜上传到无安全保障的第三方系统。
问：违规处理会被罚多少？
答：责令改正、警告、没收违法所得；拒不改正的处一百万元以下罚款，责任人处一万元以上十万元以下；情节严重的处五千万元以下或者上一年度营业额百分之五以下罚款，并可责令停业整顿、吊销许可、对责任人禁业。
问：生物识别信息可以对外提供吗？
答：可以，但要向个人告知接收方名称、联系方式、处理目的和方式，并取得单独同意，同时开展个人信息保护影响评估。
五、相关阅读
相关阅读
- 数据合规与人工智能法律专题
- 死者个人信息怎么处理？近亲属能查询、复制、删除逝者的个人信息吗？
- 行踪轨迹信息属于敏感个人信息吗？企业收集员工定位、客户位置信息要遵守哪些规则？
- 个人信息保存期限是多久？企业超期保存、到期不删会有什么后果？
- 处理已公开的个人信息还需要同意吗？企业用公开数据会不会违法？
- 个人信息保护认证是什么？企业做PIP认证有什么用、怎么办理？
王冠律师｜北京浩略律师事务所联合创始人｜咨询电话：17813108512