一句话回答：可以装，但不能随便装。法律规定在公共场所安装图像采集、个人身份识别设备，应当为维护公共安全所必需，遵守国家有关规定，并设置显著的提示标识；《人脸识别技术应用安全管理办法》还进一步要求，存在其他非人脸识别方式的不得作为唯一验证方式，人脸信息存储数量达到10万人的处理者必须向省级网信部门备案。

一、法律依据：个人信息保护法第二十六条

第二十六条规定：在公共场所安装图像采集、个人身份识别设备，应当为维护公共安全所必需，遵守国家有关规定，并设置显著的提示标识。所收集的个人图像、身份识别信息只能用于维护公共安全的目的，不得用于其他目的；取得个人单独同意的除外。

另外，人脸信息属于敏感个人信息（生物识别信息），处理它要取得个人的单独同意，并向个人告知处理的必要性以及对个人权益的影响。这一点在个人信息保护法第二十八条、第二十九条、第三十条中有明确规定。

二、管理办法给企业划了哪些线？

《人脸识别技术应用安全管理办法》由国家互联网信息办公室、公安部公布，自2025年6月1日起施行。其中几条和企业最相关：一是实现相同目的或者达到同等业务要求，存在其他非人脸识别技术方式的，不得将人脸识别技术作为唯一验证方式；二是不得以办理业务、提升服务质量等为由强制、误导、欺诈、胁迫个人接受人脸识别验证身份；三是不得在宾馆客房、公共浴室、公共更衣室、卫生间等私密空间安装人脸识别设备；四是在公共场所安装人脸识别设备应当为维护公共安全所必需，依法合理确定人脸信息采集区域，并设置显著提示标识；五是应用人脸识别技术处理的人脸信息存储数量达到10万人的个人信息处理者，应当向所在地省级网信部门履行备案手续。

三、实务视角：物业和商场该补的功课

实务中要注意，监管关注的不是有没有装摄像头，而是有没有必要性论证、有没有替代通道、有没有告知同意这几件事。具体动作包括：在门口设置醒目的提示标识，说明采集目的和范围；保留刷卡、扫码、人工登记等替代方式，不强制刷脸；与设备商、云服务商签好委托处理协议，明确数据不得另作他用；定期自查人脸信息存储数量，一旦接近或者达到10万人，及时向省级网信部门备案。

不履行这些义务的后果不轻。按个人信息保护法第六十六条，拒不改正的，可以处一百万元以下罚款，对直接负责的主管人员和其他直接责任人员处一万元以上十万元以下罚款；情节严重的，可以处五千万元以下或者上一年度营业额百分之五以下罚款，对直接责任人员处十万元以上一百万元以下罚款，并可以禁止在一定期限内担任相关职务。

四、案例分析（示意情景）

以下为示意情景，用于说明合规动作，不涉及任何真实项目：某写字楼物业为提升通行效率，在电梯厅安装人脸识别门禁，只留刷脸一种通行方式，现场没有任何提示标识，也未提供替代方案，后台人脸数据由第三方设备商远程存储。这种安排在实务中风险很高：既缺少安装必要性论证和显著标识，又把人脸识别作为唯一验证方式，还涉及未签委托处理协议的数据外流问题。合理的做法是同时保留刷卡通行、门口张贴显著提示、与设备商签订数据处理协议并约定到期删除，并核查自身人脸信息存储量是否触及备案要求。

五、常见问题（FAQ）

问：公共场所安装人脸识别设备合法吗？

答：在满足为维护公共安全所必需、遵守国家有关规定、设置显著提示标识这三项条件时是合法的；所收集的个人图像、身份识别信息只能用于维护公共安全的目的。

问：小区门禁能不能只支持刷脸？

答：不建议。存在其他非人脸识别技术方式时，不得将人脸识别技术作为唯一验证方式，应当提供刷卡、扫码等合理、便捷的替代方式。

问：什么情况下必须向网信部门备案？

答：应用人脸识别技术处理的人脸信息存储数量达到10万人的个人信息处理者，应当向所在地省级网信部门履行备案手续。

问：不设显著标识、不备案会有什么后果？

答：拒不改正的，按个人信息保护法第六十六条处一百万元以下罚款，对直接责任人员处一万元以上十万元以下罚款；情节严重的，罚款上限提高到五千万元以下或者上一年度营业额百分之五以下。

问：员工或者业主可以拒绝刷脸吗？

答：处理敏感个人信息应当取得单独同意，且不得强制、误导、欺诈、胁迫个人接受人脸识别验证身份，个人可以拒绝并选择其他验证方式。

相关阅读

王冠律师｜北京浩略律师事务所联合创始人｜咨询电话：17813108512