保险公司要求客户在签回执时刷脸，这一行为是否合理需分情况讨论：
若保险公司已取得客户明确授权
根据《个人信息保护法》第十三条，处理个人信息需取得个人同意。若客户在投保时已通过书面、电子等形式明确授权保险公司采集人脸信息用于“签收回执”等特定场景，且保险公司能证明授权范围、用途清晰（如合同条款中单独列明），则该行为可能具有合法性基础。但需注意：
- 授权需“自愿、明确”，不得通过默认勾选、捆绑授权等方式强迫；
- 保险公司需采取加密存储、限制访问等措施保障信息安全，否则可能因泄露信息承担侵权责任。
若保险公司未取得客户授权，或授权范围不明确
此时刷脸行为涉嫌违法，具体分析如下：
- 违反《个人信息保护法》：人脸信息属于敏感个人信息，处理需“单独同意”（第十四条）。若保险公司未单独告知并取得同意，可能面临警告、罚款（最高5000万元或年营业额5%），甚至吊销业务许可（第六十六条）；
- 侵犯客户知情权与选择权：根据《消费者权益保护法》第八条、第九条，客户有权知晓信息处理目的、方式，并自主决定是否提供。若保险公司未履行告知义务，客户可要求删除信息并主张赔偿；
- 可能涉及“强制交易”：若刷脸是签收回执的唯一方式，且客户明确拒绝后仍被要求，可能违反《消费者权益保护法》第十六条“不得设定不公平、不合理的交易条件”。
建议客户采取以下行动：
- 核实授权情况：检查投保合同、隐私政策等文件，确认是否授权过人脸信息采集；
- 拒绝不合理要求：若未授权或授权范围不符，可明确拒绝刷脸，要求通过签名、短信验证等替代方式签收；
- 投诉与维权：若保险公司坚持强制刷脸，可向当地银保监会（12378）或市场监管部门（12315）投诉，或通过诉讼主张停止侵害、赔偿损失。
总结：保险公司刷脸签回执的合法性取决于是否取得客户明确授权。若未授权或授权存疑，客户有权拒绝并维权。如有具体合同条款或操作细节需进一步分析，可直接向我咨询。