学校采集人脸信息是否合法，不能一概而论，需结合具体情况判断。以下从不同角度为你详细分析：
合法情形
- 基于合法目的且获得同意
- 如果学校采集人脸信息是为了维护校园安全，例如在校园出入口安装人脸识别系统，用于识别进出人员身份，防止校外无关人员进入校园，保障师生安全，并且学校在采集前明确告知了学生及家长采集的目的、方式、范围等，同时获得了学生（若为未成年人则需获得其监护人）的明确同意，那么这种采集行为通常是合法的。
- 法律依据：根据《中华人民共和国个人信息保护法》第十三条规定，符合下列情形之一的，个人信息处理者方可处理个人信息：（一）取得个人的同意；（二）为订立、履行个人作为一方当事人的合同所必需，或者按照依法制定的劳动规章制度和依法签订的集体合同实施人力资源管理所必需；（三）为履行法定职责或者法定义务所必需；（四）为应对突发公共卫生事件，或者紧急情况下为保护自然人的生命健康和财产安全所必需；（五）为公共利益实施新闻报道、舆论监督等行为，在合理的范围内处理个人信息；（六）依照本法规定在合理的范围内处理个人自行公开或者其他已经合法公开的个人信息；（七）法律、行政法规规定的其他情形。学校基于维护校园安全这一合法目的，在获得同意的情况下采集人脸信息符合上述第（一）项规定。
- 履行法定职责或法定义务
- 在某些特殊情况下，学校可能根据法律法规的明确要求采集学生的人脸信息。例如，在应对突发公共卫生事件时，为了进行精准的疫情防控管理，学校可能需要根据相关部门的统一部署采集学生人脸信息用于健康监测等，这种情况下即使没有单独获得每个学生及家长的同意，也可能是合法的。
- 法律依据：同样依据《中华人民共和国个人信息保护法》第十三条第（三）项规定，为履行法定职责或者法定义务所必需，个人信息处理者可以处理个人信息。
违法情形
- 未经同意擅自采集
- 如果学校没有获得学生（或其监护人）的同意，就擅自采集学生的人脸信息，这显然侵犯了学生的个人信息权益。人脸信息属于敏感个人信息，根据法律规定，处理敏感个人信息应当取得个人的单独同意。
- 法律依据：《中华人民共和国个人信息保护法》第二十八条规定，敏感个人信息是一旦泄露或者非法使用，容易导致自然人的人格尊严受到侵害或者人身、财产安全受到危害的个人信息，包括生物识别、宗教信仰、特定身份、医疗健康、金融账户、行踪轨迹等信息，以及不满十四周岁未成年人的个人信息。只有在具有特定的目的和充分的必要性，并采取严格保护措施的情形下，个人信息处理者方可处理敏感个人信息。第二十九条规定，处理敏感个人信息应当取得个人的单独同意；法律、行政法规规定处理敏感个人信息应当取得书面同意的，从其规定。
- 超出必要范围采集和使用
- 即使学校最初获得了同意采集人脸信息，但如果在使用过程中超出了最初告知的范围和目的，例如将采集的人脸信息用于商业推广、与其他无关机构共享等，这也属于违法行为。
- 法律依据：《中华人民共和国个人信息保护法》第六条规定，处理个人信息应当具有明确、合理的目的，并应当与处理目的直接相关，采取对个人权益影响最小的方式。收集个人信息，应当限于实现处理目的的最小范围，不得过度收集个人信息。
法律后果
如果学校采集人脸信息的行为违法，可能会面临以下法律后果：
- 民事责任：学生或其监护人可以要求学校停止侵害、排除妨碍、消除危险、恢复名誉、赔礼道歉等，如果造成了精神损害，还可以要求学校赔偿精神损失。
- 行政责任：相关监管部门可以对学校进行警告、罚款等行政处罚。根据《中华人民共和国个人信息保护法》第六十六条规定，违反本法规定处理个人信息，或者处理个人信息未履行本法规定的个人信息保护义务的，由履行个人信息保护职责的部门责令改正，给予警告，没收违法所得，对违法处理个人信息的应用程序，责令暂停或者终止提供服务；拒不改正的，并处一百万元以下罚款；对直接负责的主管人员和其他直接责任人员处一万元以上十万元以下罚款。有前款规定的违法行为，情节严重的，由省级以上履行个人信息保护职责的部门责令改正，没收违法所得，并处五千万元以下或者上一年度营业额百分之五以下罚款，并可以责令暂停相关业务或者停业整顿、通报有关主管部门吊销相关业务许可或者吊销营业执照；对直接负责的主管人员和其他直接责任人员处十万元以上一百万元以下罚款，并可以决定禁止其在一定期限内担任相关企业的董事、监事、高级管理人员和个人信息保护负责人。
如果你发现学校采集人脸信息存在违法行为，或者对学校采集人脸信息的合法性存在疑问，可以直接向我咨询，我会为你提供更详细的法律分析和建议。