关于使用人脸识别技术处理个人信息的规定，结合我国现行法律框架，核心结论如下：
- 合法性基础与原则
根据《个人信息保护法》第13条、第28条，人脸信息属于敏感个人信息，处理需满足以下条件之一：
- 取得个人单独同意（需明确告知处理目的、方式、范围及风险）；
- 为履行法定职责或法定义务所必需（如公共安全场景）；
- 为应对突发公共卫生事件或紧急情况下保护自然人生命健康所必需。
例外情形：若处理活动符合《个人信息保护法》第13条第2-7项的例外情形（如签订、履行合同所必需），可豁免单独同意要求，但仍需遵循最小必要原则。
- 处理活动的合规要求
- 目的限制：仅能用于声明目的，不得超范围使用（如物业安装人脸门禁后，不得将数据用于营销）；
- 最小必要：需证明人脸识别是唯一可行方案（如机场安检可替代人工核验，但小区门禁若能通过门禁卡实现，则不得强制使用人脸识别）；
- 安全保障：需采取加密存储、匿名化处理等技术措施，防止数据泄露（参考《信息安全技术 人脸识别数据安全要求》GB/T 41819-2022）；
- 影响评估：处理规模超10万人或涉及未成年人、老年人等特殊群体时，需开展个人信息保护影响评估（PIA）。
- 特殊场景的补充规则
- 公共场所安装：根据《最高人民法院关于审理使用人脸识别技术处理个人信息相关民事案件适用法律若干问题的规定》第2条，物业、商场等在公共区域安装人脸识别设备需同时满足：
- 取得业主/顾客明示同意；
- 公示处理规则；
- 提供非人脸识别替代方案（如刷卡、人工核验）。
- 行政机关使用：需符合《行政处罚法》《治安管理处罚法》等法律授权，且遵循比例原则（如仅在识别违法嫌疑人时使用，不得用于日常考勤）。
- 法律责任与救济途径
- 民事责任：违规处理导致损害的，受害人可依据《个人信息保护法》第69条主张赔偿（包括精神损害赔偿）；
- 行政处罚：监管部门可责令改正、没收违法所得，并处5000万元以下或上一年度营业额5%以下罚款（参考《个人信息保护法》第66条）；
- 刑事责任：若非法获取、出售人脸数据达50条以上，可能构成《刑法》第253条之一的侵犯公民个人信息罪。
实务建议：若您是个人信息处理者，建议定期开展合规审计，建立数据分类分级管理制度；若您是信息主体，发现违规处理可向网信部门举报或直接起诉。如有具体场景需进一步分析，可直接向我咨询。