公司收集人脸信息是否合法，需分情况讨论，核心在于是否满足“合法性、正当性、必要性”原则，并履行法定告知义务。以下从法律框架、合规要点、违法后果三个角度展开分析：

1. 合法收集人脸信息的核心条件

根据《个人信息保护法》《网络安全法》《数据安全法》及相关司法解释，公司收集人脸信息需同时满足以下条件：

• 取得单独同意：人脸信息属于生物识别类敏感个人信息，收集前必须通过书面、电子等形式单独取得信息主体（如员工、客户）的明确同意，不得通过“一揽子授权”或默认勾选方式收集。
• 履行告知义务：需以显著方式告知信息主体收集目的、方式、范围、存储期限及权利（如删除权），且告知内容需真实、准确、完整。
• 具备必要性：收集行为需与提供服务或履行合同直接相关，且无其他更少侵害个人信息的方式可替代（如门禁系统可采用刷卡替代人脸识别）。
• 建立安全制度：需制定内部管理制度，采取加密存储、访问控制、定期审计等技术措施保障数据安全，防止泄露、篡改或非法使用。

典型案例：上海某科技有限公司因运营的自动售货机违法违规收集人脸信息，被属地网信办责令改正并警告处罚，原因即未履行上述义务。

2. 违法收集人脸信息的常见情形

以下行为可能被认定为违法：

• 未取得同意：如公司未告知员工或客户即收集人脸信息，或通过隐蔽摄像头、强制注册等方式收集。
• 超范围收集：收集的人脸信息超出实现目的所需范围（如仅需验证身份却收集面部表情、年龄等衍生信息）。
• 未评估风险：处理敏感个人信息前未进行个人信息保护影响评估（如AI公司训练模型时未评估人脸数据泄露风险）。
• 未保障安全：未采取技术措施保护数据，导致人脸信息被窃取或泄露（如山东某医学检验公司因系统漏洞致数据泄露）。

法律依据：

• 《个人信息保护法》第26条：处理生物识别信息需取得单独同意；
• 第55条：处理敏感个人信息需进行影响评估；
• 第66条：违法处理个人信息可处5000万元以下罚款或吊销业务许可。

3. 法律后果与合规建议

• 行政责任：网信部门可责令改正、警告、罚款（最高5000万元），情节严重者可吊销相关业务许可。
• 民事责任：信息主体可要求删除信息、赔偿损失（如因信息泄露导致诈骗）。
• 刑事责任：若非法获取、出售人脸信息达50条以上，可能构成侵犯公民个人信息罪（处3年以下有期徒刑）。

合规建议：

1. 制定合规制度：明确人脸信息收集、使用、存储、删除的全流程规则；
2. 开展影响评估：处理前评估对个人权益的影响及安全风险；
3. 优化技术措施：采用加密、匿名化、去标识化等技术降低风险；
4. 定期审计培训：对员工进行数据安全培训，定期检查系统漏洞。

总结

公司收集人脸信息并非绝对禁止，但必须严格遵守法律规定的条件。若您所在公司涉及人脸信息收集，建议立即自查是否履行了单独同意、告知义务，是否建立了安全制度。如有疑问，可直接向我咨询具体场景下的合规方案。