关于银行使用人脸信息的法律规定，核心结论如下，我将从法律依据、使用规则、用户权利、违规后果四个维度展开说明：

1. 法律依据：人脸信息属于敏感个人信息，受严格保护

根据《中华人民共和国个人信息保护法》（2021年施行）第二十八条，人脸信息属于生物识别信息，是敏感个人信息的一种。银行处理人脸信息需满足：

• 特定目的+充分必要性：仅能用于实现身份验证、风险防控等明确、合理的目的；
• 单独同意原则：需单独获得用户书面或电子形式的明确同意（如勾选“同意人脸识别”并签字/点击确认），不能通过“一揽子授权”或默认勾选方式收集；
• 最小必要原则：仅收集实现目的所需的最少人脸信息（如仅采集面部特征点，而非全脸高清图像），且不得过度分析（如通过人脸识别推断用户情绪、健康状况等无关信息）。

2. 使用规则：银行需履行多重合规义务

• 事前告知：在收集人脸信息前，需以显著方式（如加粗字体、弹窗提示）告知用户：处理目的、方式、期限、存储地点、安全措施、用户权利（如拒绝权、删除权）及投诉渠道；
• 安全保障：需采取技术措施（如加密存储、匿名化处理）和管理措施（如限制访问权限、定期安全审计）防止人脸信息泄露、篡改或丢失；
• 限制存储期限：人脸信息存储期限应为实现处理目的所必要的最短时间（如仅在用户开户期间存储，账户注销后应删除），不得长期留存；
• 禁止非法交易：严禁将人脸信息出售、共享给第三方（如广告公司、数据中介），除非用户单独同意或法律另有规定（如公安机关调查犯罪）。

3. 用户权利：用户对人脸信息享有多项控制权

• 拒绝权：用户有权拒绝银行使用人脸识别技术（如选择传统密码验证方式），银行不得因此拒绝提供服务（除非人脸识别是唯一可行的验证方式，如远程开户场景）；
• 查询权：用户可要求银行告知其人脸信息的处理情况（如存储位置、使用记录）；
• 更正权：若人脸信息不准确（如因技术故障导致识别错误），用户可要求银行更正；
• 删除权：在以下情形下，用户可要求银行删除人脸信息：
  • 处理目的已实现且无需保留；
  • 银行违反法律规定或合同约定处理人脸信息；
  • 用户撤回同意且无其他合法处理基础。

4. 违规后果：银行可能面临行政处罚与民事赔偿

• 行政处罚：若银行违反《个人信息保护法》，监管部门可责令改正、没收违法所得，并处以5000万元以下或上一年度营业额5%以下罚款（对直接责任人员处10万元-100万元罚款）；
• 民事赔偿：用户因人脸信息泄露遭受损失（如诈骗、名誉损害），可要求银行赔偿实际损失及精神损害抚慰金；
• 刑事责任：若银行非法获取、出售人脸信息情节严重（如涉及50条以上敏感个人信息），可能构成《刑法》第二百五十三条之一的侵犯公民个人信息罪，直接责任人员可能被判处3年以下有期徒刑或拘役。

实务建议

若您发现银行违规使用人脸信息（如未告知即收集、强制使用、泄露信息），可：

1. 向银行客服投诉，要求停止处理并删除信息；
2. 向当地网信办、银保监会举报；
3. 保留证据（如截图、录音）并起诉银行，主张赔偿。

如有具体场景（如开户、贷款、ATM机使用人脸识别）需进一步分析，可直接向我咨询。