学校搞人脸识别是否违法，不能一概而论，需根据具体情况判断。以下从不同角度进行分析：
合法收集与使用场景
- 法律依据：根据《个人信息保护法》第十三条，学校在“为履行法定职责或者法定义务所必需”时，可处理个人信息。例如，学校为保障校园安全、管理学生出勤或进行考试身份核验，在取得学生或家长明确同意后，合法收集并使用人脸信息，通常不构成违法。
- 关键条件：需满足“必要性”和“同意”双重标准。若学校能证明人脸识别是唯一可行方案（如传统门禁无法满足安全需求），且已通过书面协议或系统弹窗等方式获得明确授权，则合法性较高。
违法收集与使用场景
- 未经同意收集：若学校未告知学生或家长人脸识别的目的、范围及存储方式，或未取得同意即强制采集，违反《个人信息保护法》第十四条“基于个人同意处理个人信息的，该同意应当由个人在充分知情的前提下自愿、明确作出”。
- 超范围使用：例如，学校将人脸信息用于商业推广、与第三方共享或长期存储超出必要期限，均违反《个人信息保护法》第六条“处理个人信息应当具有明确、合理的目的，并应当与处理目的直接相关”及第十九条“除法律、行政法规另有规定外，个人信息的保存期限应当为实现处理目的所必要的最短时间”。
- 安全漏洞风险：若学校未采取加密存储、访问控制等安全措施，导致人脸信息泄露，可能承担《个人信息保护法》第五十七条规定的“发生或者可能发生个人信息泄露、篡改、丢失的，个人信息处理者应当立即采取补救措施”的补救责任，甚至因未履行安全保障义务被处罚。
特殊主体保护
- 未成年人权益：根据《未成年人保护法》第七十二条，处理未成年人个人信息需取得监护人同意，并制定专门的处理规则。学校若未单独告知家长并获得授权，或未对未成年人信息采取更高保护标准（如限制数据共享范围），可能面临更严格的法律审查。
法律建议：
- 对学校：若需部署人脸识别系统，应事先通过家长会、书面通知等形式明确告知目的、范围及安全措施，并取得学生或家长签字同意；定期清理过期数据，禁止将信息用于非管理目的。
- 对学生/家长：若发现学校未经同意收集人脸信息，可依据《个人信息保护法》第六十六条向网信部门投诉，要求学校删除信息并停止处理；若因信息泄露遭受损失，可起诉要求赔偿。
示例：某中学为防止校外人员进入，在校门安装人脸识别系统，但未告知学生家长且未签订同意书。后因系统漏洞导致部分学生人脸信息泄露，家长可主张学校违法收集信息并要求赔偿，学校可能面临行政处罚。
如有具体场景需进一步分析，可直接向我咨询。