人脸识别用到哪些数据，边界在哪

进小区刷脸、酒店办入住刷脸、打开App实名认证还是刷脸。人脸识别已经像扫码支付一样日常，但多数人并不清楚：我的脸被存成了什么？存在哪？能删吗？这篇文章不讨论“该不该禁”，只回答几个高频问题，帮你判断一次刷脸请求是否合理，以及怎么处理。

第一个常见问题：系统存的是我的照片吗？通常不是。合规的人脸识别系统不会保存原始照片，而是提取一组特征值，业内叫“人脸特征向量”，一般由128到512个数字组成，相当于把你的脸换算成一串密码。理论上这串数字无法还原成照片，但它是唯一的，一旦泄露，你没法像换密码一样换一张脸。所以真正该关心的不是“它有没有存我照片”，而是“这串特征值存了多久、谁能访问”。

第二个问题：哪些场景刷脸是必要的？可以这样判断——如果存在替代方案，刷脸就不该是唯一选项。比如小区门禁，刷卡、输密码、手机蓝牙都能开门，强制刷脸就超出了必要范围。2021年“人脸识别第一案”中，法院判定动物园单方面将年卡用户从指纹改为刷脸，属于违约。反过来，银行大额转账、政务身份核验，因为涉及资金和公共安全，强制刷脸有明确法规依据。遇到前者，你有权要求替代方式；遇到后者，配合即可。

第三个问题：怎么知道某个场所的人脸数据合不合规？看两点就够了。一是看有没有单独告知和单独同意。根据《个人信息保护法》第26条和第29条，公共场所安装图像采集设备，以及处理人脸这种敏感个人信息，都必须取得单独同意，不能混在“用户协议”里一笔带过。二是看有没有替代通道。商场、写字楼如果只留刷脸一个入口，通常不合规；如果旁边还有刷卡通道，说明设计上留了余地。发现只有刷脸才能进，可以拨打12377举报。

第四个问题：手机里的刷脸数据怎么管？iPhone用户可以在“设置—面容ID与密码”里查看哪些App调用了面容ID，删掉不用的授权；安卓阵营大致在“设置—生物识别与安全”里，部分机型能看到“人脸识别”下的应用列表。更彻底的做法是定期检查“隐私—权限管理”，关掉非必要App的相机权限——很多App申请相机权限后，可以悄悄调用前置摄像头做人脸分析，而你不会收到任何提示。

第五个问题：已经刷过的脸，能要求删除吗？可以。依据《个人信息保护法》第47条，处理目的已实现、你撤回同意或服务终止时，个人信息处理者应当主动删除；未删除的，你有权请求删除。实际操作上，向物业、酒店或App客服发一条书面请求，写明“依据个保法第47条，请删除我的人脸特征信息并告知处理结果”，多数正规机构会在15个工作日内回复。对方拒绝或拖延，可向当地网信部门投诉。

最后说一个容易被忽略的细节：人脸识别本身不是问题，问题在于“无边界使用”。同一张脸，用在门禁、支付、考勤上，风险等级完全不同。支付和政务场景有金融级加密和监管，风险相对可控；真正需要警惕的是那些来路不明的小程序、临时活动页，让你对着镜头“眨眨眼、张张嘴”完成认证，背后可能只是收集数据。记住一个简单原则：如果刷脸的目的说不清楚，或者对方拿不出隐私政策，直接拒绝，换一种验证方式。