读懂人脸识别技术应用备案：合规边界、材料与实操要点

引言

人脸识别已经广泛落地于身份核验、门禁通行、政务办理、金融风控等各类业务场景。人脸信息属于典型的敏感个人信息，一旦泄露、滥用，会对自然人权益造成严重损害。随着《人脸识别技术应用安全管理办法》正式实施，人脸识别技术应用备案成为企业合规工作中不可忽视的一环中国政府网。很多企业对于 “什么情况需要备案、向谁备案、准备哪些材料、备案之后还有哪些义务” 仍然存在认知模糊，本文结合法规要求，梳理人脸识别备案的核心规则，帮助企业理清合规路径。

一、什么是人脸识别技术应用备案

人脸识别技术应用备案，是监管面向人脸信息处理主体建立的监管登记机制，核心目的是实现人脸信息处理行为可登记、可追溯，约束企业合法采集、存储、使用人脸数据，防范过度采集、违规使用、数据泄露等风险腾讯云。

备案不等同于审批，不属于行政许可。备案不代表监管对企业技术、业务做背书，而是企业履行个人信息保护法定义务的重要环节。即便完成备案，企业仍然需要遵守个人信息保护、数据安全相关法律法规，落实全流程的数据安全管控。

二、哪些主体需要办理备案

依据法规要求，个人信息处理者应用人脸识别技术处理的人脸信息存储数量达到 10 万人，就应当履行备案手续，向所在地省级以上网信部门提交备案材料环球网。

这里需要厘清几个关键边界：

1. 统计口径以存储人脸信息数量为准，不是调用接口次数、不是访问用户人次；仅做比对校验、不落地存储人脸原始数据的场景，不计入该阈值。
2. 存量业务：办法实施前已经达到存储阈值的主体，需要完成补备案；新增业务，人脸存储量达到 10 万人起算，30 个工作日内完成备案中国政府网。
3. 备案主体是实际的个人信息处理者，即决定人脸信息处理目的、方式的企业或机构；单纯提供 AI 技术接口、只提供技术能力但不决定业务处理规则的服务商，并不必然成为备案主体。业务上需要厘清数据处理责任边界，明确谁是人脸信息处理者，由责任主体完成备案。

同时需要注意，没有达到 10 万人存储阈值，虽无需履行备案手续，但并不代表可以随意处理人脸信息。无论规模大小，处理人脸这类敏感个人信息，都要取得个人单独同意，落实最小必要原则，做好安全防护，开展个人信息保护影响评估。

三、备案需要准备哪些核心材料

按照法规规定，备案需要提交五大核心材料中国政府网：

1. 个人信息处理者基本情况：主体资质、组织架构、个人信息保护负责人联系方式、业务范围等基础信息。
2. 人脸信息处理目的和处理方式：清晰说明人脸识别用于什么业务场景，采集、比对、存储、删除的全流程处理逻辑，说明业务必要性。法规明确，如果存在其他可以实现同等效果的替代方案，不能将人脸识别作为唯一身份验证手段，需要为用户提供替代验证途径。
3. 人脸信息存储数量和安全保护措施：说明人脸数据存储规模、存储周期，以及加密、访问控制、安全审计、风险处置等安全防护手段；涉及等保、关键信息基础设施的，需要同步落实对应义务。
4. 人脸信息的处理规则和操作规程：内部制度，包含采集授权流程、数据访问权限、异常处置、数据删除销毁流程、应急处置流程。
5. 个人信息保护影响评估报告（PIA）：人脸业务上线前必须完成，报告需要论证业务必要性，评估泄露风险，说明风险应对措施，报告至少留存 3 年；当业务处理目的、方式发生重大变化，或者发生重大安全事件，需要重新开展评估央视网新闻...。

企业在填报时，不能只简单描述技术方案，要重点论证业务场景下人脸识别的必要性，说明为什么业务需要使用人脸，而不是其他核验方式，这也是备案审核中的重点关注项。

四、备案办理、变更与注销

备案统一通过个人信息保护业务系统线上填报，可从中国网信网全国网信政务办事大厅进入系统，按照填报指引提交全套材料，无需线下纸质报送环球网。

备案不是提交一次就结束，存在变更和注销义务：

1. 发生实质性变更：业务场景、人脸处理方式、存储规模、安全保护机制发生重大变化，需要在变更后 30 个工作日内办理备案变更。
2. 业务终止：不再使用人脸识别业务，要在终止 30 个工作日办理备案注销，并且按照法律要求对已有的人脸信息做删除、销毁处理，不得继续留存。

五、企业常见合规误区

1. 误区一：使用第三方云厂商人脸识别接口，就不需要自己备案

解析：第三方只是技术提供方。如果企业作为业务主体，决定人脸采集用途、存储人脸数据，达到阈值后，企业自身作为信息处理者，仍然需要完成备案，不能由技术服务商代为免除主体责任。

1. 误区二：备案完成就可以无限制采集人脸

解析：备案只是登记义务。仍然要遵守最小必要，禁止强制刷脸，用户拒绝人脸核验时要提供其他核验方式；公共场所部署人脸识别设备，仅限公共安全必要场景，同时设置明显提示标识，禁止在浴室、更衣室等私密空间部署设备中国政府网。

1. 误区三：只是临时调用比对，没有落地存储，也要备案

解析：备案以存储人脸信息数量为阈值。仅实时比对、不保存人脸原始数据，未落地存储，则不触发备案义务，但依然要落实敏感个人信息处理的各项合规要求。

1. 误区四：备案材料简单填写即可，PIA 报告走形式

解析：个人信息保护影响评估是备案核心材料，监管重点审查业务必要性、风险评估、安全措施匹配度。报告流于形式，会直接影响备案办理，同时企业也会埋下数据合规风险。

六、备案之外的常态化合规建议

人脸识别合规，备案只是其中一环，企业需要建立全生命周期管理：

1. 业务立项阶段，优先评估是否可以不用人脸识别，优先选择非生物识别的替代方案；确需使用，严格限定采集范围、存储周期。
2. 采集环节获取用户单独、明确的同意，不得捆绑授权，不得诱导胁迫用户刷脸。
3. 技术层面落实加密存储、权限管控、日志审计，做好人脸数据防泄露、防篡改的防护。
4. 建立定期自查机制，跟踪人脸存储数量，一旦接近 10 万阈值，提前准备备案材料。
5. 制定数据泄露应急预案，一旦发生人脸信息安全事件，按照法规及时处置、上报。

结语

人脸识别技术为业务带来便捷的同时，也伴随较高的个人权益风险。人脸识别备案制度，本质是倒逼企业把人脸信息保护落到实处。对于企业而言，不应当把备案当成一项应付监管的任务，而应当以此为契机，梳理人脸业务全链路，从业务源头落实最小必要原则，平衡技术应用与个人信息权益保护，实现业务发展与合规并行。

本文仅为政策科普解读，不构成法律意见，具体办理以监管部门最新规则为准。