问题——人脸信息属于敏感个人信息，一旦管理不到位，容易出现“可识别、可追踪、可复用”的安全风险。本案中，检察机关履职中发现，有关企业在人脸识别技术使用和数据治理上存较为集中、具有共性的隐患：未与第三方数据处理者签署必要的安全协议；人脸信息经互联网传输但未对敏感数据进行加密；人脸信息等敏感数据未落实本地化存储及必要的访问控制；缺少脱敏、加密存储等保护措施；隐私政策告知不充分，未明确处理目的、保存期限等关键内容；处理不满十四周岁未成年人的人脸信息，未依法取得监护人同意。其中，一家企业信息系统内存有超过10万条人脸数据，风险外溢隐患尤为突出。 原因——上述问题反映出三上深层原因：其一，部分场景将人脸识别当作“方便手段”，对其敏感性和不可更换性认识不足，忽视“最小必要”原则，把上线部署等同于合规完成。其二，企业数据治理能力和外包管理相对薄弱，第三方处理链条缺少协议约束、审计评估与技术加固，导致“采集—传输—存储—使用—删除”任一环节失守，都可能成为风险入口。其三，部分经营主体告知、同意获取、期限管理等合规要件上缺少标准化操作，尤其在未成年人信息处理上，未将监护人同意、用途限制、留存期限等要求落实到制度和系统配置中。 影响——人脸信息高度敏感，一旦泄露或被滥用，后果往往持续且易扩散。对个人而言，可能引发身份冒用、精准画像、骚扰诈骗等连锁风险；对未成年人而言，信息权益更需严格保护，任何“默认采集、模糊授权”都可能带来长期隐患。对企业而言，合规缺口不仅增加数据安全事件发生概率，还可能引发监管处罚、诉讼纠纷和信任受损，进而影响行业生态。对城市治理而言，物业小区等公共生活场景中人脸识别系统应用普遍，若缺少统一规范和底线要求，容易累积为规模化、系统性风险。 对策——依法履职与行业监管协同，是治理此类风险的关键路径。针对发现的问题，检察机关依据相关法律法规向主管部门制发检察建议，推动行政监管与企业整改形成闭环。主管部门依法监管案涉企业的同时，向辖区物业企业发出通知，强调规范人脸识别系统使用与个人信息保护，并继续明确处理规则：处理人脸信息应在充分知情基础上取得个人自愿、明确的单独同意；处理不满十四周岁未成年人信息必须取得父母或其他监护人同意；存储环节应采取加密等安全技术措施，保存期限不得超过实现目的所必需，期满应自动删除。随后，检察机关邀请相关业务专家参与复核调查，确认企业已完成整改，相关风险隐患得到消除。 前景——随着智能门禁、社区服务、消费场景等对生物识别技术的使用增加，人脸信息治理将从“事后整改”逐步转向“前置防控”。一上，企业需尽快建立覆盖全流程的数据合规体系，将第三方管理、权限控制、加密传输与存储、日志审计、期限删除等要求固化为制度和系统配置，避免停留“纸面合规”。另一上，主管部门可结合行业特点完善操作指引和检查机制，推动形成统一、可执行的标准，降低基层单位和市场主体的合规成本。更重要的是，应坚持最小必要原则，审慎评估人脸识别的必要性及替代方案；在刷卡、密码、二维码等方式能够实现同等目的的场景，尽量减少对人脸识别的依赖，以技术应用守住个人信息保护底线。
这起典型案例从不同侧面呈现了数字化转型中的现实问题，也提供了个人信息保护的法治解题思路。当人脸逐渐成为“行走的密码”，如何在技术创新与权利保障之间取得平衡，不仅考验企业的责任意识，也考验治理体系的精细化水平。该案的妥善处理表明，生物信息安全防护正在加速完善，为数字经济发展夯实法治基础。（完）