别拿“合规备案”当合法挡箭牌
见过太多机构拿这句话堵人嘴：我们都过备案了，符合管理要求。备案？备案只是走完了监管的登记流程，不代表你干的所有事都合法。就像你去工商局注册了公司，不代表你卖假货就合法，一个道理。
我翻过去一年的二十多份相关判决，发现一个很有意思的点：法院认定强制采集违法，从来不是因为机构泄露了数据，或者拿去卖了。从你逼着对方必须刷脸才能办事的那一刻，违法就已经成立了。你品品这个逻辑，对不对？很多人觉得，我信息没丢，没被骗，就不算事儿。错了，你的脸，是你的敏感个人信息，只有你能决定给不给，任何人不能抢。
违法认定的三个核心要件，90%的普通人搞反了顺序
大部分人的认知是：只有出了问题，才能告对方违法。不对。违法的认定，从采集环节就可以拍板。我给你画一条逻辑线：
第一个核心，场景是否法定要求必须采集。目前全国层面的法律里，明确要求必须采集人脸识别的，只有公安机关办案、地铁安检等极少数法定场景。小区门禁？写字楼访客？商场会员？快递取件？办理社保？全不在这个范围内。没有任何一条法律说，这些场景必须要刷脸才能进。
第二个核心，是否存在强制或者变相强制。什么叫强制？就是不给你其他选择，不刷脸就办不成事。什么叫变相强制？就是名义上留了人工通道，实际上人工通道每天只开一小时，在几公里外的后门，排队要两个小时，本质上还是逼你刷脸。去年上海那个判例，商场要求所有进停车场的车必须刷脸抬杆，留了人工缴费在出口，但是人工通道永远关着，法院直接认定就是变相强制，违法。
第三个核心，是否获得了法律认可的单独同意。注意，是单独同意，不是你把采集条款藏在几十页的用户协议最后，默认打勾，那就叫同意了。法律要求的单独同意，就是单独就采集人脸这件事，告知你用途、保存期限、删除方式，你明确主动同意，而且不同意不影响你享受正常服务。少了任何一条，都不算。
此处值得推敲，很多机构会玩文字游戏，说“进入本园区即视为同意采集”，这叫什么话？我进我自己家，还要同意你采我脸？这叫抢劫，不叫同意。现在已经有一大堆判例，只要占了上面三条的任意两条，基本都会认定违法，不信你去裁判文书网搜，一搜一大把。
不过话说回来，机构比你清楚这是违法的。他们为什么还要干？算过账而已。采集你的人脸，不管是用来做客流分析，还是卖给第三方，收益都落进自己口袋，成本呢？大部分人嫌麻烦，忍了，就算有一两个不服，大不了改了，最多罚个几万，对大机构来说九牛一毛。这个风险收益比，他们算得门清。说白了，就是吃定了你不想多事。
不用吵架不用闹，给你三个防身步骤
我不帮人打官司，也从来不搞受害者叙事，你是你自己利益的第一责任人，我只给你拆暗雷的步骤，成本低，见效快。
第一步，先留证，别上来就跟保安吵架。你掏出手机拍，拍门口的告示，拍闸机，拍你跟保安的对话，一定要录到对方明确说“不刷脸不能进”“没有其他方式进去”这句话，只要这个证据拿到，你就赢了大半。
第二步，先投诉，别直接起诉。打12345，明确说“某单位强制采集人脸识别，涉嫌违法”，要求转网信办或者市场监管局处理，现在全国都在查这个，大部分机构接到监管电话，直接就改了，毕竟没人想留个违法处罚记录。
第三步，投诉没用再起诉，诉讼费只要50块。你不用要几百万赔偿，就提两个诉求：第一，请求法院认定对方强制采集人脸识别违法；第二，要求对方开放其他通行/办事方式。这种案子，证据扎实的话，赢率在九成以上，判决下来不光你自己的问题解决了，整栋楼所有人的权益都保住了。
别觉得“多一事不如少一事”。你今天让他采了，你的人脸数据存到哪里，会不会被转卖，会不会被拿去做AI换脸，你完全控制不了。细思极恐。法律从来不是等你出事了才用来喊冤的工具，它是规则，你现在就能用它把你的脸拿回来。你的脸，本来就是你的，对吧。