作为敏感个人信息，人脸信息具有唯一性、易获得性和安全性三个特性。魏冬冬说，其中，“唯一性”在于不可变更，“密码丢了可以更改，但人只有一张脸，只有这一把钥匙，如果被盗，是无法更改的”，而“易获得性”在于，只要远远安一个摄像头，就可以获取人脸信息，这导致人脸识别技术便于用来跟踪人的行踪轨迹，这就引申至“安全性”。
“由于人脸信息和人是绑定的，需要真人到访才能提供，较难仿冒，人脸常被用于关键场所的出入身份验证和支付验证等重要场景，但近年也出现了利用人脸图片、3D模型和深度合成技术制作的视频骗过人脸验证的事件。”魏冬冬说。
如何处理人脸信息才算恰当？魏冬冬说，无论是物业还是写字楼要收集人脸信息，首先应获取个人的单独同意，让其在载明人脸信息处理规则的清单上签字，获得同意后才可采集人脸信息，与此同时，还应给住户提供替代的通行方式。
天津诚基经贸中心的人脸识别门禁。图/受访者提供
采集了人脸信息后，也要采取适当的技术措施去处理。魏冬冬介绍，首先在信息比对的环节，应尽量在本地完成人脸信息的比对，减少传输过程；其次，若需存储，不存储人脸照片或视频本身，一般需要处理成“消息摘要”。消息摘要就是将任何一张人脸信息使用算法将其“翻译”成一串唯一的字母数字组合，由于消息摘要是不能逆向还原为人脸信息本身的，所以可以防止人脸信息本身的泄露。
不过，魏冬冬指出，前述这些措施都只是推荐性国家标准的要求，不是强制性法律义务，只能作为行政执法的参考，而非直接的执法依据，对人脸识别的法律规制，还有赖于国家网信办统筹协调有关部门出台的人脸识别保护的细则、标准。
一审曾败诉
2021年8月1日，最高人民法院出台《关于审理使用人脸识别技术处理个人信息相关民事案件适用法律若干问题的规定》 （下称《人脸识别司法解释》）生效施行。
在法学界看来，这份司法解释对处理人脸识别信息进行了有力的规范，其不仅规范了宾馆、商场、银行、车站、机场、体育场馆、娱乐场所等经营场所、公共场所和物业公司的采集人脸信息行为，还涉及举证责任和维权合理开支等细节。
对于顾城遇到的情况，《人脸识别司法解释》第十条规定，“物业服务企业或者其他建筑物管理人以人脸识别作为业主或者物业使用人出入物业服务区域的唯一验证方式，不同意的业主或者物业使用人请求其提供其他合理验证方式的，法院依法予以支持”。这意味着，顾城对物业采集人脸的拒绝“有法可依”。
司法解释实施第二天，顾城再度向物业公司表达拒绝刷脸的诉求，要求其他通行方式，但仍然被拒绝。2021年8月9日，他委托律师向物业公司快递律师函，对方在8月19日签收后仍无回应，他决定起诉。
同年9月3日，天津市和平区人民法院对顾城的起诉立案，案由为“隐私权纠纷”，被起诉的诚基中心物业公司全名为兰州城关物业服务集团有限公司天津分公司（下称“城关物业”），顾城的诉讼请求包括物业删除他的人脸信息，停止对他人脸信息的处理，并出具相关信息已删除完毕的书面证明，为他提供其他能保证隐私权的便利出入诚基中心的方式，以及赔偿律师费和诉讼费用。
顾城方除了援引《人脸识别司法解释》第十条和第八条之外，还提到当时已由全国人大通过，即将生效的《个人信息保护法》第十五条：基于个人同意处理个人信息的，个人有权撤回其同意。个人信息处理者应当提供便捷的撤回同意的方式。
顾城诉称，他曾多次要求城关物业删除他的人脸识别信息，并提供其他合理验证方式，但对方明确表示拒绝。城关物业拒绝删除他的人脸识别信息，使用人脸识别作为出入服务区域的唯一验证方式，侵犯了他的人格权，违反了处理人脸信息需要遵循的“合法、正当、必要”原则。
城关物业辩称，人脸识别信息采集是通过业主委员会、综合治理办公室、社区、街道办共同完成的工作，同时在天津市公安局和平分局进行联网监控，符合现在疫情管控要求，顾城的人脸信息只在门禁上使用，存储在内部数据库和硬盘里，该数据库没有跟网络连接。
