近年来，越来越多小区引入人脸识别门禁系统，业主“刷脸”进出成为常态。这一技术在为社区管理带来便利的同时，也引发了诸多法律争议：物业公司是否有权强制采集业主人脸信息？一旦发生信息泄露，物业需要承担怎样的法律责任？重庆住户李某因物业公司未经其同意收集人脸信息而提起诉讼，最终法院判决物业公司删除已收集的李某个人信息。
人脸信息属于敏感个人信息，具有唯一性和不可更改性，一旦泄露可能对业主的人身和财产安全造成极大危害。最高人民法院已明确规定，物业服务企业或者其他建筑物管理人以人脸识别作为业主或者物业使用人出入物业服务区域的唯一验证方式，法院支持不同意的业主或者物业使用人请求其提供其他合理验证方式。本文将结合典型案例与法律规定，分析物业公司在使用人脸识别门禁系统时的法律风险与责任边界。
一、法律法规
《中华人民共和国民法典》
《中华人民共和国个人信息保护法》
《最高人民法院关于审理使用人脸识别技术处理个人信息相关民事案件适用法律若干问题的规定》
二、法律法规解读
1、《中华人民共和国民法典》
第一千零三十四条 自然人的个人信息受法律保护。
个人信息是以电子或者其他方式记录的能够单独或者与其他信息结合识别特定自然人的各种信息，包括自然人的姓名、出生日期、身份证件号码、生物识别信息、住址、电话号码、电子邮箱、健康信息、行踪信息等。
个人信息中的私密信息，适用有关隐私权的规定；没有规定的，适用有关个人信息保护的规定。
2、《中华人民共和国个人信息保护法》
第二十八条 敏感个人信息是一旦泄露或者非法使用，容易导致自然人的人格尊严受到侵害或者人身、财产安全受到危害的个人信息，包括生物识别、宗教信仰、特定身份、医疗健康、金融账户、行踪轨迹等信息，以及不满十四周岁未成年人的个人信息。
只有在具有特定的目的和充分的必要性，并采取严格保护措施的情形下，个人信息处理者方可处理敏感个人信息。
第二十九条 处理敏感个人信息应当取得个人的单独同意；法律、行政法规规定处理敏感个人信息应当取得书面同意的，从其规定。
3、《最高人民法院关于审理使用人脸识别技术处理个人信息相关民事案件适用法律若干问题的规定》
第十条 物业服务企业或者其他建筑物管理人以人脸识别作为业主或者物业使用人出入物业服务区域的唯一验证方式，不同意的业主或者物业使用人请求其提供其他合理验证方式的，人民法院依法予以支持。
物业服务企业或者其他建筑物管理人存在本规定第二条规定的情形，当事人请求物业服务企业或者其他建筑物管理人承担侵权责任的，人民法院依法予以支持。
三、案例分析：（2022）渝0103民初23764号
1、当事人
原告：李某。
被告：某物业管理有限公司。
2、审理经过
原告李某与被告某物业管理有限公司（以下简称某物业公司）个人信息保护纠纷一案，重庆市某法院于2022年7月19日受理后，依法适用普通程序，公开开庭进行了审理。原告李某，被告某物业公司委托诉讼代理人到庭参加了诉讼。案件现已审理终结。
3、诉讼请求
李某向法院提出诉讼请求：1．判令某物业公司停止侵权，提供非人脸识别的替代性门禁（例如指纹、门禁卡等）验证方式；2．判令某物业公司立即删除该系统所收集到的李某人脸信息、身份证信息；3．判令某物业公司承担本案的诉讼费用。事实和理由：李某因工作调动于2022年5月12日从北京市搬家到重庆市，并与渝中区x路某小区业主黄某签订了《房屋租赁协议》，租期一年，李某实际居住在该套房屋内。2022年6月30日，某物业公司开始在某小区公寓的唯一入口处安装人脸识别装置，并通知全体住户：该装置在7月3日启用，启用后若要进入某小区必须事先录入人脸信息，进行人脸识别进入，或通过身份证加人脸识别的方式进入楼内。某物业公司虽然提供了两种方式，但是这两种方式均需进行人脸识别，要么是事先录入人脸仅识别人脸后通过门禁验证，要么是通过闸机时提供身份证和人脸，也是通过人脸识别后通过门禁验证。即无论采用某物业公司提供的哪种方式，均需且必须提供人脸信息才可以通过闸机进入楼内。这限制了李某作为合法承租人进入自己住宅内部，如果李某不被迫提供自己的人脸信息则无法进入自己的住宅内，这样的行为侵犯了李某的隐私权。李某于2022年7月3日下午拨打某物业公司的物业24小时服务热线（xxxxxx），确认是否只有上述两种必须验证人脸的方式，得到了某物业公司肯定的答复，因此李某认为这一行为侵犯了其隐私权。依据《中华人民共和国民法典》（以下简称《民法典》）《最高人民法院关于审理使用人脸识别技术处理个人信息相关民事案件适用法律若干问题的规定》的相关规定，李某的人脸信息属于《民法典》第一千零三十四条当中所称的“自然人个人信息”，依法受到保护。某物业公司无正当法律依据违法违规且强制收集李某的人脸信息，侵犯了李某的人格权，应当立即停止侵害即停止收集李某的人脸信息；同时消除影响即删除其服务器和系统中所存储的李某的人脸信息；此外还需按照最高人民法院司法解释的规定，为李某提供其他合理验证方式。
辩方观点
某物业公司辩称，李某是某物业公司所在小区的承租人。该公司安装人脸识别道闸系统是因接到上级部门的通知，为小区的安全管控才安装。2022年6月28日，某物业公司发出安装人脸识别道闸系统的通知，通知发出后并无业主和物业使用人提出反对意见，某物业公司并非强制安装人脸识别道闸系统，该系统实际开始使用时间为2022年7月3日。该系统试用期间，李某是通过刷身份证与人脸识别核对一致的方法进入小区，所以某物业公司有李某的身份证信息以及进出记录，但并没有采集李某人脸识别的个人信息。且闸机旁边有工作人员，可以让工作人员在核实身份后以人工开门的方式进入小区。目前安装的闸机除以人脸识别方式进入外，只能以人工方式开门，如果要另外增加开门的方式只能在原来的设备上加装其他设备。
4、法院查明
法院经审理认定事实如下：2022年5月6日，李某与黄某签订《房屋租赁合同》，约定租用渝中区x路某小区，租赁用途为住家，租赁期限自2022年5月15日至2023年5月14日止，双方还对租金及相关费用承担等进行了约定。某物业公司为渝中区x路某小区提供物业服务。
2022年6月30日，李某发现某小区公寓的入口处安装人脸识别道闸，在询问房屋业主后，业主向其转发了某物业公司的通知如下：“关于x楼大厅安装人脸识别道闸设备的通知：尊敬的业主／商户：现根据渝中区公安分局、治安支队等上级部门要求：‘’x楼进出口将于2022年7月3日前安装人脸识别道闸设备。道闸设备安装后请各业主、住户及民宿负责人及时联系物业录入人脸识别数据，数据录入后需刷脸进出x楼大厅，如未录入人脸数据者，如民宿及酒店客人进入大厅，需持身份证刷卡进入（身份证照片及人脸识别一致后方可进入），请大家知悉并相互转告。感谢您的支持与配合，如需咨询欢迎拨打物业24小时服务热线xxxxxx”。
李某在庭审中陈述，因其从事零售行业，经常需要在晚上出入小区，2022年7月3日之后，其经常在凌晨无法找到工作人员或工作人员坐在远离道闸门口的大厅内部，工作人员也多次拒绝李某人工开门的要求，李某亦举示相关照片予以证明。
某物业公司举示了人脸识别道闸系统中“进出记录查询”以及“人证核查记录”中查询到李某的进入小区的时间记录以及身份证号码信息。
诉讼中，某物业公司申请证人郑某某出庭作证，郑某陈述，其系重庆市公安局渝中区分局某派出所人员。2022年4月因为某小区多次出现未成年人参与寻衅滋事、打架斗殴等事件，渝中区公安分局对某小区采取整治措施，主要通过在小区安装闸机的方式开展。当时物业公司表示安装闸机很贵，但经过与开发商和物业的沟通，最终安装了闸机。闸机安装后，物业公司反应，其对防止未成年的违法犯罪活动有帮助。此外，公安部门要求物业公司对所采集的信息不能外传，只是传给公安部门。
2022年10月15日，法院前往该小区进行勘查，经查，某小区公寓的楼平台出入口处安装有人脸识别道闸。该道闸通过有两种方式，一是提前录入个人的人脸识别信息后，可直接通过道闸；二是采用刷身份证与人脸识别核对一致后可通过道闸。李某并未提前录入其人脸信息，采用的是第二种方式通过道闸。当其通过时，电脑中的人脸识别道闸系统会以卡片的形式显示其身份证号码以及实时采集的人脸信息，该卡片信息会被实时覆盖；其后在电脑的人脸识别道闸系统中“进出记录查询”以及“人证核查记录”中可查询到李某的进入小区的时间以及身份证信息，但并无人脸信息的图片。人脸识别道闸系统的电脑有外部网络连接。同时，该道闸旁边设有门卫岗及一名工作人员，经询问某物业公司，若工作人员临时不在，物业公司无法从后台远程进行开门，只能拨打物业公司24小时的值班电话后，由物业公司派人来开门。
5、法院认为
根据《民法典》第一百一十一条规定，自然人的个人信息受法律保护。任何组织或者个人需要获取他人个人信息的，应当依法取得并确保信息安全，不得非法收集、使用、加工、传输他人个人信息，不得非法买卖、提供或者公开他人个人信息。第一千零三十四条规定，自然人的个人信息受法律保护。个人信息是以电子或者其他方式记录的能够单独或者与其他信息结合识别特定自然人的各种信息，包括自然人的姓名、出生日期、身份证件号码、生物识别信息、住址、电话号码、电子邮箱、健康信息、行踪信息等。个人信息中的私密信息，适用有关隐私权的规定；没有规定的，适用有关个人信息保护的规定。第一千零三十五条规定，处理个人信息的，应当遵循合法、正当、必要原则，不得过度处理，并符合下列条件：（一）征得该自然人或者其监护人同意，但是法律、行政法规另有规定的除外；（二）公开处理信息的规则；（三）明示处理信息的目的、方式和范围；（四）不违反法律、行政法规的规定和双方的约定。个人信息的处理包括个人信息的收集、存储、使用、加工、传输、提供、公开等。《中华人民共和国个人信息保护法》（以下简称《个人信息保护法》）第二十八条第一款规定，敏感个人信息是一旦泄露或者非法使用，容易导致自然人的人格尊严受到侵害或者人身、财产安全受到危害的个人信息，包括生物识别、宗教信仰、特定身份、医疗健康、金融账户、行踪轨迹等信息，以及不满十四周岁未成年人的个人信息。
人脸识别技术，被称之为“人体密码”，是生物特征识别的最新应用，已成为继指纹、虹膜扫描、语音识别等之后识别或验证身份的便捷生物识别技术。人脸识别技术运行的基本逻辑为，通过定位到脸部即肖像，提取人脸个性化细节并展开分析，以达致验证和识别之效。此时得到的人脸信息并非传统意义上的个人信息，而是一组能够定位或指向一个自然人的生物数据。正是由于人脸信息的生物识别数据个人指向性更为明确，其显然比一般的个人信息更为重要，在法律性质上应属敏感个人信息。在法律规制上，信息处理者不仅应遵循《民法典》第一百一十一条、第一千零三十五条的原则性规定，同时其处理行为还应符合《个人信息保护法》中敏感个人信息处理规则。
关于李某要求某物业公司停止侵权，并删除该系统所收集到的其人脸信息及身份证信息的请求，《个人信息保护法》第二十九条规定，处理敏感个人信息应当取得个人的单独同意；法律、行政法规规定处理敏感个人信息应当取得书面同意的，从其规定。本案中，某物业公司为小区业主或使用人提供的进入方式为以下两种：一是提前录入个人的人脸识别信息后，可直接通过道闸；二是采用刷身份证与人脸识别核对一致后可通过道闸。上述两种方式，均需要采集、核对业主或使用人的人脸识别信息，且无其他合理验证方式。某物业公司虽抗辩在安装人脸识别闸机系统前向小区和物业使用人发出过相关通知，且未有人反对，但鉴于人脸信息为敏感的个人识别信息，物业公司不能为降低取得个人同意环节的沟通成本从而采用概括同意的方式征集意见，而应当征得小区业主及使用人的单独同意。嗣后，李某明确表示不愿被采集人脸识别信息，故而，不能视为某物业公司已经取得李某的单独同意。经法院查明，李某并未提前录入其人脸信息，只能采用刷身份证与人脸识别核对的方式通过道闸。某物业公司虽辩称此种方式收集到的人脸信息会被实时覆盖，但人脸识别道闸系统的电脑有外部网络连接，不能排除其在使用、存储时有被网络盗取之虞。某物业公司在未经李某单独同意的前提下，对其人脸信息收集的行为，侵害了李某个人信息人格权益。有鉴于此，法院对李某要求某物业公司停止处理其人脸识别信息，并删除人脸识别道闸系统所收集到的李某人脸识别信息、身份证信息的请求予以支持。
关于李某要求某物业公司提供非人脸识别的替代性门禁验证方式的请求，《最高人民法院关于审理使用人脸识别技术处理个人信息相关民事案件适用法律若干问题的规定》第十条第一款规定，物业服务企业或者其他建筑物管理人以人脸识别作为业主或者物业使用人出入物业服务区域的唯一验证方式，不同意的业主或者物业使用人请求其提供其他合理验证方式的，人民法院依法予以支持。本案中，某物业公司出于社会治安治理之需安装了人脸识别道闸系统，具有其合理性。但所提供的两种进入小区的方式均需采集人脸识别信息，足以认定其将人脸识别作为唯一的验证方式。李某作为小区的物业使用人，不同意通过此种方式进入小区时，某物业公司应当提供其他通行验证方式。
需要指出的是，近年来，伴随信息技术的飞速发展，物业企业开始采用人脸识别等智能化手段提升服务方式，不可否认上述手段在社会治理、安全保障等方面存在极大优势，但物业服务工作也需要充分尊重业主及物业使用人的权益，应当以保障个人合法权益不受侵害为前提。故而，应在考虑扩充其使用范围以便利人们生活的同时，也应将之置于风险社会的背景和框架中进行审视。只有广察民情、广纳民意，规范技术应用、保障信息安全，才能让个人在合法权益不受侵害的同时，真正享受科技“红利”。
综上所述，原告李某的诉讼请求成立。依照《中华人民共和国民法典》第一百一十一条、第九百九十五条、第一千零三十四条、第一千零三十五条，《中华人民共和国个人信息保护法》第二十八条、第二十九条，《最高人民法院关于审理使用人脸识别技术处理个人信息相关民事案件适用法律若干问题的规定》第十条，《中华人民共和国民事诉讼法》第一百四十五条之规定，判决如下：
6、裁判结果
一、被告某物业管理有限公司于本判决生效之日立即停止处理原告李某的人脸识别信息并立即删除人脸识别道闸系统所收集到的原告李某人脸识别信息、身份证信息；
二、被告某物业管理有限公司于本判决生效之日起30日内向原告李某提供出入该公司物业服务区域的其他合理验证方式。
四、行业简讯
《住房租赁条例》2025.07.16发布2025.09.15实施
相关规定：第四十二条住房租赁企业、住房租赁经纪机构发布虚假或者误导性房源信息，隐瞒或者拒绝提供拟出租住房有关重要信息的，由县级以上地方人民政府房产管理部门责令改正，给予警告，处2万元以上10万元以下的罚款；有违法所得的，没收违法所得；拒不改正的，责令停业整顿；情节严重的，由县级以上地方人民政府房产管理部门提请同级市场监督管理部门依法吊销其营业执照。
住房租赁企业、住房租赁经纪机构非法收集、使用、加工、传输他人个人信息，或者非法买卖、提供或者公开他人个人信息的，依照有关个人信息保护的法律、法规的规定处罚。