相关裁判及公开来源
-
徐某、李某侵犯公民个人信息案
最高人民法院人格权典型案例、《个人信息保护法》及涉人工智能纠纷《意见》第三条为本文案例与规则来源；分析聚焦人脸信息处理目的、数据来源、委托指令和安全措施.
查看公开来源 ↗
指导性案例编号、案例库入库编号与裁判案号分别列示。
快速结论
人脸照片与动态视频不能被当作普通可交易材料。采购验证服务时，应核查真实数据来源和处理用途，避免所谓解封、核验业务实为买卖身份资料。最高法公开的徐某、李某案说明，技术服务名称不能掩盖违法取得、提供个人信息的行为。
人脸信息的法定处理门槛
《个人信息保护法》第二十八条将生物识别信息列为敏感个人信息，要求处理具有特定目的和充分必要性并采取严格保护措施；第二十九条规定敏感个人信息处理的单独同意要求（依法适用法定处理基础或例外时另行核对），第三十条要求告知处理必要性及对个人权益的影响。委托外包处理的，应依第二十一条约定目的、期限、方式、种类、安全措施及双方义务并监督受托人；依第五十五、五十六条，处理敏感个人信息或委托处理等情形应事前开展个人信息保护影响评估并留存记录，相关评估报告和处理记录至少保存三年。
先判断业务是否需要人脸
企业可比较密码、实体凭证或人工审核能否达到同样目的。强度更高的验证不一定更合理，更不能只因供应商已有接口就增加采集。必要性应对应具体服务及风险。基础业务同意不当然覆盖敏感生物识别信息处理；应说明必要性、影响和具体用途，并按法定基础落实相应同意机制。若系统使用AI识别或自动判断，最高法《涉人工智能纠纷案件的意见》第三条要求结合应用场景、自主化程度、透明度、风险及预防措施等因素判断侵权过错；个人信息处理合法性仍依个人信息保护相关规定审查。
外包合同和实际权限
合同应明确处理目的、类型、保存期、访问人员、能否导出及是否转交其他主体。供应商可能既提供技术又掌握原始资料，应检查哪些数据进入谁的系统。禁止再交易的条款需由权限设置与审计支持。企业自己不保存照片，并不说明数据没有在外包端留存，结束合作时还要处理副本、缓存及备份。
应保存哪些证明
可以为每次核验记录合法取得依据、服务请求、权限与删除情况，同时避免日志本身复制过量敏感资料。发现异常导出，宜保护访问记录并控制继续使用。受害人申诉账户被冒用时，需要关联验证时间、账号和实际操作，而不是仅要求其重新拍一段视频。对员工访问权限，应定期检查是否超过工作需要。
民事与刑事条件分开
信息处理不合法可以引发删除、停止或赔偿请求；是否构成侵犯公民个人信息罪，还需核对行为和情节等条件。没有刑事立案并不证明业务完全合规，个别数据处理瑕疵也不能未经分析就定性为犯罪。该案例强调真实资料流向，不能用匿名化的宣传名称遮盖能够指向具体人的信息。业务设计可以从最少必要字段开始，逐项说明增加字段的理由，并让拒绝附加功能的用户仍可获得依法应提供的基础服务。
账号解封供应商要求提供他人人脸时，应先查明需求和合法来源，不宜按效率指标采购。用于绕过核验的真实身份资料，与模拟测试数据存在区别，需要从实际用途辨认。
公开来源
最高人民法院人格权典型案例、《个人信息保护法》及最高人民法院涉人工智能纠纷《意见》第三条为案例和规范来源。本文围绕处理目的、数据来源、委托指令、权限配置、保存期限和安全措施梳理人脸核验外包审查要点。