人脸打码与个人信息保护法：企业要注意的五点

企业处理含人脸的图片和视频，适用的主要是《个人信息保护法》。下面五点是接入打码服务前最常被问到的，按法条说清楚，不做法律意见，具体事项请咨询你的法务。

一、人脸图像是敏感个人信息

第二十八条把生物识别信息列为敏感个人信息，人脸图像属于生物识别信息。敏感个人信息的处理门槛比一般个人信息高：要有特定目的和充分必要性，采取严格保护措施，并且按第二十九条取得个人的单独同意。

对企业的含义是：一段含路人人脸的视频，哪怕只是放在内网，也在处理敏感个人信息。处理的方式之一，就是在使用前把人脸去掉。

二、公共场所采集图像有专门限制

第二十六条规定，在公共场所安装图像采集、个人身份识别设备，应当为维护公共安全所必需，设置显著的提示标识；所收集的图像只能用于维护公共安全的目的，用于其他目的要取得单独同意。

这一条影响的是监控录像的二次使用。物业、商场把监控片段用于培训、宣传、纠纷举证之外的用途时，画面里的人脸是问题所在；把无关人员打码后再用，是常见的处理方式。

三、打码后还是不是个人信息：看能不能复原

第七十三条对"匿名化"的定义是：个人信息经过处理无法识别特定自然人且不能复原的过程。匿名化之后的信息不再是个人信息，本法的多数义务不再适用。

打码能不能达到匿名化，取决于两件事：

1. 处理后能否识别特定自然人。 实色遮挡的人脸不能；强度足够的模糊和马赛克也不能；强度不足的模糊，熟人仍能认出，就不算。
2. 能否复原。 模糊、马赛克、实色都是信息减少或替换，原始像素不会回来。所谓的去码工具只能生成一张看起来合理的脸，不是复原。

所以合规文档里要写明样式和强度，而不是只写"已打码"。另外要注意：打码只处理画面，视频里的声音、字幕、画面里的工牌和姓名，如果能定位到人，仍然是个人信息。

四、处理前要做影响评估

第五十五条要求，处理敏感个人信息、委托处理个人信息等情形，应当事前进行个人信息保护影响评估并记录。把含人脸的素材交给外部服务打码，同时命中"处理敏感个人信息"和"委托处理"两项。

评估不必复杂，记录下这几项就够：处理目的和必要性、涉及的人员范围、委托方的安全措施、保留期和删除方式、发生泄露时的影响和应对。打码服务商应该能提供其中"安全措施、保留期、删除方式"的书面说明。

五、选供应商时要确认的三件事

第二十一条规定委托处理要约定目的、期限、方式、种类、保护措施和双方权利义务，受托方不得超出约定处理，也不得转委托。落到打码服务上，建议在合同或接入协议里写明：

• 保留期与删除：源文件、中间结果和成片各保留多久，到期如何删除，能否提供删除凭证。
• 不用于训练：上传的素材不得用于训练模型或任何约定目的之外的用途。
• 访问范围：谁能接触到素材，是否有日志。

我们的做法供参考：上传内容不用于模型训练；企业 API 的保留期按协议约定；自助产品打码鸭按其隐私政策执行。

附：相关条款索引

条款	内容
第二十一条	委托处理的约定与受托方义务
第二十六条	公共场所图像采集的限制
第二十八条	敏感个人信息的定义（含生物识别信息）
第二十九条	处理敏感个人信息须取得单独同意
第五十五条	个人信息保护影响评估
第七十三条	匿名化、去标识化的定义

条款原文以全国人大公布的法律文本为准。