结论速览
- 人脸识别不是必须项。学校可以用校园卡、人工核验等方式实现同样的通行管理，人脸只是其中一种身份核验手段。这一点决定了「家长不同意」不能成为问题。
- 同意必须是单独同意，不能混在通用隐私政策里。人脸信息属于敏感个人信息，需要向监护人告知使用场景与用途并单独取得同意，同时提供撤回渠道。
- 采集范围要按「必需」划定，不能全覆盖。宿舍房间内部、浴室、卫生间、更衣室属明确禁止安装区域，与是否取得同意无关。
- 系统和人员两条线都要留痕。系统侧要有访问控制与调用登记，人员侧要有入职审查、保密教育、岗位培训制度。
先记住四条依据
校园人脸识别涉及的法条不止一部法律，按效力层级和适用场景整理如下。
| 依据 | 关键条款 | 对应要求 |
|---|---|---|
| 《个人信息保护法》 | 第二十八条 | 生物识别信息属于敏感个人信息 |
| 《个人信息保护法》 | 第二十九条 | 处理敏感个人信息应取得单独同意 |
| 《未成年人保护法》 | 第七十二条 | 处理不满十四周岁未成年人个人信息，应取得父母或其他监护人同意 |
| 《公共安全视频图像信息系统管理条例》 | 第八条、第十三条、第十四条、第十六条、第十七条 | 禁止安装区域、显著提示标识、30 日内公安备案、调用登记、留存期限 |
| 《人脸识别技术应用安全管理办法》 | 2025 年 6 月 1 日施行 | 人脸信息的采集、存储、使用、传输等全流程安全要求 |
这五条里，学校最容易漏掉的是《条例》的备案和标识要求——因为这两项不写在「隐私政策」里，而是落实在具体动作上：向公安局报一次备案、在校门口贴一张提示标识。
六个环节的执行顺序
按这个顺序做，每一步的产出都能直接作为下一步的输入，也能直接对应检查时需要的材料。
-
先判断必要性：能不能不用人脸
逐个场景过一遍：这个功能是否必须依靠人脸才能实现？例如大门口考勤，刷卡、闸机、人工核验都能完成，人脸是提升效率的手段而非唯一手段；而轨迹追踪、以图搜图这类功能，没有人脸识别就无法成立。必要性评估的结论要写成书面说明，这是后续所有动作的前提。
-
告知与单独同意
向监护人告知的内容至少包括：采集什么（人脸图像与特征值）、用于什么（具体场景，不是笼统的「校园安全管理」）、存在哪里（本地/云端）、存多久、怎么撤回、找谁咨询。取得单独同意，不能与通用的信息系统使用协议打包。
-
划定采集范围，标出禁区
结合校舍平面图逐点确认摄像机位置、角度与视野边界。宿舍房间内部、浴室、卫生间、更衣室、哺乳室内部属绝对禁区；朝向校外人行道或居民楼的摄像机要调整角度。同时在采集区域设置显著的提示标识。
-
配置分级授权与二次验证
按角色限定可见范围：班主任看本班、宿管看本楼、安保看通行与预警、心理教师看筛查结果。轨迹追踪这类高隐私性应用，除账号权限外再加一层二次密码验证，避免共用账号。应急时才使用是原则，不是口号——权限设计上应体现这个约束。
-
建立调用登记与审计
每一次查询都记录：谁、什么时间、查了谁、事由是什么、看了哪些内容。日志保存不少于 6 个月。这一环节的价值在事件复盘时体现——能还原「当时是谁先发现的、依据什么做的判断」。
-
完成公安备案并保持同步
系统投入使用之日起 30 日内，向所在地县级公安机关备案：单位基本情况、系统建设位置、图像采集设备数量及类型、视频图像信息存储期限。备案事项变化时及时办理变更。
家长不同意怎么办
这是学校推进人脸识别时最现实的阻力，处理方式决定了这件事能不能平稳落地。
发校园卡，保留通行功能
刷脸只是身份核验方式之一。不同意刷脸的学生发卡通行，门禁、考勤功能不受影响，其余安全功能照常运行。
按学生单独设置识别方式
平台支持逐人配置识别方式，混合模式下同一通道刷卡与刷脸并行，不需要为个别学生单独开通道。
人工核验兜底
人数较少的学校或临时情况，可由值班人员人工核验登记。这条兜底方案要写进制度，不能只在口头上存在。
需要说清楚的是：不刷脸的学生，在轨迹追踪、以图搜图这类依赖人脸的功能中无法被检索。这一点应如实告知，不要承诺「不影响任何功能」——真实情况是通行功能不受影响，但基于人脸的检索能力确实不覆盖该学生。学校可以在此基础上加强其他手段（如一卡通定位、人工巡查），并在安全管理制度中说明。
需要留存的材料清单
合规检查通常看材料，不看口头说明。下面这份清单可以直接作为档案目录使用。
| 类别 | 材料 | 谁提供 |
|---|---|---|
| 必要性论证 | 各场景人脸识别必要性书面说明、替代方案比较 | 学校（厂商协助起草） |
| 告知同意 | 告知同意书模板、签署记录（含日期）、撤回申请与处理记录 | 学校 |
| 范围控制 | 摄像机点位图、禁区核查记录、提示标识现场照片 | 学校 + 实施方 |
| 权限管理 | 角色权限配置截图、账号清单、二次验证配置说明 | 厂商提供，学校留存 |
| 日志审计 | 调用登记日志（≥6 个月）、季度抽查记录 | 厂商平台导出 |
| 备案 | 公安备案回执、变更记录 | 学校 |
| 安全能力 | 等保测评报告、ISO 27001 等体系认证、软件著作权证书 | 厂商 |
| 人员管理 | 系统管理岗位入职审查、保密协议、培训签到记录 | 学校 + 厂商 |
其中「人员管理」这一类最容易被忽略。《条例》第十六条明确要求建立系统监看、管理等重要岗位人员的入职审查、保密教育、岗位培训等管理制度——这是对管理单位的要求，不是对技术系统的要求。
检查时最常被问的五个问题
| 问题 | 回答要点 |
|---|---|
| 为什么必须用人脸，其他方式不行吗？ | 说明各场景的必要性差异：通行类存在替代方案（刷卡、人工），检索类（轨迹、以图搜图）无替代方案。给出书面论证，而不是笼统回答「为了方便管理」。 |
| 家长同意了没有？怎么证明？ | 出示签署记录与告知书原文，说明告知内容包含用途、位置、期限、撤回方式。抽查 3–5 份看是否签字齐全。 |
| 数据存在哪里？会不会外传？ | 说明部署方式与数据位置，出示委托处理协议（如有）、数据流向说明。区分「视频流」与「人脸特征值」分别在哪。 |
| 谁能看这些数据？有没有记录？ | 演示分级授权（换低权限账号登录），导出一次调用日志证明留痕。 |
| 学生毕业或转学后，数据怎么处理？ | 说明清理机制与执行记录。答不出这一条，通常意味着没有真正执行过。 |
这五个问题覆盖了必要性、同意、存储、权限、销毁全链条。能当场演示而不是翻文件找，说服力最强。
常见问题
学校用的人脸识别，需要每个家长单独签字同意吗？
需要。人脸信息属于敏感个人信息，处理应取得单独同意，不能与通用的信息系统使用协议合并。实践中通常做法是单独一份《人脸信息采集告知同意书》，逐人签署并留存。不满十四周岁的学生，应由父母或其他监护人签署。
已经有校门口公安的摄像头，学校还要自己做同意和备案吗？
要区分两套系统。公安建设的公共安全视频系统由公安负责，学校作为经营管理单位在其建设范围内配合；学校自建的人脸识别应用（门禁、考勤、轨迹追踪）属于学校自己的处理活动，告知同意、备案、日志等义务由学校承担。两套系统不能相互替代。
可以不告知家长就先用起来，之后再补手续吗？
不建议。先采集后补同意，等于在无合法依据的情况下处理了敏感个人信息，补签无法消除此前处理行为的违法性。正确顺序是先完成告知同意，再启用功能。
家长同意后又反悔，要求删掉孩子的人脸，学校必须处理吗？
必须处理。同意可以撤回，撤回后应停用该学生的人脸识别并删除人脸特征值，通行改为卡片或人工核验。处理过程要留档，包括申请时间、处理时间、处理结果。
人脸识别数据能不能用于学生行为分析或教学评价？
不建议，且通常超出原告知同意的范围。采集时告知的用途是校园安全管理，用于学习状态分析、课堂表现评价属于新的处理目的，需要重新取得同意并重新评估必要性，实际很难通过必要性论证。
学校被要求提供监控录像给家长看，可以直接给吗？
不能直接提供原始视频。可依据条例第二十一条，在管理单位同意的前提下，允许本人、近亲属或其他负有监护责任的人查阅关联的视频图像信息；查阅过程应登记，并明确不得非法对外提供或公开传播。涉及其他学生的画面应做遮挡处理。
等保二级和 ISO 27001 是不是合规的充分条件？
不是。这两项证明的是系统的安全防护能力，属于技术与管理体系层面的证明；合规还包括告知同意、必要性论证、备案、权限与日志等具体义务的履行。有认证不代表处理活动本身合法，两者要分开看。