2026年，关于人脸识别“知情同意”的法律法规有了哪些新的进展？

一、中国：细化规则与场景化监管

《人脸识别技术应用安全管理规定》全面实施

• 该规定（2023年试行，2025年细化）明确要求：
  • 单独同意原则：人脸信息作为敏感个人信息，必须在具体场景中获取用户的“单独书面同意”（包括电子形式），不得与其他授权捆绑。
  • 非必要不采集：公共场所（如商场、小区）部署人脸识别需公示必要性，并提供非生物特征的替代方案。
  • 显著告知义务：需以清晰语言告知收集目的、存储时间、数据共享对象等，禁止“默认勾选”或隐瞒使用。

司法案例强化“同意”有效性

• 最高人民法院在2025年发布的典型案例中，明确“未显著提示的同意无效”，并认定部分商业场景（如售楼处、健身房）未经明示同意的人脸识别构成侵权。

分场景限制

• 公共场所安防：仅限公安等部门依职权在特定区域使用，需备案并公示；
• 企业场景：企业内部考勤需提供替代方案，禁止强制员工使用；
• 未成年人保护：教育机构使用人脸识别需经家长单独同意，且数据存储不得超必要期限。

二、欧盟：AI法案与人脸识别的严格禁令

《人工智能法案》全面生效

• 将人脸识别按风险分级：
  • 禁止场景：实时公共空间人脸识别（执法除外）、基于生物特征的社会评分、无差别情绪识别等；
  • 高风险场景：需经数据保护机构批准，并履行严格告知义务，确保用户有“明确主动同意”。

GDPR的细化解释

• 欧洲数据保护委员会（EDPB）2025年指南强调：人脸数据适用“明示同意”，且用户可随时撤回，撤回后数据必须删除。

三、美国：州立法与联邦框架推进

州级立法加速

• 伊利诺伊州《生物识别信息隐私法》（BIPA）模式扩展：更多州（如加州、纽约）要求企业获取人脸信息前需书面同意，并赋予个人诉讼权。
• 公共场所限制：纽约州等地禁止私营企业在零售店、娱乐场所未经同意使用人脸识别。

联邦立法尝试

• 《面部识别技术伦理法案》草案提出：
  • 联邦机构使用人脸识别需国会授权；
  • 商业场景需提供“清晰选择退出机制”。

四、技术合规与行业自律

“隐私增强技术”应用

• 去标识化处理、联邦学习等技术的使用，可能降低“同意”门槛，但法律仍要求告知用户技术原理。

中国头部科技企业自律公约

• 2025年，多家企业联合承诺：
  • 用户可一键关闭人脸识别功能；
  • 默认设置中禁用个性化推荐基于人脸数据。

五、争议与挑战

同意疲劳问题

• 频繁弹窗要求“同意”可能削弱用户真实意愿的表达，监管开始探索分层同意机制（如按风险等级差异化同意）。

执法与商业利益的平衡

• 公共场所安防与人脸识别的矛盾仍在争议中，部分城市试点“匿名化识别”（如仅提取特征码，不保留图像）。

总结趋势

• 知情同意的严格化：从“概括同意”转向具体、明示、可撤回的同意；
• 场景化限制：区分公共安全、商业、职场等场景，设定不同规则；
• 技术透明化：要求企业向用户解释算法逻辑与数据流向；
• 全球化差异：欧盟趋于禁止为主，中美更侧重“限用+同意”，但均强化个体控制权。

建议关注各国数据保护机构（如中国网信办、欧盟EDPB）的最新指引，以及行业标准（如ISO/IEC 27570）的更新，以获取实时合规要求。