律师观点分析
2019年春天，一位消费者花1360元购买了一张野生动物世界的双人年卡，按照商家要求录入了指纹、拍了照片，从此可以凭指纹轻松入园。半年后，商家突然发来短信，说指纹系统要停用，必须注册人脸识别才能继续入园。这位消费者明确表示拒绝，要求退卡，商家不予理睬。于是，他走进了法院。
这个案子后来被称为“人脸识别第一案”。它看起来只是一起普通的服务合同纠纷，但背后触及的是每一个人都可能面临的问题——当商家以“系统升级”为名要求你交出人脸信息时，你到底有没有说“不”的权利？
案件最终打到了杭州市中级人民法院，二审判决不仅维持了一审的赔偿和删除面部特征信息的判项，还进一步判令商家删除消费者的指纹识别信息。这个结果，为后续《个人信息保护法》的立法和2025年《人脸识别技术应用安全管理办法》的出台提供了重要的司法样本。
这场官司到底在争什么？三个关键争点值得每个人搞清？
第一个争点，商家单方变更入园方式算不算违约。消费者当初办卡时，双方约定的就是指纹入园，这是合同的一部分。商家后来把指纹闸机停了，要求必须刷脸，等于单方面改了合同的核心条款。法院认定，人脸识别店堂告示是商家单方发出的新要约，消费者没有同意，它就没有成为合同内容，对消费者不发生效力。这个认定非常重要，它意味着商家不能靠一纸告示就剥夺消费者原有的权利。
第二个争点，商家要求消费者“刷脸”是否超出了必要限度。消费者办卡时交的照片，原本只是用于核验身份，现在商家要把它拿去做人脸识别——这就超出了当初收集信息的目的。法院明确指出，生物识别信息具有极强的人格属性，一旦泄露或被非法使用，后果不可逆，因此经营者在处理这类信息时必须更加谨慎。这个判断为后来的《个人信息保护法》将生物识别信息列为敏感个人信息奠定了司法基础。
第三个争点，消费者有没有权利要求删除信息。这个问题在实务中最容易被忽视。很多人以为，我不用你的服务了，你自然就该把我的信息删掉。但现实是，商家往往以“系统里还有记录”为由拖延甚至拒绝。本案二审明确了一个规则：经营者因违约而停止提供某项服务，消费者有权要求删除与违约情形相对应的个人信息。这个裁判要旨后来被《个人信息保护法》第四十七条吸收，成为法定的删除权情形之一。
实务中最常见的三个坑，多数人踩了还不知道
在代理个人信息类案件的实务中，有几个问题反复出现，值得每一位消费者和经营者警惕。
第一个坑，以为“我同意了”就是真的同意了。很多商家在办卡时让消费者签一份格式合同，里面夹带一条“同意商家收集使用人脸信息”的条款，然后就认为万事大吉。但法律要求的“同意”远不止这么简单。《个人信息保护法》第二十九条明确规定，处理敏感个人信息必须取得单独同意，必须满足“特定目的、充分必要、单独同意”三重门槛。最高人民法院关于人脸识别的司法解释也强调，未征得单独同意的，构成侵害人格权益。换句话说，一张格式合同里夹带的那句话，法律上根本不认。
第二个坑，以为“系统升级”是商家的自由。这是本案最核心的实务教训。商家把指纹换成人脸，看似是技术进步，实际上改变了合同履行的方式。如果消费者不同意新的方式，商家又拒绝提供原有方式，那就构成了违约。2025年6月正式施行的《人脸识别技术应用安全管理办法》进一步明确，不得将人脸识别作为唯一验证方式，存在其他方式的，应当提供替代方案。这条规定直接回应了本案中“不刷脸就不能入园”的困境。
第三个坑，以为信息删不删由商家说了算。实务中很多消费者在投诉或诉讼时只关注赔偿金额，忽略了“删除信息”这个诉求。其实，赔偿是事后补救，删除信息才是防止损害扩大的关键。人脸信息一旦泄露，可能被用于电信网络诈骗、盗刷等违法犯罪，这种损害是金钱赔偿无法弥补的。本案之所以要求商家删除面部特征信息和指纹信息，正是因为信息的不可逆性决定了删除比赔偿更重要。
遇到类似问题，这套方法可以帮你少走弯路
结合本案和近年来代理个人信息类案件的经验，我梳理出一套实操性较强的方法，供有需要的读者参考。
第一步， 保留证据。商家要求你刷脸的通知、短信、告示照片，你与商家沟通的WX聊天记录，办卡时的合同和收据，全部截图保存。这些是后续维权的基石，缺失证据会让你的主张大打折扣。
第二步， 明确拒绝并书面提出诉求。不要只是口头说“我不同意”，要通过WX或短信等可留存的方式，向商家明确提出“我不同意使用人脸识别，要求继续提供原约定的验证方式，或者退卡并删除我的全部个人信息”。这一步的目的是制造书面记录，证明你曾经主张过权利，商家拒绝或拖延的事实。
第三步， 向监管部门投诉。如果商家不予理睬，可以向市场监管部门或网信部门投诉。2025年施行的《人脸识别技术应用安全管理办法》赋予了网信部门和公安机关明确的执法权限，甘肃公安机关已依据该办法对辖区某游乐园的强制刷脸行为进行了行政处罚。投诉时把证据整理好，写清楚商家违反了哪一条法律规定，能大大提高处理效率。
第四步， 考虑诉讼。如果投诉无法解决问题，可以依据《民法典》第五百七十七条关于违约责任的规定，以及《个人信息保护法》第四十七条关于删除权的规定，向法院提起诉讼。诉讼请求要同时包括赔偿损失和删除信息两项，不要只盯着赔偿金额。
为什么这类案件，越早找律师介入越有利
坦白说，个人信息类案件在实务中有两个突出的难点。一是举证难，消费者往往不清楚商家到底收集了多少信息、存储在哪里、有没有泄露。二是法律适用存在交叉，同一件事可能同时涉及合同违约、人格权侵权、个人信息保护等多个法律领域，普通消费者很难判断该走哪条路。本案中，一审和二审的判决结果就有差异——一审只判了删除面部特征信息，二审追加了删除指纹信息，这说明请求权基础的确定直接影响最终的救济范围。
我是在甘肃兰州执业的北京德恒（兰州）律师事务所马占锦律师。这类案件的黄金处理期往往在纠纷发生的早期，越早介入，证据越完整，协商空间越大。如果你或你的家人正在经历类似的个人信息纠纷，或者不确定商家收集你的生物识别信息是否合法，建议尽早带着相关材料来所里当面沟通，把事情的来龙去脉说清楚，我们一起来判断下一步怎么走最稳妥。
