但在多选一、多选多的人脸识别场景下，法律是否应当对其适用个人信息保护法存在疑问。多选一的个人人脸识别主要用于从人群中识别个人，例如,公安机关可能利用此类识别技术进行打拐，寻找走失儿童，在侦查过程可能调取摄像头，从摄像头中比对识别犯罪嫌疑人。也有的商家可能利用人脸识别技术对顾客进行精准识别，对其进行持续追踪与精准营销。多选多的人脸群体归类主要指群体特征识别，即通过人脸识别技术将某人归纳为某一群体，例如,执法部门或娱乐场所、烟酒企业商家利用人脸识别技术，筛查其所交易的对象是否为未成年人。还有的商家和经营实体利用人脸识别技术，识别进入其商店的顾客有多少人是女性，有多少人是老年人。本文开篇提到的售楼处利用人脸技术识别顾客，就属于此类情形。但无论是多选一还是多选多，对其完全适用个人信息保护制度都存在问题。一方面，人脸技术的应用者和个人都缺乏直接交互的界面与持续性的信息关系。因此，人脸技术应用者很难保障个人的知情同意权、查阅复制权、携带转移权、更正补充权、删除权、解释说明权等权利。人脸技术应用者最多只能在某些场景下对个体进行提示，例如，竖立警示标识，但无法保障每个个人都能对其进行充分告知，更难以获取其同意。另一方面，在筛查犯罪嫌疑人、娱乐场所未成年等执法场景下，法律则更加不可能赋予个体以知情同意权，对个体进行事前告知将使得执法失去意义。

人脸图像信息所涉及的场景也非常复杂。有的人脸图像信息收集利用明显不具有信息处理关系的特征，把这些场景排除在个人信息保护制度之外，具有合理性。例如，当个体在街拍时拍到他人人脸，或者利用AI技术对他人照片视频进行换脸，那么法律应当对此类行为适用传统隐私权与侵权法进行保护。除非个人是专业性的街拍人员，其拍摄的人脸信息已经具备处理特征，则此时法律可以适用个人信息保护制度。但在其他很多涉及人脸图像信息的场景中，个人信息保护制度是否适用存在争议。以餐厅、宾馆、咖啡馆等场所的视频监控为例，很多监控视频不会直接被用于人脸生物性识别，但也可能在未来被用于一对一、多选一、多选多的人脸生物性识别。而且，即使是排除人脸生物性识别的监控视频，个人信息保护中的很多制度也未必能够完全适用。对于视频监控，个人应当有一定的知情权，也可以要求信息处理者确保此类视频的安全，防止数据泄露，但个人却未必可以主张决定权、查询复制权、删除权、携带权等权利。因为监控视频缺乏交互场景，个人无法行使同意。而且此类视频往往包含了其他个体的信息，在查询、复制、删除或转移此类视频时，很可能会威胁他人的信息安全。

首先，人脸识别信息与人脸图像信息的敏感性二分存在争议。法律一般将人脸识别信息视为生物识别类的敏感个人信息。例如我国最高人民法院2021年出台《最高人民法院关于审理使用人脸识别技术处理个人信息相关民事案件适用法律若干问题的规定》指出，人脸识别信息属于《民法典》第1034条规定的“生物识别信息”。美国伊利诺伊州的《生物识别信息隐私法案》（Biometric Information Privacy Act）规定：“脸部印记（包括从照片中提取的任何脸部印记）”属于“生物识别标示（biometric identifier）”。对于生物识别类个人信息，各国也对其适用特殊保护制度。例如，《中华人民共和国个人信息保护法》（以下简称《个人信息保护法》）将生物识别数据与种族、民族、宗教信仰、医疗健康、金融账户、个人行踪等信息并列，归入“个人敏感信息”的范畴，并对其制定了特殊的处理规则。欧盟则将生物识别数据归入“特殊类型个人数据”的范畴，规定除了一些例外情况，原则上禁止对其进行处理。美国伊利诺伊州《生物识别信息隐私法案》要求，任何私人实体收集生物识别信息，必须向个人提供书面告知，并且获取个人同意。相反，如果个人或企业拍摄他人照片或安装摄像头进行监控，但并不使用技术手段为个人设置唯一的人脸标识，则此类人脸图像信息仍然属于普通个人信息。《最高人民法院关于审理使用人脸识别技术处理个人信息相关民事案件适用法律若干问题的规定》明确指出，“使用人脸识别技术处理人脸信息、处理基于人脸识别技术生成的人脸信息”，是该司法解释适用前提。《一般数据保护条例》也有较为清晰的认定，“重述”指出，“照片的处理不应系统地被视为特殊类别个人数据的处理，因为只有通过允许对自然人进行唯一识别或认证的特定技术手段进行处理时，生物特征数据的定义才涵盖这些数据”。

但人脸信息敏感性的上述二分保护面临争议。法律对非技术识别的人脸图像信息进行一般保护，对技术识别的人脸识别信息进行特殊保护，其理由是人脸识别信息具有唯一性和敏感性。但无论是识别的唯一性还是信息的敏感性，此类区分都并非绝对。就识别性而言，人脸技术识别信息固然具有相对唯一性，可以通过此类信息识别到个人，但此类识别是针对机器而言。对于自然人的肉眼而言，技术与机器处理后的信息，例如，鼻子与嘴唇的距离，其实反而不具有识别性。自然人所能一眼识别的人脸信息，恰巧是未经技术处理的人脸照片或人脸视频。因此，在有的情形下，人脸图片或视频信息反而受到比人脸识别信息更多的保护。例如，1998年的美国《儿童在线隐私保护法》（Children's Online Privacy Protection Act, COPPA）将儿童的“照片、视频或音频文件”视为儿童个人信息，但并未将未成年人的生物特征数据明确纳入其保护范围。

就不同国家的文化背景与个人感受而言，人脸技术识别信息也很难说就比人脸照片与视频更敏感。欧盟将生物性识别数据纳入“特殊类型个人数据”，与种族或民族背景、政治观念、宗教或哲学信仰等类型的数据并列，这与欧盟的历史和种族问题有密切联系，反映了欧盟对于借助生物性识别信息进行种族歧视和种族排斥的高度警惕。但这一历史与文化背景并不一定适用于其他国家，尤其未必适用于中国等非西方国家。对于普通中国人而言，可能某些场景下的人脸照片或视频更为敏感，此类信息的收集与储存可能会让很多人感到更为焦虑和紧张。相反，经过机器识别与处理的人脸信息则由于其技术性，只能为机器以及很少部分技术人员所识别，人们可能并不担心其为机器所识别，而更担忧这类信息泄露后被用于身份伪造等非法行为。

其次，人脸识别信息与人脸图像信息的公开性二分也存在争议。法律一般将人脸图像信息视为公开个人信息，将人脸识别信息排除在公开个人信息之外。因为在社会交往中，人脸图像信息经常以公开为原则，以不公开为例外。例如，在关于蒙面的宪法争论中，很多国家和地区的宪法判决认为，对脸部信息的遮挡违背了人格尊严，阻碍了社会交往与个人的公共责任。而人脸识别信息由于需要进一步识别，具有较强的私密性，因此不少国家的法律都明确将其排除在公开个人信息范围之外。例如美国《加州隐私权利法案》（California Privacy Rights Act, CPRA）规定，“‘公开可用’并不意味着企业有权在消费者不知情的情况下收集有关消费者的生物特征信息”。对于公开个人信息，各国法律也对其进行弱化保护甚至是豁免保护。例如，我国《民法典》规定，合理处理“自然人自行公开的或者其他已经合法公开的信息”，信息处理者并不承担责任，除非“自然人明确拒绝或者处理该信息侵害其重大利益”。我国《个人信息保护法》也规定，“在合理的范围内处理个人自行公开或者其他已经合法公开的个人信息”可以被视为处理个人信息的合法性基础。并且对处理公开信息进行了单独规定。

人脸信息公开性的二分保护框架也存在问题。《个人信息保护法》对公开个人信息弱化保护，其基本预设是公开个人信息已经经过个人信息主体或其他合法途径公开，因此对其进行处理对个人权益和社会利益造成的影响较小。但无论是在公开性层面还是在风险层面，人脸图像信息处理的风险都未必会比人脸识别信息的风险更小。就公开性而言，人脸图像信息的公开性主要针对其线下交往或活动范围，除非是公众人物，其人脸图像信息并非对全社会完全公开。而人脸识别信息也已经越来越容易获取，其公开属性也越来越强。人脸识别技术于2000年前后仍然主要处于实验层面，但随着过去二十年来卷积神经网络（CNN）等算法技术的突破，人脸识别技术被快速商业化运用。今天，人们只要用很低的费用就可以购买具有人脸识别功能的各类技术应用。尤其对于包含人脸的照片、视频，人们可以很轻松地将此类人脸图像信息转换为人脸识别信息。就风险而言，人脸识别信息虽然在技术层面更为精确，但这种精确识别主要用于手机解锁、移动支付、银行开户、小区进出、机场安检等少量场景，而这些场景中的人脸识别信息往往受到较高层级的安全保护，其信息处理的风险未必很高。相较之下，人脸图像信息虽然难以直接被技术所精准识别，但其可以被用于不特定的具体场景。例如,人脸可能被不法分子用于各类移花接木的PS、AI换脸，其所产生的风险可能远大于人脸识别信息。