一、问题与研究范围

你走进一家商场，门口的人脸抓拍摄像头把你拍了下来——装设备的是硬件商，管设备的是商场安保部门，画面存储在云平台上，分析“回头客”的是算法服务商，最后拿到名单的是商场招商部门。被拍的是你，处理你信息的却是这一串互不相识的主体。出了事，你找谁？

更常见的困惑来自合同：合同条款能不能决定谁负责？小区门禁刷脸，物业与科技公司签的服务合同里写明“系统及人脸数据归科技公司”，业主问起来，物业就指着合同说“找科技公司去”；售楼处让你签的隐私政策写着“人脸信息由我方技术服务商处理”；安保公司拿着劳务外包合同强调“我们只是外包，不碰数据”。这些说法的共同点，是用合同条款给自己定了一个角色。问题在于：合同里写的角色，在法律上算不算数？

问题的答案落在同一个概念上：“个人信息处理者”。这不是一个荣誉称号，而是整套义务的起点。《个人信息保护法》的告知、同意、安全保障、权利响应、损害赔偿，都挂在处理者身上；共同处理要承担连带责任，受托人只承担约定范围内的义务。同一个摄像头，数据链上通常站着场地方、物业、安保公司、设备商、算法商、云平台六类角色，角色认定的偏差直接决定谁兜底、谁免责、被拍者找谁。

本文要解决的正是“定位”问题：处理者怎么认定，合同名称为什么说了不算；共同处理、委托处理、对外提供三种关系怎么区分；六类主体各自的典型角色与常见误区；以及为什么“主体错位”被认为是这个领域最大的合规漏洞。

二、核心结论

处理者的认定标准只有一条：谁自主决定处理目的和处理方式。《个保法》第73条第1项将“个人信息处理者”定义为“在个人信息处理活动中自主决定处理目的、处理方式的组织、个人”。谁决定“为什么拍、拍什么、拍多久、给谁看”，谁就是处理者——不问身份、不看合同名称、不取决于数据存在谁的服务器上。19号令第19条在人脸识别场景沿用同一概念。

合同名称不是护身符，“从属性、被动性”才是免责理由。马某与某国际物业公司案（(2023)鲁0202民初1174号）中，法院认定物业不能自主决定业主出入的验证方式，行为具有从属性、被动性，不构成个人信息处理者，据此驳回起诉。但这个判断有严格前提：只有当执行者完全不能自主决定目的和方式时，才不构成处理者。物业自己决定安装摄像头、自己确定用途和保存期限的，就是处理者。“我不是处理者”从来不是随便可用的挡箭牌。

受托人不是无责的，只是责任内容不同。委托处理中，受托人须按约定处理、采取必要安全措施、协助处理者履行义务，合同终止后返还或删除信息（《个保法》第21条、第59条）。受托人超出约定范围处理个人信息——比如把客户人脸数据用于训练自己的通用模型、向关联公司提供——就不再是“按约定办事”的受托人，而是独立的处理者，自己承担全部法定义务。从体系解释看，供应商自行汇总跨客户人脸数据、决定保存期限或向关联公司提供时，可能转为独立处理者。

共同处理意味着对外连带责任，内部约定管不了个人。两个以上处理者共同决定处理目的和处理方式的，构成共同处理（《个保法》第20条）：内部可以约定各自的权利义务，但约定不影响个人向其中任何一个处理者主张权利，造成损害的承担连带责任。商场与物业共同决定摄像头装在哪、拍什么、数据给谁用，就可能构成共同处理——“我们内部说好了各管一段”不能对抗被拍者。

向第三方提供人脸数据，必须重新取得单独同意。 处理者向其他处理者提供个人信息的，应当告知接收方信息并取得单独同意（个保法第23条）。人脸信息是敏感个人信息，向第三方提供不仅要单独同意，还要先过19号令第8条这一关：除法律、行政法规另有规定或者取得个人单独同意外，人脸信息应当存储于人脸识别设备内，不得通过互联网对外传输。把客户人脸库上传云端、同步给关联公司，在合规上都是需要重新论证的独立动作。

人脸数据上云，本身就是高风险信号。 青浦区检察院办理的房企售楼处人脸案中，涉案企业把2.8万余条人脸数据“隐匿于异地云服务器”，检察机关通过逆向追踪、远程勘验取证。数据放云端，既可能是违法者规避“设备内存储”要求的典型手法，也意味着云平台角色的重新评估：仅提供存储算力的，是受托人；参与决定处理规则、跨客户复用数据的，可能成为共同处理者甚至独立处理者。

供应链合同管理是执法最先检查的环节。 重庆两江新区物业人脸案中，检察机关认定的七项问题之一，就是企业“未与第三方数据处理者签署安全协议”。委托合同、安全协议、终止后的返还删除条款，这些书面文件是执法检查和公益诉讼取证的第一现场——供应链文件的缺失本身就会进入执法问题清单。

处理者必须“亮明身份”。 个保法第17条要求处理前告知处理者的名称或姓名和联系方式；条例第13条要求公共安全视频系统设置显著提示标识；第19号令第5条要求告知权利行使的方式和程序。处理者身份不透明，既是告知义务的违反，也是个人行使查阅、删除权利的第一个障碍——找不到处理者，权利就无从谈起。

三、适用规范

（一）法律层面

《个人信息保护法》：

• 第73条第1项：个人信息处理者的定义——自主决定处理目的、处理方式的组织或个人；

• 第20条：共同处理——约定各自权利义务，约定不影响个人向任一处理者主张权利，共同处理造成损害的承担连带责任；

• 第21条：委托处理——约定处理目的、期限、处理方式、个人信息种类、保护措施并监督受托人；受托人不得超出约定处理，委托合同终止后应返还或删除信息；未经处理者同意不得转委托；

• 第23条：向其他处理者提供——告知接收方信息并取得单独同意；

• 第59条：受托人的义务——采取必要措施保障个人信息安全，协助处理者履行义务；

• 第26条：公共场所安装图像采集、个人身份识别设备，应为维护公共安全所必需并设置显著提示标识；收集的个人图像、身份识别信息原则上只能用于维护公共安全，取得个人单独同意的除外；

• 第28条、第29条：人脸信息属于敏感个人信息，处理须有特定目的和充分必要性、采取严格保护措施，并取得单独同意；

• 第17条：处理前告知处理者名称或姓名、联系方式、处理目的、处理方式、保存期限及权利行使方式；

• 第69条：个人信息处理者不能证明自己没有过错的，承担侵权责任（过错推定）。

《民法典》第一千零三十五条：处理个人信息应当遵循合法、正当、必要原则，并征得同意、公开处理规则、明示处理的目的、方式和范围。

（二）法律框架下的司法解释

《最高人民法院关于审理使用人脸识别技术处理个人信息相关民事案件适用法律若干问题的规定》（法释〔2021〕15号）第2条：在经营场所、公共场所违法使用人脸识别技术进行人脸验证、辨识或分析的，认定为侵害自然人人格权益；第10条：物业服务企业以人脸识别作为业主出入的唯一验证方式，业主请求提供其他合理验证方式的，法院予以支持。这两条共同指向同一个问题：谁安装、谁使用，谁就要对行为后果负责——处理者身份不是合同条款能够改写的。

（三）行政法规层面

《公共安全视频图像信息系统管理条例》（国务院令第799号）建立了以“管理单位”为中心的主体框架：第2条定义公共安全视频系统；第7条规定建设主体——城乡主要路段等公共区域的系统由县级以上地方人民政府组织建设，商贸中心、旅游景区、教育机构、医疗机构、公共停车场等人员聚集场所涉及公共安全区域的系统由对场所负有经营管理责任的单位建设；第13条要求管理单位合理确定设备安装位置、角度和采集范围并设置显著提示标识；第14条要求管理单位在系统投入使用之日起30日内向县级公安机关备案；第15条要求管理单位履行网络安全、数据安全和个人信息保护义务。条例的“管理单位”与个保法的“处理者”认定框架不同（前者看经营管理责任，后者看是否自主决定目的和方式），但管理单位通常同时构成处理者，二者在合规实践中高度重合。

（四）部门规章层面

《人脸识别技术应用安全管理办法》（国家互联网信息办公室、公安部令第19号）第19条沿用“自主决定处理目的、处理方式”的处理者定义；第8条确立设备内存储、禁止互联网对外传输与保存期限最短化规则；第15条要求处理者自人脸信息存储数量达到10万人之日起30个工作日内向所在地省级以上网信部门备案。备案主体是“个人信息处理者”——处理者身份不清的，备案无法完成，这反过来倒逼数据链上的各方先把角色想清楚。

四、各主体的法律地位

【场地方/经营者（商场、景区、售楼处等）】
典型场景：决定安装目的、采集区域、数据用途与保存期限
认定为处理者的关键：自主决定“为什么拍、拍什么、拍多久、给谁用”
常见误区：“设备是服务商装的，责任在服务商”

【物业服务企业】
典型场景：按管理方决定执行门禁人脸系统（马某案）；或自行决定安装与用途
认定为处理者的关键：能否自主决定验证方式与用途；不能自主决定（从属性、被动性）的不构成处理者
常见误区：“物业只是执行方，永远不是处理者”

【安保公司】
典型场景：受托布防、运维、值守
认定为处理者的关键：按合同执行→受托人；自行决定布防方案、自主使用数据→处理者
常见误区：“签了劳务合同就不是处理者”

【设备/硬件商】
典型场景：销售摄像头、门禁一体机
认定为处理者的关键：仅销售设备不构成处理；提供代管、云服务→受托人；默认远程回传并自行使用→处理者
常见误区：“我们只卖硬件，不碰数据”

【云平台】
典型场景：存储、算力、人脸识别“即服务”
认定为处理者的关键：仅提供存储算力→受托人；参与决定处理规则、跨客户复用数据→共同处理者/独立处理者
常见误区：“数据是客户的，与我们无关”

【算法商】
典型场景：提供人脸识别SDK、算法接口
认定为处理者的关键：按约定提供算法→受托人；自行采集、跨项目复用数据训练模型→独立处理者
常见误区：“我们只出技术，接触不到数据”

认定方法可以简化为三个问题：谁能改变处理目的？谁能决定保存期限？谁能决定把数据给谁？三个答案中任何一个指向某主体，该主体就不是纯粹的执行者。需要说明的是，国家机关为履行法定职责建设、使用公共安全视频系统的，除条例下的建设与管理主体义务外，还适用个保法第34—37条关于国家机关处理个人信息的特别规定——执法调取与使用的边界，将在本系列执法调取专篇展开。

五、能做什么、不能做什么

可以做的：

• 安装前先画一张“数据流图”：采集→传输→存储→比对→使用→删除，逐环节标注“谁在操作、谁在决定”，据此确定各方法律角色；

• 用书面委托合同明确约定：处理目的、期限、处理方式、个人信息种类、保护措施、监督安排、禁止转委托、禁止超出约定处理、终止后返还或删除（个保法第21条）；

• 与每个接触数据的第三方签署安全协议，并保留供应商审计记录（两江新区案的直接教训）；

• 在提示标识、隐私政策中如实公布处理者名称和联系方式，确保与实际角色一致；

• 人脸数据确需上云的，先论证是否满足19号令第8条的单独同意或法律、行政法规例外，并依法开展个人信息保护影响评估；

• 共同决定目的和方式的，书面划分各自责任，同时明确划分不影响对外连带责任。

不能做的：

• 用合同条款自我降级——把实际自主决定的处理者写成“受托方”“技术支持方”，合同名称不改变法律认定；

• 受托人把客户人脸数据用于训练模型、跨项目复用或提供给关联公司——超出约定范围的处理即为独立处理者行为；

• 处理者向第三方提供人脸数据不重新取得单独同意（个保法第23条）；

• 把采集的人脸数据上传云端以规避“设备内存储”要求；

• 共同处理的多方之间互相推诿，或拒绝个人向其中任何一方主张权利；

• 在告知文件中虚构处理者名称——告知与事实不符本身即违法，也是执法检查中最容易暴露的问题。

六、典型案例

“非处理者”的严格前提——马某与某国际物业公司案（(2023)鲁0202民初1174号，青岛市市南区人民法院）：某学院家属区推行门禁刷脸，决定以人脸识别作为唯一验证方式并统一管理保存人脸信息的是学院供应保障处，物业仅接受委托从事信息收集和通行秩序管理。法院认定物业不能自主决定业主出入的验证方式，行为具有从属性、被动性，不构成个人信息处理者，驳回原告诉请。这个案例常被简读为“告物业告不赢”，但更准确的读法是：起诉对象要对准决定者——本案真正的处理者是作出决定的管理方；同时，判决隐含的前提是：能够自主决定的物业，就是处理者。

藏在云服务器里的人脸数据——上海市青浦区检察院督促整治房地产企业违法使用人脸信息案（最高人民检察院检察技术支持公益诉讼检察典型案例之三）：两家房企自2023年10月起在售楼处安装人脸抓拍与分析系统，将人脸数据用于客户甄别、与中介结算佣金等商业用途，违法收集使用2.8万余条人脸信息。办案机关初次勘验未能在本地系统定位数据，通过逆向追踪、远程勘验，在异地云服务器中取得涉案人脸数据。对本文的意义：一是商业用途采集人脸信息违法，处理者（房企）的责任明确；二是云端存储是违法者规避设备内存储的常见手法，云平台是否参与决定处理规则，决定其是受托人还是共同处理者。

供应链文件的缺失——重庆两江新区物业人脸案（最高人民检察院个人信息保护检察公益诉讼典型案例）：三家涉事企业分别存在10个以上、4个、6个风险问题，检察机关归纳的七项问题中包括“未与第三方数据处理者签署安全协议”，其中一家物业企业人脸信息储备高达150万条。检察建议推动住建部门向全区物业企业下发整改通知，要求专人管理、单独同意、加密存储、到期删除。与第三方的合同和安全协议，已经从商业惯例变成执法检查的内容本身。

七、处理者定位自查清单

画数据流：列出从采集到删除的每个环节，标注每个环节的操作主体和决定主体；

问三个问题：谁能改变处理目的？谁能决定保存期限？谁能决定把数据给谁？任一答案为“能”的，就是处理者或共同处理者；

核对合同：委托合同是否具备个保法第21条的全部要素；有无监督条款；终止后是否返还或删除；是否禁止转委托和超出约定处理；

补供应链协议：与每个接触数据的第三方签署安全协议，保存审计记录；

核对告知文件：提示标识、隐私政策中的处理者名称与实际角色是否一致；

对备案主体：人脸信息存储数量达到10万人（19号令第15条）或公共安全视频系统投入使用（条例第14条）的，确认以正确的处理者/管理单位名义完成备案。

八、仍需监管或裁判明确的问题

人脸识别“即服务”模式下（算法、存储由服务商提供，客户只配置参数和使用场景），云平台或算法商的处理者身份，目前缺乏统一执法或裁判口径，宜结合合同与控制关系个案判断；

供应商复用客户数据训练通用模型，究竟在哪一个时间点、以什么行为标志转为独立处理者，仍待个案明确，合规上宜按最严格方向设计；

物业、科技公司、置业公司合作模式下的共同处理认定，如多方合作模式下对外连带责任的划分标准问题，仍待明晰；

10万人备案在集团、加盟、SaaS多租户和共同处理架构下的统计口径（按主体、按数据库还是按实际控制关系），建议向所在地省级以上网信部门预沟通；

受托人超出约定处理时，原处理者“对受托人的个人信息处理活动进行监督”（个保法第21条）义务的证明标准，仍待裁判实践细化。

九、参考资料

《中华人民共和国个人信息保护法》（第17条、第20条、第21条、第23条、第26条、第28条、第29条、第59条、第69条、第73条，2021年11月1日起施行），中国人大网：https://www.npc.gov.cn/npc/c2/c30834/202108/t20210820_313088.html

《中华人民共和国民法典》（第1035条，2021年1月1日起施行），中国人大法律法规数据库：https://wb.flk.npc.gov.cn/flfg/PDF/bd53dd912c1048f2aecbaa229238334b.pdf

《公共安全视频图像信息系统管理条例》（国务院令第799号，第2条、第7条、第13条、第14条、第15条，2025年4月1日起施行），国家行政法规库：https://xzfg.moj.gov.cn/front/law/detail?LawID=1762

《人脸识别技术应用安全管理办法》（国家互联网信息办公室、公安部令第19号，第5条、第8条、第15条、第19条，2025年6月1日起施行），国家互联网信息办公室：https://www.cac.gov.cn/2025-03/21/c_1744174262156096.htm

《最高人民法院关于审理使用人脸识别技术处理个人信息相关民事案件适用法律若干问题的规定》（法释〔2021〕15号，第2条、第10条，2021年8月1日起施行），最高人民法院：https://ipc.court.gov.cn/zh-cn/news/view-1424.html

青岛市市南区人民法院（2023）鲁0202民初1174号民事判决书（马某与某国际物业管理集团有限公司个人信息保护纠纷），威科先行：https://law.wkinfo.com.cn/judgment-documents/detail/MjAzODgwOTMyNDU%3D

最高人民检察院检察技术支持公益诉讼检察典型案例之三：上海市青浦区人民检察院督促整治房地产企业违法使用人脸信息案

最高人民检察院个人信息保护检察公益诉讼典型案例：重庆两江新区检察院督促整治小区物业违法处理人脸信息案