2021年11月1日，個人資訊保護法今起實施，法律規定 個人資訊保護法第10條規定：任何組織、個人不得非法收集、使用、加工、傳輸他人個人資訊，不得非法買賣、提供或者公開他人個人資訊；不得從事危害國家安全、公共利益的個人資訊處理活動。法律規定 個人資訊保護法第6條規定：處理個人資訊應當具有明確、合理的目的，並應當與處理目的直接相關，採取對個人權益影響最小的方式。收集個人資訊，應當限於實現處理目的的最小範圍，不得過度收集個人資訊。
法律規定 個人資訊保護法第28條規定：敏感個人資訊是一旦洩露或者非法使用，容易導致自然人的人格尊嚴受到侵害或者人身、財產安全受到危害的個人資訊，包括生物識別、宗教信仰、特定身份、醫療健康、金融賬戶、行蹤軌跡等資訊，以及不滿十四周歲未成年人的個人資訊。只有在具有特定的目的和充分的必要性，並採取嚴格保護措施的情形下，個人資訊處理者方可處理敏感個人資訊。
個人資訊保護法規定
法律規定 個人資訊保護法第26條規定：在公共場所安裝影象採集、個人身份識別裝置，應當為維護公共安全所必需，遵守國家有關規定，並設定顯著的提示標識。所收集的個人影象、身份識別資訊只能用於維護公共安全的目的，不得用於其他目的；取得個人單獨同意的除外。
小李是一是物業小區的業主，下班時，需要“刷臉”才能透過小區所在人臉識別門禁的閘門。他假期去遊覽一些景點時，也被要求“刷臉”識別。他很奇怪：個人資訊保護法對這些公共場所個人“人臉”資訊的處理有沒有規定？現在國家規定，只有取得個人單獨同意，才可以登記人臉資訊。
小區刷臉門禁系統
根據《個人資訊保護法》規定， 從今以後，沒有取得人個同意，小區物業不得強制個人使用錄入人臉資訊，也不得強制業主或人員人臉識別或刷臉進入小區，也不得強制收集業主個人資訊，否則，就違反了《個人資訊保護法》。物業小區門禁系統強制刷臉，也就不合法了。
個人資訊保護法規定，處理個人資訊侵害個人資訊權益造成損害，個人資訊處理者不能證明自己沒有過錯的，應當承擔損害賠償等侵權責任。有本法規定的違法行為的，依照有關法律、行政法規的規定記入信用檔案，並予以公示；構成違反治安管理行為的，依法給予治安管理處罰，構成犯罪的，依法追究刑事責任。
