与受控环境相比，在非受控环境下，人脸识别技术可在信息主体毫无感知且无需信息主体配合的情况下进行，更容易侵害信息主体的权益。

因此，这两种应用场景下使用人脸识别技术具有不同的合法性基础。个人信息处理的合法性基础要么是单纯的个人同意，要么同时需要法律、行政法规的规定。要提高非受控环境下个人信息处理的合法性门槛，最好的方案就是，将其合法性基础同时限制在法律、行政法规作出明确规定的情形下。

正因如此，《规定》第二条第一项规定，信息处理者在宾馆、商场、银行、车站、机场、体育场馆、娱乐场所等经营场所、公共场所违反法律、行政法规的规定使用人脸识别技术进行人脸验证、辨识或者分析，属于侵害信息主体人格权益的情形。

《规定》第二条第一项也与个人信息保护的规范实践相互呼应。一般认为，在公共场所使用人脸识别技术应当满足以下条件：为维护公共安全；遵守国家有关规定；设置显著的提示标识；除取得个人单独同意外，所收集的人脸识别信息只能用于维护公共安全的目的，不得用于其他目的。显然，这将有力地遏制商家为了门店营销的目的而在自己的经营场所随意使用人脸识别技术。

正因为存在上述区分，《规定》第五条规定的免责事由也被区分为基于法律或行政法规规定的免责事由和基于个人同意的免责事由。这也与民法典第一千零三十六条规定的处理个人信息的免责事由保持了一致。

《规定》第四条细化规定强迫同意的三种情形：（1）信息处理者要求自然人同意处理其人脸信息才提供产品或者服务的，但是处理人脸信息属于提供产品或者服务所必需的除外；（2）信息处理者以与其他授权捆绑等方式要求自然人同意处理其人脸信息的；（3）强迫或者变相强迫自然人同意处理其人脸信息的其他情形。

需要明确的是，首先，《规定》第四条的适用前提仅限于基于信息主体同意处理人脸信息而非基于法律或行政法规规定处理人脸信息的情形。其次，该条区分了产品或服务的基本业务功能和扩展业务功能，同时明确人脸信息的处理即使符合必要原则，也不能以与其他授权捆绑等方式取得同意。再次，该条的“同意”在性质上属于抗辩事由或违法阻却事由，不同于人格权商业化利用中的许可使用。

此种区分也与民法典人格权编明确区分同意和许可使用保持了一致，例如民法典第一千零一十八条第一项规定了肖像权人肖像的许可使用，第一千零一十九条则规定了肖像权人的同意阻却了侵害肖像权人肖像权的违法性。

《规定》第四条确立了强迫作出的同意不得作为抗辩事由的规则，区分了强迫对法律行为效力和对同意效力的不同影响。根据民法典第一百五十条，因胁迫作出的法律行为属于可撤销的法律行为，而根据《规定》第四条，强迫作出的同意属于无效同意。

此区分的理由在于：一方面，受害人同意作为抗辩事由的正当性基础来自于古老的拉丁法谚“对自愿者不构成侵害”，这意味着同意所针对的原本是侵害权利主体合法权益的行为。为从严保护权利主体的合法权益，法律必须提高对该种同意有效性的要求：任何违背权利主体自由意志的同意都是无效的同意，不能发生抗辩或违法阻却的效力。这一理念同样适用于个人信息保护领域。

另一方面，规定强迫同意无效，更有利于实现个人信息保护的规范目的。规定同意的目的就是为了保护信息主体的合法权益免遭信息处理者的不法侵害，规定强迫同意直接无效而非可撤销意味着无需信息主体主张撤销就可直接认定为无效，有助于免除信息主体主张撤销的成本，更好地保护信息主体的合法权益。

考虑到信息处理者一般是通过格式条款来获取信息主体的同意，为了对此种格式条款进行效力控制，《规定》第十一条规定：“信息处理者采用格式条款与自然人订立合同，要求自然人授予其无期限限制、不可撤销、可任意转授权等处理人脸信息的权利，该自然人依据民法典第四百九十七条请求确认格式条款无效的，人民法院依法予以支持。”

之所以该类格式条款无效，是因为“要求自然人授予其无期限限制、不可撤销、可任意转授权等处理人脸信息的权利”，属于民法典第四百九十七条第二项所规定的“提供格式条款一方不合理地免除或者减轻其责任、加重对方责任、限制对方主要权利”。

应当注意《规定》第四条和第十一条之间递进的适用关系：当存在《规定》第四条的情形，直接适用第四条认定同意无效，无需适用第十一条；只有不存在《规定》第四条的情形，才考虑是否适用第十一条认定格式条款无效。

反之，将举证责任分配给更容易提供证据证明其处理行为合法的信息处理者，更有利于强化信息主体权益保护的同时不会不当增加信息处理者负担，也符合民事诉讼法中举证责任分配的便利性原则。

据此，《规定》第六条第二款规定，“信息处理者主张其行为符合民法典第一千零三十五条第一款规定情形的，应当就此所依据的事实承担举证责任”。

据此可知，首先，《规定》对物业服务企业在业主进出小区时使用人脸识别技术并未持否定态度；其次，《规定》要求物业服务企业或者其他建筑物管理人必须为不同意使用人脸识别的业主提供其他的合理验证方式，否则属于变相强迫业主同意使用人脸识别技术。这一规定既满足了物业服务企业通过人脸识别技术提升小区安全保障水平的现实需求，又兼顾了业主的选择自由，可谓妥当之举。

此外，《规定》还确立了认定信息处理者民事责任的动态考量因素、免责事由、多数人侵权责任承担、财产损失的界定、禁令、合并审理、公益诉讼和死者人格利益保护等规则。

总而言之，《规定》首次正式确立了审理使用人脸识别技术处理个人信息相关民事案件的全面且统一的法律适用规则，对于正确审理相关案件意义重大；同时，《规定》从司法视角出发，强化了对信息主体人脸信息的保护，有效衔接对人脸信息的其他保护方式，为进一步规范人脸识别技术的使用提供了有益的指引，也为加强其他类型生物识别信息的保护提供了借鉴思路。