新京报记者通过在IT社区人脸数据资源帖评论区加微信的方式联系到一名自称拥有人脸数据库的卖家，对方表示如果支付3000元，可以提供24000套人脸图像，渠道“多种多样”。对于具体的人脸图像来源，对方仅表示是“中国的”，但没有透露更多。
赵虎告诉新京报记者，非法买卖人脸图像等数据可能违反《民法总则》《侵权责任法》中对于他人隐私权、肖像权的保护。而国家机关或者金融、电信、交通、教育、医疗等单位的工作人员利用其掌握的公民人脸数据，然后进行倒卖的，可能会构成《刑法》规定的出售、非法提供公民个人信息罪。“如果是手机APP等非法搜集用户相关信息，则还会违反《移动互联网赢咖4平台信息服务管理规定》的相关规定。”
人脸数据的信息泄露风险
专家：从制度上约束，防止信息泄露
在安恒信息安全研究院院长吴卓群看来，人脸数据存在唯一性，如果厂商将人脸数据收集以后没有规范化应用，一旦泄露可能导致严重的后果。
“人脸识别本身是方便我们生活的，可以免去我们输密码的麻烦，但它最大的风险在于信息泄露，因为包括人脸在内的生物识别具有唯一性，这些唯一性的人脸信息一旦被采集上去，如果没有妥善处理，可能会被滥用。”吴卓群告诉新京报记者。
10月28日，由于反对采用人脸识别的方式进入动物园，浙江理工大学特聘副教授郭兵作为消费者将杭州野生动物世界告上了法庭，该案也成为国内消费者起诉商家的“人脸识别第一案”。2019年11月1日，杭州市富阳区人民法院正式受理此案。
郭兵认为，园区进行人脸识别将收集他的面部特征等个人生物识别信息，该类信息属于个人敏感信息，一旦泄露、非法提供或者滥用，将极易危害包括原告在内的消费者人身和财产安全。“根据《消费者权益保护法》第29条之规定，园区收集、使用原告个人信息，应当遵循合法、正当、必要的原则，明示收集、使用信息的目的、方式和范围，并经原告同意；而且，被告收集、使用原告个人信息，应当公开其收集、使用规则，不得违反法律、法规的规定和双方的约定收集、使用信息。被告在未经原告同意的情况下，通过升级年卡系统强制收集原告个人生物识别信息，严重违反了相关规定，损害了原告的合法权益。”
新京报就此事致电杭州野生动物世界，一名工作人员证实，目前指纹识别已取消，入园者只能到年卡中心录入人脸信息，通过人脸识别入园。该工作人员介绍，人脸识别更方便、快捷，“指纹有时候有点破皮、按（识别）不出来的。”对于外界对个人隐私的担忧，该工作人员说，“就你入园扫一下（脸）。”他补充，“指纹也是你的信息，你办年卡的时候，身份证也留了，电话也留了，这些也是你的信息呀。”
吴卓群表示，人脸识别技术在技术上已经日趋成熟，在许多图片识别上，AI的准确率甚至可以高过人工识别，总的来说，技术是为了方便大家，方便社会，这个技术发展本身还是比较好的，但为了防止泄露的风险，有必要从制度层面来保证人脸数据信息的流转，或者设置一个标准来规定我们采集后什么能存，什么不能存，从制度和法律上来约束，以防止采集后出现信息泄露的问题。
北京大学法学院教授薛军告诉新京报记者，有必要对人脸识别设置门槛，“人脸信息伴随着人的终身，一旦发生泄露风险就特别大，所以要进行最严格的保护，首先必须得到用户明示同意才能收集，我个人认为有时得到个人同意也不行，需要国家授权才能收集敏感的生物识别信息。”
