商家未经明确同意使用人脸识别进行客流分析，这种行为是否合法？

未经消费者明确、单独的同意，商家使用人脸识别技术进行客流分析的行为，在中国现行法律体系下是违法的。

以下是详细的法律分析：

核心法律依据

《中华人民共和国个人信息保护法》

• 第二十六条（特别规定）：在公共场所安装图像采集、个人身份识别设备，应当为维护公共安全所必需，并设置显著的提示标识。所收集的个人图像、身份识别信息只能用于维护公共安全的目的，不得用于其他目的；取得个人单独同意的除外。
  • 这是最直接的禁止性规定。 “客流分析”显然属于商业运营目的，而非“维护公共安全”。因此，除非商家能证明其安装和使用是为了“维护公共安全”（如防范盗窃、保障人身安全），否则，若用于分析客流量、顾客画像、行为轨迹等，就必须取得个人的单独同意。
• 第十三条（合法性基础）：处理个人信息需要符合“知情同意”规则。对于人脸信息这类“敏感个人信息”，必须取得个人的单独同意。
  • 单独同意：意味着不能通过一揽子、默认勾选、模糊不清的隐私政策等方式获得同意。必须是针对“使用人脸识别进行客流分析”这一具体目的，清晰、明确、主动的授权。

《最高人民法院关于审理使用人脸识别技术处理个人信息相关民事案件适用法律若干问题的规定》

• 该司法解释进一步细化了人脸信息保护。其明确规定，在宾馆、商场、银行、车站、机场、体育场馆、娱乐场所等经营场所、公共场所违反法律、行政法规的规定使用人脸识别技术进行人脸验证、辨识或者分析，属于侵害自然人人格权益的行为。
• 商家进行客流分析，正是典型的“人脸分析”行为，因此受到该司法解释的严格规制。

关键点分析

• “明确同意” vs “单独同意”：您提到的“明确同意”是基本要求，但对于人脸信息，法律要求更高，必须是 “单独同意” 。即使商家在入口处有“本店安装有人脸识别系统”的提示，或在其隐私政策中提及，若未就此单独、显著地提示并获得您主动的、明确的授权，该行为依然违法。
• “客流分析”的目的定性：这是判断合法性的分水岭。法律仅例外允许为 “维护公共安全” 之必需的目的使用。商家通常的“提升服务质量”、“优化商品陈列”、“统计客流量”等商业目的，不在该例外范围之内。
• 告知义务：即使合法处理，也需履行告知义务。但如前所述，仅有告知而没有获得单独同意，对于商业目的的客流分析而言，是无效的。

结论与建议

结论：不合法。 商家若未经消费者单独、明确的同意，擅自使用人脸识别技术进行客流分析等商业活动，已经违反了《个人信息保护法》等相关法律法规，侵犯了消费者的个人信息权益和隐私权。

如果您遇到此类情况，可以采取以下措施：

总之，法律已为人脸信息的保护划定了清晰的红线。将人脸识别技术用于商业客流分析，必须在合法、正当、必要且获得个人单独同意的原则下进行，否则即构成违法。