铁路客运是我国最早全范围使用人脸识别系统的领域之一,使用人脸识别技术进行检票进站,不仅可以提高进站检票的乘客识别准确率,还可以减轻铁路客运站的工作量,提高铁路的运转效率。但人脸识别技术为铁路客运带来便利的同时,也带来个人信息可能被泄露的风险,有必要对铁路客运人脸识别信息的处理进行法律规制。加强对该领域人脸识别信息的保护应当从明确信息处理者的法律义务入手,以便从法律上约束信息处理者的信息处理行为。首先,明确铁路客运人脸识别信息的法律性质。铁路客运人脸识别信息的内容由生物特征信息与其他个人信息组合而成,根据《个人信息保护法》等法律规定,生物特征信息属于个人信息的一种,因此铁路客运人脸识别信息法律性质为个人信息。其次,理清铁路客运人脸识别信息保护中的法律关系。乘客因与铁路客运承运人签订客运合同而形成了权利义务关系,铁路客运承运人需收集乘客信息以便其人脸识别检票进站,所以在这段法律关系之中,乘客应当为权利主体,拥有知情同意权,删除、撤销权等权利。铁路客运承运人作为铁路客运人脸识别信息的收集、处理人,当然为义务主体。再次,铁路客运人脸识别信息的义务应当涵盖信息处理活动的始终,主要义务是:信息收集阶段应当明确其信息收集范围,不能够越界收集;保障信息主体的知情同意权应当作为其法定义务,且应当贯穿信息处理活动的全过程;在信息处理阶段（包含存储期）,应当承担保护人脸识别信息不被泄露的义务;在人脸识别信息有泄露风险或已发生泄露时需及时通知到信息主体的义务。此外,铁路客运人脸识别信息涉及社会公共利益,故而应允许在公共利益情形下合理使用,但应对此进行严格限制。信息处理者违反法律义务时应承担相应的法律责任,包括行政法律责任、刑事法律责任以及民事法律责任。行政法律责任承担方式主要是没收违法所得、罚款以及暂停服务;刑事法律责任主要是侵犯公民个人信息罪、拒不履行信息网络安全管理义务罪;民事责任主要是权利主体的人脸识别信息遭遇泄露风险时,应立即消除信息泄露带来的或者可能带来的风险,同时可以采用赔礼道歉、消除影响、恢复名誉、赔偿损失等责任形式。