近年来,人脸识别技术得以快速发展,特别是在商用领域应用广泛。但是这项技术却是一把双刃剑,在带来方便、快捷、高效的同时,也产生了相应的法律风险,对个人信息的保护提出了新的挑战。同时可以看到,我国现阶段的法律对人脸识别信息保护缺乏专门性的规定,司法实践中,只能引用《网络安全法》、《民法典》以及《个人信息保护法》中有关一般个人信息和敏感信息的原则和规则来做出判决,而原则性条款对人脸识别信息处理的必要性和正当性缺乏明确的标准,在纷繁复杂的商业场景中存在适用难度,因此人脸识别信息保护的法律制度亟须完善。本文通过对“人脸识别第一案”——郭兵诉杭州野生动物世界服务合同纠纷案进行分析,厘清商业场景下人脸识别信息保护案件的焦点,提出在商业场景下处理人脸识别信息具有必要性必须具备不可替代性或对个人权益侵害最小,并且应当从充分履行告知义务和取得实质上的明示单独同意两方面来从严适用知情同意原则,以及应当认可风险损害的正当性。通过着重分析美国和欧洲两个域外地区对人脸识别的场景化法律保护模式和专门化法律保护模式,结合我国的国情和立法实践,提出了以下有关商业场景下人脸识别信息保护制度的完善的建议:首先要完善商业场景下人脸识别信息保护规则体系,明晰商业场景下人脸识别信息处理的原则和边界,落实法律责任认定与追究,并确定侵害人脸识别信息权益的最低赔偿限额。其次要完善对商用人脸识别技术应用的监管框架,设立专门化的监管机构,构建动态全面的审查监管体系。最后,应当培植商业场景下人脸识别信息保护行业自律,细化企业人脸识别信息的保护义务,制定相关行业规范。