门槛看应用处理中的存储人数
企业在多个门店部署人脸识别系统，可能认为每台设备都不足十万人就没有备案问题。《人脸识别技术应用安全管理办法》第十五条规定，个人信息处理者在应用人脸识别技术处理的人脸信息存储数量达到十万人之日起三十个工作日内，向所在地省级以上网信部门履行备案手续。
应先确认谁自主决定处理目的和方式、属于哪个处理者以及实际存储人数，不能未经核查就按设备数或门店数拆开门槛。一人的多张图像与多个自然人也不相同，具体统计应有可核实的系统记录和方法，不凭业务部门一句还没到估算。
当期达到与办法施行前已达到，起算不同
办法自二〇二五年六月一日起施行。网信办备案公告明确，此后达到十万人的，自达到之日起三十个工作日内办理；施行前已经达到的，应在二〇二五年七月十四日前办理。这一历史过渡期限不能被当作今天新增系统也能统一等待的期限。
当前核查应当列明何时实际达到、当时是否已办理、现有记录与申报是否一致。发现历史漏办，应如实整理并依法处理，不能通过倒写达到日期或临时删除统计记录，制造仍在期限内的外观。
五类备案材料需要反映实际系统
第十五条列明基本情况、处理目的和方式、存储数量与保护措施、处理规则及操作规程、个人信息保护影响评估报告。技术商提供的设备说明书，只能帮助理解部分技术事实，不能自动替代企业对自身应用目的和业务流程的说明。
可将系统、使用场景、数据来源、保存位置和期限、访问主体及安全措施逐项核对。影响评估应针对实际应用，不宜把其他公司模板换名称就提交；处理目的或方式变化、发生重大安全事件时，还应按第九条重新评估。
备案后发生实质变化，仍有后续手续
备案信息发生实质性变更的，应在变更之日起三十个工作日内办理变更。终止应用人脸识别技术的，也应在终止之日起三十个工作日内注销备案，并依法处理人脸信息。注销一项系统，不等于可以将资料无依据转给另一经营者继续使用。
是否达到人数门槛，与应用是否合法仍是不同问题。人数较少也应遵守必要性、合法处理基础、安全保护等规定；完成备案也不能被宣传为监管机关同意强迫任何客户刷脸，或者已经保证系统绝对安全。
研发排除与实际部署需要分别判断
办法第二条将境内为技术研发、算法训练而处理人脸信息的活动排除在本办法外，但不排除个人信息保护法等上位法。训练结束后用于门禁、客户身份核验等实际应用，不能仅因同一家公司也从事研发，就一概沿用研发排除。
沙坪坝企业核查时，可形成处理者和系统对应表、存储人数及达到时点记录、备案材料目录、变更或注销台账，并按网信办公告确认官方线上渠道。材料应反映真实用途和状态，既不把所有照片业务都称为人脸识别，也不以研发名义掩盖已经对外运行的应用。