办银行卡要求提供人脸识别等生物信息是否合法？如何保护个人信息安全？

银行应明示人脸信息用途、存储期限及处理方式，并采取加密措施保障数据安全。客户有权拒绝非必要的人脸采集，若银行以此为由拒绝开户，则涉嫌过度索权。相关信息不得用于营销或其他未经授权的场景。

根据《中华人民共和国个人信息保护法》(2021年) 第二十六条，收集个人生物识别信息应当取得个人单独同意，并满足最小必要原则。银行在开户环节采集人脸信息用于身份核验，在履行告知义务并获得明确授权后，属合法范畴。