多地严禁酒店“强制刷脸”专家：“刷脸”没必要延续，风险高于收益

住酒店时，交了身份证，酒店前台会要求旅客对准摄像头“刷脸”，然后再入住。这应该是很多人都经历过的场景。

近日，有旅客反映，在上海入住某酒店时，被告知已不用“刷脸”。4月12日，上海市旅馆业治安管理信息系统内发布的提示显示，“严禁对已出示本人有效身份证件的旅客进行‘强制刷脸’核验”，“严禁发生不‘刷脸’不能入住的问题”。上海市公安局工作人员在接受媒体采访时表示，目前，上海已在全市严禁酒店强制刷脸，并表示这是自去年就已开展的专项工作部署，近期又进行了重申和强调。

据媒体报道，除了上海，全国多地，如广州、湖北宜昌、珠海等已要求酒店取消“强制刷脸”规定。4月24日，央广网记者随机采访了北京、上海和石家庄等地多家酒店，工作人员均表示，不再“强制刷脸”入住，只在他们肉眼无法确定身份证照片和本人相符时，才需要人脸识别核对。

对此，浙江理工大学数据法治研究院副院长郭兵表示，以前公安部门要求酒店强制旅客刷脸，背后是出于传统安全的考虑。但国家有关部门和社会公众逐渐意识到，人脸识别技术本身也有安全风险，而这种风险可能比传统治安风险的危害更大。

政协委员：易引起游客不满，增加企业经营成本

多年来，郭兵一直研究个人信息保护法，而他更为公众熟知的身份是“国内人脸识别第一案”主诉人。据他介绍，2015年，我国出台的反恐怖主义法第二十一条规定，包括“住宿”在内的等多种业务的经营者、服务提供者，应当对客户身份进行查验。对身份不明或者拒绝身份查验的，不得提供服务。

“这或许是公安部门要求酒店核验旅客身份的法律依据。”郭兵告诉记者，至于怎么核验身份，这部法律并没有明确规定。在实践中，最初是人工查验身份证，随着技术不断成熟，有了专门查验身份证的电子设备。近年来，随着人脸识别技术的发展，人脸识别技术应用在身份核验领域。

他表示，近年来，人脸识别技术在不断发展，在公众日常生活中的应用越来越广泛，但利用人脸识别技术从事违法犯罪活动的技术也在发展，其所蕴含的安全风险愈加突出。除了对个人的风险外，一旦个人信息被大规模滥用或泄露，对社会公共利益甚至国家安全可能会带来重大风险。

今年全国两会期间，全国政协委员、中国旅游研究院院长、文旅部数据中心主任戴斌曾提交《关于限制旅游场景过度使用“人脸识别”的提案》。

戴斌调研发现，几乎所有省市的宾馆、酒店、民宿等旅游住宿机构都设置了人脸识别系统，除了要出示并由接待人员查验身份证件，游客还要到专门的人脸识别设备前“刷脸”才能入住。

他认为，该措施不仅降低了服务效率，容易引起游客的不满和投诉，而且增加了企业的经营成本。

实际上，戴斌在对云南、北京、广东等地的酒店企业、旅游和商务主管部门、基层派出所和地方公安厅局的调研中发现，在酒店加装人脸识别设备终端，既没有明确的法律和行政法规规定，也没有正式成文的部门规章规定。现在，让游客做人脸识别的地方都是按照“告知且同意”的原则实施的，即公安部门告知旅馆、酒店、民宿，然后它们也同意，所以就做了。

戴斌建议，公安部及时指导各地公安部门取消游客入住宾馆酒店必须“刷脸”的规定，并召回相关的软硬件设备。同时，他还建议，全国人大法工委对政府部门和市场主体“强制刷脸”行为进行专项检查，对有关制度、规定和标准进行合法性审查。

专家：收益很小，风险却很大

广东财经大学法学院教授、中国法学会网络与信息法研究会理事姚志伟介绍，人脸信息属于生物识别信息，根据个人信息保护法的规定，生物识别信息又属于敏感个人信息，一旦泄露或者非法使用，容易导致自然人的人格尊严受到侵害或者使人身、财产安全受到危害的个人信息。

他表示，采集、使用人脸信息必须遵循个人信息保护法规定，只有在具有特定的目的和充分的必要性，并采取严格保护措施的情形下，个人信息处理者方可处理敏感个人信息。

在姚志伟看来，酒店采集旅客人脸信息可能已不符合必要性原则，因为旅客已提交了身份证件，酒店管理人员可以当场人工核验，出现人证不符的可能性极小。另外，现在的人脸识别技术也无法保证人证信息绝对准确。

“所以在这个场景下，让旅客承担那么大的风险就没有必要。”姚志伟说。任何社会管理手段都是收益和风险并存。从目前来看，酒店“强制刷脸”这项手段，收益已经很小，但风险却很大，已没有必要再延续。他举例，现在登录个人银行账号，普遍会用到人脸识别，如果人脸信息在其它渠道被泄露、滥用，就会给个人带来很大的财产安全风险。广东就曾发生过有犯罪团伙专门收集人脸信息，突破金融系统的安全认证，转走用户存款的案件。

酒店取消人脸识别后，会带来治安安全风险？郭兵认为，这种担忧大可不必，从现实来看，如果不法分子想钻酒店身份核验的空子，他们大概率也不会住正规酒店，即使入住，也会找各种办法逃避人脸识别这个环节。

一位街道派出所民警也向记者表示，从基层治安角度来看，酒店安装人脸识别系统，对他们帮助不大，主要是减轻酒店核实旅客身份的工作压力。现在取消后，酒店工作人员核验旅客身份的工作量会有所增加。

“取消人脸识别，对我们影响也不大，就是以后要靠我们员工肉眼比对旅客身份证和本人相貌了，稍微吃力。”一位酒店管理人员表示。

郭兵建议，虽然现在有些地方还在要求酒店对旅客“刷脸”，对于普通消费者而言，从个人信息安全角度出发，应谨慎配合。在日常生活中，应遵循“能少提供个人信心就尽量少提供，不到万不得已，不提供敏感个人信息”的原则。

律师：酒店“强制刷脸”或侵犯旅客隐私权

“人脸识别技术属于人工智能的一个典型应用场景，从某种意义来说，它的安全风险也是人工智能技术应用过程中的安全风险。”郭兵说。

郭兵介绍，2021年8月，根据最高人民法院出台的《关于审理使用人脸识别技术处理个人信息相关民事案件适用法律若干问题的规定》要求，信息处理者处理人脸信息有下列情形之一的，人民法院应当认定属于侵害自然人人格权益的行为：在宾馆、商场、银行、车站、机场、体育场馆、娱乐场所等经营场所、公共场所违反法律、行政法规的规定使用人脸识别技术进行人脸验证、辨识或者分析；未公开处理人脸信息的规则或者未明示处理的目的、方式、范围。

此外，2023年8月8日，国家网信办发布了《人脸识别技术应用安全管理规定（试行）（征求意见稿）》，其中依据个人信息保护法要求，明确只有在具有“特定的目的”和充分的必要性，并采取严格保护措施的情形下，方可使用人脸识别技术处理人脸信息，还提出了“实现相同目的或者达到同等业务要求，应当优先选择非生物特征识别技术方案”。其中第九条拟要求，在宾馆、银行、车站、机场、体育场馆、展览馆、博物馆、美术馆、图书馆等经营场所，除法律、行政法规规定应当使用人脸识别技术验证个人身份的，不得以办理业务、提升服务质量等为由强制、误导、欺诈、胁迫个人接受人脸识别技术验证个人身份。

作为消费者权益保护法的第一部配套行政法规――《中华人民共和国消费者权益保护法实施条例》（以下简称《条例》），自2024年7月1日起施行。该《条例》第23条指出，经营者在提供商品或服务时，不得过度收集消费者个人信息，不得采用一次概括授权、默认授权等方式，强制或者变相强制消费者同意收集、使用与经营活动无直接关系的个人信息。

北京市京都律师事务所陈赛男律师表示，随着我国个人信息保护制度不断完善，酒店强制旅客“刷脸”的行为存在侵犯旅客隐私权和泄露个人信息的风险。另外，《人脸识别技术应用安全管理规定（试行）（征求意见稿）》和《消费者权益保护法实施条例》即将出台，这又进一步强调了个人信息保护的重要性，要求在没有充分必要性和保护措施的情况下，不得使用人脸识别技术，并且要求优先考虑非生物特征识别技术，这两个原因可能是推动一些地方取消“强制刷脸”的部分因素。

郭兵认为，这些已出台、尚未出台和实施的法规，足以对酒店“强制刷脸”的行为进行规范。由于酒店“强制刷脸”已有多年，目前让酒店自身依据这些规定取消刷脸要求，可能短期内比较难实现，因为所有地方不一定都像上海等地一样，具有明确内部要求，并且积极推动落实这些要求。