出示身份证件，再面对摄像头进行人脸识别，已成为过去几年人们入住国内酒店的标准流程。近日，北京、上海、深圳等城市的酒店取消“强制刷脸”，引发热议。

4月27日，《中国新闻周刊》致电国内多个城市的酒店，北京、秦皇岛、武汉等地的部分酒店表示，目前入住不需要强制人脸识别，如果顾客未带身份证，只需现场扫码，填写电子身份证信息验证即可。但郑州、南京、青岛等地的一些酒店，目前仍未收到取消“强制刷脸”的通知。

中国人民大学法学院教授、民商事法律科学研究中心执行主任石佳友向《中国新闻周刊》提到，强制要求旅客入住酒店时进行人脸识别，并没有直接的法律依据。人脸识别技术滥用的风险已被探讨多年，近几年全国两会代表和委员也多次呼吁加强人脸识别安全监管。在石佳友看来，取消酒店“强制刷脸”，即便目前只局限在部分城市，仍是个人信息保护领域的一次重要进步。

酒店“强制刷脸”没有法律依据

4月下旬，浙江理工大学数据法治研究院副院长郭兵到上海开会，入住酒店时，他敏锐地注意到，前台工作人员只查验了身份证，并未要求他“刷脸”。“我当时很纳闷，以为是会务组预定的原因。”郭兵说。他长期研究个人信息保护的法律问题，更为人熟知的身份，是“国内人脸识别第一案”主诉人。2019年，他因不满杭州野生动物世界有限公司强制入园游客“刷脸”，将其告上法庭，最终胜诉。

根据上海市旅馆业管理系统的公告栏，4月7月，上海市公安局治安总队、出入境管理局发布通知，要求当地旅馆业在住宿登记问询流程中，必须经过旅客同意，才能采集人脸信息。4月12日，该系统再次发布《温馨提示》，严禁上海的旅馆业对已出示本人有效身份证件的旅客进行“强制刷脸”核验，严禁发生不“刷脸”不能入住问题等。有媒体从上海市公安工作人员处获悉，上海在2023年就已开展严禁酒店“强制刷脸”的专项工作部署，近期又开始重申和强调。

4月27日，《中国新闻周刊》致电北京、秦皇岛、南京、重庆等多地的部分酒店，工作人员均表示，近两个月内，酒店相继收到属地派出所通知，不用强制让旅客“刷脸”，入住效率得到提升。秦皇岛一家五星级酒店前台工作人员向《中国新闻周刊》介绍，当地公安部门为了监督酒店、宾馆是否按规定登记、上传、如实录入旅客信息，同时核验入住旅客的信息资料，要求当地所有酒店、旅馆使用公安部门统一管理的旅馆业治安信息管理系统。大约今年春节过后，该系统进行了更新，不再要求旅客强制人脸识别。北京朝阳区一家连锁酒店的前台提到，如果顾客未带身份证，可以在现场扫码，填写电子身份证信息，向属地派出所登记报备即可。

受访专家提到，酒店是人脸识别技术滥用时间最久的场景之一。今年全国两会期间，全国政协委员、中国旅游研究院院长戴斌曾提交《关于限制旅游场景过度使用“人脸识别”的提案》。他通过对云南、广东、北京等地的酒店企业、旅游和商务主管部门、基层派出所和地方公安厅局的调研发现，酒店加装人脸识别设备终端，没有明确法律和行政法规规定，也没有正式成文的部门规章规定。让游客做人脸识别的地方，都是按照“告知且同意”的原则实施的，即公安部门告知旅馆、酒店、民宿，然后后者也同意，所以就做了。

石佳友向《中国新闻周刊》介绍，《旅馆业治安管理办法》和《反恐怖主义法》都提到，旅馆等住宿服务提供者，应当查验旅客的身份证件，确保人证一致，但现行规章中并没有提到必须要人脸识别。近些年，该技术在全国各地的酒店推广，一方面，是因为人脸识别技术方便，且准确度更高；另一方面，相关技术公司出于商业化考虑，积极推行人脸识别的设备。

过去几年，郭兵注意到，一些高档或大型连锁酒店，会购置看上去更专业的人脸识别设备，系统会依据《个人信息保护法》等要求，让旅客事先勾选是否同意采集人脸信息，“但从法律角度上看，这只是设备商为了避免承担连带责任的操作，顾客实际上没有选择权，并非真正的同意”。

在郭兵看来，更大的安全隐患在于，酒店的人脸识别设备是不透明的。他入住酒店时，常常会询问工作人员，“但很多工作人员答不上来这些设备是谁提供的”。据他了解，一些中小酒店为了节约成本，可能会和小型人脸识别技术服务提供商合作，“他们使用的人脸识别技术，我们不知道从哪里来，更不知道酒店有没有安全保障措施”。

郭兵分析，此前酒店使用人脸识别，更多是为了保障传统的社会安全，近期多地开始取消“强制刷脸”，或是国家相关部门逐渐关注到，人脸识别技术潜在的安全风险，比传统的安全风险危害更大。“在新形势下，取消不合理的人脸识别应用有很大的紧迫性，否则，人脸信息泄露后，我们应对新型电信网络诈骗的挑战将越来越大。”

人脸信息具有唯一性和不可更改性，是最敏感的个人信息之一。世辉律师事务所合伙人、律师王新锐向《中国新闻周刊》提到，社会对人脸识别技术风险的认知，需要经历一个过程。早期，大家更关注技术的优点，但近年来，生成式人工智能快速发展，放大了人脸数据泄露带来的风险。

“只需要一张人脸照片，再加上一小段音频，就可以惟妙惟肖地复刻一个人的数字形象。我见过许多例子，肉眼几乎看不出区别。这些潜在的技术风险，会使得采用技术的收益比发生变化。”王新锐举例，2023年4月，重庆市石油路派出所曾抓获3名嫌疑人，他们在网上购买一批医生的敏感个人信息，并通过网络查找到医生的照片，利用AI换脸技术，制作出医保平台所需的动态人脸识别视频，通过平台实名认证，盗刷医生的医保卡。

有网友担心，酒店取消强制人脸识别后，是否会增加治安风险？在郭兵看来，这一担忧大可不必。公安部门有一套成熟的身份证查验系统。取消强制人脸识别后，酒店工作人员用肉眼对比人证是否一致，难度可能会增加，但即便是人脸识别技术，准确度也不可能达到100%。更关键的是，从事违法犯罪活动的人占极少数，这些人会采用各种方式逃避真实身份的核验，最终反而让遵纪守法的人交出了人脸信息，承担更大风险。

需在更多场景下明确“刷脸”边界

4月25日，郭兵因参加学术会议入住杭州一家五星级连锁酒店时，仍被要求人脸识别。该酒店工作人员明确表示，并未收到通知取消“强制刷脸”。在郭兵的争取下，工作人员最终放弃了“刷脸”，只查验了他的身份证便可入住。

《中国新闻周刊》注意到，青岛、郑州等地的一些酒店均没有取消“强制刷脸”，青岛黄岛区的一家酒店前台称，属地派出所近期甚至提升了监管力度。同一城市的不同地区，酒店接到的要求也不同。南京鼓楼区的一家中高端连锁酒店前台向《中国新闻周刊》表示，目前旅客入住仍需“刷脸”，但玄武区的一家酒店表示，已经接到辖区派出所取消“刷脸”的通知。武汉、重庆等地的部分酒店虽未接到通知，但工作人员称，因上海等地出台新规，如有旅客拒绝“刷脸”，前台会尊重其意愿，只查验身份证。

石佳友认为，酒店取消强制人脸识别，是政府真正落实依法行政的体现，而且有助于优化营商环境。他建议各地公安和文旅部门尽早取消酒店强制人脸识别。目前，多是地方文旅和公安部门内部发布通知，更关键的是，公安部和文旅部作为旅馆业的两大监管部门，应发布全国性政策文件，确保各地有统一的政策，避免损害法治的统一性和严肃性。

除了旅馆业，人脸识别技术已在许多场景广泛应用。去年，戴斌曾进行三个半月的调研，发现度假区、滑雪场、索道、主题公园、博物馆、图书馆等旅游流量入口和消费场景安装人脸识别终端也已是普遍现象，强制使用的场合也越来越多。

近年来，相关法律法规不断明确人脸识别技术的使用边界。2021年8月，最高人民法院出台《关于审理使用人脸识别技术处理个人信息相关民事案件适用法律若干问题的规定》，其中提到，在宾馆、商场、银行、车站、机场、体育场馆等经营场所、公共场所，信息处理者违反法律、行政法规的规定，使用人脸识别技术进行人脸验证、辨识或者分析，应被认定属于侵害自然人人格权益。一个月后，《中华人民共和国个人信息保护法》（以下简称《个人信息保护法》）出台，明确不能过度收集个人信息。

2023年8月，国家网信办起草《人脸识别技术应用安全管理规定（试行）（征求意见稿）》，提出“只有在具有特定的目的和充分的必要性，并采取严格保护措施的情形下，方可使用人脸识别技术处理人脸信息”。多位专家指出，该规定虽是征求意见稿，但对外释放了明确的政策导向。石佳友解释，所谓“充分的必要性”，主要是根据《反恐怖主义法》规定，为维护国家安全、公共安全，或在紧急情况下保护自然人生命健康与财产安全时，可以使用人脸识别。一般的应用场景，比如商场、小区、学校、地铁，甚至一些手机App，都没有必要强制使用人脸识别技术。

郭兵补充道，人脸识别技术应用的另一个边界是尊重个人意愿，即个人在知情的前提下，能自己决定是否使用该技术。“如果一些人知道它有风险，还愿意选择‘刷脸’，这是可以的。但如果对方对人脸识别有顾虑，经营者或服务提供方应当给出其他核验身份的方式。”郭兵提到，近期上海出台的住宿登记问询流程，并非“一刀切”取消人脸识别，而是强调尊重旅客意愿。

石佳友认为，除了旅馆业，其他应用场景的相关机构和企业，应对照有关法律要求，自行纠正过去不合规的做法，“谁主管，谁来发布规范要求”。

据报道，国内许多酒店已撤掉人脸识别设备，或用纸盖住摄像头。但取消强制人脸识别，并非拿掉设备这么简单。郑州一家连锁酒店前台向《中国新闻周刊》提到，酒店采集旅客的人脸信息，只是将其与公安系统的人脸数据对照，不会保存。但一位受访专家坦言，这些人脸识别的应用并不透明，“我们很愿意相信酒店，但事实上我们对此一无所知”。此外，在学校、物业、手机软件等其他应用场景下，收集的人脸信息明确会被上传至数据库，数据是否被完善保护，也存在隐患。

在王新锐看来，这些数据“就像堰塞湖，一旦决口后果严重”，不强制收集人脸信息后，个人信息的风险不会自动解除。《个人信息保护法》明确提到，“处理目的已实现、无法实现或者为实现处理目的不再必要”时，个人信息处理者应当主动删除个人信息；个人信息处理者未删除的，个人有权请求删除。多位专家提醒，未来，当更多场景不再“强制刷脸”时，相关机构需按规定删除和销毁数据。