多地出台新規禁止酒店強制“刷臉”，專家：“刷臉”本無必要，風險遠高于收益

來源：央廣網

央廣網北京4月25日消息（記者張勝坡）入住酒店時，交了身份證，酒店前台會要求旅客對準攝像頭“刷臉”，然後再入住。這應該是很多人都經曆過的場景。

近日，有旅客反映，在上海入住某酒店時，被告知已不用“刷臉”。4月12日，上海市旅館業治安管理資訊系統内釋出的提示顯示，“嚴禁對已出示本人有效身份證件的旅客進行‘強制刷臉’核驗”，“嚴禁發生不‘刷臉’不能入住的問題”。上海市警察局從業人員在接受媒體采訪時表示，目前，上海已在全市嚴禁酒店強制刷臉，并表示這是自去年就已開展的專項工作部署，近期又進行了重申和強調。

據媒體報道，除了上海，全國多地，如廣州、湖北宜昌、珠海等已要求酒店取消“強制刷臉”規定。4月24日，央廣網記者随機采訪了北京、上海和石家莊等地多家酒店，從業人員均表示，不再“強制刷臉”入住，隻在他們肉眼無法确定身份證照片和本人相符時，才需要人臉識别核對。

對此，浙江理工大學資料法治研究院副院長郭兵表示，以前公安部門要求酒店強制旅客刷臉，背後是出于傳統安全的考慮。但國家有關部門和社會公衆逐漸意識到，人臉識别技術本身也有安全風險，而這種風險可能比傳統治安風險的危害更大。

上海市旅館業治安管理資訊系統内釋出的提示

政協委員：易引起遊客不滿，增加企業經營成本

多年來，郭兵一直研究個人資訊保護法，而他更為公衆熟知的身份是“國内人臉識别第一案”主訴人。據他介紹，2015年，大陸出台的反恐怖主義法第二十一條規定，包括“住宿”在内的等多種業務的經營者、服務提供者，應當對客戶身份進行查驗。對身份不明或者拒絕身份查驗的，不得提供服務。

“這或許是公安部門要求酒店核驗旅客身份的法律依據。”郭兵告訴記者，至于怎麼核驗身份，這部法律并沒有明确規定。在實踐中，最初是人工查驗身份證，随着技術不斷成熟，有了專門查驗身份證的電子裝置。近年來，随着人臉識别技術的發展，人臉識别技術應用在身份核驗領域。

他表示，近年來，人臉識别技術在不斷發展，在公衆日常生活中的應用越來越廣泛，但利用人臉識别技術從事違法犯罪活動的技術也在發展，其所蘊含的安全風險愈加突出。除了對個人的風險外，一旦個人資訊被大規模濫用或洩露，對社會公共利益甚至國家安全可能會帶來重大風險。

今年全國兩會期間，全國政協委員、中國旅遊研究院院長、文旅部資料中心主任戴斌曾送出《關于限制旅遊場景過度使用“人臉識别”的提案》。

戴斌調研發現，幾乎所有省市的飯店、酒店、民宿等旅遊住宿機構都設定了人臉識别系統，除了要出示并由接待人員查驗身份證件，遊客還要到專門的人臉識别裝置前“刷臉”才能入住。

他認為，該措施不僅降低了服務效率，容易引起遊客的不滿和投訴，而且增加了企業的經營成本。

實際上，戴斌在對雲南、北京、廣東等地的酒店企業、旅遊和商務主管部門、基層派出所和地方公安廳局的調研中發現，在酒店加裝人臉識别裝置終端，既沒有明确的法律和行政法規規定，也沒有正式成文的部門規章規定。現在，讓遊客做人臉識别的地方都是按照“告知且同意”的原則實施的，即公安部門告知旅館、酒店、民宿，然後它們也同意，是以就做了。

戴斌建議，公安部及時指導各地公安部門取消遊客入住飯店酒店必須“刷臉”的規定，并召回相關的軟硬體裝置。同時，他還建議，全國人大法工委對政府部門和市場主體“強制刷臉”行為進行專項檢查，對有關制度、規定和标準進行合法性審查。

專家：收益很小，風險卻很大

廣東财經大學法學院教授、中國法學會網絡與資訊法研究會理事姚志偉介紹，人臉資訊屬于生物識别資訊，根據個人資訊保護法的規定，生物識别資訊又屬于敏感個人資訊，一旦洩露或者非法使用，容易導緻自然人的人格尊嚴受到侵害或者使人身、财産安全受到危害的個人資訊。

他表示，采集、使用人臉資訊必須遵循個人資訊保護法規定，隻有在具有特定的目的和充分的必要性，并采取嚴格保護措施的情形下，個人資訊處理者方可處理敏感個人資訊。

在姚志偉看來，酒店采集旅客人臉資訊可能已不符合必要性原則，因為旅客已送出了身份證件，酒店管理人員可以當場人工核驗，出現人證不符的可能性極小。另外，現在的人臉識别技術也無法保證人證資訊絕對準确。

“是以在這個場景下，讓旅客承擔那麼大的風險就沒有必要。”姚志偉說。任何社會管理手段都是收益和風險并存。從目前來看，酒店“強制刷臉”這項手段，收益已經很小，但風險卻很大，已沒有必要再延續。他舉例，現在登入個人銀行賬号，普遍會用到人臉識别，如果人臉資訊在其它管道被洩露、濫用，就會給個人帶來很大的财産安全風險。廣東就曾發生過有幫派專門收集人臉資訊，突破金融系統的安全認證，轉走使用者存款的案件。

酒店取消人臉識别後，會帶來治安安全風險？郭兵認為，這種擔憂大可不必，從現實來看，如果不法分子想鑽酒店身份核驗的空子，他們大機率也不會住正規酒店，即使入住，也會找各種辦法逃避人臉識别這個環節。

一位街道派出所民警也向記者表示，從基層治安角度來看，酒店安裝人臉識别系統，對他們幫助不大，主要是減輕酒店核實旅客身份的工作壓力。現在取消後，酒店從業人員核驗旅客身份的工作量會有所增加。

“取消人臉識别，對我們影響也不大，就是以後要靠我們員工肉眼比對旅客身份證和本人相貌了，稍微吃力。”一位酒店管理人員表示。

郭兵建議，雖然現在有些地方還在要求酒店對旅客“刷臉”，對于普通消費者而言，從個人資訊安全角度出發，應謹慎配合。在日常生活中，應遵循“能少提供個人信心就盡量少提供，不到萬不得已，不提供敏感個人資訊”的原則。

律師：酒店“強制刷臉”或侵犯旅客隐私權

“人臉識别技術屬于人工智能的一個典型應用場景，從某種意義來說，它的安全風險也是人工智能技術應用過程中的安全風險。”郭兵說。

郭兵介紹，2021年8月，根據最高人民法院出台的《關于審理使用人臉識别技術處理個人資訊相關民事案件适用法律若幹問題的規定》要求，資訊處理者處理人臉資訊有下列情形之一的，人民法院應當認定屬于侵害自然人人格權益的行為：在飯店、商場、銀行、車站、機場、體育場館、娛樂場所等經營場所、公共場所違反法律、行政法規的規定使用人臉識别技術進行人臉驗證、辨識或者分析；未公開處理人臉資訊的規則或者未明示處理的目的、方式、範圍。

此外，2023年8月8日，國家網信辦釋出了《人臉識别技術應用安全管理規定（試行）（征求意見稿）》，其中依據個人資訊保護法要求，明确隻有在具有“特定的目的”和充分的必要性，并采取嚴格保護措施的情形下，方可使用人臉識别技術處理人臉資訊，還提出了“實作相同目的或者達到同等業務要求，應當優先選擇非生物特征識别技術方案”。其中第九條拟要求，在飯店、銀行、車站、機場、體育場館、展覽館、博物館、美術館、圖書館等經營場所，除法律、行政法規規定應當使用人臉識别技術驗證個人身份的，不得以辦理業務、提升服務品質等為由強制、誤導、欺詐、脅迫個人接受人臉識别技術驗證個人身份。

作為消費者權益保護法的第一部配套行政法規——《中華人民共和國消費者權益保護法實施條例》（以下簡稱《條例》），自2024年7月1日起施行。該《條例》第23條指出，經營者在提供商品或服務時，不得過度收集消費者個人資訊，不得采用一次概括授權、預設授權等方式，強制或者變相強制消費者同意收集、使用與經營活動無直接關系的個人資訊。

北京市京都律師事務所陳賽男律師表示，随着大陸個人資訊保護制度不斷完善，酒店強制旅客“刷臉”的行為存在侵犯旅客隐私權和洩露個人資訊的風險。另外，《人臉識别技術應用安全管理規定（試行）（征求意見稿）》和《消費者權益保護法實施條例》即将出台，這又進一步強調了個人資訊保護的重要性，要求在沒有充分必要性和保護措施的情況下，不得使用人臉識别技術，并且要求優先考慮非生物特征識别技術，這兩個原因可能是推動一些地方取消“強制刷臉”的部分因素。

郭兵認為，這些已出台、尚未出台和實施的法規，足以對酒店“強制刷臉”的行為進行規範。由于酒店“強制刷臉”已有多年，目前讓酒店自身依據這些規定取消刷臉要求，可能短期内比較難實作，因為所有地方不一定都像上海等地一樣，具有明确内部要求，并且積極推動落實這些要求。