入住酒店，你被“强制刷脸”了吗？

刘雪云

近日，上海市旅馆业治安管理信息系统发布通知和提示，严禁对已出示本人有效身份证件的旅客进行“强制刷脸”核验、严禁发生不“刷脸”不能入住问题。“多地酒店不再要求‘强制刷脸”这一话题引发热议。

多地取消“强制”刷脸

记者在采访中了解到，国内多地酒店近期已经开始调整“强制刷脸”入住的规定。北京、深圳、杭州、苏州等地多家酒店明确不再要求“强制刷脸”，只需登记身份证即可入住。

今年全国两会期间，全国政协委员、中国旅游研究院院长戴斌提交了《关于限制旅游场景过度使用“人脸识别”的提案》。戴斌调研发现，几乎所有省市的宾馆、酒店等旅游住所都设置了人脸识别系统，游客除出示身份证件还要“刷脸”。同时，他发现并没有明确的法律和行政法规规定，也没有正式成文的部门规章规定提到能够在酒店加装人脸识别设备终端。

“《中华人民共和国反恐怖主义法》中部分规定提到，住宿、长途客运、机动车租赁等业务经营者、服务提供者未按规定对客户身份进行查验的将进行罚款。但法律当中没有明确必须要采取人脸识别的方式对入住者进行身份核实。所以在很长一段时间里，酒店等场合的人脸识别技术使用是没有直接法律依据的，甚至可以说是过度收集了我们的个人敏感信息。”浙江理工大学数据法治研究院副院长郭兵告诉《中国报道》记者。

“人脸识别”用来进行身份认证已多年，现在重申取消“强制刷脸”，还能起到什么样的现实作用？

中国政法大学数据法治研究院助理教授、数字社会治理研究院研究员张涛对《中国报道》记者表示，再次强调取消“强制刷脸”，一是从源头上遏制人脸信息的过度收集；二是为了更好地遵守个人信息保护法的规定；三是一定程度上可以减少酒店自身的运营成本，有助于跨境旅游业的发展。

方女士上周刚从上海出差回来，她告诉记者，自己所入住的酒店仍需进行刷脸认证。记者致电北京、杭州等热门景点附近的各级酒店，得到的回答也并不统一。例如北京王府井锦江之星酒店的前台工作人员就表示还需要进行相应的信息录入，但消费者可以选择不刷脸。

“现在上海等地采取的禁止‘强制刷脸，也并未有统一的要求。”郭兵说。

在张涛看来，长期以来大家习惯了刷脸行为，当前酒店取消“强制刷脸”，短时间内一部分人会对酒店的安全管理产生担心。此外，不同地区不同酒店在执行类似要求时也很难做到整齐划一。与此同时，技术对接方面也需要考虑，后续可能涉及技术改造和设备更新等问题。

边界与透明是关键

近年来，有关“人脸识别”问题的案件层出不穷。2020年，清华大学法学院教授劳东燕拒绝小区使用人脸识别作为门禁方式引发网络关注；2021年央视3·15晚会曝光了许多国际品牌在未经消费者同意的情况下，利用人脸识别摄像头获取消费者人脸信息及相关数据。2021年，依托清华大学人工智能研究院成立的瑞莱智慧团队利用人脸识别技术的漏洞，15分钟内解锁了19个陌生智能国产手机……

人们对个人信息保护的担忧从未停止，甚至从“人脸识别技术是否安全”转变为“人脸识别数据的保存和使用是否安全”。

“除酒店外，目前还有很多地方仍在使用‘刷脸。从个人信息处理规则角度看，并非要对‘人脸识别一禁了之，而是要求使用此项技术时要符合个人信息保护的一般要求，即最基础的告知同意。即便如此，‘变相强迫的问题仍十分普遍，也并没有得到有效的规制。”郭兵说。

刷脸的特殊性在于它被广泛应用于社会主体不同身份的认证和行为识别场景。北京大学法学院副教授胡凌在相关研究中指出，刷脸技术的使用首先要服从制度的目标，也就是流动性的社会和法律治理，而人脸具有普遍性、真实性和唯一性，可以作为成本较低的一种生物信息标识符。基于公共安全而设置的刷脸超越了私法意义的个人信息使用的“知情同意”原则，但仍需要在形式上告知展示。

银行认证、刷脸支付……刷脸技术正取代不同的账号信息，被相当广泛地在公共领域和私人领域中使用，这也造成公共和私人用于认证身份的人脸信息可能被混同。“个人信息保护法有相关规定提到出于公共安全可以使用人脸识别等技术，但是不能为了商业利益也同样去使用。”郭兵表示。

提升人脸识别技术使用过程的透明性是关键。受访专家们均表示，目前相关机构在使用人脸识别技术时，几乎并未向社会公众披露使用相关技术的方式目的，以及后续数据存储与处理的具体流程。

郭兵向记者表示，作为一名研究者，哪怕他自身已经经历了多次个人身份核验、人脸识别，但他仍然不知道这些技术是由谁提供的，应用技术的这些机构是否采取了足够的安全保障措施，有没有进行相应的影响评估等。“这些都是之后我们可以进一步去推动的空间。”

“相关部门需要增强公众对于技术本身运行理解的透明性，从而提升公众的信任感，当然监管也是十分重要的。”张涛告诉《中国报道》记者，个人信息保护领域要建立一个相对独立的监管机构，来行使个人信息保护的监管职责。对于公权力机关或者是私营部门使用人脸识别技术的情况进行一体的监督，这样才能够保证技术能够在合法的边界里面去运行。”

加强信息保护是一项系统性工程

2019年，郭兵因杭州野生动物世界强制刷脸入园而将动物园告上了法庭，此案当时被媒体称作中国“人脸识别第一案”。但当年该案的判决仅要求野生动物世界删除收集的郭兵个人人脸识别信息，并未触及人脸识别技术的使用边界、人脸信息的处理规范等核心问题，也未对景区强制年卡游客刷脸的问题进行调整。

5年过去了，谈起人脸识别问题，郭兵表示，对于个人信息保护而言，普通个人想通过司法或者法院起诉进行维权的难度很大。2019年的案件，他第一时间希望检察机关能够通过公益诉讼的方式介入，但当时我国有关个人信息保护的法律还没有制定，也没有非常明确的支持个人信息保护的公益诉讼制度。

如今，有关个人信息保护的法律依据与公益诉讼制度已经非常充分。《中华人民共和国个人信息保护法》自2021年11月1日起已经正式施行。2023年8月国家网信办公开征求关于《人脸识别技术应用安全管理规定（试行）（征求意见稿）》的意见。

2023年7月6日，大连，2023中国国际数字和软件服务交易会开幕。中国移动人脸识别客流客群分析。

2023年，广州互联网法院公布了一起买卖公民个人信息案件，涉案人员利用人工智能将人脸照片生成视频，伪造人脸识别认证，以此非法牟利。在追究涉案人员刑事责任之外，检察机关以4名被告人的行为侵害社会公共利益为由，依法向法院提起个人信息保护民事公益诉讼。

郭兵坦言，对于没有法律基础的普通大众来说，向检察机关等公权力部门寻求帮助虽然是比较好的方式，但公益诉讼本身也有一定的难度，对于法律基础的要求依然很高，公众自身还是要敢于对不合理的要求提出异议。“我国的个人信息保护法已经实施两年多，相关的普及宣传也越来越多。不论是政府还是企业，如果公众提出关于个人信息保护的质疑，他们也都会以比较慎重的态度对待。”

人工智能技术的飞速发展加速了大众对于“人脸识别”信息泄露的担忧与恐惧，深度伪造、AI换脸造成的诈骗不断发生。张涛表示，当前技术发展十分迅速，相关法律法规却相对滞后，涉及信息泄露与倒卖的黑灰产业链条也在变得越来越复杂，监管的难度越来越大，这也解释了虽然有关个人信息保护的法规和措施在不断强化，但个人信息泄露的事件仍在发生。

“加强个人信息保护是一个系统性工程。一是法律法规仍是必要手段，要树立‘规制技术的理念。通过立法宣示国家态度，同时可以通过国际合作打击一些黑灰产业链的野蛮生长。二是可以利用技术增强隐私保护，用技术规制技术。三是要加强执法的力度和强度，加强信息保护宣传。只有这样，才可能为公众构建一个较为安全的信息环境，让大家在数字社会也能够有尊严地生活。”张涛说。