出示身份證件，再面對攝像頭進行人臉識別，已成為過去幾年人們入住國內酒店的標準流程。近日，北京、上海、深圳等城市的酒店取消「強制刷臉」，引發熱議。
  4月27日，《中國新聞週刊》致電國內多個城市的酒店，北京、秦皇島、武漢等地的部分酒店表示，目前入住不需要強制人臉識別，如果顧客未帶身份證，只需現場掃碼，填寫電子身份證資訊驗證即可。但鄭州、南京、青島等地的一些酒店，目前仍未收到取消「強制刷臉」的通知。
  中國人民大學法學院教授、民商事法律科學研究中心執行主任石佳友向《中國新聞週刊》提到，強制要求旅客入住酒店時進行人臉識別，並沒有直接的法律依據。人臉識別技術濫用的風險已被探討多年，近幾年全國兩會代表和委員也多次呼籲加強人臉識別安全監管。在石佳友看來，取消酒店「強制刷臉」，即便目前只局限在部分城市，仍是個人資訊保護領域的一次重要進步。
  酒店「強制刷臉」沒有法律依據
  4月下旬，浙江理工大學數據法治研究院副院長郭兵到上海開會，入住酒店時，他敏銳地注意到，前臺工作人員只查驗了身份證，並未要求他「刷臉」。「我當時很納悶，以為是會務組預定的原因。」郭兵說。他長期研究個人資訊保護的法律問題，更為人熟知的身份，是「國內人臉識別第一案」主訴人。2019年，他因不滿杭州野生動物世界有限公司強制入園遊客「刷臉」，將其告上法庭，最終勝訴。
  根據上海市旅館業管理系統的公告欄，4月7月，上海市公安局治安總隊、出入境管理局發佈通知，要求當地旅館業在住宿登記問詢流程中，必須經過旅客同意，才能採集人臉資訊。4月12日，該系統再次發佈《溫馨提示》，嚴禁上海的旅館業對已出示本人有效身份證件的旅客進行「強制刷臉」核驗，嚴禁發生不「刷臉」不能入住問題等。有媒體從上海市公安工作人員處獲悉，上海在2023年就已開展嚴禁酒店「強制刷臉」的專項工作部署，近期又開始重申和強調。
  4月27日，《中國新聞週刊》致電北京、秦皇島、南京、重慶等多地的部分酒店，工作人員均表示，近兩個月內，酒店相繼收到屬地派出所通知，不用強制讓旅客「刷臉」，入住效率得到提升。秦皇島一家五星級酒店前臺工作人員向《中國新聞週刊》介紹，當地公安部門為了監督酒店、賓館是否按規定登記、上傳、如實錄入旅客資訊，同時核驗入住旅客的資訊資料，要求當地所有酒店、旅館使用公安部門統一管理的旅館業治安資訊管理系統。大約今年春節過後，該系統進行了更新，不再要求旅客強制人臉識別。北京朝陽區一家連鎖酒店的前臺提到，如果顧客未帶身份證，可以在現場掃碼，填寫電子身份證資訊，向屬地派出所登記報備即可。
  受訪專家提到，酒店是人臉識別技術濫用時間最久的場景之一。今年全國兩會期間，全國政協委員、中國旅遊研究院院長戴斌曾提交《關於限制旅遊場景過度使用「人臉識別」的提案》。他通過對雲南、廣東、北京等地的酒店企業、旅遊和商務主管部門、基層派出所和地方公安廳局的調研發現，酒店加裝人臉識別設備終端，沒有明確法律和行政法規規定，也沒有正式成文的部門規章規定。讓遊客做人臉識別的地方，都是按照「告知且同意」的原則實施的，即公安部門告知旅館、酒店、民宿，然後後者也同意，所以就做了。
  石佳友向《中國新聞週刊》介紹，《旅館業治安管理辦法》和《反恐怖主義法》都提到，旅館等住宿服務提供者，應當查驗旅客的身份證件，確保人證一致，但現行規章中並沒有提到必須要人臉識別。近些年，該技術在全國各地的酒店推廣，一方面，是因為人臉識別技術方便，且準確度更高；另一方面，相關技術公司出於商業化考慮，積極推行人臉識別的設備。
  過去幾年，郭兵注意到，一些高檔或大型連鎖酒店，會購置看上去更專業的人臉識別設備，系統會依據《個人資訊保護法》等要求，讓旅客事先勾選是否同意採集人臉資訊，「但從法律角度上看，這只是設備商為了避免承擔連帶責任的操作，顧客實際上沒有選擇權，並非真正的同意」。
  在郭兵看來，更大的安全隱患在於，酒店的人臉識別設備是不透明的。他入住酒店時，常常會詢問工作人員，「但很多工作人員答不上來這些設備是誰提供的」。據他瞭解，一些中小酒店為了節約成本，可能會和小型人臉識別技術服務提供商合作，「他們使用的人臉識別技術，我們不知道從哪里來，更不知道酒店有沒有安全保障措施」。
  郭兵分析，此前酒店使用人臉識別，更多是為了保障傳統的社會安全，近期多地開始取消「強制刷臉」，或是國家相關部門逐漸關注到，人臉識別技術潛在的安全風險，比傳統的安全風險危害更大。「在新形勢下，取消不合理的人臉識別應用有很大的緊迫性，否則，人臉資訊洩露後，我們應對新型電信網絡詐騙的挑戰將越來越大。」
  人臉資訊具有唯一性和不可更改性，是最敏感的個人資訊之一。世輝律師事務所合夥人、律師王新銳向《中國新聞週刊》提到，社會對人臉識別技術風險的認知，需要經歷一個過程。早期，大家更關注技術的優點，但近年來，生成式人工智慧快速發展，放大了人臉數據洩露帶來的風險。
  「只需要一張人臉照片，再加上一小段音頻，就可以惟妙惟肖地複刻一個人的數字形象。我見過許多例子，肉眼幾乎看不出區別。這些潛在的技術風險，會使得採用技術的收益比發生變化。」王新銳舉例，2023年4月，重慶市石油路派出所曾抓獲3名嫌疑人，他們在網上購買一批醫生的敏感個人資訊，並通過網路查找到醫生的照片，利用AI換臉技術，製作出醫保平臺所需的動態人臉識別視頻，通過平臺實名認證，盜刷醫生的醫保卡。
  有網友擔心，酒店取消強制人臉識別後，是否會增加治安風險？在郭兵看來，這一擔憂大可不必。公安部門有一套成熟的身份證查驗系統。取消強制人臉識別後，酒店工作人員用肉眼對比人證是否一致，難度可能會增加，但即便是人臉識別技術，準確度也不可能達到100%。更關鍵的是，從事違法犯罪活動的人占極少數，這些人會採用各種方式逃避真實身份的核驗，最終反而讓遵紀守法的人交出了人臉資訊，承擔更大風險。
  需在更多場景下明確「刷臉」邊界
  4月25日，郭兵因參加學術會議入住杭州一家五星級連鎖酒店時，仍被要求人臉識別。該酒店工作人員明確表示，並未收到通知取消「強制刷臉」。在郭兵的爭取下，工作人員最終放棄了「刷臉」，只查驗了他的身份證便可入住。
  《中國新聞週刊》注意到，青島、鄭州等地的一些酒店均沒有取消「強制刷臉」，青島黃島區的一家酒店前臺稱，屬地派出所近期甚至提升了監管力度。同一城市的不同地區，酒店接到的要求也不同。南京鼓樓區的一家中高端連鎖酒店前臺向《中國新聞週刊》表示，目前旅客入住仍需「刷臉」，但玄武區的一家酒店表示，已經接到轄區派出所取消「刷臉」的通知。武漢、重慶等地的部分酒店雖未接到通知，但工作人員稱，因上海等地出臺新規，如有旅客拒絕「刷臉」，前臺會尊重其意願，只查驗身份證。
  石佳友認為，酒店取消強制人臉識別，是政府真正落實依法行政的體現，而且有助於優化營商環境。他建議各地公安和文旅部門儘早取消酒店強制人臉識別。目前，多是地方文旅和公安部門內部發佈通知，更關鍵的是，公安部和文旅部作為旅館業的兩大監管部門，應發佈全國性政策檔，確保各地有統一的政策，避免損害法治的統一性和嚴肅性。
  除了旅館業，人臉識別技術已在許多場景廣泛應用。去年，戴斌曾進行三個半月的調研，發現度假區、滑雪場、索道、主題公園、博物館、圖書館等旅遊流量入口和消費場景安裝人臉識別終端也已是普遍現象，強制使用的場合也越來越多。
  近年來，相關法律法規不斷明確人臉識別技術的使用邊界。2021年8月，最高人民法院出臺《關於審理使用人臉識別技術處理個人資訊相關民事案件適用法律若干問題的規定》，其中提到，在賓館、商場、銀行、車站、機場、體育場館等經營場所、公共場所，資訊處理者違反法律、行政法規的規定，使用人臉識別技術進行人臉驗證、辨識或者分析，應被認定屬於侵害自然人人格權益。一個月後，《中華人民共和國個人資訊保護法》（以下簡稱《個人資訊保護法》）出臺，明確不能過度收集個人資訊。
  2023年8月，國家網信辦起草《人臉識別技術應用安全管理規定（試行）（徵求意見稿）》，提出「只有在具有特定的目的和充分的必要性，並採取嚴格保護措施的情形下，方可使用人臉識別技術處理人臉資訊」。多位專家指出，該規定雖是徵求意見稿，但對外釋放了明確的政策導向。石佳友解釋，所謂「充分的必要性」，主要是根據《反恐怖主義法》規定，為維護國家安全、公共安全，或在緊急情況下保護自然人生命健康與財產安全時，可以使用人臉識別。一般的應用場景，比如商場、社區、學校、地鐵，甚至一些手機App，都沒有必要強制使用人臉識別技術。
  郭兵補充道，人臉識別技術應用的另一個邊界是尊重個人意願，即個人在知情的前提下，能自己決定是否使用該技術。「如果一些人知道它有風險，還願意選擇『刷臉』，這是可以的。但如果對方對人臉識別有顧慮，經營者或服務提供方應當給出其他核驗身份的方式。」郭兵提到，近期上海出臺的住宿登記問詢流程，並非「一刀切」取消人臉識別，而是強調尊重旅客意願。
  石佳友認為，除了旅館業，其他應用場景的相關機構和企業，應對照有關法律要求，自行糾正過去不合規的做法，「誰主管，誰來發佈規範要求」。
  據報導，國內許多酒店已撤掉人臉識別設備，或用紙蓋住攝像頭。但取消強制人臉識別，並非拿掉設備這麼簡單。鄭州一家連鎖酒店前臺向《中國新聞週刊》提到，酒店採集旅客的人臉資訊，只是將其與公安系統的人臉數據對照，不會保存。但一位受訪專家坦言，這些人臉識別的應用並不透明，「我們很願意相信酒店，但事實上我們對此一無所知」。此外，在學校、物業、手機軟體等其他應用場景下，收集的人臉資訊明確會被上傳至資料庫，數據是否被完善保護，也存在隱患。
  在王新銳看來，這些數據「就像堰塞湖，一旦決口後果嚴重」，不強制收集人臉資訊後，個人資訊的風險不會自動解除。《個人資訊保護法》明確提到，「處理目的已實現、無法實現或者為實現處理目的不再必要」時，個人資訊處理者應當主動刪除個人資訊；個人資訊處理者未刪除的，個人有權請求刪除。多位專家提醒，未來，當更多場景不再「強制刷臉」時，相關機構需按規定刪除和銷毀數據。
  （楊智傑／文）