近日，“多地取消入住酒店强制刷脸”的新闻引发热议。据媒体报道，北京、上海、广州、湖北宜昌、珠海等地入住酒店已不再要求“强制刷脸”，只在肉眼无法确定身份证照片和本人相符时，才需要人脸识别核对【1】。那么，让这些地方的酒店告别“刷脸”入住时代的原因何在？“刷脸”入住这一行政管理要求的源头又是从何而来？

现行有效的旅馆业治安管理行政法规，有“旅馆接待旅客住宿必须登记。登记时，应当查验旅客的身份证件，按规定的项目如实登记”这一规定，正是有了“查验”二字，公安机关出于治安管理的需要，要求当地酒店、旅馆核验旅客的真实身份，在现有旅馆业管理系统中增设⼈脸识别功能，充分应用该功能办理实名登记【2】，有些地方公安还对酒店、旅馆的人脸识别系统的安装、应用情况进行打分【3】。查验身份本身并没有错，公安机关为了保障群众的公共安全，要求酒店实施此措施也是为了加强和规范旅馆业治安管理的需要，然而，查验身份证件就等同于人脸识别吗？细究上述行政法规，其实并没有如此明确规定。

现行有效的《个人信息保护法》（“个保法”），和有关个人信息保护的其他相关法律法规及国家标准明确，人脸识别作为一种生物识别信息，已被分类为敏感个人信息，对该等信息的收集、处理、存储、使用等各个环节都需要遵守严格合规标准。比如，酒店方在“刷脸”前应获得单独同意，告知收集处理目的等一系列保护措施，而不能仅打着治安管理需要这一令箭，一刀切强制要求住店旅客“刷脸”。旅馆业治安管理的相关行政法规在实施之初，尚不具备人脸识别核验身份的技术条件，技术应用形成于相关行政法规之后，个保法亦于2021年11月1日才正式实施，但从“法无授权不可为”的行政法基本原则来看，在法律没有明确授权的情况下，如果允许酒店等公众场所不经个人同意，擅自大量采集人脸信息理应禁止。

虽然入住酒店既要刷证又要刷脸这一不成文的操作由来已久，甚至已成为一种习惯性规定，但实际上在我国颁布实施个保法后，刷脸入住酒店的“强制性”规定与个保法的要求产生了一定的冲突，一些地方公安机关也意识到了这一行政管理手段所存在的问题，因此在严格落实旅馆业查验身份的实名登记制度的同时，也开始考虑群众办理酒店住宿登记时对个人信息的保护，和对隐私权的保护。

如前所述，人脸识别信息作为一种生物识别信息，被分类为敏感个人信息，对此，区别于一般个人信息，处理该等信息将有更高标准的合规要求，具体包括：

（一）合法性

根据《个保法》相关规定，处理敏感个人信息应当遵循“告知—同意”的原则，取得个人的单独同意。虽然该法没有具体明确何为“单独同意”，但有关个人信息处理的一些国家标准对“单独同意”的实现方式作出了释义：

 首先，为了确保“单独同意”的有效性，应采取增强告知和明示同意的方式。在个人作出单独同意之前，应当明确告知处理人脸信息的规则、明示处理目的、方式、保存期限和范围【包括个人信息处理者的名称和联系方式；个人权利（如查阅、复制、更正、补充其个人信息，请求删除个人信息，撤回授权同意）的方式和程序；处理的必要性；以及对个人权益的影响等】，专门向个人充分说明相关事项。同时，单独同意必须以明示同意的方式获得，任何提前预选或默示同意或受到干预所作出的同意都不构成单独同意。

其次，对于需要“单独同意”的特定业务功能，如法律或行政法规有特别规定，还应满足可能的书面同意要求（纸质或电子形式），供个人对多个需要单独同意的事项进行自由选择。

最后，“单独同意”相对于“一揽子同意”而言，所针对的敏感个人信息处理活动必须具有具体且独立的目的，不得与其他处理活动相捆绑或混淆在隐私政策等通用个人信息处理同意事项中。

（二）正当性

根据《个保法》及使用人脸识别技术处理个人信息的相关司法解释规定，收集、处理、存储、使用个人信息目的应正当且明确，不得通过误导、欺诈、胁迫等方式处理个人信息；不得与其他授权捆绑等方式要求自然人同意处理其人脸信息、不得强迫或者变相强迫自然人同意处理其人脸信息等。

因此，为了保证个人能够自由且明确表达同意与否，人脸信息收集的同意机制在设置时应当留有“取消同意”这一选项，以免损害个人用户的自主选择权。

（三）最小必要性

从《个保法》规定可见，处理个人信息应当属于提供产品或者服务所必需。又根据相关司法解释规定，“物业服务企业或者其他建筑物管理人不得以人脸识别作为业主或者物业使用人出入物业服务区域的唯一验证方式”。

此外，“必要性”更重要的意义体现在对个人信息的处理行为的限制，即收集个人信息，特别是敏感个人信息需要告知必要性和对个人的影响，应当限于“实现处理目的的最小范围、对个人权益的最小影响，不得过度收集与提供产品或服务无关的个人信息”。

可见，个保法对于敏感个人信息的保护要求还是比较高的，需要同时满足合法性、正当性、最小必要性这三性原则。从对旅馆业的监管和治安管理角度来看，虽然查验身份的合法性、正当性、必要性存在，但在目前的立法趋势下，还要评判人脸识别是否实现了处理目的的最小范围？人脸识别是否为查验身份的唯一方式？只有在无法提供其他查验身份的选项和替代方式的前提下，通过人脸识别技术核验个人身份，才做到了既满足行政管理需要又满足个保法对个人信息收集的要求。