去年6月施行的《人脸识别技术应用安全管理办法》明确禁止将人脸识别作为唯一验证方式。然而，南都记者接到市民意见后，对国内20家热门景区的年卡办理及入园环节实测发现，不少景区在年卡办理和入园环节仍将“刷脸”设为必选项，且对人脸信息的处理去向告知模糊。
在当下智慧旅游与智慧景区建设中，实名制是关键一环，人脸识别技术的应用更在其中扮演着重要角色。文旅行业进入“刷脸时代”，在提升数据分析能力、助力景区智慧发展时，如何有效保护个人信息，成为业界关注的热点。专家分析称，目前在人脸信息处理方面，景区存在主体责任压实不足、业务与合规融合不够，标准落地能力不均等问题，需要多方协同共治，从技术、管理、制度和合规等维度进行综合施策。
景区年卡强制“刷脸” 或增加数据泄露和滥用风险
不少景区为何将“刷脸”设为年卡用户办卡或入园的“必选项”？多家景区在其年卡购买页面或激活流程表示，采集年卡用户的人脸信息是为了落实实名制，确保年卡是由持卡人本人使用。
北京第二外国语学院文化旅游政策法规中心副主任王天星接受南方都市报采访称，实名制购票是国内各大热门景区和景点、文化演出等领域广泛采用的票务管理手段，尤其对于有效期长、可多次使用的年卡产品，人脸识别技术能有效打击黄牛囤票、炒票、年卡转借冒用等行为，同时大幅提升游客入园效率、优化现场客流管控秩序。
他进一步指出，景区票务落实实名制还具有一定的制度基础。《中华人民共和国旅游法》第四十一条规定，旅游经营者应当保障旅游者的人身、财产安全。由此，在涉大型活动或高风险活动的旅游景区中，实名制有助于安全管理，具有合理性。同时，文旅部等部门在实践中推动景区实名预约制度，也属于行业规范延伸。
当前文旅领域虽有《文化和旅游部关于推动在线旅游市场高质量发展的意见》等政策强调个人信息保护，但对人脸识别的细化规范仍在完善之中。《人脸识别技术应用安全管理办法》的施行，进一步确立了“最小必要”“知情同意”等原则。总体来看，法律支持实名制，但对“强制刷脸”持审慎甚至限制态度。因此，实名制并不必然要求采集人脸信息。
在王天星看来，不少景区仍坚持“刷脸唯一”，一方面是出于技术路径依赖和成本考量，另一方面也反映出部分经营者对合规风险认识不足。
华南师范大学旅游管理学院学术委员会主任李军教授则进一步提醒，景区大多并非专业数据处理与安全保护机构，强制采集或存储游客人脸这类敏感生物信息，不仅会增加数据泄露和滥用的风险，更模糊了安全防护与隐私侵犯的边界。这也折射出部分景区在拥抱新技术时，其数据治理能力与法律意识并未同步跟上，存在“重收集、轻保护”的粗放倾向。
行业早有规范呼吁 但合规安全存在多重难点
事实上，强制“刷脸”问题也早已引发文旅行业的关注。早在2024年全国两会期间，全国政协委员、中国旅游研究院院长戴斌就曾明确建言，限制旅游场景人脸识别技术过度采集。针对景区等各类旅游流量入口和消费场景安装人脸识别终端现象越发普遍，且强制使用的场合越来越多，他建议进一步对度假区、主题公园的类似情况进行专项调查。“要最大限度地把方便让给游客，最大限度地把经营管理的自主权交给企业。”戴斌说。
同样在2024年，中国信通院人工智能研究所安全治理部副主任呼娜英牵头面向文旅场馆，开展覆盖应用目的、管理制度、合规处理、安全保障、个人权益保护五大维度、四十项要点的体系化测评与专项治理工作。测评中，她发现当时文旅行业人脸识别应用已暴露出行业共性合规短板：告知同意不规范、第三方委托管理不严格、传输安全存在薄弱环节、最小必要原则落实不到位、制度与评估闭环不完善等。两年过去，随着《人脸识别技术应用安全管理办法》正式施行，监管红线持续收紧，但上述行业顽疾仍未得到有效根治，文旅行业亟须加强人脸安全合规治理。
一边是日益收紧的法律与监管要求，一边是屡禁不止的强制“刷脸”问题，文旅行业人脸识别的合规落地卡在了哪里？呼娜英坦言，当前行业落地的核心难点集中在三个方面：一是主体责任压实不足，部分景区将合规责任简单转嫁给第三方，未履行人脸信息处理者法定责任。二是业务与合规融合不够，便捷入园、票务管控等需求与全生命周期安全合规要求脱节。三是标准落地能力不均，中小景区在制度建设、技术防护、备案与测评等方面能力差距较大。王天星进一步补充道，目前文旅行业标准尚未完全统一，这也导致落地执行的尺度不一。
加强个人信息保护成行业焦点 专家建议景区规范第三方委托处理
随着人工智能、大数据等新技术新应用的发展和普及，智慧旅游已经成为文旅行业发展的主流趋势，智慧景区建设也成为引领旅游业创新发展的重要方向。与此同时，如何在数字化、智能化转型中筑牢个人信息保护防线，推动旅游高质量发展，成为文旅行业必须破解的核心命题。
近年来，国家层面已多次发文强调加强旅游领域个人信息保护。2023年出台的《文化和旅游部关于推动在线旅游市场高质量发展的意见》强调，加强旅游者个人敏感信息保护，防止超出合理经营需要收集旅游者个人信息。2024年5月，文旅部、中央网信办等部门印发《智慧旅游创新发展行动计划》，明确提出做好数据安全工作。贯彻落实国家网络安全等级保护制度，加强旅游数据分级分类管理，强化旅游数据收集、传输、存储、共享、使用、销毁等全生命周期安全管控，防止数据丢失、毁损、泄露和篡改。定期开展安全风险和隐患排查，增强数据安全应急处置能力。加强旅游领域用户个人信息和个人隐私保护。2025年9月，《国务院办公厅关于进一步加强旅游市场综合监管的通知》指出，督促在线旅游平台与旅游经营者加强个人信息保护。
专家认为，破解景区强制“刷脸”乱象，加强游客个人信息保护，需要多方协同共治，应从技术、管理、制度和合规等维度综合施策。
呼娜英结合行业测评实践，建议景区要规范第三方委托处理，压实全链条安全责任。公共场所人脸识别应用方委托第三方处理人脸信息，必须签订书面委托协议，明确处理目的、期限、方式、安全保护措施、监督权限与违约责任。公共场所人脸识别应用方作为处理主体，必须对人脸闸机、平台等受托方开展安全能力核验，实施有效监督，不得“以包代管”。涉及政务外网、第三方支付等接口调用的，须满足对跨网传输、接口安全、委托审计的要求。
强化全链路技术安全是关键，需要满足传输、访问、审计强制性标准。在行业标准中，建议人脸信息在采集、传输、使用全流程须加密传输、身份认证、通道安全，严禁明文传输。落实访问最小授权、操作可追溯、日志防篡改、安全审计，满足网络安全等级保护要求。测评显示，传输不加密、接口无认证、日志不可查是最常见漏洞。
此外，景区还要健全制度闭环，全面保障个人信息主体权利。按法律规范要求，设立个人信息保护负责人，完善内部制度、操作规范、应急预案；按规定开展个人信息保护影响评估（PIA）与合规审计。
李军则从监管治理层面提出，规范旅游场景下的实名制与新技术应用，关键在于构建“制度刚性约束、技术伦理先行、多方协同共治”的治理框架。应推出有关行业人脸识别技术应用的“正面清单”，强化企业合规指导；明确最低必要原则及必须提供替代方案的强制要求。更重要的是，监管应推动建立“数据分类与目的限定”的行业标准，区分身份核验与客流分析等不同场景，要求数据分析必须在去标识化或匿名化处理后进行，且分析结果不得用于识别特定个人。最后，通过强化企业主体责任、引入第三方认证、畅通公众投诉与监督渠道，形成持续的压力测试与纠偏机制，让智慧发展行驶在合法、合情、合理的轨道上。
出品：南都大数据研究院
采写：南都研究员 谢小清
热门跟贴