近日已有旅客反馈在入住上海和杭州等地的酒店时，无需再强制“刷脸”。上海市公安局工作人员确认，目前上海已在全市严禁酒店强制刷脸。事实上，除上海之外，国内已有多地实施此项政策。
从法律而言，那些认为旅馆和酒店有权进行人脸识别的典型意见其实都无法证立。在入住宾馆酒店、进入旅游景点、甚至观看演出赛事、乃至进入自己的小区都需要刷脸的规定，在很大程度上反映出人脸识别技术适用的极度泛化。这种对个人信息的精准化和大规模收集，虽然带来管理的极大高效，但也不可避免地带有个人信息泄露乃至被数据监控和数据操纵的极大风险。
目前相关法律对人脸信息的收集和适用的规定都较为粗疏。国家网信办去年8月发布《人脸识别技术应用安全管理规定（试行）（征求意见稿）》。该《规定》对人脸识别技术应用的门槛、设备安装到图像采集、数据的处理、存储、提供、删除以及技术应用的准度、精度到置信度阈值、技术适用者或服务提供者的责任都做了有针对性的规定。若从这一尚未生效的规定来看，现阶段酒店宾馆在无法律、行政法规的授权，且无法确保数据安全，也无法证明信息收集符合“充分必要”的前提下，大规模地、普遍性地收集人脸信息的确既缺乏法律依据，也会造成数据泄露和数据操控的风险。而未来伴随上述《规定》的生效颁行，酒店宾馆在适用人脸识别技术上也需符合更严格的实体和程序要求，由此才可防范技术风险。
技术的发展无疑会带来社会治理和政府监管的极大赋能，但其同样也伴有巨大的、甚至是不可控的风险。法律所要做的是尽力平衡可能的收益和风险，避免新兴技术反而成为压制个人自由甚至吞噬个人主体的工具。没有人愿意活在他人无时不在的窥视之下，也没有人愿意成为他人数据操纵的对象，为避免这种危险的发生，强制性收集包括人脸在内的敏感个人信息就需要受到法律更严苛的规制。
（作者系中国政法大学法学院教授）
