黄辉 曹莹

某地曾出现过这样的报道：数十名业主的人脸信息泄露，被不法分子通过该地网上政务平台的人脸识别完成认证，名下房产被过户给他人或被用于抵押贷款，损失总额高达数千万元。

由此我们想到，数字化手段在旅游业中应用越来越广泛，人脸识别在全国各地众多景区、景点中成为标配，上海也并不例外，一些景区通过售票系统、景区官网、OTA等渠道，收集消费者脸部信息，再通过静态识别技术扫描人脸，实现对游客的确认。

数字化技术手段的运用方便了景区、景点的票务管理、入口闸机的使用，便捷了游客的出行。

从另一角度，它忽视了对数据的清洗、更忽略了数据安全技术的运用。例如，数据加密、数据备份、数据恢复、设备维护等保障数据安全性和唯一性等方面内容。人脸信息的收集和使用中存在的安全风险，也成为消费者、游客信息泄露的巨大隐患。

近年颁布的《中华人民共和国个人信息保护法》对人脸识别的信息收集专门做出了规定，在公共场所安装图像采集、个人身份识别设备，应当为维护公共安全所必需，遵守国家有关规定，并设置显著的提示标识。所收集的个人图像、身份识别信息只能用于维护公共安全的目的，不得用于其他目的；取得个人单独同意的除外。

基于此，为了降低游客个人信息泄露的风险，景区景点应当加强数据管理。

我们建议，景区景点首先应当通过在官方网站、App以及景区、景点出入口等游客必经区域告知栏、公告牌等线上线下方式，在个人信息收集之前，明确告知游客，人脸识别场所需要明确告知消费者关于使用人脸识别的目的和范围，以及收集、存储和保护个人隐私保护措施。

景区景点还应当完善授权程序，通过签署书面协议或其他合法形式，让消费者在授权的情况下使用其面部信息。

对那些被收集了个人信息，但因故并没有实际参观、旅游的游客，以及已经完成了当次游玩的游客，景区应该对其面部信息进行及时删除，或通过删除与个人隐私相关的内容，做匿名化处理。对于删除处理非必要留存个人信息的时间期限，景区应当公示确认。

景区景点还应当提高数据保密的规范性，任何数据共享、存储、传输必须遵守个人信息保护法等行业法规，要对安全相关部门上报现有的安全威胁以及及时根据相关漏洞修复解决方案。此外，景区景点还应当提高设备选型、系统管理的安全性自查功能，例如可以快速察觉可疑操作，并及时检测其是否可能存在风险。