假期嗨玩一时爽,个人信息真遭殃——旅游场景下个人信息保护问题

首先，当大家看到有数君这篇文章时，意味着一个长长的假期结束了！希望大家早早从“假期综合症”中缓过劲儿来，好好收拾心情开启第四季度的工作。

不知道大家假期去哪里嗨皮啦~有数君去到了西藏徒步，身心受到了很大的净化与放松。在正式开启话题前，分享几张有数君在西藏拍到的绝美风景给各位粉丝伙伴们，作为假期后第一篇文章的特别番彩蛋！

【晴天的白普隆沟雪山】

【美丽的巴松措】

【神山南迦巴瓦峰】

言归正传，大家在旅游过程中，特别在一些特别边远的旅游景区，是否碰到过特别不合规收集个人信息及获取授权的情况呢？有数君在外旅游较多，碰到不少，这回一次性给大家总结看看。

不少旅游景区为了图方便，都会使用游客刷脸进入园区的方式进行检票。而这种“刷脸入园”的方式，是目前引发争议且处罚最为密集的场景之一。以下，我们以几个经典案例入手进行解析。

1. 郭兵诉杭州野生动物世界案

2019年4月，郭兵支付1360元购买双人年卡，约定指纹识别入园，并留存姓名、身份证号、电话，录入指纹和照片。同年7月、10月，园方两次发短信通知年卡系统升级为人脸识别，“若不激活人脸识别系统，将无法正常入园”。郭兵认为人脸识别信息属于高度敏感个人隐私，不同意接受人脸识别，要求某野生动物世界退卡，在协商未果后于2019年11月向法院提起诉讼。

2020年11月，一审法院认为：不注册人脸识别无法入园，且未告知存在其他的入园方式，该行为属于以明示的方式表明不履行原合同约定的主要义务。法院判决赔偿合同利益损失及交通费共1038元，删除办卡时提交的含照片在内的面部特征信息。

2021年4月杭州中院二审增判删除指纹识别信息，并说明：

人脸识别信息相比其他生物识别信息而言，呈现出敏感度高，采集方式多样、隐蔽和灵活的特性，不当使用将给公民的人身、财产带来不可预测的风险，应当作出更加严格的规制和保护。经营者只有在消费者充分知情同意的前提下方能收集和使用，且须遵循合法、正当、必要原则。

本案中，野生动物世界在涉指纹识别的“年卡办理流程”中规定“至年卡中心拍照”，郭兵亦同意在办卡时拍摄照片，但提供照片仅系为了配合指纹年卡的使用，不应视为其已授权同意野生动物世界将照片用于人脸识别。野生动物世界虽自述其并未将收集的照片激活处理为人脸识别信息，但其欲利用收集的照片扩大信息处理范围，超出事前收集目的，违反了正当性原则。

2. 浙江湖州某景区强制刷脸案

该案实际为检察机关的公益诉讼案件。

A景区由浙江G旅游发展有限公司负责实际运营。2020年7月，A景区通过招标委托浙江H科技有限公司建设完成人脸识别系统，并投入运行。系统使用期间，A景区在采集游客人脸信息时未依法履行告知义务，存在强制要求购票游客录入人脸信息、“刷脸”入园的情形，且景区未对采集到的人脸信息定期予以删除，致使游客个人信息被侵害，损害了社会公共利益。

2021年10月，最高人民检察院根据志愿者反映，将A景区要求游客“刷脸”入园、涉嫌侵害游客人脸信息的线索交由浙江省人民检察院办理。

经调查发现，A景区现场购票除要求游客提供身份证外，还要求游客进行“刷脸”认证，且未告知“刷脸”入园的必要性及后续如何处理刷脸信息，对游客人脸信息储存和使用缺乏具体制度规范。

2021年11月12日，浙江省院、湖州市院、南浔区院会同当地旅游度假区管委会、G公司等景区运营主体，同时邀请了浙江省消费者权益保护委员会相关工作人员和法律专家，围绕涉案人脸信息被侵害问题召开磋商会，就G公司删除景区前期采集储存的人脸信息数据，规范人脸信息的收集和使用等事项达成共识。同时，湖州市院与湖州市网信办开展磋商，网信部门对G公司提出整改要求。同年11月18日，湖州市院向G公司制发检察建议，督促G公司积极整改，确保依法运营。

景区类App和小程序是部分省份通信管理局通报单上的常客。

2025年6月，江苏省通信管理局通报“智游花果山”、“汤山景区扫码点餐”违规使用个人信息、强制频繁过度索取权限，共11款App存在同样违规问题。

2026年4月，青海省通信管理局开展旅游景区类App专项整治，发现问题App25款、督促整改21款、通报尚未完成整改的App4款。逾期整改落实不到位的，将依法依规进行处置。

早在2021年，工信部也就出行服务类App进行过通报整治：驴妈妈旅游因超范围收集个人信息被组织下架；途牛旅游因“不同版本反复出现同类问题”（包括违规收集个人信息、App强制、频繁、过度索取权限等）被直接下架。

总结发现，上述出行服务类App主要容易出现的问题为如下：

• 注册即索取手机号+姓名+生日+位置；一次购票要求开放通讯录、精确位置、相机、麦克风全部权限；

• 拒绝授权即无法使用基本功能。

大家日常生活中经常会碰到扫码点餐的情况。我们也经常发现扫码点餐会存在较多过度收集个人信息的不合规情况，但景区内的扫码点餐情况将会更加严重。

游客是一次性客流，商家把“扫码”当作获客和复购营销入口的动机更强，而且在景区往往消费链条长：餐饮、储物、拍照、缆车、文创，每一环都可能嵌一个授权弹窗。除此以外，游客异地维权成本高，投诉率天然低于本地消费。

而在实务当中，早已出现了较多“扫码点餐”相关的处罚案例。

1.四川德阳罗某诉火锅店案

罗某就餐时被要求关注公众号并扫码点餐，法院认定：就餐与提供手机号、生日、姓名、地理位置、通讯录等信息无关，判决停止侵权、限期删除个人信息。

2. 北京三中院孔某案

孔某扫码点餐时被注册为会员，取消关注公众号后发现个人信息仍存储于商家系统、无法自行删除，遂诉至法院。法院终审判决商家删除个人信息、书面赔礼道歉、赔偿公证费5000元。

法院认为，某餐饮公司的服务人员未告知孔某某可以人工点餐，误导其以为该餐厅只有扫码点餐一种服务方式；而其扫码点餐的程序设置，属于变相强制消费者只有通过关注微信公众号才能进一步点餐。某餐饮公司的程序设置为要求消费者提交书面申请方能删除其会员信息，且其并未将提交书面申请的要求告知消费者，使得作为消费者的孔某直至一审诉讼时，均未能如愿删除相关个人信息。某餐饮公司的上述不作为行为，亦侵害了孔某依法享有的个人信息决定权。

3. 上海“亮剑浦江”消费领域个人信息权益保护专项执法行动

网信、市场监管、商务部门聚焦餐饮行业征集线索、现场执法、约谈45户企业，涉及的3.5万余家全国连锁餐饮门店已完成整改。此前，上海市消保委暗访29家奶茶店和快餐店发现，部分小程序索要手机号，拒绝提供则无法点餐。

1. 出行前：预订环节

• 订票只给必要信息：购票只需要姓名+证件号，被要求填生日、职业、收入、通讯录的，都是超范围收集

• 认准官方渠道：景区官网、官方App、官方小程序，警惕搜索引擎里的“高仿”购票页

• 读三秒隐私弹窗：重点看两处——收集了什么？授权后能否撤回？弹窗要求“全部同意”才能用的，可以直接放弃

• 公共Wi-Fi不办业务：酒店、机场、车站的开放Wi-Fi上不登录支付类App；有条件的用手机流量或自己的热点

2. 入园时：人脸识别是重灾区

• 主动选择替代通道：纸质票、身份证核验、二维码入园都行；坚持不刷脸不影响入园，是执法案例已经确认的规则

• 未成年人更谨慎：不满14周岁儿童的人脸信息属敏感个人信息中的敏感项，需监护人同意才能处理，家长可以理直气壮拒绝

3. 园内消费：扫码点餐有边界

• 纸质菜单是你的合法选项：“必须关注公众号才能点餐”属变相强制，德阳已有法院判决支持消费者删除个人信息的主张

• 拒绝与消费无关的授权：堂食点单不需要你的位置、通讯录、头像；储物柜扫码不需要手机号

4. 明确救济渠道

• 平台内投诉：要求删除、撤回授权——撤回权和删除权是法定权利，App必须提供入口

• 12321（网络不良与垃圾信息举报）

• 12315（市场监管部门）

合规，我们有数~