洗浴场所采集人脸开柜：条例第二十三条两款分别约束什么

两款不是一件事的两种说法：一款管收集方式，一款管敏感信息处理

本文示例情境：一位读者在洗浴场所前台被告知“系统要录脸才能开柜，不录就办不了卡”。这句话把两件事捆在一起，先要拆开看它分别落在条例第二十三条哪一款上。

第一款约束的是收集行为的方式。经营者提供商品或服务时，不得过度收集消费者个人信息，也不得采用一次概括授权、默认授权等方式，强制或变相强制消费者同意收集、使用与经营活动无直接关系的个人信息。它问的是：这条信息该不该收、同意是不是被捆绑着给出的。

第二款约束的是敏感个人信息的处理。经营者处理包含消费者生物识别等信息，以及不满十四周岁未成年人个人信息等敏感个人信息，应当符合有关法律、行政法规的规定。它问的是：处理这类信息要满足哪些上位法要求。

人脸属于生物识别信息，所以刷脸开柜同时落在两款的视野里，但两款回答的是不同问题。把两款混成一句“同意就行”或“不同意就违法”，都会漏掉另一半。

把“必须同意才能办卡”拆成两组询问项

以下询问条目为本文示例，供读者到店前或办卡时逐条记录对方回答，不构成对任何场所的合规判断。

第一组对应第一款，问“收不收、怎么同意”：

一是开柜方式有几种，除刷脸外是否可用手环、钥匙或会员账号；

二是人脸信息是开柜必需还是可选，不刷脸能否正常使用更衣柜和洗浴服务；

三是办卡协议里关于人脸信息的同意，是单独一项，还是夹在整份协议里一并勾选——这对应“一次概括授权”；

四是协议是否预设已同意，例如不勾选就无法进入下一步——这对应“默认授权”。

第二组对应第二款，问“处理依据”：场所处理人脸信息依据哪些规定。读者只需记录对方说法，不必自行下法律结论。

每组后面留一栏写“对方原话”和“日期”，便于事后回查，而不是凭印象复述。

两款各自能问到哪一步：哪些问题有答案，哪些只能记录

第一款能帮读者把问题问细：是不是只有刷脸一种方式、同意有没有被拆出来单独确认、不勾选会怎样。这些都可以当场观察和记录。

第二款本身没有列出具体操作细则，它指向“有关法律、行政法规”。所以读者能做的，是把“你们依据什么规定处理人脸信息”记成一个待核事项，而不是替场所判断合规与否。

一个容易混淆的点：读者自己同意过，不等于第二款的问题就消失了。第一款问同意是否自愿、是否被捆绑；第二款问处理行为是否符合上位法。两问分开记，才不会把“我同意了吗”和“同意就够了吗”混成一句。

引用这一条时的两个边界

第一是时间边界。条例自2024年7月1日起施行，引用第二十三条时应按这一时间与适用范围对照，不能据此推断任何门店当前的具体做法。

第二是处罚边界。条例第五十条列举的处罚条款范围为第十条至第十四条、第十六条、第十七条、第十九条至第二十一条，另单列第二十二条；其中不含第二十三条。因此不能由第二十三条直接推出某种处罚后果，读者也不宜据此向场所断言“你这样要被罚”。

本文只整理第二十三条两款分别约束什么，以及如何把捆绑式说法拆成询问条目，不评价刷脸开柜的技术方案，也不对任何场所是否合规作结论。涉及人脸信息处理的具体法律要求，应以有关法律、行政法规的现行文本为准。