罗德里格斯一家周六早上八点四十七分抵达迪士尼乐园。他们有预订门票，三岁孩子也在身边，却不知道三十秒后自己将被扫描。旋转门旁的黑色面板闪了一下，孩子的脸被捕获、转换成模板、与数据库比对——全程没有一句"欢迎"。
这就是现在迪士尼的入园方式。面部识别闸机已全面取代人工验票，意味着每位游客必须要么接受生物特征扫描，要么走一条被故意设置的繁琐退出门。迪士尼称之为便捷升级。真相是一场权力测试：游客愿意承受多少麻烦，才会交出自己的脸？
退出门确实存在。但实际操作中，游客必须找到单独的 kiosk、出示政府颁发的照片证件，然后等待工作人员手动核验身份。高峰时段，每人需要额外等待三到五分钟。四口之家选择保护隐私，就要在另一条队伍多花二十分钟。迪士尼设计了一套系统，让不便的选择同时也是保护隐私的选择。
迪士尼的算盘很清晰。生物特征入园能生成更精准的客流数据、实现园内定位追踪、为个性化营销奠定基础。公司面临票价压力，需要与各类娱乐选项竞争。面部识别基础设施同时解决多个业务问题，游客无论是否同意都成为数据来源。
更深层的问题在于常态化。主题乐园不是机场，安全权衡一目了然；也不是政府大楼， surveillance有法律约束。迪士尼乐园是家庭寻找欢乐的地方。在入口部署生物特征扫描，迪士尼把监控基础设施塞进了一个本应安全的亲密场景——带着孩子的父母、度假记忆、对安全的信任。
迪士尼未披露面部模板存储时长、是否可与第三方共享、或数据泄露后的处置方案。其隐私政策允许广泛数据使用。公司的保证缺乏具体内容，显得空洞。没有独立审计或监管约束，游客只能依靠企业承诺。
影响远超迪士尼。迪士尼开了先例，其他场所就会效仿。体育场、购物中心、演唱会场地已在观望。加州主题乐园定下的规矩将塑造所有公共场所的预期。问题不是生物特征扫描会不会扩散——而是我们是否允许第一次大规模部署发生在一个本应让人感到安全的地方。
必须从退出演变为加入。迪士尼应该在采集任何生物特征数据前获得明确同意，并清晰说明存储、保留和第三方共享规则。在此之前，游客应了解自己的权利并行使它。来到迪士尼的家庭应该知道他们有选择，而且保护隐私不应该需要法律学位或额外一小时。