据检察日报正义网报道，北京市大兴区检察院在履职中发现，2023年以来，北京经济技术开发区及大兴区先后举办20余场体育赛事，其中8场赛事的主办方将38万余张包含选手人脸信息的参赛照片直接公开发布于直播平台。不用登录、不经核验即可随意浏览和批量下载。检察机关模拟测试中，199.3秒抓取2225张照片，全程未触发任何拦截、校验等安全防护机制，平台未设置有效的防批量获取措施。

放在中国马拉松持续升温的大背景下看，这组数据更像一道提前亮起的警示灯：赛事跑得越快，个人信息保护的“配速”能不能跟上？

中国田径协会数据显示，2025年全国共举办马拉松赛事594场，参赛规模达到639.87万人次，A、B类认证赛事数量和高水平完赛人次持续增长。

一场中等规模的赛事，动辄产生数万张赛道照片；跑者赛后找照片、晒照片，是刚需；赛事方用影像做传播、做城市营销，也是正当诉求。问题从来不出在“该不该拍、该不该发”，而出在用什么方式拍、用什么方式发。

大兴的事，不是孤例。上海嘉定区检察院调查发现，赛事官方合作的两款图片直播小程序中存有大量参赛者照片，人脸、号码牌、姓名一览无余；两个榜单信息一交叉，甚至能精准锁定一个人的身份和轨迹。嘉定区检察院在组织专题研讨后指出，肖像授权不等于人脸信息使用授权，小程序用人脸识别技术处理照片属于处理敏感个人信息，需另行取得选手单独同意。

横琴马拉松则暴露了另一面，据媒体报道，第三方平台上挂了55万余张赛事照片，付费即可下载，而主办方表示从未授权其拍摄。律师指出，在没有取得参赛者本人授权的情况下，平台拍摄别人肖像并用于牟利的行为，已经涉嫌侵犯他人的肖像权。

三件事，三个侧面，指向的是同一个治理课题——当马拉松成为城市标配，影像管理不能再停留在“拍了、发了、完事了”的粗放阶段。

最容易被忽略的，是“同意”这件事上的错位。绝大多数赛事报名时都会让选手勾选肖像使用授权，很多人也就默认“我同意过了”。但法律上，肖像授权和人脸信息处理授权是两码事。

肖像授权解决的是“能不能用你的形象做赛事传播”；而当图片直播小程序让你“刷脸找照片”时，你的脸已经被提取为具有唯一性的生物特征码，进入了一次对敏感个人信息的处理。后者需要的，是单独、明确的同意，而不是藏在长篇报名协议里的一揽子打包。

拿一张通用门票去刷所有房间的门，在个人信息保护这件事上走不通。

平台防护也有一个“质”与“形”的区别。大兴整改前，照片公开零门槛；嘉定整改前，照片无需登录即可随意检索下载。后来两地都把验证方式升级为“参赛号码+身份证号”或“身份证号后四位+号码牌”的双重核验，陌生人才真正被挡在门外。

大兴还同步设定了6个月的下载窗口期，到期自动清理。这说明合规的技术路径并不玄妙：事前把单独同意从概括授权里拆出来，事中用双因子验证卡住批量获取，事后给数据装上“到期删除”的定时器。

三步走通了，跑者找照片的便利和刷脸的安全，可以同时成立。

马拉松的魅力在于突破边界，但个人信息保护的边界恰恰需要被守住。保护不是把镜头盖上，而是让镜头后面的流程配得上这项运动的体量。让赛事影像传得开、用得好，让人脸信息管得住、不失控，这不是一道非此即彼的选择题，而是每一场赛事从筹备到收尾的必答题。