结论：民宿使用微信扫小程序刷脸入住的合法性及个人信息泄露风险需分情况讨论。以下从合法性及个人信息保护两个角度进行详细分析。
一、合法性分析
法律框架：
- 根据《中华人民共和国个人信息保护法》第十三条，处理个人信息应当取得个人的同意，且该同意应当由个人在充分知情的前提下自愿、明确作出。
- 同时，根据《中华人民共和国网络安全法》及《中华人民共和国数据安全法》的相关规定，网络运营者收集、使用个人信息，应当遵循合法、正当、必要的原则，并公开收集、使用规则，明示收集、使用信息的目的、方式和范围，并经被收集者同意。
民宿刷脸入住的合法性：
- 若民宿在收集、使用顾客面部信息前，已明确告知顾客收集的目的、方式、范围，并获得顾客的明确同意：则民宿使用微信扫小程序刷脸入住的行为在法律上是允许的。但民宿需确保收集的信息仅用于入住登记等必要目的，不得非法使用或泄露。
- 若民宿未告知顾客或未获得顾客同意即收集、使用面部信息：则该行为可能构成违法，侵犯了顾客的个人信息权益。顾客有权要求民宿删除其个人信息，并可能向相关部门投诉或寻求法律救济。
二、个人信息泄露风险分析
技术安全层面：
- 民宿使用的小程序若存在安全漏洞或未采取足够的安全措施，可能导致顾客面部信息等个人信息被非法获取或泄露。
- 民宿应确保小程序的开发、运营符合相关安全标准，采取加密、访问控制等安全措施保护顾客个人信息。
管理层面：
- 民宿员工若未经授权访问、使用或泄露顾客个人信息，也可能导致信息泄露风险。
- 民宿应建立完善的个人信息保护制度，对员工进行培训，确保员工了解并遵守个人信息保护规定。
法律责任：
- 若民宿因管理不善或技术漏洞导致顾客个人信息泄露，民宿可能需承担法律责任，包括赔偿顾客损失、接受行政处罚等。
三、建议
对民宿：
- 在收集、使用顾客个人信息前，应明确告知顾客收集的目的、方式、范围，并获得顾客的明确同意。
- 加强小程序的安全防护，采取加密、访问控制等措施保护顾客个人信息。
- 建立完善的个人信息保护制度，对员工进行培训，确保员工了解并遵守个人信息保护规定。
对顾客：
- 在入住民宿时，应仔细阅读民宿提供的个人信息保护政策，了解民宿如何收集、使用、保护其个人信息。
- 若对民宿的个人信息保护措施有疑虑，可选择不提供面部信息等敏感个人信息，或选择其他住宿方式。
- 若发现民宿存在非法收集、使用或泄露其个人信息的行为，可向相关部门投诉或寻求法律救济。
如有更多关于个人信息保护或侵权纠纷的法律问题，可以直接向我咨询。