酒店要求必须扫脸，这一行为是否合法，需分情况讨论：

1. 从个人信息保护的角度：

   • 根据《中华人民共和国个人信息保护法》的相关规定，处理个人信息应当遵循合法、正当、必要和诚信原则，不得过度处理。酒店要求顾客扫脸，属于对个人生物识别信息的收集和处理。
   • 如果酒店能够证明扫脸是出于必要的安全管理目的，且已经采取了严格的安全保护措施，确保个人信息不被泄露、滥用，同时获得了顾客的明确同意，那么这一行为可能是合法的。
   • 但如果酒店无法证明扫脸的必要性，或者未获得顾客同意，或者未采取足够的安全保护措施，那么这一行为就可能构成对个人信息的不当处理，是违法的。

2. 从消费者权益保护的角度：

   • 消费者在购买商品或接受服务时，享有自主选择权。酒店要求顾客必须扫脸，可能限制了顾客的选择权，尤其是对于那些不愿意提供生物识别信息的顾客。
   • 如果酒店没有提供其他合理的替代方式（如人工登记、刷卡等）供顾客选择，那么这一要求就可能违反了消费者权益保护的相关规定。

3. 从具体实施和地方性法规的角度：

   • 还需要考虑酒店所在地的具体实施细则或地方性法规。有些地区可能对生物识别信息的收集和处理有更为严格的规定，酒店需要遵守这些规定。
   • 如果酒店所在地的法规明确禁止或限制酒店收集顾客的生物识别信息，那么酒店的要求就是违法的。

建议：

• 对于顾客而言，如果遇到酒店要求必须扫脸的情况，可以先询问酒店扫脸的目的和必要性，以及是否提供了其他替代方式。如果认为酒店的要求不合理或违法，可以向当地消费者协会或相关部门投诉。
• 对于酒店而言，应当谨慎处理顾客的生物识别信息，确保符合法律法规的要求。在收集和处理个人信息时，应当遵循合法、正当、必要和诚信原则，并获得顾客的明确同意。同时，应当采取严格的安全保护措施，确保个人信息不被泄露、滥用。

后续行动：

• 如果您作为顾客遇到了酒店要求必须扫脸且认为不合理或违法的情况，或者您作为酒店经营者对如何合法处理顾客的生物识别信息有疑问，都可以直接向我咨询，我会根据您的具体情况提供专业的法律建议。