朱振明

(廣西民族大學 法學院，廣西 南寧 530006)

隨著科學技術的發(fā)展，個人生物信息識別技術，特別是人臉識別等技術廣泛應用于門禁識別、企業(yè)考勤、證件識別、取款消費等工作和生活領域，其帶來的好處自不待言，但伴隨而來的法律問題也不少，亟待深入研究并在法律上給予特別關注。

1 個人生物識別信息的內涵及特性

個人生物識別信息是一種新興產物，對其使用極大地便利了社會生產和生活的各個方面。個人信息可分為一般個人信息和個人生物識別信息。個人生物識別信息其與一般個人信息存在較大差異。

1.1 個人信息與個人生物識別信息

1.1.1 個人信息的內涵

對于個人信息的內涵，我國法律現已有明確規(guī)定，《網絡安全法》第七十六條第(五)項中指出，個人信息是指以電子或者其他方式記錄的能夠單獨或者與其他信息結合識別自然人個人身份的各種信息，包括但不限于自然人的姓名、出生日期、身份證件號碼、個人生物識別信息、住址、電話號碼等。換言之，即個人信息是能夠單獨識別個人身份的，亦可結合其他信息識別個人身份的一種信息。其載體可以是電子方式，也可以是其他方式。其中個人生物識別信息是被囊括在內的，但該法并未明確個人生物識別信息的具體內涵。

1.1.2 個人生物識別信息的內涵

個人生物識別信息的內涵和我國法律上雖無明確規(guī)定，但國外有關法律中對此有所涉及。歐盟的《通用數據保護條例》規(guī)定，個人生物識別信息①是通過特定的技術識別而獲得的個人信息。據此，筆者認為，個人生物識別信息是指在現代生物識別技術②的支持下，對個人的面容、指紋、虹膜、靜脈、聲紋等生物信息以及相關行為特征來識別并確定個人身份信息的一種特殊的個人信息。一般認為，個人生物識別信息包括自然人的指紋、面容、基因等信息，屬于個人信息的一種類型。[1]與一般個人信息相比，個人生物識別信息的顯著特點在于它具有唯一性、可識別性和終身性等，一旦被泄露或者濫用，所造成的損害后果較之于一般個人信息損害的后果更為嚴重。

1.2 個人生物識別信息的特性

個人生物識別信息是一種非常重要的身份認證信息，其安全級別和準確性均高于普通的身份認證信息。相較于一般個人信息，個人生物識別信息在來源和保有、作用以及損害后果等方面，均有其獨特性。

1.2.1 個人生物識別信息的來源和保有特殊

在信息來源和保有上，個人生物識別信息系自個人出生即具有的。其與個人緊密相連，終身相隨，不可更改，任一的個人生物識別信息均可識別個人的身份。而一般個人信息是在后天形成的，一般是可以更改變動的，不具有終身性，有些是不能被單獨用于識別個人身份的。譬如，個人的地址、郵箱號等個人信息是可以更改變動的；而個人的聲紋、指紋、虹膜等生物信息均無法更改，具有顯著的人身附屬性。

1.2.2 個人生物識別信息的作用較大

在作用上，個人生物識別信息的作用遠大于一般個人信息。個人生物識別信息不僅可以識別個人身份，有些還可以識別個人的親屬、血型、基因等更多的信息；而一般個人信息僅能識別到個人的住處、愛好和姓名等普通的信息。譬如，通過電子監(jiān)控，利用人臉識別技術和大數據分析，短時間便可定位個人的軌跡，并識別出個人的姓名、住址等信息；而利用住址、電話號碼或者郵箱號等一般個人信息，往往需要一番周折方能獲悉個人愛好、生活軌跡等具體信息。

1.2.3 個人生物識別信息損害的后果更嚴重

在損害后果上，由于個人生物識別信息保護不力所造成的損害后果是不可逆的。若個人生物識別信息被泄露或者濫用，那個人就像一個行走的信息源，在信息掌控者眼中，個人就像一個透明人，其造成的后果不只是財產的損失，更有精神損害或者其他人格權損害，甚至有可能給其親屬帶來一定程度的損害；而一般個人信息所造成的損害，或是財產損失，或是精神損害，其損害程度遠不及個人生物識別信息被泄露或濫用所造成的損害。譬如，一般個人信息被泄露或濫用，尚有補救之途徑；而個人生物識別信息被泄露或濫用，則可能導致該人永久退出基于生物識別的業(yè)務。[2]

由于個人生物識別信息在其來源和保有、作用和損害后果等方面存在獨特性，明顯不同于一般個人信息，因而在法律制度設計上，應對其予以特別保護。

2 個人生物識別信息特別保護的必要性

自2018年以來，運用個人生物識別信息中的人臉識別信息——“刷臉”支付在全國多地開始應用，線下有“刷臉”支付、線上亦有“刷臉”支付。[3]隨著人工智能技術的成熟，越來越多的生物識別技術被廣泛運用至日常生活和工作中，乃至于國家機關的安防識別，其中人臉識別和指紋識別應用最為廣泛?；趥€人生物識別信息的廣泛應用，個人生物識別信息的特別保護亦越顯重要。

2.1 防止新技術的濫用

大數據時代下，個人生物識別信息被廣泛應用，不僅方便了人們的日常生活，也為企事業(yè)單位和行政主體的管理提供了便利。利用人的面容或者指紋等生物信息識別技術，可以降低管理成本，提高社會工作效率，同樣亦為企事業(yè)單位和行政主體的大數據分析積累了數據資源。倘若這些掌握著大量個人生物識別信息的單位濫用該信息，有意或無意而致該信息泄露，其損害后果將難以估量。

事物的發(fā)展有好的一面，同樣也存在不好的一面，新技術的發(fā)展應用亦不會例外。技術帶來的變化，沖擊著傳統(tǒng)的信息安全觀。[4]曾有新聞報道，某高校學生被要求于某網站上注冊，并到校園終端錄入指紋，用于打卡驗證和記錄學生冬季長跑的事實。該事件引起了學生的強烈不滿，使得人們更加關注個人隱私權的保護。[5]另有報道，某地公安機關為偵破案件，隨意收集公民個人生物識別信息，涉嫌違反《刑事訴訟法》的有關規(guī)定。[6]最近亦有報道指出，杭州某動物園因未經同意，強制收集他人面部特征等個人生物識別信息而被起訴，該案亦成為我國人臉識別第一案。[7]個人生物信息識別技術的應用，引發(fā)了人們對于個人生物識別信息安全的憂慮。

個人生物識別信息與個人緊密相連，一旦個人生物識別信息被泄露或者濫用，其造成的后果不僅為財產的損失，更有精神損害或其他人格權損害。倘若該個人生物識別信息被用于違法犯罪，那么其有可能造成的危害后果更不堪設想?，F實狀況表明，個人生物識別信息亟待法律的特別保護，以便保障社會穩(wěn)定、安全，促進新技術的應用發(fā)展。

2.2 促進法律制度完善

在我國，個人生物識別信息雖然比一般個人信息更為重要，但相應的法律保護卻遠不如一般個人信息，其保護力度和重視程度亦無法與港澳地區(qū)或歐盟相比。

我國涉及個人生物識別信息的法律法規(guī)規(guī)范，主要包括：《居民身份證法》第三條規(guī)定，公民申領身份證應登記指紋信息，公安機關收集到的指紋信息應妥善保密；《保安服務管理條例》第十六條和第三十七條規(guī)定，申領保安員證需要留存?zhèn)€人生物信息并予以保密；《征信業(yè)管理條例》第十四條規(guī)定，禁止征信機構采集個人生物識別信息；《刑事訴訟法》第一百三十二條規(guī)定，為了偵破刑事案件需要，有關部門可以提取犯罪嫌疑人的個人生物信息并予以保密。其中對于個人生物信息規(guī)定比較詳細的，應屬公安部的《公安機關指紋信息工作規(guī)定》，但這也僅僅規(guī)定了個人生物信息中的某些方面。

此外，我國有關個人生物識別信息保護的法律規(guī)定幾乎都將其作為一般個人信息進行保護，而個人信息的法律保護亦尚未成熟，并且這些規(guī)定散見于《民法典》《網絡安全法》《全國人大關于加強網絡信息保護的決定》《消費者權益保護法》等法律法規(guī)。即便是目前關于個人信息保護立法的專家建議稿，以及先前公布的《個人信息保護法(草案)》，均把個人生物識別信息當作一般個人信息予以規(guī)定，并無重點突出個人生物識別信息的保護。[8]截至目前，尚無一部系統(tǒng)性的法律法規(guī)規(guī)定個人信息保護，亦無有關法律著重突出個人生物識別信息的地位并予以保護。

法律是有滯后性的，為了避免因為法律的不完善而導致個人生物識別信息的無序收集、不規(guī)范保存、不正當使用以及不及時刪除所造成的惡劣影響，有必要對個人生物識別信息進行特別保護。因此，未來應抓住個人信息保護法的立法契機，在法律上明確給予個人生物識別信息以特別保護，以加強公眾安全，促進個人生物信息識別技術應用的發(fā)展。

3 個人生物識別信息的特別保護舉措

個人生物識別信息在法律上應如何進行特別保護，有不同觀點。有學者認為，個人生物識別信息應作為財產權來進行保護。因為，在當代法學中，財產的概念是比較靈活的，即使不與具體物體相關的，亦有可能被認為是財產，將個人生物識別信息作為一種特殊的財產來保護是可能的。[9]另有學者認為，個人生物識別信息應納入人格權的范疇進行保護。因為，個人生物信息屬于個人隱私的組成部分，而隱私權屬于一種人格權，個人生物信息權是個人隱私權的一項具體內容。[10]

筆者認為，個人生物識別信息是在大數據發(fā)展之下，對個人身份識別的一種新形式，該信息在具體運用時兼具財產權屬性和人格權屬性，但又不能完全等同于財產權和人格權。個人生物識別信息不同于一般個人信息，其獨立存在的價值較大，當企業(yè)使用這些生物信息進行科技研發(fā)，或將其作為一種商品用于交換的過程中，個人生物識別信息便為人力所支配，具備了商品的價值和使用價值，即具有經濟價值，因而具備了一定的財產屬性，即有作為財產權客體的可能。[11]個人生物識別信息中的指紋、虹膜、面部等信息具有非常明顯的人格特征，是個人自然生存和社會生存所必須的利益，在某些情況下具有隱私的屬性，但又不能完全等同于隱私，其僅具有一定的人格權屬性。[12]所以，法律上對于個人生物識別信息的特別保護應在新設權利的基礎上展開。

基于個人生物識別信息的唯一性、排他性、可識別性和終身性等特征，其法律保護應有別于一般的個人信息保護，在未來的法律規(guī)范中應該被重點保護。

3.1 縱向層面：嚴密保護個人生物識別信息

對于個人生物識別信息的縱向法律保護，應從個人生物識別信息的收集、保存、使用和使用后[3]四個方面著手，從個人生物識別信息鏈條上的各個環(huán)節(jié)嚴密保護。

3.1.1 個人生物識別信息的收集保護

在個人生物識別信息的收集上，應確立通知、必需、正當、有限和同意五大原則。在此方面，對于個人生物識別信息的特別保護，可以適當借鑒我國香港特別行政區(qū)關于個人信息收集時的實踐經驗。實踐中，香港地區(qū)的做法比較傾向于從收集信息開始時就嚴格限制，對于個人信息的收集應遵循合法性、適當性的原則，并且應準確告知當事人所收集信息的用途，所收集信息不得用于其他未經當事人明示同意的新目的。該做法可以避免信息被過度收集導致其后衍生的系列性問題。因此，對于個人生物識別信息在收集上的特別保護，應明確個人生物識別信息具有一定人格權屬性，任何個人或者單位在收集他人個人生物識別信息時應通知該人，并征得該人同意方可收集其信息。同時，應針對實踐中信息收集泛濫的情況，規(guī)定若該信息收集是非必要和非密切相關的，即使信息被收集者不同意被收集，其亦享有享受相應服務或者使用相關軟件。

3.1.2 個人生物識別信息的使用保護

明確個人生物識別信息的使用應符合正當性、目的性，不得濫用個人生物識別信息。在大數據時代下，衣食住行各個方面均有使用個人生物識別信息的可能，絕對禁止收集公民個人生物識別信息是不可取的，[3]也無法做到。而能做到的，是在個人生物識別信息使用上嚴加保護，防止信息濫用。對于個人生物識別信息的使用，我國澳門特別行政區(qū)個人資料辦公室在2008年12月專門公布了《使用指紋/掌形考勤設備的問題》，該文件作為處理實踐中大量企業(yè)運用指紋或者掌形這些個人生物識別信息進行考勤的官方指南，指出指紋和掌形屬于獨一無二的個人生物特征，系個人信息。這份文件比較具體地規(guī)定了運用指紋或者掌形這些個人生物識別信息的使用者以及信息被收集者的權利，對于保護個人生物信息起到了很大的作用。因此，對個人生物識別信息使用上的特別保護，可以參考我國澳門地區(qū)關于個人生物識別信息在使用上的具體做法，在立法上，特別強調對于濫用個人生物識別信息的法律責任。

3.1.3 個人生物識別信息的保存保護

規(guī)定個人生物識別信息的保存制度。相關信息的持有者應妥善保存，因保存不力造成損害的，應承擔法律責任。個人生物識別信息的保存非常重要，在大數據時代下，我們無可避免地需要使用相關的生物識別信息，因而人們被收集了異常多的信息，因此，個人生物識別信息的保存便成為了個人生物識別信息保護的一道重要屏障。在此方面，《澳門特別行政區(qū)個人資料保護法》規(guī)定，資料收集者在資料使用期間應妥善保存；同時規(guī)定了資料當事人在任何時候皆享有反對權，即可以與其情況有關的正當和重大理由反對處理與當事人有關的個人信息。該法亦規(guī)定了當資料被不法處理或遭受其他損失的情況下，當事人均有權向負責處理其資料的一方請求賠償。故對于個人生物識別信息在使用上的特別保護，可參考上述有益經驗，明確信息的保存期限，期限屆滿，個人有權要求刪除被收集保存的個人生物識別信息；同時規(guī)定對于因保存不力而致使他人權利受損的，受損害人有權請求賠償。

3.1.4 個人生物識別信息使用后應及時刪除

個人生物識別信息使用后，信息持有者應及時刪除，若需再次使用，應重新收集。在這個方面，歐盟的《通用數據保護條例》(GDPR)規(guī)定，一系列的識別代號均可屬自然人的個人信息，明確個人信息包括但不限于可識別自然人身份的身體、生理、基因等。其第4條第14款明確表明，生物信息是對自然人身體、生理或行為進行一定的技術處理所獲得能夠識別特定自然人的信息。其第9條明確規(guī)定了敏感個人信息的處理，明確能單獨識別一名自然人生物識別信息為特殊類別的信息，處理這些個人信息時需要當事人明示同意，非因公共利益不得自行處理。規(guī)定信息被收集者享有刪除權等權利，對于信息使用后嚴格規(guī)定。[13]實踐中，存在著許多基于正當目的而收集他人個人生物識別信息的企業(yè)或者行政主體，而這些主體在使用這些信息達到最初之目的后，多數均不能做到及時刪除，甚至被挪作他用。所以，未來有關法律規(guī)定中，可適當參考歐盟的實踐經驗，明確規(guī)定，當收集到的個人生物識別信息因被收集之目的使用完畢后，信息持有者應盡一切可能及時刪除，若不及時刪除，則需要承擔相應的責任。

3.2 橫向保護：明確各類主體責任

3.2.1 強化行政主體對個人生物識別信息保護的責任

行政主體在個人生物識別信息的保護中責任重大。因此，有必要強化其責任，對于不作為或者作為不力的給予相應處罰。在此方面，香港地區(qū)專門設置了個人隱私專員，以便履行個人信息保護的相應行政職責，其《個人資料(私隱)條例》亦對政府的責任作出了明確的規(guī)定。因此，個人生物識別信息的行政保護上，需要明確行政機關的監(jiān)管職責，合理設置政府個人信息保護監(jiān)管機構，打擊過度采集個人生物識別信息的行為，對個人生物識別信息的收集、使用、保存和使用后嚴格監(jiān)管。另外，規(guī)定個人生物識別信息在行政領域進行非商業(yè)應用時政府及相關機構的責任與權利。相關主體對于違反規(guī)定，沒有及時刪除，或未能盡一切可能刪除所收集的個人生物識別信息的，可以給予一定的行政處罰，并規(guī)定行政機關享有強制刪除的權力。

3.2.2 厘清個人生物識別信息的法律屬性

需厘清個人生物識別信息的法律屬性，夯實其作為私權保護的基石。澳門地區(qū)《錄像監(jiān)視法律》規(guī)定，錄像監(jiān)控系統(tǒng)若直接或即時收錄了侵犯個人隱私的影像或私人談話則屬不當，應及時刪除，利害關系人在不對社會治安構成危險、不影響第三人權利及自由、不妨礙任何性質的司法程序正常進行的前提下，有權查閱或者刪除按照本法律規(guī)定收集的錄像資料。歐盟的《通用數據保護條例》亦規(guī)定了信息被收集者享有的一系列權利，其中規(guī)定，個人在特定情況下有權要求相關企業(yè)刪除個人信息，被要求者不得延誤；另外亦規(guī)定了信息可攜帶權、信息處理反對權等權利。因此，在個人信息保護的民事立法上，應重點突出個人生物識別信息的收集應征得許可，規(guī)定未經許可收集的法律后果以及民事救濟方式。同時，明確使用個人生物識別信息應與當事人簽訂合同，使用嚴格依照合同約定，如有違反約定，當事人有權主張違約責任。對于濫用個人生物識別信息的企業(yè)或者行政主體，相關個人有權以其權利被侵犯為由向人民法院起訴，要求侵權人承擔相應賠償責任以及消除影響等。另需規(guī)定，自然人在不損害國家利益、公共利益和第三人利益的前提下，享有對其個人生物識別信息的刪除權、遷移權等權利。在民事程序保護上，基于個人生物識別信息的特殊性，對于相關的舉證責任應適用舉證倒置的規(guī)定，并且可以考慮適當降低證明標準以及審理期限；或設定特別程序，用于專門處理個人生物識別信息被侵權的情形。

注釋：

①國外稱為“個人生物識別數據”，為了全文統(tǒng)一，本文統(tǒng)一將其稱為“個人生物識別信息”。

②生物識別技術是利用傳感器掃描樣本之特征部位，并由計算機處理后形成的具有高度可識別性的數據檔案。詳見：朱工宇.生物識別與隱私權保護之法律沖突及其協(xié)調[J].科技與法律,2009(6):25。