湖南工商大學法學院 李玥

一、問題的提出

人臉識別屬于現(xiàn)階段辨別個人身份信息的一項新型技術(shù)。人臉識別技術(shù)以非接觸性、主體唯一且不易復制為主要特征，它無須攜帶、易于采集、成本低廉，信息采集者利用普通攝像頭等裝置，運用面部識別的軟件和相關(guān)算法，不需要接觸就可以進行面部信息的抓取與存儲。然而，新技術(shù)背后存在的問題也在日漸凸顯。2019年一款換臉軟件在朋友圈、微博等各大社交媒體平臺迅速刷屏，用戶只需要提供一張正臉照片，就可以實現(xiàn)與各種視頻中的人物進行換臉。但是，在短短三天內(nèi)這個APP就因種種問題被迫下架。2019年10月,出現(xiàn)了人臉識別這項技術(shù)無法有效區(qū)別取件者本人和個人照片，導致快遞被他人利用照片取走的問題。2021年3·15晚會爆出，多家公司通過監(jiān)控攝像頭獲取到店消費者的面部數(shù)據(jù)，進而對收集到的數(shù)據(jù)展開分析和處理。2021年4月9日，“國內(nèi)人臉識別第一案”二審宣判，受到了各個階層對這一項識別技術(shù)產(chǎn)生的問題的極度重視。這種生物識別技術(shù)通過和相應的技術(shù)進行結(jié)合起到作用，這也就改變了個人生物信息的不可復制性和不可變更性。人臉識別的非接觸性也讓個人信息侵權(quán)問題更容易發(fā)生。相對于其他個人信息，人臉識別技術(shù)應用下的存儲、傳輸中存在嚴重的隱私侵權(quán)和安全風險，通過這項技術(shù)采集到的信息非常容易別他人利用，假如這類問題出現(xiàn)，就可能會對信息主體造成永久性傷害和難以彌補的損失。

二、我國個人生物識別信息保護立法現(xiàn)狀

我國目前對于個人生物識別信息，相關(guān)法律提及到的有《身份證法》《刑法》《刑事訴訟法》《民法典》《消費者權(quán)益保護法》，以及《外國人入境管理條例》《保安服務管理條例》《征信業(yè)管理條例》等行政法規(guī)，此外還包含了部分效力不高的規(guī)章或一些規(guī)范性文件。按照《居民身份證法》《刑事訴訟法》《外國人入境管理條例》《公安機關(guān)辦理行政案件管理規(guī)定》等法律規(guī)定，公安機關(guān)可以在身份證管理、出入境管理、辦理行政案件、刑事案件內(nèi)通過指紋等各種識別技術(shù)展開工作，如果泄露將承擔行政處分、追究刑事責任。同時，采用確定相關(guān)主體所具有的權(quán)利義務和責任對其相關(guān)的識別數(shù)據(jù)展開保護。從《民法典》中可以了解到，對于個人數(shù)據(jù)如果進行處理的相關(guān)原則，以及相應的權(quán)利和義務內(nèi)容的確立等；在刑事領(lǐng)域，采用確立侵害他人信息的刑事規(guī)定來對識別信息展開保護，其中比較有代表性的是在《刑法》中規(guī)定的與侵害他人信息罪相關(guān)的內(nèi)容。還有就是確立相關(guān)識別數(shù)據(jù)在采集、分析以及使用等各個過程中的規(guī)定。相對集中在信息管理領(lǐng)域，《網(wǎng)路安全法》規(guī)定了網(wǎng)絡運行者收集、使用個人信息的規(guī)則，網(wǎng)絡運行者、網(wǎng)絡監(jiān)管人員以及其他組織和個人不得利用個人信息從而向他人進行非法交易或獲取等內(nèi)容。另外，我國立法也發(fā)現(xiàn)了生物識別數(shù)據(jù)和個人信息有一定的差別，從而對生物識別信息做出了相關(guān)的特殊規(guī)定。還應該要引起關(guān)注的是在2020年三月份發(fā)布的《信息安全技術(shù)個人信息安全規(guī)范》中，特別規(guī)定了對于識別信息的采集和保存，確定了不能保存初始圖片信息。

結(jié)合上述表明，在我國雖然已經(jīng)有了關(guān)于個人信息在生物識別這一塊的相關(guān)規(guī)定，但是立法相對而言比較不集中，沒有辦法實現(xiàn)保護相關(guān)信息的目的，面臨著以下問題：第一，獨特屬性未突出，針對性規(guī)定缺失。第二，立法理念不明確，表達不清晰。第三、實際內(nèi)容不清晰，還沒有建立其系統(tǒng)的保護。第五，保護的對象較為狹隘，適用主體較為單一。

三、我國個人生物識別信息保護完善建議

（一）確立個人生物識別信息保護的特殊法律原則

由于個人生物識別信息保護這也是一個較新的模塊，因此對其的立法過程中，確定了特別的法律原則，由于其涉及到多重利益關(guān)系，尚無成熟的立法經(jīng)驗，如果過于冒進或者退縮都可能帶來負面影響，所以要依靠立法原則來對引領(lǐng)其立法以及適用提供一定的幫助，并且還能夠有利于解決法律漏洞，增加法律條文的彈性與包容性。在遵守法律規(guī)定的同時，依據(jù)識別信息的獨特屬性，還需要確立相應的特殊原則。應當注重“充分信息保護基礎上的有限開發(fā)利用”的立法理念，參考各國經(jīng)驗，做出下述特殊原則：第一、禁止原則，處于保護信息安全的目的，除非法律允許，在原則上就不允許以識別面部為目的而進行的采集、保存、傳輸、分析、利用或者泄露相關(guān)信息。第二、明示同意原則，在不違法的前提下，對生物識別信息進行采集前，需要特別的向被收集者說明做出采集識別信息的相關(guān)目的以及方式和保存時長等，必須獲得信息主體的明示同意。三是法定必需原則。只有在有法律明確規(guī)定的前提下，才能夠無需獲得被采集者的同意而對其識別信息進行處理。法定情況時，需進行風險評估，且應當符合“比例原則”的要求。綜合來看，下述情形可考慮作為法定情形：為履行工作職責必需；為實現(xiàn)實質(zhì)性的公共利益與維護公共安全必需；對于被采集者或其他公民的核心利益必需；協(xié)會、基金或其它非盈利組織已經(jīng)采取了恰當?shù)谋Ｗo措施而進行的正當性活動必需；對于預防性醫(yī)學或臨床醫(yī)學目的必需等。

（二）采用個人生物識別信息的綜合立法模式

對個人生物識別信息的保護在進行立法的過程中所利用到的、和調(diào)節(jié)范圍相關(guān)的法律形式也被成為立法模式。這一模式對于達成信息保護的目的有著非常重要的影響，是立法過程中最應該處理的關(guān)鍵問題。這一立法模式的選擇需要在結(jié)合其出現(xiàn)原因，發(fā)展歷程以及實際困難的前提，再基于我國的立法習慣，實際需要和法制演變現(xiàn)階段的情況等做出中和的判斷，在對于大眾的發(fā)展以及個人的保護之間找到最佳的平衡。從我國信息立法的傳統(tǒng)與發(fā)展趨勢看，都是通過綜合立法這一模式，和專門立法模式進行比較，它更有助于解決中國分散立法存在的問題：一是綜合立法模式層級清晰體系完整。對于生物識別信息采取的立法保護也是歸納在了個人信息保護的系統(tǒng)之中，通過綜合立法可以在更加清楚個人信息保護的情況下，確立對于識別信息的保護，進而實現(xiàn)個人信息保護法律體系的完整性。二是保護方法和措施較為系統(tǒng)。一方面綜合立法模式不局限于單一領(lǐng)域，對識別信息的保護有著更高的適用性。并且保護方法與保護措施更為全面，包括行政法保護、民事救濟以及刑事制裁等領(lǐng)域。三是綜合立法模式有利于法律適用。個人生物識別信息在體系上不僅要符合一般個人信息在各個環(huán)境的基本理念和規(guī)則，也需要遵循其特殊的規(guī)則。綜合立法模式有助于實現(xiàn)一般個人信息與特殊個人生物識別信息的體系協(xié)調(diào)，避免分散立法引發(fā)的體系違反，便于法律適用。

（三）設置多元化保護機制

為實現(xiàn)保護的充分性，需要從刑事、行政等多個方面一起打造相關(guān)的保護體系。和民事以及刑事相比較，行政在保護機制方面有著預防、高效便捷等優(yōu)勢。在行政保護機制方面，首先應當設置獨立的監(jiān)管機構(gòu)。伊利諾伊州設有“生物識別信息隱私調(diào)查委員會”，印度設有“數(shù)據(jù)保護局”，為解決分散化、多頭化的監(jiān)管機構(gòu)帶來的監(jiān)管難題，我國應當明確網(wǎng)信辦的獨立監(jiān)管地位，并在其內(nèi)部設置“生物識別信息監(jiān)管處”，實現(xiàn)統(tǒng)一監(jiān)管。同時劃清相關(guān)監(jiān)管部門之間的機構(gòu)職責，達到各個部分共同監(jiān)督管理的目的，其次確定相關(guān)機構(gòu)的職權(quán)。同時監(jiān)管機構(gòu)應當根據(jù)不同應用場景的風險設置不同的監(jiān)管方式，通過風險預防為依據(jù)，在對識別信息在各個階段進行結(jié)合，通過行政處罰、行政許可等強制性監(jiān)管方式與行政約談等非強制性監(jiān)管方式的結(jié)合，達到讓其生命周期處于一種動態(tài)的監(jiān)管之中。最后，個人生物識別信息的保護需要專業(yè)能力與技術(shù)能力作支撐，因此應當配置具有行政專長的復合型監(jiān)管人才，并通過聘請專家、顧問等方式彌補監(jiān)管機構(gòu)專業(yè)技術(shù)能力的不足，提升監(jiān)管效能。

在民事保護機制方面，其關(guān)鍵就是打造侵害賠償?shù)捏w系。所以在進行立法時需要規(guī)定識別信息在各個環(huán)節(jié)、不同信息處理主體的法律責任，結(jié)合“隱私風險”確定差異化的法律責任體系。這類侵權(quán)通常都是“程序性違法”，在收集、使用個人生物識別信息之前沒有履行告知義務、取得確定的同意、泄露相關(guān)信息而導致的損害一般也比較難以確定，因此最重要的問題是應該怎么樣明確其他程序性權(quán)利被侵害的結(jié)果。對此可以借鑒域外國家的經(jīng)驗，也就是不但要確立過錯責任原則，同時也需要進行舉證責任倒置，以化解程序性違法行為的損害賠償難題。

刑事保護機制通常被認為是這幾種保護方法中最后的一道關(guān)卡，一般依靠規(guī)定對應的刑罰來做出保護。美國在1989年間確定了身份盜竊這一刑罰，其中牽扯到有意轉(zhuǎn)移或者利用識別信息從事非法活動的舉動，之后在2003年發(fā)布了《身份盜竊處罰增強法》；在韓國，《個人數(shù)據(jù)保護法》內(nèi)“非法處理唯一標識罪”。根據(jù)我國的相關(guān)語意，根據(jù)法律保留以及罪刑法定原則，刑事處罰只能由刑法規(guī)定，所以在損害識別信息到了嚴重地步時，能夠根據(jù)“指引條款”，規(guī)定“侵犯公民個人生物識別信息情節(jié)嚴重，構(gòu)成犯罪的，依據(jù)《刑法》第253條侵犯公民個人信息罪追究刑事責任”。