湖南工商大學法學院 李玥

一、問題的提出

人臉識別屬于現階段辨別個人身份信息的一項新型技術。人臉識別技術以非接觸性、主體唯一且不易復制為主要特征，它無須攜帶、易于采集、成本低廉，信息采集者利用普通攝像頭等裝置，運用面部識別的軟件和相關算法，不需要接觸就可以進行面部信息的抓取與存儲。然而，新技術背后存在的問題也在日漸凸顯。2019年一款換臉軟件在朋友圈、微博等各大社交媒體平臺迅速刷屏，用戶只需要提供一張正臉照片，就可以實現與各種視頻中的人物進行換臉。但是，在短短三天內這個APP就因種種問題被迫下架。2019年10月,出現了人臉識別這項技術無法有效區(qū)別取件者本人和個人照片，導致快遞被他人利用照片取走的問題。2021年3·15晚會爆出，多家公司通過監(jiān)控攝像頭獲取到店消費者的面部數據，進而對收集到的數據展開分析和處理。2021年4月9日，“國內人臉識別第一案”二審宣判，受到了各個階層對這一項識別技術產生的問題的極度重視。這種生物識別技術通過和相應的技術進行結合起到作用，這也就改變了個人生物信息的不可復制性和不可變更性。人臉識別的非接觸性也讓個人信息侵權問題更容易發(fā)生。相對于其他個人信息，人臉識別技術應用下的存儲、傳輸中存在嚴重的隱私侵權和安全風險，通過這項技術采集到的信息非常容易別他人利用，假如這類問題出現，就可能會對信息主體造成永久性傷害和難以彌補的損失。

二、我國個人生物識別信息保護立法現狀

我國目前對于個人生物識別信息，相關法律提及到的有《身份證法》《刑法》《刑事訴訟法》《民法典》《消費者權益保護法》，以及《外國人入境管理條例》《保安服務管理條例》《征信業(yè)管理條例》等行政法規(guī)，此外還包含了部分效力不高的規(guī)章或一些規(guī)范性文件。按照《居民身份證法》《刑事訴訟法》《外國人入境管理條例》《公安機關辦理行政案件管理規(guī)定》等法律規(guī)定，公安機關可以在身份證管理、出入境管理、辦理行政案件、刑事案件內通過指紋等各種識別技術展開工作，如果泄露將承擔行政處分、追究刑事責任。同時，采用確定相關主體所具有的權利義務和責任對其相關的識別數據展開保護。從《民法典》中可以了解到，對于個人數據如果進行處理的相關原則，以及相應的權利和義務內容的確立等；在刑事領域，采用確立侵害他人信息的刑事規(guī)定來對識別信息展開保護，其中比較有代表性的是在《刑法》中規(guī)定的與侵害他人信息罪相關的內容。還有就是確立相關識別數據在采集、分析以及使用等各個過程中的規(guī)定。相對集中在信息管理領域，《網路安全法》規(guī)定了網絡運行者收集、使用個人信息的規(guī)則，網絡運行者、網絡監(jiān)管人員以及其他組織和個人不得利用個人信息從而向他人進行非法交易或獲取等內容。另外，我國立法也發(fā)現了生物識別數據和個人信息有一定的差別，從而對生物識別信息做出了相關的特殊規(guī)定。還應該要引起關注的是在2020年三月份發(fā)布的《信息安全技術個人信息安全規(guī)范》中，特別規(guī)定了對于識別信息的采集和保存，確定了不能保存初始圖片信息。

結合上述表明，在我國雖然已經有了關于個人信息在生物識別這一塊的相關規(guī)定，但是立法相對而言比較不集中，沒有辦法實現保護相關信息的目的，面臨著以下問題：第一，獨特屬性未突出，針對性規(guī)定缺失。第二，立法理念不明確，表達不清晰。第三、實際內容不清晰，還沒有建立其系統(tǒng)的保護。第五，保護的對象較為狹隘，適用主體較為單一。

三、我國個人生物識別信息保護完善建議

（一）確立個人生物識別信息保護的特殊法律原則

由于個人生物識別信息保護這也是一個較新的模塊，因此對其的立法過程中，確定了特別的法律原則，由于其涉及到多重利益關系，尚無成熟的立法經驗，如果過于冒進或者退縮都可能帶來負面影響，所以要依靠立法原則來對引領其立法以及適用提供一定的幫助，并且還能夠有利于解決法律漏洞，增加法律條文的彈性與包容性。在遵守法律規(guī)定的同時，依據識別信息的獨特屬性，還需要確立相應的特殊原則。應當注重“充分信息保護基礎上的有限開發(fā)利用”的立法理念，參考各國經驗，做出下述特殊原則：第一、禁止原則，處于保護信息安全的目的，除非法律允許，在原則上就不允許以識別面部為目的而進行的采集、保存、傳輸、分析、利用或者泄露相關信息。第二、明示同意原則，在不違法的前提下，對生物識別信息進行采集前，需要特別的向被收集者說明做出采集識別信息的相關目的以及方式和保存時長等，必須獲得信息主體的明示同意。三是法定必需原則。只有在有法律明確規(guī)定的前提下，才能夠無需獲得被采集者的同意而對其識別信息進行處理。法定情況時，需進行風險評估，且應當符合“比例原則”的要求。綜合來看，下述情形可考慮作為法定情形：為履行工作職責必需；為實現實質性的公共利益與維護公共安全必需；對于被采集者或其他公民的核心利益必需；協會、基金或其它非盈利組織已經采取了恰當的保護措施而進行的正當性活動必需；對于預防性醫(yī)學或臨床醫(yī)學目的必需等。

（二）采用個人生物識別信息的綜合立法模式

對個人生物識別信息的保護在進行立法的過程中所利用到的、和調節(jié)范圍相關的法律形式也被成為立法模式。這一模式對于達成信息保護的目的有著非常重要的影響，是立法過程中最應該處理的關鍵問題。這一立法模式的選擇需要在結合其出現原因，發(fā)展歷程以及實際困難的前提，再基于我國的立法習慣，實際需要和法制演變現階段的情況等做出中和的判斷，在對于大眾的發(fā)展以及個人的保護之間找到最佳的平衡。從我國信息立法的傳統(tǒng)與發(fā)展趨勢看，都是通過綜合立法這一模式，和專門立法模式進行比較，它更有助于解決中國分散立法存在的問題：一是綜合立法模式層級清晰體系完整。對于生物識別信息采取的立法保護也是歸納在了個人信息保護的系統(tǒng)之中，通過綜合立法可以在更加清楚個人信息保護的情況下，確立對于識別信息的保護，進而實現個人信息保護法律體系的完整性。二是保護方法和措施較為系統(tǒng)。一方面綜合立法模式不局限于單一領域，對識別信息的保護有著更高的適用性。并且保護方法與保護措施更為全面，包括行政法保護、民事救濟以及刑事制裁等領域。三是綜合立法模式有利于法律適用。個人生物識別信息在體系上不僅要符合一般個人信息在各個環(huán)境的基本理念和規(guī)則，也需要遵循其特殊的規(guī)則。綜合立法模式有助于實現一般個人信息與特殊個人生物識別信息的體系協調，避免分散立法引發(fā)的體系違反，便于法律適用。

（三）設置多元化保護機制

為實現保護的充分性，需要從刑事、行政等多個方面一起打造相關的保護體系。和民事以及刑事相比較，行政在保護機制方面有著預防、高效便捷等優(yōu)勢。在行政保護機制方面，首先應當設置獨立的監(jiān)管機構。伊利諾伊州設有“生物識別信息隱私調查委員會”，印度設有“數據保護局”，為解決分散化、多頭化的監(jiān)管機構帶來的監(jiān)管難題，我國應當明確網信辦的獨立監(jiān)管地位，并在其內部設置“生物識別信息監(jiān)管處”，實現統(tǒng)一監(jiān)管。同時劃清相關監(jiān)管部門之間的機構職責，達到各個部分共同監(jiān)督管理的目的，其次確定相關機構的職權。同時監(jiān)管機構應當根據不同應用場景的風險設置不同的監(jiān)管方式，通過風險預防為依據，在對識別信息在各個階段進行結合，通過行政處罰、行政許可等強制性監(jiān)管方式與行政約談等非強制性監(jiān)管方式的結合，達到讓其生命周期處于一種動態(tài)的監(jiān)管之中。最后，個人生物識別信息的保護需要專業(yè)能力與技術能力作支撐，因此應當配置具有行政專長的復合型監(jiān)管人才，并通過聘請專家、顧問等方式彌補監(jiān)管機構專業(yè)技術能力的不足，提升監(jiān)管效能。

在民事保護機制方面，其關鍵就是打造侵害賠償的體系。所以在進行立法時需要規(guī)定識別信息在各個環(huán)節(jié)、不同信息處理主體的法律責任，結合“隱私風險”確定差異化的法律責任體系。這類侵權通常都是“程序性違法”，在收集、使用個人生物識別信息之前沒有履行告知義務、取得確定的同意、泄露相關信息而導致的損害一般也比較難以確定，因此最重要的問題是應該怎么樣明確其他程序性權利被侵害的結果。對此可以借鑒域外國家的經驗，也就是不但要確立過錯責任原則，同時也需要進行舉證責任倒置，以化解程序性違法行為的損害賠償難題。

刑事保護機制通常被認為是這幾種保護方法中最后的一道關卡，一般依靠規(guī)定對應的刑罰來做出保護。美國在1989年間確定了身份盜竊這一刑罰，其中牽扯到有意轉移或者利用識別信息從事非法活動的舉動，之后在2003年發(fā)布了《身份盜竊處罰增強法》；在韓國，《個人數據保護法》內“非法處理唯一標識罪”。根據我國的相關語意，根據法律保留以及罪刑法定原則，刑事處罰只能由刑法規(guī)定，所以在損害識別信息到了嚴重地步時，能夠根據“指引條款”，規(guī)定“侵犯公民個人生物識別信息情節(jié)嚴重，構成犯罪的，依據《刑法》第253條侵犯公民個人信息罪追究刑事責任”。