人臉識別中個人生物識別信息的法律保護

蔣淑旭，胡 丹

(甘肅政法大學 法學院，甘肅 蘭州 730000)

科技發展日新月異，“現在有著前所未有的途徑獲取個人信息”[1]。人臉識別技術是在圖像或視頻流中檢測和跟蹤人臉，再基于人的臉部特征信息進行身份識別的一種生物識別技術。[2]在信息化疾速發展的今天，人臉識別技術應用領域和場景廣泛。面部信息屬于個人生物識別信息，與一般個人信息不同，具有唯一性和不可更改性，一旦泄露，對個人造成的損害結果是不可逆的。

一、人臉識別技術對個人生物識別信息保護帶來挑戰

我們早已習慣生活在攝像頭下，享受刷臉認證、刷臉解鎖、刷臉支付等方式為工作、生活帶來的便利，但忽視了人臉識別技術一旦濫用、失控，便會對公民個人信息安全、隱私保護帶來前所未有的挑戰。

(一)規制人臉識別技術的原因

1.侵犯方式的隱蔽性

人臉識別技術能夠在我們沒有感知、非接觸、未經同意的情況下采集面部信息，只要開始使用人臉識別技術，就會有一雙眼睛隨時盯著你我，而我們卻無從知曉，也幾乎無法意識到我們的隱私可能正在被侵犯。2019年5月，美國舊金山通過法案禁止包括當地警方在內的53個政府部門使用人臉識別技術。法案提議人佩斯金表示不反對人臉識別技術，但要確保安全和負責任地使用并允許公眾參與決策。

2.侵犯后果的不可逆性

面部是“行走的密碼”，一旦泄露，我們無法對其重置。2015年6月，黑客入侵美國聯邦人事管理局系統，超過2200萬美國人的個人敏感信息被盜；2018年3月，Facebook被爆超過5000萬的用戶個人信息泄露。一系列大規模信息泄露事件對我們個人和社會造成的損害后果是無法挽救的，警醒我們必須對技術進行規制。技術沒有立場，但使用該項技術的人卻是有立場的。在生活中已出現利用該技術進行違法犯罪的情形，如：張某等人利用軟件將公民頭像照片制作成3D頭像通過支付寶人臉識別認證進行非法獲利。不敢想象如果在仿真機器人中嵌入生物識別信息會怎樣？技術一旦失控不僅嚴重影響公民個人權利，泄露公民隱私，還可能會危害社會穩定和國家安全。

3.公民的自我決定權

個人信息中的個人生物識別信息屬于隱私中的私密信息，應同時受到個人信息權保護和隱私權保護。信息性隱私權是指他人所享有的對其個人信息、能夠被識別的個人信息的獲取、披露和使用予以控制的權利。[3]德國法院在1983年“人口普查案”中，首次在判決中提出“信息自決權”，信息自決權強調任何公民的個人信息不能被隨意的收集和處理，需要尊重公民的“自決”。[4]信息性隱私權和信息自決權都強調主體對個人信息享有自主控制和支配的權利?！爸袊四樧R別第一案”讓我們意識到，無論是“收集、處理他人的私密信息”，還是“收集、處理自然人個人信息”，都應當賦予公民對個人生物識別信息自我決定權，即公民個人有權自主決定其個人生物識別信息是否被收集、公開、利用及其使用方式。

(二)規制人臉識別技術的意義

“無隱私即無自由”[5]，絕不能讓“隱私換取便利”成為常態。[6]我國目前對人臉識別技術的規制已滯后于現實發展，我們需要冷靜思考如何讓技術具有可控性，如何引導技術向善，依法合規使用，真正發揮技術優勢。

1.有利于厘清國家權力與公民權利的邊界

公權力機構利用人臉識別技術采集公民面部信息是否有法可依？根據《居民身份證法》第三條規定，公安機關有權采集公民相片和指紋信息等。而相片和面部信息存在區別，面部信息需要通過人臉識別技術對相片或者面部提取。為了公共安全需要，將人臉識別和隨處可見的攝像頭結合，是否形成了對公民的全方位監控？清華大學勞東燕教授曾發文表示“不想成為透明人”，在全方位監控之下，我們還有隱私嗎？即使公安機關可以在刑事偵查中利用人臉識別技術，但并不意味著其可以無限制地使用，應該把保護公民的個人信息和隱私放在首位，需要以嚴格程序與限定條件來規制技術應用。

2.有利于尊重和保護公民個人隱私

以人為本的科學發展觀，要求技術的研發與使用都必須尊重和保護公民的個人隱私與個人信息安全，否則便喪失了研發技術的初心。收集面部信息必須基于正當目的和明確告知風險，要在公民知情并明示同意的前提下采集，尊重公民的自我決定權。

3.有利于規范收集、存儲、使用等程序

人臉識別技術是新興技術，在收集、保管和使用面部信息等各個環節都存在諸多問題。合法性是公權力機構采集面部信息的前提，同時對面部信息的采集也要遵循比例原則。對人臉識別技術進行法律規制，能夠使公權力主體和私權利主體在獲得法律授權之后，對面部信息的采集基于正當目的，不得向任何人出售、泄露相關信息，否則將受到法律嚴懲。明確人臉識別技術在收集、存儲、使用等程序上應遵守的邊界、目的、原則和方法。

4.有利于規范人臉識別技術的應用場景

當前人臉識別技術應用廣泛，是否所有領域都能使用人臉識別技術還有待商榷，對于應用場景也需謹慎選擇。對于北京地鐵應用人臉識別技術對乘客實行分類安檢，我們不禁思考：其分類依據、標準是什么？是否存在歧視？公民如何獲得救濟？分類安檢是否違反平等原則？片面強調使用人臉識別技術以提高乘客的通行效率是否真的能夠實現最小成本獲取最大利益？北京西城區某小區將人臉識別技術運用到垃圾分類，通過識別垃圾袋上的二維碼便可準確定位是哪戶家庭的垃圾。通過垃圾也可以了解一個人、一個家庭的生活習慣、消費習慣、飲食喜好等，掌握一定的個人信息。這些應用場景是否真的有必要呢？

二、比較視角下對個人信息的法律保護

使用人臉識別技術，必然會采集個人面部信息，而一旦生物識別信息泄露，可能會侵犯人們的信息自決權、安寧生活權。如今，對個人信息的保護和監管已成為全球性問題，是各國立法關注的焦點。目前主要有兩種立法模式，美國的專門立法模式和歐盟的統一立法模式。

(一)美國的專門立法模式

1.重視個人隱私權

美國對個人信息的保護，主要通過對隱私的保護來實現，其是世界上第一個通過法律來保護隱私的國家。如：1974年頒布的《隱私法案》、1986年頒布的《電子通訊隱私法案》、1988年先后頒布《電腦匹配與隱私權法》及《網上兒童隱私權保護法》。其中，1974年的《隱私法案》最為核心，對政府如何收集和開放個人信息、信息主體的權利、政府機關的義務、民事救濟措施等作出了較為詳細的規定。

2.各州立法針對性強

2008年，伊利諾伊州議會通過《生物識別信息隱私法》(簡稱BIPA)，該法案通過專門立法規范“私人實體”對個人生物識別信息的處理行為，包括信息的采集、應用、處理、儲存、披露和銷毀行為，以保護個人生物識別信息權。此外，BIPA還規定了以下內容：(1)妥善保管及銷毀；(2)書面授權及告知義務；(3)不得泄露及牟利；(4)權利侵害訴訟及賠償。2017年，加利福尼亞州頒布《加州生物信息隱私法案》對生物信息進行細化，要求初次收集面部數據需要遵循“知情同意原則”。

舊金山市和薩默維爾市于2019年先后通過了《停止秘密監視條例》和《人臉識別全面禁止條例》，成為美國率先禁止使用面部識別技術的城市。此外，美國在2019年還出臺了一系列法案，如佛羅里達州的《生物識別信息隱私法案》，要求私主體使用生物識別信息時，需要獲得數據主體的授權并妥善保管信息；華盛頓州的《華盛頓隱私法案》賦予消費者對個人數據享有訪問權、更正權、刪除權、限制處理權、可攜帶權等權利。

(二)歐盟的統一立法模式

1.強調公民人格尊嚴不受侵犯

歐盟個人信息權的核心在于保護公民人格尊嚴不受侵犯。其采用統一立法模式，將不同種類、級別、性質的個人信息納入統一的個人信息保護法之下，將行政、民事以及刑事法律的保護措施集為一法，[7]80且對歐盟各成員國都具有法律拘束力，可轉化為各成員國國內法或者直接適用。

2.對個人信息保護標準最為嚴格

2016年，歐盟先后通過了《一般數據保護條例》(簡稱：GDPR)以及《2016 年刑事犯罪領域個人信息保護指令》。該《指令》從刑事犯罪角度出發，對各成員國公共機構提出了處理個人信息的必要限制，以平衡保護個人信息權利和保障公共安全的實際需要。[8]

史上最嚴的《一般數據保護條例》是歐盟保護個人信息的核心法律，主要適用于個人數據處理以及用戶畫像的非自動個人數據處理，并對數據控制者、處理者、運營者的責任和義務作明確規定。根據GDPR第四條第十四款規定，“生物特征數據”是通過對自然人的身體、生理或行為特征進行特定技術處理得到的個人數據，構成識別該自然人的獨特標識，包括人臉圖像。面部圖像在通過人臉識別技術的應用下固化為個人數據后，具有隱私的特征，不得未經主體授權被公開、使用、儲存、傳輸等。根據GDPR第九條第一款規定，生物特征數據屬于特定類型個人數據，企業收集個人數據必須基于明確、合法目的，除某些特殊情況外，不得處理該類數據，對該類數據的商業應用只能基于數據主體同意。

通過對比兩種立法模式，我們發現：美國的專門立法模式，讓各州有權根據自身特殊情況制定與其社會經濟發展相適應的法律，立法針對性較強，訴訟保護方便，更有利于平衡人臉識別技術的發展與對生物識別信息安全的保護。歐盟的統一立法模式，保護層級清晰，具有系統化的保護效果，更利于歐盟各國的統一保護并解決數據境外傳輸中統一標準的問題。但專門立法保護模式在保護方法、保護措施上較為單一，具有局限性；統一立法模式以行政法律保護方法為主，同時結合民事訴訟救濟以及刑事制裁的規定，方法更為全面。[7]82

三、歐美立法模式對我國的啟示

雖然兩種立法模式都有可資借鑒之處，但如何完善我國對個人生物識別信息的相關立法，需結合我國國情以及社會經濟發展狀況進行探討。

(一)我國立法現狀

我國目前對于個人信息及隱私保護的規定散見于法律法規、規范性文件中，并沒有統一、專門的立法。

首先，是憲法層面對個人信息保護的規定，第三十八條規定的公民人格尊嚴權不受侵犯和第四十條規定的公民通信自由和通信秘密權為保護個人信息提供憲法支撐。

其次，是法律層面對個人信息保護的規定，《民法總則》《侵權責任法》《網絡安全法》等多部法律涉及到對個人信息的保護。此外，《個人信息保護法》(草案)對個人信息進行專門立法以及《民法典》(草案)第四編第六章對隱私權和個人信息權保護也作了專章規定。雖然都將生物識別信息納入個人信息保護范疇，但并未對個人生物識別信息作出進一步分類及細化。

最后，法規、規章、規范性文件對個人信息保護也有規定，如：《外國人入境出境管理條例》《互聯網個人信息安全保護指南》《信息安全技術 個人信息安全規范》(2017版)等。其中新修訂的《信息安全技術 個人信息安全規范》(2020版)對個人信息保護作出較全面地規定，但其僅為推薦性國家標準，不具有強制效力。[9]

可見，我國對個人信息保護雖有法可依，但現有立法仍存在不足：首先，關于生物識別信息的立法較為碎片化，散見于其他領域的立法條文中。且條文規定過于抽象，沒有詳盡的、專門性的針對生物識別信息的收集、儲存、保管、傳輸等一系列程序的規范立法。其次，法律法規之間銜接不夠，缺乏有效救濟途徑。如何保護特殊敏感個人信息沒有法律依據，使得法律治理滯后于信息技術的發展。最后，我國缺乏專門的政府部門來對個人信息應用過程進行監管以及相關懲處措施。

(二)完善對個人生物識別信息的保護路徑

1.制定《個人生物識別信息保護法》

我國《個人信息保護法》(草案)雖對個人信息的保護原則、信息業者、政務信息部門的行為作了詳盡規定，但未對個人生物識別信息進行專章規定，宜進行專門立法。一方面，結合我國《信息安全技術 個人信息安全規范》(2020版)和《信息技術安全技術 生物特征識別信息的保護要求(征求意見稿)》中對個人敏感信息的界定、采集、存儲、傳輸等內容，將一般個人信息與特殊敏感個人信息進行區分，對特殊生物識別信息結合人臉識別技術作特殊法律規定。另一方面，借鑒歐美立法，如：人臉識別技術的應用主體及相關權利，設定數據控制者、處理者以及監管機構的義務和責任等。

2.銜接法律規范，完善救濟途徑

考慮三大訴訟機制與《個人生物識別信息保護法》銜接，對于侵犯個人生物識別信息的情形、舉證主體、投訴部門、民事賠償義務機關、刑事追訴對象等分別作出明確規定。如：在民事案由中增加侵犯個人信息權，進一步分為一般個人信息權和特殊敏感個人信息權；在刑事犯罪方面，可以增加非法獲取公民個人信息罪下的特別法條，非法采集、使用、傳輸、泄露、處理個人生物識別信息罪等；在行政方面，可以增設公權力主體不當處理個人生物識別信息等行為給信息主體造成損害的訴訟以及信息主體有權向監管機構提出控訴。

3.設立專門的政府監管部門

我國工信部、公安部、網信辦等部門雖然對人臉識別技術規制和生物識別信息保護都有責任，但目前各部門僅對其各自負責的領域進行監管，并未對人臉識別技術作專項管制。我們可以借鑒域外立法經驗，對個人信息以及個人生物識別信息的保護設立專門的、獨立的行政監管機構，明確監管機構的名稱、組織、工作原則、職權、責任。該獨立監管機構依照《個人生物識別信息保護法》及相關法律法規對公權力主體和私主體在應用人臉識別技術過程中的從采集到刪除信息等一系列行為進行嚴格監管。

四、結語

人臉識別技術應用的最大挑戰是如何對個人生物識別信息進行保護，這是全球面臨的挑戰。通過借鑒域外先進立法經驗，結合我國國情，對我國在個人生物識別信息的保護上進行專門立法。借鑒國際通行的生物識別信息保護原則、信息主體權利、政府監管責任、信息控制者義務等規定，實現規制人臉識別技術、保障個人生物識別信息與國家安全利益、社會經濟發展之間的平衡。