智能時代個人生物信息安全如何防護

劉義程

隨著社會和科技的快速發展，個人生物信息被廣泛應用于商業領域，但也出現了打著為用戶創造便利的噱頭、過度采集用戶個人生物信息的情況。這些信息一旦泄露，將給個人和社會帶來嚴重損害。但是，縱觀我國現行立法，在個人生物信息安全保護領域還存在一定空白。要做好個人生物信息保護，通過設立專項立法，加大個人生物信息侵權處罰力度。同時，監管部門更要切實履行職責，將網絡市場中的APP 列為重點監管對象，遏制個人生物信息非法采集和濫用。

個人生物信息 “越便捷、越危險”

近年來，個人生物信息得到了更為廣泛的應用，最常見的包括手機指紋解鎖、面容打卡簽到、虹膜解鎖保險柜等，讓社會公眾無需使用密碼即可一鍵完成認證。除傳統領域應用個人生物信息之外，網絡個人生物信息應用更為多元，比如指紋支付、“刷臉” 支付等。這雖然給公眾網絡交易帶來極大便捷，但其中也隱藏著不少安全隱患。一直以來，不少人對生物信息技術使用提出質疑，比如技術是否成熟、隱私是否泄漏等。相比常規個人信息，比如身份證信息、密碼信息等，個人生物信息具有極大的不可控性，以面容生物信息為例，面容生物信息被復制概率較高，任何人走在路上都可能被攝像頭拍攝，從而讓面容生物信息得以保存。同時，社會公眾在朋友圈、微博等平臺 “曬” 照片，也會泄露面容生物信息。倘若面容生物信息被不法分子掌握，利用面容信息進行網絡支付，財產安全難以得到保障。此外，手機號碼信息、密碼信息一旦泄露，社會公眾可以隨時隨地修改，但個人生物信息一旦泄露，并無修改的可能性，即便陷入危險境地，也難以尋求有效的解決對策。因此，在智能時代背景下，個人生物信息安全不僅要由應用者進行維護和保障，社會公眾也要增強保護意識，盡量避免個人生物信息外泄，在面對便捷APP 應用時，多一份警覺就會少一份擔憂。

個人生物信息保護立法還存在一定缺失

早在2018 年，中國消費者協會就曾發布APP 個人信息收集與隱私評測報告，指出100 款APP 中90% 以上存在涉嫌越界、過度收集用戶個人信息的問題，點名批評美圖秀秀APP 涉嫌過度收集可識別生物信息、財務信息等。2019 年，一款名為ZAO 的AI 換臉APP 火爆網絡，鼓勵用戶將影視劇中的演員換成自己的面容，先不論此種行為對肖像權造成的侵犯，其背后更是強制獲取了用戶的面容生物信息，一旦面容數據信息泄露，人臉解鎖、人臉支付等將面臨威脅。但是即便引發如此大的隱私權益討論，該款APP 也只是約談后下架處理。從上述兩個案例可以看出，我國已經存在濫用個人生物信息的現象，并且給用戶個人生物信息安全造成一定隱患。但是，由于我國在個人生物信息保護方面存在一定立法空白，個人生物信息的越界、過度采集行為并未及時得到法律懲處。雖然在我國相關法律法規中，也存在關于個人信息保護的相關規定，但多局限于傳統個人信息保護，而非個人生物信息保護。鑒于個人生物信息有著諸多截然不同的特征，與傳統個人信息保護有著較大差異，應適時出臺個人生物信息保護法，明確禁止企業對個人生物信息的過度采集和肆意使用，即便合理使用也要提前告知用戶，得到用戶的明確授權，并做好個人生物信息采集、儲存、傳輸等保護工作，嚴防個人生物信息泄露，否則應受到法律嚴懲。

善用立法加固個人生物信息防護墻

首先，依法明確個人生物信息屬于私權領域。雖然社會達成普遍共識，將個人生物信息納入私權范疇，但其屬性尚未得到立法確認，應明確個人生物信息的私權屬性，賦予個人生物信息法律權屬和地位，羅列個人生物信息種類，以 “定義+ 列舉” 的方式，比如指紋、面容、虹膜、聲音、體態、健康狀態、DNA 等等，確保個人生物信息保護專項立法涵蓋內容廣泛，做好個人生物信息全面化保護。同時，依法明確用戶有權處理個人生物信息，其他主體只有得到用戶明確授權，方可在授權范疇之內，比如特定時間、特定用途、特定目的下使用個人生物信息。用戶有權撤銷個人生物信息使用授權，而使用個人生物信息的企業也有義務根據用戶要求，及時刪除和清空含有個人生物信息的相關數據。此外，為防控發生個人生物信息泄露風險，企業應在采集個人生物信息12 個月內清除信息，用戶再次使用，需重新授權達成使用協議。值得注意的是，非商業性使用個人生物信息，比如刑事偵查、治安管理、醫療衛生等領域，不應受到用戶授權限制，但依然需要做好個人生物信息保護工作，以適度的方式合理使用個人生物信息。

其次，依法做好個人生物信息法制宣傳工作。既然依法明確個人生物信息屬于私權領域，社會公眾就需要重視個人生物信息保護，政府、企事業單位、院校、社區等要聯合開展個人生物信息法制宣講，告知社會公眾亂用個人生物信息產生的嚴重后果，提高社會公眾的隱私保護意識、法治安全意識，意識到個人生物信息與其他不同，一旦遭遇泄露無法更改，或將造成一生影響，以此提高社會公眾對個人生物信息的保護意識。同時，社會公眾一旦遭遇個人生物信息侵權行為，要善于利用法律武器保護自身合法權益，不要錯誤認為對自身影響不大，而放棄維權行為，讓不法分子逍遙法外。此外，相關部門也要深入到涉及個人生物信息使用的相關企業，尤其是網絡科技型企業，宣講個人生物信息保護條款，要求企業恪守法律紅線，依法使用個人生物信息，否則將嚴懲非法利用個人生物信息謀取利益的行為。除此之外，也應及時發布司法解釋、指導案例，針對涉及個人生物信息侵權案件提高重視，以司法解釋、指導案例的形式，引導各地司法機關正確處理此類案件，更好地維護社會公眾合法權益。

再次，依法強化個人生物信息監督管理職責。在諸多侵犯個人生物信息違法行為中，多數用戶自身并不知情，難以更好地維護自身合法權益，需要依賴監督管理部門的技術優勢，提前消除個人生物信息的安全隱患，防止因企業過度采集和使用個人生物信息，導致信息泄露侵犯社會公眾合法權益。個人生物信息保護專項立法應該詳細規定企業采集和使用個人生物信息的細則，針對涉及個人生物信息采集和使用的企業進行備案管理，定期和不定期地履行監督管理義務，利用技術優勢對企業進行全方位監測，一旦發現越界采集、過度采集、違法采集等行為，應及時約談相關企業，要求企業暫停提供涉及個人生物信息業務，責令進行整改，并根據違法情況給予處罰。同時，針對主觀惡意、非法采集個人生物信息數量眾多、造成嚴重后果的行為，應從重從嚴處理，涉及刑事違法則提交給相關部門，施以重拳打擊非法采集和使用個人生物信息行為。此外，監督管理部門也要暢通舉報投訴通道，設置舉報電話、官方微博、官方微信等，為舉報非法采集和使用個人生物信息的行為提供便利，根據社會公眾舉報認真核實，將最終結果反饋給舉報人，并給予適當獎勵，激發社會公眾舉報和投訴的積極性。

最后，依法明確個人生物信息侵權違法責任。涉及個人生物信息違法行為可能侵犯多重主體權益，涵蓋刑事、民事等法律法規，應根據具體侵犯個人生物信息權益行為進行劃分，根據不同情況予以懲治。在一般情況下，涉及個人生物信息違法行為主要以侵犯用戶個人信息為主，一旦企業存在濫用個人生物信息行為，應依法承擔相關責任，依照相關規定進行嚴肅處理，比如停止侵權行為、公開道歉、消除影響、民事賠償等。同時，企業非法采集或使用個人生物信息，也屬于行政管轄范疇，根據有關規定，主管部門可責令經營主體停業整改、繳納罰金等。此外，也存在侵犯個人生物信息行為造成嚴重后果的情況，或將受到刑法的嚴厲懲罰，比如利用個人生物信息盜取錢財、利用個人生物信息獲取商業秘密等。對于個人生物信息保護，要根據違法行為進行具體分析和規制，確保起到更好的保護效果。