個人生物識別信息法律保護研究

妥英軍，馬琳潔

（1.甘肅省科學技術情報研究所，甘肅 蘭州 730000；2.廣東財經大學法學院，廣東 廣州 510320）

2021 年4 月9 日，“郭兵與杭州野生動物世界案”二審公開宣判，二審在原判決刪除郭兵辦卡時提交的包括照片在內的面部識別信息的基礎上，增判野生動物世界刪除郭兵辦理指紋年卡時提交的指紋識別信息。此次“人臉識別第一案”，將近年來逐漸出現在大眾視野中的人臉識別技術的應用問題引發了人們的思考。雖然，我國民法典已將生物識別信息納入人格權編，但并未直接規定對于生物識別信息的保護。由于法律規定的不明確，人臉識別第一案中只能依據《消費者權益保護法》中的合法、正當、必要的原則進行審判，同時也加劇了司法裁判的難度。如何讓公眾擁有個人生物識別信息采納的選擇權，以及對于個人生物識別信息的收集主體、應用場景、監管機制等，都是在應用個人生物識別技術時必須要考慮的[1-2]。

1 個人生物識別信息概述

1.1 個人生物識別信息的概念

關于生物識別信息的概念，至今為止國內外并無準確定論。維基百科中對于“生物識別技術”（biometrics）的定義為：“是指用數理統計方法對生物進行分析，現在多指對生物體本身的生物特征來區分生物體個體的計算器技術。”列舉了研究領域主要包括：“聲音、臉、指紋、掌紋、虹膜、視網膜、體型、個人習慣（例如敲擊鍵盤的力度和頻率、簽字）等。”在我國現行法的條文中，也有著“生物識別信息”的表述，其中列舉了“肖像、指紋、視網膜、聲音等”，但立法中并無對于生物識別信息的準確定義[3]。

《生物識別信息的保護要求》（征求意見稿）中提出，目前屬于我國國家技術規范范圍內規定的“生物識別信息”包括個人基因、指紋、聲紋、掌紋、耳廓、虹膜、面部特征七種。根據個人生物識別信息需經過技術處理的特點，結合上述，文章所指“個人生物識別信息”可歸納為：個人基因、指紋、聲紋、掌紋、耳廓、虹膜、面部特征等基于人類生物屬性的獨特生理、行為特征，經過特定技術處理后，用于識別個人的信息。

1.2 個人生物識別信息的特征

個人生物識別信息首先具有個人信息的一般特征，但又并不與“姓名”等個人信息性質相同。（1）特定技術處理性。個人生物識別信息是經過技術處理的，具有“特定技術處理性”，如果不經處理，指紋、肖像等僅僅只是依附于身體的實體存在，而并不能認定為是個人信息。只有在特定技術處理后，個人生物識別信息才存在采用、儲存等問題。（2）易采集性。日常生活中用攝像頭即可實時采集面部信息，而無需配合。由于其隱蔽性強，非常適用于安保、罪犯監控與抓逃。而個人基因、聲紋等生物識別信息同樣可以被秘密收集。（3）唯一性。個人生物識別信息由于人類身體與生俱來的獨一性，具有“唯一性”的特征。這一特征使得個人生物識別信息能夠精準確定到某個個體，除去手術等其他外界因素，是唯一的，不可替換的。（4）不可變性。個人生物識別信息還具有“不可變性”，比起其他個人信息，包括“姓名、電話”等，在受到損害后可以進行改變。但對于人類而言個人基因、指紋、面部等通常情況下不會發生變化，包括手術等其他外界因素進行整容、改變虹膜等，都存在改變后不可逆的性質。個人生物識別信息還包括“非接觸性”“不易察覺性”等特征[4-6]。

1.3 個人生物識別信息保護的重要性

首先，由于個人生物識別信息所具有的唯一性和不可變性的特征，如不對個人生物識別信息進行保護和技術監管，將對個人信息安全以及國家公共安全帶來不可逆的危害。如近期上海檢方公訴的一起涉案金額超5 億元的虛開發票案，犯罪嫌疑人就通過人臉識別破解術，從他處以30 元每個的價格購買他人的高清頭像和身份證信息，之后利用“活照片”APP 對高清頭像進行處理，讓照片“動起來”，形成包括點頭、搖頭、眨眼、張嘴等動作視頻。從事虛開發票、注冊新賬號騙取各類APP 補貼優惠等違法犯罪。其次，對于個人生物識別信息的保護有利于限制國家濫用權力，損害公民權利。在公權力為維護國家安全及社會穩定的基礎上，對于公民個人生物識別信息進行采納，但此權力并非毫無邊界。如同刑事訴訟法中的技術偵查措施，個人生物信息識別技術還需要嚴格的法定程序和條件進行規制。實現公權力與個人權利的平衡。最后，隨著個人生物識別信息在政務、國防、生活支付等行業的廣泛應用，其前景十分廣闊。對于個人生物識別信息保護有利于個人生物信息識別技術的穩步推進，加強監管與控制后，將其應用于必要的場合，可以在多領域發揮良性作用。

2 個人生物識別信息所面臨的法律挑戰

2.1 生物信息識別技術尚不成熟

由于目前法律對于生物識別信息的采集未明確規定，政府、社區、公司等均可以安裝如人臉識別等個人生物信息識別技術。而生物識別信息的采集精確性和儲存安全性都存在著隱患。

面部識別包括臉部圖像采集、臉部定位、臉部辨識預處理、身分確認以及身分尋找等；而狹義的臉部辨識特指通過臉部進行身分確認或者身分尋找的技術或系統。基于面部辨識技術目前還不能十分精確、缺乏既定道德標準、有侵入性，以及政府很容易濫用這項技術。因此，在美國已有舊金山、麻省薩默維爾、奧克蘭等三個城市禁止公共場所使用面部辨識。美國國家標準技術研究所(NIST)的一項研究表明，不同開發者算法也并不相同。目前，商用人臉識別技術還不成熟，女性、年輕人和部分人種群體的識別失誤率較高。

對于生物識別信息的存儲技術也同樣存在著問題。大數據時代下，生物信息識別技術的使用者對于信息儲存的安全問題并不重視，儲存技術的不完善導致大量公民信息的泄漏和竊取。有調查顯示，在淘寶等平臺上就有販賣人臉數據的店鋪，標價0.5 元一份。公安部發布數據顯示，2020 年破獲竊取、販賣人臉數據案件22 起，抓獲犯罪嫌疑人60名。可見，對于生物識別信息的采集和儲存都存在著安全隱患，生物信息識別技術有待完善。

2.2 監管主體缺失

目前在我國現行法中，并未對于生物識別信息的審批監管機構作出明確規定，實踐中也缺乏對于個人生物識別信息保護和監管的機構。在之前走紅的ZAO 融合生成換臉手機應用中，其軟件用戶協議規定，肖像權利人同意授權給該公司及其關聯公司，并可免費使用和修改。針對媒體和公眾的曝光，工業和信息化部網絡安全管理局僅對該公司進行了問詢、約談、整改。2020 年11 月，“戴頭盔看房”售樓處人臉識別分流客戶事件曝光后，南京市相關部門發布通知，拆除當地售樓處人臉識別系統。但“相關部門”為何部門，由誰監管，并未說明。相似的事件發生在浙江，2021 年5 月兩起售樓處擅自使用人臉識別技術案件，浙江當地市場監管部門依據《消費者權益保護法》等規定，處以萬元罰款。在近日廣東發布的《廣東省社會信用條例》中規定，對于有采集禁止采集的個人信息或未經同意采集個人信息的行為，由“縣級以上人民政府社會信用主管部門”或“法律法規規定的部門”責令整改。總之，法律和實踐中并無對于個人生物信息識別技術的審批、保護和監管的統一專門機構，使得市場得以隨意采集和使用。

2.3 總體立法存在疏漏

目前，我國法律對于生物識別信息的保護，總體上還存在著許多空白和疏漏。在“郭兵案”和浙江售樓處擅自使用人臉識別技術的案件中，都是依據《消費者權益保護法》中的原則性規定。而對于公民的個人生物識別信息的定義以及享有的權利，并無規定，特別是公民對于個人信息的同意權尚未在法律中受到重視和保護。雖然，去年以來，我國出臺了許多相關規定。如《信息安全技術個人信息安全規范》《個人信息保護法（草案）》征求意見稿的發布，以及部分省出臺的相關條例，可以看出我國針對個人生物識別信息的相關法律并不健全，且對于公權力收集個人信息并無限制。個人生物識別信息作為一種特殊的個人信息，與公民的隱私權、財產權、基本人權都有著重要的關系。所以，個人生物識別信息需要多部門法律，如民法、刑法、行政法或專門性保護法律等進行具有強制執行性的保護。對于個人生物識別信息的法律屬性進行明晰，法定明確審批監管部門，建立對于生物識別信息保護的法律體系，才能防止個人生物識別信息的任意采集、濫用和販賣，在發生此類事件時有法可依。

3 個人生物識別信息法律保護路徑

3.1 完善個人生物識別信息立法保護

采用專門立法保護模式。目前各國對于生物識別信息保護的立法模式可大致分為專門立法保護模式，如美國伊利諾伊州、德克薩斯州、馬薩諸塞州等地區制定或正在制定出臺的生物識別信息隱私法案。由于我國目前尚無全面的個人生物識別信息保護的法律制度，個人生物識別信息又有特殊的性質和廣闊的發展前景，應采取制定專門的《個人生物識別信息保護法》，結合目前出臺的國家標準《人臉識別數據安全要求》征求意見稿等，健全和細化規定其法律性質、使用范圍、數據保存期限、審批流程、監督機構的義務和責任以及損害后救濟等，還可以細化政企分離的差異化制度。作為特殊法，遵循上位法的基本原則，形成多層級的法律保護機制。

銜接上位法，形成法律規范體系。在目前我國尚未出臺對于個人生物識別信息的全面規定和專門的個人生物識別信息保護法，應當發揮現有法律作用，在民法、刑法、行政法中制定相應規定進行銜接。在民法中確定個人生物識別信息的人身性和財產性，明確個人對于自身生物識別信息的同意權和刪除權等基本權利，并制定相應的法律救濟規定。在刑法中制定過度使用、濫用、泄露和販賣等，不正當使用個人生物識別信息的罪名以及相應的刑罰。在行政法中規定設立專門的審批和監督機關，未經審批不得安裝個人生物信息識別技術，在公權力或其他組織濫用權力時可以向監督機關進行舉報。三大基本法與專門法相結合，以完善個人生物識別信息的法律保護體系，彌補目前存在的法律空白。

3.2 建立專門的行政審批監管部門

在目前發生的案件中，我國工信部、市場監督管理局、網信辦等都對個人生物信息識別技術的管制承擔了一定的監管職責，但管制范圍和權責并無明確的規定，存在多頭管理或無人管理的現狀。在個人生物信息識別技術飛速發展的情況下，此種監管方式已無法適應，需建立專門的個人生物識別信息的行政審批監管部門。美國、歐盟、印度等都在法律或法案中確定了行政監督機構，以監督個人生物識別信息的法律法規、行政救濟及對于主體的審查登記進行嚴格監管。

4 結語

大數據時代背景下，個人生物識別信息的發展對于公民、社會和國家都具有著重要的意義。個人生物信息識別技術會愈來愈成熟，虹膜、聲紋等在未來的科技發展中也會運用更廣。如何實現“科技向善”，保護公民個人信息是我國以及其他國家都面臨的最大挑戰。我國目前正在積極出臺相關政策和法規，通過借鑒域外立法經驗，結合我國國情，在制定專門立法的同時結合上位法，形成完善的個人生物識別信息法律保護體系，定會實現規制個人生物信息識別技術、保障個人生物識別信息與國家安全利益、社會經濟發展之間的平衡。