雇員生物識別信息法律保護的主體性視角重構

魏廣萍

摘? ? 要：雇員生物識別信息具有敏感性、專屬可辨識性、濫用危害性大、需弱勢保護等特征，對雇員生物識別信息保護是保護雇員勞動權的應有之義，具有保護雇員人格、財產、就業平等的價值。雇員生物識別信息保護面臨風險，包括合理期待與勞資協商的矛盾，雇員生物識別信息收集濫用，域外出現雇員生物識別信息損害認定差別化。通過比較法研究，雇員生物識別信息規范缺乏特殊性，專門立法缺乏具體適用的可操作性，雇主行為的規制法律供給不足，法律責任的嚴格性有待提升。本文基于共同體時代的權利義務沖突與主體性視角，建構雇員生物識別信息保護的制度規范和治理機制。雇員生物識別信息保護需要明確遵循知情同意、告知、協商保密、最小必要的指導原則，完善立法方式和標準立法化，引入勞動監察的行政監管治理機制。

關鍵詞：雇員;生物識別信息;主體性;立法;勞動監察

中圖分類號：D 913? ? ? ? ? 文獻標識碼：A? ? ? ? ? ? ? 文章編號：2096-9783（2021）05-0065-10

一、問題的提出

近年來，雇員生物識別信息收集及濫用問題逐漸凸顯。隨著生物識別信息收集的自動化程度提高，對DNA樣本、虹膜或視網膜掃描、聲音記錄、走路步態、手指打字模式、3D面部掃描和其他形式的手部幾何數據等生物識別信息收集愈加便利化[1]。目前生物識別技術逐漸在工作場所推廣應用，比如，運用虹膜識別技術對員工進行考勤。傳感技術、識別技術、智能監控市場等發展已經超越初級的職場監控，使雇主獲取雇員生物識別信息的頻率增多、信息收集便利增強，強化了雇主對勞動過程進行指揮監督。同時，雇員生物識別信息收集帶來雇員個人信用、身份確認、信息泄露、詐騙等法律風險。比較法上關于雇員生物識別信息保護話題的討論較多，歐盟發布生物識別技術應用的指導意見，美國各州也相繼出臺了生物識別信息保護法案，加強對組織收集個人生物識別信息的規范1。相對于他國對生物識別信息保護的重視程度，我國實踐中也出現了基于雇員生物識別信息的爭議問題。2006年，我國香港地區雇主為減少員工代打卡行為，未經雇員同意使用其指紋作為考勤，雇主因此侵犯了雇員的指紋隱私[2];2014年，出現員工拒絕單位采集指紋被解雇的情況[3]。當前，理論界關于個人生物識別信息保護的探討，有從指紋信息具有標識性的法律風險角度予以解讀[4]，有從法律保護模式和我國立法選擇角度研究[5]。從雇員主體出發的研究包括，勞動者隱私權和雇主監督權沖突的平衡保護[6]，社交媒體上的勞動者隱私權保護[7]，以及勞動者個人信息的去隱私化及個人數據權的研究[8]。但總體而言，學界對雇員生物識別信息的保護探討尚存在欠缺。

當今實務界和理論界中對此問題的研究不足，并非雇員生物識別信息保護不重要，反而是由于這種法律保護的缺位，造成了國家、企業和雇員個人的生物識別信息保護的意識淡薄，這不利于我國法治化建設。雇員生物識別信息保護缺少對勞動關系從屬性特征的考量，且職場中雇員處于弱勢地位，對生物識別信息保護期待較低，實踐中出現生物識別信息收集濫用，域外也出現了損害認定差異等問題。為了解決上述問題，本文將圍繞四方面展開：第一，事實層面上對雇員生物識別信息的內涵、價值及其利益沖突進行梳理;第二，法律層面上分析雇員生物識別信息的規范路徑和局限;第三，主體性理論視角下重構規范體系;第四，具體操作層面從制度建構和治理機制提出應對方案。

二、雇員生物識別信息的界定和保護矛盾

（一）雇員生物識別信息的內涵解析

一是雇員生物識別信息的內涵。個人的生物識別信息具有生物特征，包括人體固有的可測量的生理或行為等內在特征[9]，能夠通過物理屬性的數據表示，可以標示和唯一識別個人屬性的身份信息，屬于個人敏感信息。生物識別信息是個人數字身份的重要組成部分，與個人權利密切相關[5]。個人生物識別信息與個人隱秘的生理特征相關，彰顯個人專屬身份性。本文所研究的雇員生物識別信息是指，為了企業需要或在職場空間中被收集的，與雇員個人生理特征相關聯，能夠標示雇員身份的信息。二是與傳統職場中雇員一般信息相比，雇員生物識別信息具有特殊性。具體包括，雇員生物識別信息具有敏感性特征，雇員生物識別信息具有高度的敏感性，涉及雇員最私密的生理隱私，需要受到更高程度的保護。雇員生物識別信息具有專屬性可辨識性特征，雇員生物識別信息能夠標示雇員的個人身份，是與個人身份相聯的更高層次的核心個人信息。雇員生物識別信息具有危害性大的特征，其處理能夠為比如醫藥、保險等公司帶來商業利益，相比雇員一般信息存在更大的潛在性侵害。數字時代數據和信息變成了基本的生產要素，是新興的財富源泉和重要的控制力[11]。此外，雇員生物識別信息還具有弱勢保護性特征，雇員在職場環境下，其信息更易侵害，技術發展下雇員與雇員信息資源掌握程度不協調，導致雇員缺乏對自身權利的認識，且生物識別信息救濟渠道不暢通等都導致了其需要弱勢保護的特征。

（二）雇員生物識別信息保護的價值基礎

對雇員生物識別信息的保護是保護雇員勞動權的應有之義。對雇員生物識別信息的保護需要防御性權利，勞動權具有保護雇員信息與人格利益一致的價值，保障雇員財產權利實現，以及保護雇員工作機會和就業平等的價值內涵。“人們的言論自由、財產、契約、民主參與等方面權利都在網絡空間和智慧服務中獲得巨大拓展、甚至升華，但同時，隱私、人格、平等、勞動等方面的權利卻相應地受到了某種程度的限縮”[12]。雇員生物識別信息保護具有勞動權保護的價值內涵具體包括：

第一，具有人格保護的法律價值。雇員生物識別信息包括能夠識別雇員個人的身份信息，包含著展示雇員個人的信息，具有可識別性。信息的敏感性導致生物識別信息的收集、處理等對雇員的人格、隱私的侵害風險。關于個人信息權具有人格權權利屬性的討論，雖然學界存在不同看法。民法典人格權編對個人信息的保護規定，是對憲法上保障公民人格尊嚴的具體落實，是自然人享有人格權的具體體現[13]。個人信息權利保護的法益本身是信息自主控制權益，個人信息權利在不同類型下是不同權益類型的集合，當然也包括人格權益、財產權益以及安全權益[14]。無論是個人信息權是否屬于人格權權利屬性，或是具有人格權益基礎，學者普遍認可個人信息權具有人格尊嚴和自由的價值。“人的信息存在范式賦予了人權的數字屬性”[15]。雇員生物識別信息屬于個人信息中的基礎識別性信息，直接關系到雇員人格自由和尊嚴的實現。

第二，具有保護雇員財產的法律價值。技術圖景社會中數據本身具有財產價值屬性，雇員生物識別信息的商業利用，在市場中缺乏規制的流通行為能夠為數據擁有者帶來利益。比如，第三方數據收集者對雇員生物識別信息的收集和處理，以及雇主對雇員信息的處理，均對雇員的財產利益帶來損害。對雇員生物識別信息的保護，具有保護雇員財產安全的價值。

第三，具有保護雇員平等的法律價值。生物識別信息收集引發的歧視，在招聘過程和職場環境中帶來的就業不平等，是對雇員勞動權的侵犯。勞動權是具有勞動能力的公民獲得有保障的工作和財產的基本途徑[16]，具有多重精神意蘊，包括生存和發展理念、物質利益與人身、人格利益統一 [17]，是復合的權利體系 [18]，具有國家“尊重義務”實現的防御權功能[19]，是自我實現價值、自我完善的基本方式[20]。勞動權包括平等就業的權利，是防御性權利和保障性權利。作為保障性權利，雇員生物識別信息需要雇員勞動權保障的價值屬性。勞動權是防御權，是保障勞動報酬和財產權實現的途徑。也就是說，勞動權是其他權利實現的前提，具有基礎性地位和多元價值內涵。因此，雇員生物識別信息的保護具有保護雇員勞動權的價值基礎。

（三）雇員生物識別信息保護的利益沖突

第一，雇員合理期待與勞資協商的矛盾。雇員是否真實知情同意難以確認，工作場所的知情同意呈現虛置化，并且雇主缺乏相關法律規范，勞資協議容易成為雇主的免責條款，勞資雙方的地位傾斜差異造成雇員對生物識別信息保護的合理期待過低。美國伊利諾伊州通過了生物特征數據隱私綜合法2，但是雇員在雇主的指揮管理下，對于生物識別設備的監控可能處于無意識狀態[21]，雇員知情同意的舉證難度高于雇主獲得同意和授權的難度[22]3。雇主傳播雇員的指紋生物識別信息未能符合BIPA的書面通知和同意要求，但雇員的申訴必須包含直接或推斷性的指控，雇員的實質知情難以實現。雇員的知情同意舉證難度高，且太容易被雇主管理和雇員之間的協商而放棄，導致雇員降低對自己生物識別信息保護的合理期待。

第二，雇員生物識別信息收集濫用。雇員信息發生功能蠕變，指濫用或重復使用收集到的信息的可能性，即機構將數據用于其最初收集的目的之外的其他目的[1]。一是，雇主基于勞動中收集的雇員生物識別信息，違反授權的保留和使用，以及未經授權的第三方收集和保留4，是一種典型的信息功能蠕變，會給雇員身份隱私的泄露帶來具體損害[24]。二是，雇主未經雇員同意向第三方提供雇員生物識別信息5，造成的收集功能蠕變[25]。雇員的生物識別信息基于勞動過程產生，在從屬勞動中被收集，此過程中涉及雇主是否知情下的第三方收集、存儲和商業利用雇員生物識別信息，使收集行為本身發生功能蠕變，給雇員生物識別信息保護帶來損害。

第三，生物識別信息損害認定差別化。關于生物識別信息收集中具體損害的認定，雖然美國各州已經將個人控制生物識別信息提升到受保護的地位，但是美國聯邦和州法院在對“具體損害”的認定上存在差別，導致雇員損害救濟的差異。一方面，由于美國各州法案規定上存在差異，比如，德克薩斯州《生物識別信息保護法》（CUBI）和BIPA存在相似規定6，但兩部法律對“生物識別標識”的定義不同7[9]，此外還存在諸多差異8。華盛頓州9[20]、康涅狄格州10[9]也對生物識別信息保護進行監管。另一方面，司法裁判中缺乏同意裁量標準導致損害認定差異化。在Tamara案中11，法院認為雇主的行為對雇員并不構成具體傷害[29]。“具體的”損害被解釋為必須實際存在，但不必是有形的，無形的傷害也可以是具體的[22]。但非法保留一個人的生物識別數據與非法收集一個人的生物識別數據一樣12，是一種具體而特殊的傷害[31]。

三、雇員生物識別信息保護的比較法研究及規范局限

中國裁判文書網包含“指紋信息”“勞動關系”等關鍵詞的案件中，未發現與雇員生物識別信息收集相關的訴訟案件，案件爭議焦點集中在勞動合同的效力及賠償、勞動報酬方面。就業歧視的典型案例比如地中海貧血公務員錄取被拒案，這在一定程度上說明我國勞動法并非完全無視這一問題。一方面，與涉及信息保護的案例數量激增，與智能識別設備的普及有關;另一方面，雇員生物識別信息收集問題，由于立法的空白，導致雇主及第三方的侵權行為無法被有效規制并提供事后救濟。通過比較法分析雇員生物識別信息保護的規范局限，具體包括：

（一）雇員生物識別信息規范缺乏特殊性

生物識別信息具有標識雇員身份價值的屬性，僅僅適用一般的私法規定不能為雇員身份的特殊性提供有效法律保護。美國1974年《隱私法》并非適用于雇主與雇員之間的專門規范生物識別信息的法律，其法律主體方面不具有特殊適用性，但該法律仍然對個人隱私的法律風險具有一定規制作用。這部法律并沒有明確涵蓋生物特征數據的保護規定，卻是最接近于規范政府收集生物識別數據的法律，使個人生物識別信息避免法律監管缺位。《隱私法》規范了聯邦機構對個人身份信息的收集、使用、傳播和維護，要求每個機構在聯邦登記冊上發布其維護的每個個人身份信息數據庫的記錄通知系統，需要對收集的信息的特征、類別和用途進行描述;每當一個機構改變其記錄系統或想以一種新的方式使用其系統時，需要在聯邦公報上發布通知，并允許感興趣的人有機會向該機構提交意見[1];美國個人隱私保護的專門立法，可以被解釋為適用于雇員生物識別信息的規制。我國2017年《民法總則》中對個人信息保護的規定，民法典第四編將人格權納入，進一步推動了我國個人信息保護的力度，同時擴大了個人信息保護的范圍。但也存在概念界定模糊的問題，比如“秘密信息”的界定，以及如何適用隱私權保護的規定不清。對于雇員生物識別信息保護來說，僅僅適用民法典對人格權的保護，不能滿足從屬勞動中雇員法律地位的特殊性要求。

（二）專門立法缺乏具體適用中的可操作性

我國關于生物識別信息保護的立法，可以通過信息技術安全和個人信息方面的專門立法規制，《網絡安全法》中第44條對個人信息的使用原則和責任主體進行規定，任何個人和組織不得竊取或者以其他非法方式獲取個人信息，不得非法出售或者非法向他人提供個人信息。我國《網絡安全法》的規制范圍也包括雇員的個人信息，進一步可理解為雇主通過生物識別技術收集的雇員生物識別信息。同樣的，《個人信息保護法》（草案）第2章關于個人信息的處理規則中，關于敏感信息的處理規定中指出，個人生物特征的信息屬于敏感信息，關于敏感信息的處理基于個人同意的，應當取得個人的單獨同意，雇員生物識別信息保護也可參照適用。這也體現我國雇員生物識別信息保護缺乏特殊考量。雇員生物識別信息涉及人的重大隱私利益，法律保護的缺失會對人格和財產等造成嚴重損失。《個人信息保護法》規定個人生物特征信息應當取得個人單獨同意，但是僅用四條法律對敏感信息的處理進行規定，從宏觀上具有指導性的作用，卻缺乏具體適用的展開可操作性。

（三）規范雇主行為的法律供給不足

1996年，美國《健康保險可攜帶性和責任法案》（HIPAA）可以看作規制企業收集生物特征信息的法律。根據HIPAA隱私規則，雇主得到雇員有效授權必須以通俗易懂的語言書寫，并包含對要使用或披露信息的具體描述;授權披露的個人或實體的身份;可能進行披露的個人或實體的身份;披露的目的描述;有效期;個人的簽名和日期;聲明授權可能被撤銷，并說明如何撤銷;向個人提供授權書副本[33]。我國《勞動合同法》規定用人單位知情權相對籠統。地方勞動合同條例中，關于用人單位需要向勞動者說明的情況和勞動者需要提供的信息范圍。如《上海市勞動合同實施條例》第8條、《江蘇省勞動合同條例》第11條、《北京市勞動合同規定》第10條等都規定，勞動者在訂立勞動合同前，有權了解用人單位相關的規章制度、勞動條件、勞動報酬等情況，用人單位應當如實向勞動者告知與勞動合同有關的用人要求、工作內容、崗位要求、工作地點、工作時間、職業危害、社會保險等情況。可以發現，勞動合同法和各地勞動合同規定中，缺乏對生物識別信息這一技術賦能的前沿信息領域的規制，甚至對勞動者基本個人信息的保護規定缺乏系統規制和保護原則，僅在具體的法律規定中規定特殊勞動群體的隱私權利，比如《職業病防治法》中相對籠統的規定勞動者醫療健康信息的隱私權利。

（四）法律責任的嚴格性有待提升

基于個體生物識別信息及技術發展，歐盟發布《關于生物識別技術發展的意見》，其中描述了生物識別技術與個人的某些特征密切相關，其中一些可用于揭示敏感數據，對人產生隱私危害。該意見書強調，個人必須知道他們的生物特征信息正在被收集和使用，必須充分了解所收集資料的類型、目的，向誰披露數據，以及他們有權訪問、更正或刪除他們的數據;在收集和使用生物特征數據時，安全是首要考慮的問題，因此建議使用最新的技術手段，對生物特征數據的處理提供高水平的技術保護;除非有法律依據存在，而且處理與數據收集的目的相稱、相關且不過度，否則不能進行處理[9]。該意見為生物識別技術中隱私原則的實施提供了一個更新的指導框架，對個人的生物識別信息權利保護提供了更為嚴格的指導框架。歐盟針對雇員生物識別信息制定嚴格保護的綜合立法，取決于歐盟長期以來對個人數據的收集和使用制定了嚴格的保護措施。《歐洲人權公約》規定了隱私的權利是基本權利，《歐盟基本權利憲章》明確提出人權問題的整治結果，《保護人權和基本權利公約》中規定尊重私人生活的相對模糊的原則性規定。1980年，經濟合作與發展組織簽訂經合組織隱私原則，具體規定了收集限制、內容原則、目的明確、利用限制、安全保護、公開原則、個人參與等原則[7]。歐盟《數據保護指令》制定目的是保護個人隱私與個人數據在歐盟內自由流動之間取得平衡，采取嚴格保護立場。《通用數據保護條例》（GDPR），賦予個人數據權利更具體的保護。需要考量各方主體之間的合理性標準，合理性將取決于對員工的合法期望與政府對工作場所的監督、控制和有效運作的需要之間的平衡[36]。法律保障雇員的實質知情同意和合理期待，需要嚴格法律責任。

綜上，國內外雇員生物識別信息保護的法律規制存在共性的問題。數字時代，雇員生物識別信息的規范構建從整體上顯示出空白散亂、內涵不統一、價值原則不明確的現狀。一方面，美國、歐盟缺乏關于雇員生物識別信息的具體規定，尤其是在勞動法律中缺少相關規定;在此方面，我國勞動法律法規中也同樣缺乏對雇員生物識別信息的保護規定，我國對與雇員身份識別信息的保護還是主要集中在民法典和網絡安全法的規定中，即僅存在一般性的法律保護規定，缺乏對從屬勞動中雇員弱勢地位的立法考量。另一方面，雇員生物識別信息的法律規制，歐美也處于探索階段，這意味著，我國在對雇員生物識別信息保護的層面還存在很大的潛在進步空間，對雇員生物識別信息保護的立法探索，也有利于為我國雇員在境外的個人信息保護糾紛提供法律依據。從近景來看，原則性的法律規定需要匹配相關的司法解釋，各地方在此標準下的具體適用也會導致法律適用的不一致，法律頒布的一段時間內可能存在混亂的法律適用;從遠景來看，法律規定的寬泛表面性實質是制度設計與技術社會發展脫鉤的表現，缺乏對現實問題具有針對性關注的法律規范，難以成功融入未來智能社會圖景。更重要的是，一般私法、專門信息立法均不具有保護雇員個人信息的針對性，從屬勞動中雇員在職場中處于相對弱勢地位，雇員作為特殊主體不能僅依靠私法的一般保護。

四、主體性視角下的規范基礎重構

（一）共同體時代的權利主體理論

第一，個體化權利轉向共同體權利。數字時代雇員個體的信息權利保護，需要依靠社會共同體實現實質平等。實現權利依賴權利主體建立的共同體，且在共同體中權利主體才能發出權利要求，權利遭到損害時從共同體中尋找救濟[37]。雇員的個體化權利需要在共同體中實現權利訴求，這是由于雇員具有從屬性特征決定的，雇員相比雇主處于弱勢地位，需要在社會共同體中實現權利平衡，實現實質平等。從屬勞動中雇員生物識別信息保護與雇主行使指揮監督權之間形成的爭議，不同于一般民事主體的侵權糾紛，雇員的權利救濟受其所簽訂的勞動協議的限制，為雙方糾紛解決途徑留下了協商的空間。比如，杜賓案13[38]及米勒案14[39]，雇主對雇員的工作有指揮監督的權利，在監督過程中侵犯雇員生物識別信息的行為，這在勞動過程中產生具有一定合理性，也顯示出雇主與雇員之間地位的強弱差異。雇員基于個體很難實現權利訴求，因此共同體中的權利理論，可以為雇員生物識別信息保護提供基礎視角。

第二，共同體時代的權利是積極權利，也是實現主體權利社會化的要求。雇員的弱勢地位導致生物識別信息保護難以實現，需要共同體主動發揮積極性，這也是主體權利社會化，保障個體福利和發展的要求。權利的社會化伴隨著福利權和生存權等社會權利的發展展開，要求公共權利積極主動的發揮作用，對個體權利的實現產生影響[28]。

人權的價值內涵在數字時代發生根本轉向，不僅需要依靠集體“連帶關系權利”，需要國家積極采取干預措施，還嵌入了數據信息要素，包括數據信息自主權、數據信息知情同意權、數據信息表達權等[14]。雇員生物識別信息保護中的數據要素權利，更需要共同體時代的積極權利，實現權利的社會化對雇員生物識別信息的保護。

（二）法律義務沖突中的身份理論

第一，法律義務來源于對個體身份的期待。雇員處于弱勢地位，現行法律規范對雇員生物識別信息保護的不足主要體現為，缺乏對雇員議題職場身份滿足的期待。從屬勞動中雇主對雇員進入職場空間中生物識別信息的收集，需要明確雇員進入職場的安全，采取義務性保護的規制路徑。勞動法律中僅僅規定用人單位的知情權，卻未規定用人單位在享有知情權的同時，應當對其雇員履行何種義務，由此使雇員維護權利缺乏相應可以操作的法律條文，這實質上是用人單位對勞動者個人信息義務性保護的缺失[42]。

第二，法律義務的分配根據個體法律身份。我國《勞動合同法》中規定勞動者與用人單位通過平等協商的方式就勞動安全衛生條件達成一致，法律明確規定了雇主的安全照顧義務，可以通過雇主安全照顧義務建立起保障雇員生物識別信息安全的基礎性法律依據。在我國，勞動法律中的雇主安全照顧義務范圍集中在勞動安全衛生條件等職場設施給勞動者可能帶來的損害，這與數字時代中機器智能消解個人主體性，使雇員主體性弱化導致生物識別信息無法有效保護之間形成矛盾。技術圖景社會中基于雇主收集雇員生物識別信息的濫用和缺乏規制，雇員對其生物識別信息的知情同意在實際中功效發揮難度增大，有效的規制需要明確雇主安全照顧義務。為了實現雇員生物識別信息的有效保護和有限利用，有必要建立雇主對雇員生物識別信息的安全照顧義務，即通過安全照顧義務為基礎，建立嚴格有序的雇員生物識別信息使用秩序。這有利于生物識別信息權利的秩序構建，也有利于重塑數字時代的雇主義務的分配方式。

第三，法律義務的需要個體對身份的認可和履行。對收集雇員基因信息采取“禁止為原則、許可為例外”之立場，以職場安全健康為中心對合理利用清醒從嚴界定[43]。需要確立雇員生物識別信息的雇主安全照顧義務，具體體現為：一是在招聘階段，雇主應單獨征得收集雇員生物識別信息的書面同意，尤其是當出現第三方收集數據時，需要雇主審查第三方的信息收集范圍和使用細則，以及第三方在何種時空中通過何種技術途徑收集雇員生物識別信息;二是在簽訂合同過程中，雇主對雇員生物識別信息的收集和使用應盡到明確的告知義務，披露的范圍具體到信息收集的技術設備、收集生物識別信息的范圍、數據存儲方式及時間，以及與經營和營利性活動相關的事宜;三是在雇員任職期間，雇主需要嚴格遵守法律制度，并制定企業保護雇員生物識別信息的配套落實章程，防止雇員生物識別信息的泄露和非法使用;同時，雇主還應升級自身安全網絡，防止網絡空間中盜竊行為對雇員生物識別信息的違法利用。

（三）法律責任中的主體重建理論

第一，法律責任的恢復功能。法律責任主體包括因違法產生的責任主體、因風險產生的責任主體、因關系產生的責任主體[44]。雇員信息權利保護中的法律責任中，有基于風險產生的國家責任，包括基于勞動關系產生的雇主責任，還有違反法律規范的侵權責任。雇員生物識別信息的保護強調恢復雇員與企業或個人之間的關系，恢復侵犯雇員生物識別信息給雇員造成的影響。在主體性社會中，既要保證個人權利的實現，還要保障秩序的穩定，法律責任的懲戒功能弱化，而恢復人與人關系的功能得到加強[45]。在法律責任的恢復功能上，重新構建對侵權行為的社會評價。雇員生物識別信息的侵權責任，也應當既考慮個人權利的實現，并兼顧社會關系的恢復。

第二，法律責任強調未來性。風險社會中法律責任的未來性視角更多的考慮，雇員生物識別信息保護風險中的國家責任，強調對違法行為的預防。“法律責任通過設定違法犯罪和違約行為必須承擔的不利的法律后果，表明社會和國家對這些行為的否定態度”[46]。國家為了履行照顧雇員識別性個人信息的責任，而積極介入企業與雇員關系中，建立起各項法律制度，不僅牽涉到對社會資源在雇主與雇員之間的重新分配，更是關注雇員信息權利保護，對義務的重新分配，使雇員生物識別信息保護具有規范基礎。

第三，法律責任的社會化。雇員個體化解生物識別信息保護風險的能力低。法律責任強調補償性，強調通過社會保障分化侵權后的風險，通過個體的相互合作實現責任的社會化[34]。企業基于勞動合同對勞動者具有安全照顧義務，需要對勞動者信息進行掌握，這與人體的重要信息的保護之間形成矛盾[6]。從屬勞動中雇員處于弱勢地位需要不同于一般私法的社會化規制方式，雇員生物識別信息保護面臨從屬性、社會性和弱者屬性地位的限制，并非私法保護的理性的個體。需要基于法律責任的社會化視角保護雇員生物識別信息，強調就業平等價值，保護雇員勞動權。

五、雇員生物識別信息保護的制度架構和治理機制

（一）雇員生物識別信息保護的指導原則

第一，保障雇員的知情同意原則。基于共同體時代的雇員權利視角，需要制定積極的法律規范保障雇員權利。一方面，保障雇員的實質知情同意，雇員知情同意原則受到從屬勞動特征的影響，雇員的弱勢地位容易導致其知情同意的形式性，而非雇員真實同意。知情同意制度的形式外觀，推定當事人是基于“尊重人自由意志的核心價值”做出的同意，難以反映人的真實行為模式[49]。知情同意本是個人自決信息處理，大數據時代形式上的同意只是理想中的個人自覺，同意的作用發生“異化”[50]。另一方面，引入基于場景化的知情同意。這符合網絡空間數據流動的原則，能夠有效實現被收集人的同意。基于場景、行為者、信息種類、傳輸原則等要素，個人信息權利保護需要不同規制，是海倫·尼森鮑姆的場景理論的核心[13]。雇員生物識別信息保護基于場景的分段保護，涉及雇員招聘、簽訂合同、任職期間和解聘之后等不同階段對其生物識別信息的收集、存儲和商業利用。建立雇員生物識別信息分級使用機制，符合基于分類場景和信息關系思考個人信息權利保護。

第二，雇主告知、協商與保密原則，基于法律義務的實現需要法律身份的認可和履行，雇主履行其安全照顧義務，具體涵蓋三方面：一是，雇主必須盡到告知義務，以便雇員明確知道職場中自己生物識別信息被收集以及傳播的風險。雇主對信息處理目的的明確告知，雇主處理信息的頻率以及可能帶來的影響，通過技術手段的每一次收集同意的難以確認，以及雇員對技術收集的明確知道和了解技術收集的能力，共同導致雇員對其生物識別信息收集和處理的知情同意模糊化。二是，雇員生物識別信息被雇主收集的行為，是基于勞資雙方達成的合意所產生的法律關系，因此生物識別信息的收集本身是一種勞資雙方的“交往行為”，需要雇主與雇員通過協商達成一致。三是，雇主避免對第三方機構披露雇員的生物識別信息，對第三方直接收集的雇員生物識別信息，雇主也負有保護數據不被披露的義務。

第三，最小必要原則。雇主與雇員在信息控制地位不平等，基于法律責任的未來性和預防、恢復功能，雇主對雇員的生物識別信息收集應最小必要相關，基于工作的目的收集且范圍控制在最小范圍內。雇主對雇員具有安全照顧義務，該義務的履行本身需要對勞動者生物識別信息進行掌握，而個人生物識別信息又是不被公開的涉及人體的重要信息，需要限定信息收集范圍[6]。雇主不得基于信息強勢地位，隨意收集泄露和傳播、存儲雇員的生物識別信息;即使是基于法律程序對企業的雇員生物識別信息加以使用和傳播，也必須承擔違背雇員的意思表示違法披露的風險。雇員的生物識別信息保護取決于雇員身份的特殊性，雇員基于勞動過程將部分權利讓與雇主，但雇主權利不能無限制的擴大，應遵從“最小程度慎用”[6]原則，使生物識別信息的收集與雇主最初收集目的匹配，限制超出目的的使用限度。

（二）雇員生物識別信息保護的制度架構

第一，完善雇員生物識別信息的立法方式。雇員生物識別信息保護的立法方式具體包括：一是采取綜合立法基礎上制定專門立法的保護方式。我國具有綜合立法與專門立法相結合的立法體系基礎。《民法典》綜合性保護個人信息，《侵權責任法》中規定關于醫療隱私保護的管轄主體，但目前關于生物識別信息及其相關的概念之間存在模糊性，內涵不清晰缺乏明確界定。《網絡安全法》《數據安全法》《個人信息保護法》等立法的出臺也體現了我國綜合立法基礎上的專門立法保護趨勢。基于我國立法經驗，雇員生物識別信息保護立法可以在《民法典》綜合保護之下，制定雇員信息數據保護的專門規定。二是采取公法介入的規制模式。雇員生物識別信息必須納入從屬勞動中考量，基于雇員的弱勢地位，僅采用私法的一般路徑不能有效保護雇員的生物識別信息。同時，雇員生物識別信息具有社會公益性質，因此需要公權力介入合理使用和保護。公私并進的保護方式無在理論界研究中都得到一定認可，有學者認為，“公法明確義務+私法確認權利”的公法與私法并重的法律路徑[12]。數字空間中雇員生物識別信息的價值決定，立法需要在一般保護的基礎上傾斜保護，應將堅持私法立法保護為主，公法介入規制的基本方式。

第二，雇員生物識別信息標準的立法化。一是立法應明確基本概念的內涵，首先是明確生物識別、生物識別信息的定義，以及雇主和第三方收集雇員生物識別信息的界定。應對生物特征進行廣泛定義來涵蓋生物識別信息的潛在收集者和對象，通過重新定義擴大保護范圍。二是確定生物識別信息收集的合理范圍，以及存儲的要求，限制雇主對雇員生物識別信息違法收集和濫用，減少雇員人格名譽和財產損失。同時，職場中的生物識別信息不能一概認定為非法收集，需要基于雇主商業利益和指揮監督權、知情權基礎上合理收集。為此，有學者提出，關于雇員的基因信息收集，學者認為應嚴格限制在為職場安全健康目的的收集，采取“實質性描述標準+典型情形列舉”的范圍合理收集[32]。三是在勞動法律中明確雇主與雇員權利義務分配機制，將保障雇員生物識別信息保護條款精細化，實現雇員實質同意原則要求。具體來說，應規定雇主對生物識別信息收集需要使用明確的書面語言，明確收集雇員生物識別信息的范圍;雇主應當參照嚴格標準原則確定企業內部的規章制度，向雇員披露其收集的范圍，明確其具有的權利義務風險;雇主需要參照生物識別信息保護標準，提升自身數據保護能力，降低雇主收集的雇員原始的生物識別信息泄露的風險，實質性實現雇員知情同意。

（三）勞動監察介入的行政監管治理機制

通過勞動監察制度強化雇主義務履行。建立雇員生物識別信息監察制度，需要雇主對雇員生物識別信息收集之前確立明確的范圍標準，立足識別技術的雇主的收集范圍必要性進行評估以實現監督作用。雇員生物識別信息的處理能夠帶來經濟效益，需要平衡其流通的社會價值，通過行政監察規范雇主行為。雇員生物識別信息的市場化流通風險下，不能僅依靠立法保護，需要行政監管配合實現雇員生物識別信息的有效監督。勞動監察制度是以用人單位為監察對象， 以勞動基準法為核心內容， 以勞動法律法規規定為基本框架的法治架構， 其功能價值在于約束、糾正與懲罰用人單位侵害勞動者合法權益的行為[56]。在技術圖景與風險社會中，加強行政監管力量對數據保護的監管十分必要。雇員的生物識別信息被雇主、第三方、醫療機構、公共衛生行政部門等主體所存儲，根據從屬勞動中雇員主體身份的特殊性，從勞動監察出發對相關主體進行行政監管，能夠有效保障雇員生物識別信息的安全性和流通性。

此外，也有必要通過建立專門機構完善監察制度實現立法效果，在雇員與雇主之間，建立個人生物識別信息管理機構，通過行政審查機構對雇員生物識別信息收集和處理的定期審查。勞動監察部門應對雇主、第三方和醫療機構等企業和組織進行監管，具體包括：一是建立雇員生物識別信息的安全性勞動行政監察機制，通過技術手段從源頭上防止生物識別信息的收集、泄露和網絡攻擊，保障雇員生物識別信息的安全性。二是建立雇員生物識別信息處理中的勞動監察機制，對雇員生物識別信息流通中進行去個人識別性處理，防止在市場中出現通過生物識別信息還原可識別個人的情況發生。三是勞動監察部門需要為雇員提供投訴、爭議處理的渠道，為生物識別信息遭受雇主侵害的提供維護途徑;同時，建立監督機制提供舉報途徑等。

結? 語

職場空間中雇員處于弱勢地位，其生物識別信息保護受到協商、濫用、損害認定等諸多挑戰，不利于雇員人格、財產和平等價值的實現，導致雇員勞動權實現的障礙。本文引入主體性理論重構雇員生物識別信息保護的規范基礎，當前共同體時代的個體權利需要積極的實現，雇主與雇員基于勞動產生的義務沖突需要根據身份履行，而法律責任的恢復性、未來性、社會性為國家責任和雇主責任提供理論依據。在規范和機制具體操作層面上，應堅持指導原則，同時完善立法和行政監察保護雇員生物識別信息。職場中雇員生物識別信息的權利屬性，以及企業落實雇主責任和安全照顧義務的具體規范，是需要基于實踐發展進一步研究的問題。

參考文獻：

[1] Citron， Danielle Keats. Reservoirs of Danger： The Evolution of Public and Private Law at the Dawn of the Information Age[J].Southern California Law Review， 2007（2）：241-298.

[2] 吳斌.上班打指紋屬侵犯私隱 遭盜用后果很嚴重[EB/OL].（2009-07-14）[2020-08-23].http：//news.sohu.com/20090714/n265203943.shtml.

[3] 公司使用指紋考勤機引發爭議 員工稱被侵犯隱私[EB/OL].（2005-08-09）[2020-10-02].http：//news.sohu.com/20050809/n226612979.shtml.

[4] 張紅.指紋隱私保護：公、私法二元維度[J].法學評論，2015（1）：85-97.

[5] 付微明.個人生物識別信息的法律保護模式與中國選擇[J].華東政法大學學報，2019（6）：78-88.

[6] 田思路.智能化勞動管理與勞動者隱私權的法律保護[J].湖湘論壇，2019（2）：16-27.

[7] 王健.社交媒體中勞動者隱私權的法律保護——基于歐盟與我國司法實踐的比較研究[J].華中科技大學學報（社會科學版），2019（4）：117-125.

[8] 朱曉峰 .數字時代勞動者權利保護論[J].浙江大學學報（人文社會科學版），2020（1）：37-55.

[9] Zimmerman&Hannah. The Data of You： Regulating Private Industry's Collection of Biometric Information[J]. University of Kansas Law Review， 2018（3）：637-672.

[10] 馬長山.數字時代的人權保護境遇及其應對[J].求是學刊，2020（4）：103-111.

[11] 馬長山.數字社會的治理邏輯及其法治化展開[J].法律科學（西北政法大學學報），2020（5）：3-16.

[12] 程嘯.民法典編纂視野下的個人信息保護[J].中國法學，2019（4）：26-43.

[13] 丁曉東.個人信息權利的反思與重塑——論個人信息保護的適用前提與法益基礎[J].中外法學，2020（2）：339-356.

[14] 馬長山.智慧社會背景下的“第四代人權”及其保障[J].中國法學，2019（5）：5-24.

[15] 關懷.勞動法學[M].北京：群眾出版社，1985：77.

[16] 馮彥君.勞動權的多重意蘊[J].當代法學，2004（2）：40-45.

[17] 田思路主編.外國勞動法學[M].北京：北京大學出版社，2019：4-544.

[18] 龔向和、袁立.勞動權的防御權功能與國家的尊重義務[J].北方法學，2013（4）：35-44.

[19] 謝鵬程.公民的基本權利[M].北京：中國社會科學出版社，1997：94.

[20] Pope&Carra. Biometric Data Collection in an Unprotected World： Exploring the Need for Federal Legislation Protecting Biometric Data[J]. Journal of Law and Policy， 2018（2）：769-804.

[21] Wordlaw v. Enter. Leasing Co. of Chicago， LLC， 2020 U.S. Dist.

[22] Bryant v. Compass Grp. USA， Inc.， 958 F.3d 617 .

[23] Kiefer v. Bob Evans Farms， LLC.

[24] Colon v. Dynacast， LLC， 2021 U.S. Dist.

[25] Roberson v. Maestro Consulting Servs. LLC_ 2020 U.S. Di.

[26] Rothstein， Mark A.， et al. Limiting Occupational Medical Evaluations under the Americans with Disabilities Act and the Genetic Information Nondiscrimination Act[J].American Journal of Law & Medicine，2015（4）：523-567.

[27] Boehmer， Robert G. Artificial Monitoring and Surveillance of Employees： The Fine Line Dividing the Prudently Managed Enterprise form the Modern Sweatshop[J].DePaul Law Review， 1992（3）： 739-820.

[28] 黃濤.主體性時代的權利理論——改革開放以來中國權利理論的邏輯演進[J].法制與社會發展，2019（1）：51-67.

[29] Durbin v. Carrols Corp.， 2020 U.S. Dist.

[30] Fox v. Dakkota Integrated Sys.， LLC， 2020 U.S. Dist.

[31] 李伶俐.用人單位對勞動者個人信息義務性保護缺失的分析[J].學術交流，2014（4）：61-64.

[32] 田野.雇員基因信息保護的私法進路[J].法商研究，2021（1）：54-67.

[33] 胡玉鴻.法律主體的基本形態[J].法治研究，2012（10）：10-16.

[34] 鄭智航.從互惠性到寬容性：法律責任構造邏輯的嬗變[J].山東大學學報：哲學社會科學版，2018（2）：82-89.

[35] 張騏.論當代中國法律責任的目的、功能與歸責的基本原則[J].中外法學，1999（6）：28-34.

[36] 郭春鎮.對“數據治理”的治理—從“文明碼”治理現象談起[J].法律科學（西北政法大學學報），2021（1）：58-70.

[37] 田野.大數據時代知情同意原則的困境與出路—以生物資料庫的個人信息保護為例[J].法制與社會發展，2018（6）：111-136.

[38] 秦國榮.勞資均衡與勞權保障 ： 勞動監察制度的內在功能及其實現[J].河南省政法管理干部學院學報，2010（6）：139-149.

Reconstructing the Subjectivity Perspective on Legal Protection of Employee Biometric Information

Wei Guangping

（School of Economics and Law，East China University of Political Science and Law， Shanghai 200042， China）

Abstract： Employee biometric information is sensitive， exclusively identifiable， harmful to misuse， and vulnerable to protection， and its protection is the proper protection of employees' labor rights and has the value of protecting employees' personality， property， and employment equality. The protection of employee biometric information faces risks， including the contradiction between reasonable expectation and labor-management negotiation， the misuse of employee biometric information collection， and the emergence of differentiation of employee biometric information damage determination in foreign countries. Through comparative law research， it is found that there is a lack of specificity of employee biometric information regulation， a lack of operability of specific legislation for concrete application， the insufficient legal supply of employer's actions， and the need to enhance the strictness of legal liability. Based on the perspective of conflicting rights and obligations and subjectivity in the community era， the institutional regulation and governance mechanism of employee biometric information protection are constructed. The protection of employee biometric information needs to clarify the guiding principles of informed consent， notification， consultation and confidentiality， and minimum necessity， improve the legislative approach and the legislation of standards， and introduce the administrative supervision and governance mechanism of labor inspection.

Key words： employees; biometric information; subjectivity; legislation; labor inspection