個(gè)人生物識(shí)別信息的界定

焦艷玲

摘要：

生物識(shí)別信息是對(duì)自然人的生物特征進(jìn)行特定技術(shù)處理所形成的信息。個(gè)人生物特征具有不變性和唯一性的特點(diǎn)，這使生物識(shí)別能夠一勞永逸地實(shí)現(xiàn)對(duì)個(gè)人身份的鑒別。經(jīng)過特定技術(shù)處理所形成的生物識(shí)別信息也具有這些特點(diǎn)，因此任何對(duì)于生物識(shí)別信息的攻擊都可能對(duì)個(gè)人產(chǎn)生不可逆轉(zhuǎn)的影響。現(xiàn)實(shí)生活中，商業(yè)化收集的泛濫、限制行動(dòng)自由、售賣和竊取、深度偽造以及詐騙已經(jīng)成為侵害生物識(shí)別信息的重要表現(xiàn)。保護(hù)個(gè)人生物識(shí)別信息安全迫在眉睫，而準(zhǔn)確界定生物識(shí)別信息是首要前提。綜觀國(guó)外立法經(jīng)驗(yàn)，生物識(shí)別信息的構(gòu)成應(yīng)當(dāng)聚焦三個(gè)要素：個(gè)人生物特征之反映、特定技術(shù)處理之環(huán)節(jié)、唯一性識(shí)別之功能。此三項(xiàng)要素也是認(rèn)定生物識(shí)別信息的關(guān)鍵。生物識(shí)別信息可以通過含有個(gè)人生物特征的圖像來采集，但是該圖像僅僅是個(gè)人生物特征的反映。在沒有進(jìn)行特定技術(shù)處理之前，圖像本身并不構(gòu)成生物識(shí)別信息，無論該圖像是電子圖像抑或紙質(zhì)照片。生物識(shí)別信息的本質(zhì)是對(duì)個(gè)人生物特征進(jìn)行的測(cè)量，即所謂的“特定技術(shù)處理”，至于測(cè)量的方式則在所不問。無論進(jìn)行面對(duì)面的真人測(cè)量抑或從含有個(gè)人生物特征的圖像中測(cè)量，所得的信息都是生物識(shí)別信息。單純對(duì)于個(gè)人生物特征的描述不構(gòu)成生物識(shí)別信息，個(gè)人生物特征的樣本也須與生物識(shí)別信息區(qū)分開來。目前我國(guó)法律文件對(duì)于生物識(shí)別信息定義的認(rèn)識(shí)還存在許多偏差，概念混淆、內(nèi)涵不明、外延短缺是主要問題。未來我國(guó)的生物識(shí)別信息定義應(yīng)當(dāng)遵循三個(gè)原則：揭示生物識(shí)別信息的本質(zhì)、反映生物識(shí)別信息的要素、兼顧技術(shù)更新的速度。為此有必要從內(nèi)涵和外延兩方面著手：內(nèi)涵規(guī)定本質(zhì)與構(gòu)成，從而為技術(shù)更迭可能出現(xiàn)的新情況提供解釋的空間；外延進(jìn)行開放式列舉，以引導(dǎo)當(dāng)下的理論與實(shí)踐。就內(nèi)涵而言，可概括為“對(duì)自然人的生物特征進(jìn)行特定技術(shù)處理（測(cè)量）所形成的能夠唯一性識(shí)別自然人身份的信息”。就外延而言，可以進(jìn)行常態(tài)化列舉，同時(shí)使用“包括但不限于”的表述使生物識(shí)別信息的范圍不受列舉的限制。

關(guān)鍵詞：生物識(shí)別信息；個(gè)人生物特征；生物特征樣本；生物特征測(cè)量；個(gè)人信息保護(hù)

中圖分類號(hào)：TP391.41；D923? 文獻(xiàn)標(biāo)志碼：A? 文章編號(hào)：1008-5831（2023）03-0200-12

一、緣起：數(shù)字時(shí)代的生物識(shí)別信息危機(jī)

生物識(shí)別普及化應(yīng)用的速度令人驚嘆。聲紋控制、指紋解鎖、人臉支付，一系列生物識(shí)別的應(yīng)用以鋪天蓋地之勢(shì)襲來，住宅小區(qū)、職場(chǎng)、圖書館、公園、機(jī)場(chǎng)、車站，一時(shí)間生物識(shí)別無處不在［1］。生物識(shí)別就像一個(gè)巨大的寶藏，其價(jià)值令人垂涎，其風(fēng)險(xiǎn)令人生畏。

生物識(shí)別是利用人體固有的生物特征對(duì)個(gè)人身份進(jìn)行鑒別的技術(shù)。在以數(shù)字技術(shù)作為運(yùn)算規(guī)則的當(dāng)代，個(gè)人的生物特征經(jīng)過計(jì)算機(jī)程序的處理變身為一串代碼，這些代碼成為生物識(shí)別信息最常見的形態(tài)。代碼化的生物識(shí)別信息可以用來對(duì)個(gè)人的行為進(jìn)行實(shí)時(shí)查詢和驗(yàn)證，因此常被冠以“個(gè)人數(shù)字身份”的稱謂［2］。個(gè)人的生物特征轉(zhuǎn)變?yōu)橛袃r(jià)值的社會(huì)資源正是通過這種數(shù)字化的進(jìn)程實(shí)現(xiàn)的，而無論個(gè)人是否接受，這種趨勢(shì)都不會(huì)改變［3］。有觀點(diǎn)認(rèn)為，生物識(shí)別將推動(dòng)身份認(rèn)證領(lǐng)域的一場(chǎng)革命［4］。因?yàn)樯镒R(shí)別信息安全、可靠又便捷，任何傳統(tǒng)的身份認(rèn)證方式都無法比擬［5］。但不容忽視的是，代碼化了的生物識(shí)別信息極易遭受侵害，損害后果比其他個(gè)人信息嚴(yán)重得多。現(xiàn)實(shí)中生物識(shí)別的應(yīng)用場(chǎng)景多種多樣，誘發(fā)的個(gè)人信息保護(hù)風(fēng)險(xiǎn)形態(tài)各異。

第一，生物識(shí)別信息商業(yè)化收集的泛濫。目前我國(guó)尚無對(duì)生物識(shí)別信息收集和使用的禁止性規(guī)定，商業(yè)公司為了分得市場(chǎng)的一杯羹，對(duì)生物識(shí)別信息的收集和利用充滿了熱情。2019年換臉軟件“ZAO”受到手機(jī)用戶的瘋狂追捧，當(dāng)用戶享受與影視劇偶像同臺(tái)飆戲的快樂時(shí)，其人臉信息已被軟件公司永久性占有。軟件公司在用戶協(xié)議中載明“同意ZAO及其關(guān)聯(lián)公司和用戶對(duì)用戶內(nèi)容進(jìn)行永久免費(fèi)、不可撤銷地修改與編輯”，這樣的協(xié)議充斥著霸王條款的味道，即使形式上取得了用戶的同意，又能在多大程度上反映用戶的真意［6］？

第二，對(duì)抗生物識(shí)別的人格自由困境。生物識(shí)別已然成為信息社會(huì)下難以抗拒的洪流，以個(gè)人之力對(duì)抗這股洪流常常會(huì)遭遇人格自由的困境，乃至于在現(xiàn)實(shí)世界中寸步難行。一個(gè)典型的場(chǎng)景是將生物識(shí)別應(yīng)用于門禁，當(dāng)住宅小區(qū)、職場(chǎng)、公園等場(chǎng)所安裝了生物識(shí)別系統(tǒng)，其結(jié)果是個(gè)人若不同意交出生物識(shí)別信息就無法正常生活。2019年郭冰因杭州野生動(dòng)物世界強(qiáng)制用戶使用人臉識(shí)別入園訴至杭州富陽區(qū)法院，這個(gè)被稱為“人臉識(shí)別第一案”的事件才第一次引起了國(guó)人對(duì)于生物識(shí)別應(yīng)用邊界的思考［7］。

第三，深度偽造。深度偽造（deepfake）俗稱“換臉”，實(shí)質(zhì)上是通過生物識(shí)別技術(shù)實(shí)現(xiàn)移花接木。在國(guó)外，利用人臉信息進(jìn)行深度偽造進(jìn)而嫁接于不雅視頻以羞辱他人的行為已經(jīng)擁有了專門的稱謂“色情報(bào)復(fù)”［8］。由于受害人沒有真實(shí)地出現(xiàn)在視頻里，并且人臉信息多從受害人自愿上傳到網(wǎng)絡(luò)的照片中提取，深度偽造很難成立隱私侵權(quán)和肖像侵權(quán)，但是它對(duì)于受害人名譽(yù)的破壞卻現(xiàn)實(shí)存在。

第四，生物識(shí)別信息的售賣和竊取。生物識(shí)別信息由于強(qiáng)大的身份識(shí)別功能而具有巨大的商業(yè)利用價(jià)值，對(duì)于饑渴尋找潛在客戶的商家而言無疑是一筆巨大的財(cái)富，在此背景下買賣生物識(shí)別信息成為一樁生意就不難理解了。北京青年報(bào)曾曝出網(wǎng)絡(luò)商城中有人售賣人臉信息，2 000多人的17萬條信息被公開叫賣，每個(gè)人都有50張以上的照片，每張照片配套一份數(shù)據(jù)文件，內(nèi)容涵蓋人臉的106處關(guān)鍵點(diǎn)［9］。除故意售賣以外，個(gè)人生物識(shí)別信息遭黑客竊取在國(guó)內(nèi)外亦不罕見。

第五，生物識(shí)別信息泄露誘發(fā)財(cái)產(chǎn)詐騙。生物識(shí)別具有便攜、保密、安全和不被遺忘的多重優(yōu)勢(shì)，隨著技術(shù)成本的下降，生物識(shí)別的應(yīng)用場(chǎng)景越來越多元化。目前手機(jī)應(yīng)用、智能家居、智能安防和互聯(lián)網(wǎng)金融已成為生物識(shí)別技術(shù)應(yīng)用的核心領(lǐng)域［10］。然而當(dāng)人們不斷讓渡個(gè)人信息以換取生活的便利時(shí)，信息泄露和被濫用的風(fēng)險(xiǎn)亦成倍增加。2020年張富等人利用軟件將他人照片制作成3D頭像，進(jìn)而通過人臉識(shí)別認(rèn)證騙取他人支付寶錢財(cái)，被衢州市中級(jí)人民法院判決成立侵犯公民個(gè)人信息罪和詐騙罪

參見：衢州市中級(jí)人民法院（2019）浙08刑終333號(hào)刑事裁定書。。在商業(yè)應(yīng)用比較成熟的人臉識(shí)別領(lǐng)域，近年來發(fā)生的刑事案件逐年增多，就2017至2019年法院審結(jié)的案件有16件，其中僅2019年就有11件［11］。

不少學(xué)者認(rèn)識(shí)到，生物識(shí)別信息的安全風(fēng)險(xiǎn)以自然人為對(duì)象，但涉及的利益關(guān)系涵蓋了生物識(shí)別活動(dòng)的服務(wù)者、經(jīng)營(yíng)者、管理者、使用者甚至國(guó)家［12］。黨的二十大報(bào)告提出，加強(qiáng)個(gè)人信息保護(hù)是推進(jìn)國(guó)家安全體系和能力現(xiàn)代化、維護(hù)國(guó)家安全和社會(huì)穩(wěn)定的重要方面。而加強(qiáng)對(duì)生物識(shí)別信息的保護(hù)則是當(dāng)前最突出的任務(wù)。隨著《民法典》和《個(gè)人信息保護(hù)法》對(duì)個(gè)人生物識(shí)別信息的確認(rèn)，主張建立民事、行政、刑事多元協(xié)調(diào)保護(hù)機(jī)制的建議獲得廣泛支持［13］，而以專門法律或者在《個(gè)人信息保護(hù)法》中增設(shè)專章進(jìn)行保護(hù)的建議也不在少數(shù)［14］。然而目前法律僅僅提到一個(gè)抽象的概念，什么是生物識(shí)別信息，其包括哪些類型，具體又該如何認(rèn)定，這些問題尚不清晰。對(duì)于“生物識(shí)別信息”這個(gè)富含科技色彩的詞匯，大眾的理解仍然停留在感性層面。為避免認(rèn)識(shí)偏差和法律適用的混亂，有必要對(duì)生物識(shí)別信息進(jìn)行清晰界定，這是加強(qiáng)生物識(shí)別信息保護(hù)的首要前提。

二、生物識(shí)別信息的構(gòu)成：域外立法的啟示

（一）生物識(shí)別的基本原理

肖像權(quán)于照相機(jī)發(fā)明后始受重視，聲音權(quán)因竊聽器和錄像機(jī)的使用而被認(rèn)可［15］。個(gè)人生物信息作為人格標(biāo)識(shí)受到關(guān)注，是基于生物識(shí)別技術(shù)的迅猛發(fā)展。生物識(shí)別又稱生物特征識(shí)別，是利用人體固有的生物特征對(duì)個(gè)人身份進(jìn)行鑒別，它有兩種工作模式：其一為認(rèn)證，即在有懷疑對(duì)象的前提下將某人與懷疑對(duì)象直接比對(duì)，從而回答“是他么”的疑問；其二為識(shí)別，即從龐大的數(shù)據(jù)庫中找到與某人最為匹配的身份，以此解決“他是誰”的困惑［16］。從生物識(shí)別技術(shù)的發(fā)展歷程看，早期生物識(shí)別的工作模式主要是認(rèn)證，例如將指紋、簽名的檢材和樣本進(jìn)行比對(duì)和分析，以此來驗(yàn)證某人是否具有特定的身份。由于是一對(duì)一的比較，工作量小，針對(duì)性強(qiáng)，所以采用人工方式即可進(jìn)行。可是隨著計(jì)算機(jī)技術(shù)的發(fā)展，海量生物信息的收集和存儲(chǔ)已成為可能，生物識(shí)別的工作模式漸漸轉(zhuǎn)向了識(shí)別。特別是計(jì)算機(jī)技術(shù)與光學(xué)、聲學(xué)、醫(yī)學(xué)、生物傳感器技術(shù)、生物統(tǒng)計(jì)學(xué)原理相結(jié)合之后，一系列新型的生物識(shí)別如人臉識(shí)別、視網(wǎng)膜識(shí)別、基因識(shí)別不斷涌現(xiàn)，以往的人工識(shí)別也被計(jì)算機(jī)自動(dòng)識(shí)別所取代。

生物識(shí)別之所以能夠鑒別身份，與個(gè)人的生物特征密不可分。個(gè)人生物特征是個(gè)人所固有的生理特征和行為特征，其最顯著的特點(diǎn)是具有不變性：要么難以改變，要么不能改變。恒久不變的特點(diǎn)實(shí)現(xiàn)了人工智能對(duì)生命體識(shí)別的一勞永逸，這正是生物識(shí)別能夠鑒別個(gè)人身份的根源［17］。當(dāng)然，并非所有的生物特征都能鑒別身份，可以在技術(shù)上推廣使用的生物識(shí)別方法要求某項(xiàng)生物特征必須滿足：（1）普遍性（每個(gè)人都有）；（2）唯一性（至少在某一方面任何人都不同）；（3）可測(cè)量性；（4）可收集性；（5）可重復(fù)性。目前可以用來鑒別身份的生物特征包括生理特征和行為特征，前者主要是指紋特征、人臉特征、虹膜特征、聲紋特征、手型特征、指靜脈和掌靜脈特征、視網(wǎng)膜特征、DNA特征、掌紋特征等，后者則涉及簽名特征、步態(tài)特征、語音特征和擊鍵方式等。生物特征是生物識(shí)別的基石，它的不變性和唯一性為生物識(shí)別應(yīng)用提供了堅(jiān)實(shí)的保障，而在此基礎(chǔ)上形成的生物識(shí)別信息也具有上述特性，故任何對(duì)于生物識(shí)別信息的攻擊都可能對(duì)個(gè)人產(chǎn)生不可逆轉(zhuǎn)的影響。

（二）生物識(shí)別信息的核心要素

在世界范圍內(nèi)，生物識(shí)別信息并沒有統(tǒng)一的定義，各國(guó)采用的稱謂也不盡相同，不過定義之間存在一些共性，從中或可嘗試提取生物識(shí)別信息的核心要素。

歐盟的《通用數(shù)據(jù)保護(hù)條例》（簡(jiǎn)稱GDPR）將能夠唯一識(shí)別自然人身份的生物特征數(shù)據(jù)列入“特殊類別的個(gè)人數(shù)據(jù)”，原則上禁止對(duì)該信息進(jìn)行任何形式的處理。根據(jù)GDPR的規(guī)定，“生物特征數(shù)據(jù)”是指自然人的身體、生理或者行為特征在經(jīng)過特定技術(shù)處理后所產(chǎn)生的個(gè)人數(shù)據(jù)，該數(shù)據(jù)能夠確認(rèn)自然人的獨(dú)特身份，例如面部圖像的數(shù)據(jù)或者指紋數(shù)據(jù)。歐盟立法對(duì)許多國(guó)家產(chǎn)生了影響，英國(guó)的《數(shù)據(jù)保護(hù)法》采用了與GDPR相似的規(guī)定，該法第205條對(duì)“生物特征數(shù)據(jù)”的定義是：對(duì)個(gè)體的身體、生理或者行為特性進(jìn)行特定技術(shù)處理所產(chǎn)生的個(gè)人數(shù)據(jù)，這些數(shù)據(jù)可以唯一地識(shí)別個(gè)人的身份，例如面部圖像或者指紋數(shù)據(jù)。印度的《個(gè)人數(shù)據(jù)保護(hù)法》第3條也采用了“生物特征數(shù)據(jù)”的稱謂，其定義是：對(duì)數(shù)據(jù)主體的身體、生理、行為特征進(jìn)行測(cè)量或者技術(shù)處理所產(chǎn)生的面部圖像、指紋、虹膜掃描或者任何其他類似的個(gè)人數(shù)據(jù)，這些數(shù)據(jù)能夠唯一地確認(rèn)自然人身份。

在美國(guó)，越來越多的民眾意識(shí)到自己的生物識(shí)別信息正在遭受政府過度監(jiān)控、黑客攻擊和商業(yè)公司行為異化帶來的風(fēng)險(xiǎn)［18］。盡管聯(lián)邦政府尚未出臺(tái)生物識(shí)別信息的專門立法，但是許多州加緊了對(duì)生物識(shí)別信息的保護(hù)。康涅狄格、愛荷華、內(nèi)布拉斯加、北卡羅來納等州已在數(shù)據(jù)安全通知的法律中通過擴(kuò)大個(gè)人信息的范圍實(shí)現(xiàn)了對(duì)生物特征數(shù)據(jù)收集行為的規(guī)范［19］。伊利諾伊、德克薩斯、華盛頓各州則制定了生物識(shí)別信息的專門立法來限制和規(guī)范私人實(shí)體收集、使用生物識(shí)別信息的行為。伊利諾伊州的《生物信息隱私法》（簡(jiǎn)稱BIPA）于2008年生效，該法對(duì)于“生物識(shí)別信息”的定義是：能夠識(shí)別個(gè)人身份的生物特征標(biāo)識(shí)的任何信息，無論它如何被取得、轉(zhuǎn)換、存儲(chǔ)或者共享。至于定義中的“生物特征標(biāo)識(shí)”，BIPA的解釋包括視網(wǎng)膜或虹膜掃描，指紋、聲紋、手部或面部幾何結(jié)構(gòu)的掃描，但是書寫樣本、書面簽名、照片、用于有效科學(xué)檢測(cè)或篩選的人類生物樣本、人口數(shù)據(jù)、紋身描述或諸如身高、體重、頭發(fā)顏色或眼睛顏色等物理描述不在此列。根據(jù)BIPA的規(guī)定，生物特征標(biāo)識(shí)與生物識(shí)別信息是兩個(gè)高度關(guān)聯(lián)的概念，被生物特征標(biāo)識(shí)的定義所排除的項(xiàng)目將不構(gòu)成生物識(shí)別信息。兩個(gè)概念的外延高度一致，為什么還要區(qū)分它們呢？一個(gè)非常重要的理由是“防止規(guī)避法律”。生物特征標(biāo)識(shí)與生物識(shí)別信息的根本區(qū)別在于，前者是對(duì)生物特征的測(cè)量，后者是將這些測(cè)量結(jié)果轉(zhuǎn)換為可以使用的形式。如果單一使用生物特征標(biāo)識(shí)的概念，難免私人實(shí)體會(huì)將生物特征標(biāo)識(shí)轉(zhuǎn)換為其他形式（例如數(shù)學(xué)表達(dá)式），從而規(guī)避BIPA法案的適用。有了生物識(shí)別信息的概念后，無論私人實(shí)體將生物特征標(biāo)識(shí)轉(zhuǎn)換為何種形式的信息，只要這些信息可用來識(shí)別個(gè)人身份，那么，它均可以受BIPA的保護(hù)

LINDABEHT RIVERA and JOSEPH WEISS， on behalf of themselves and all others similarly situated， Plaintiffs， v. Google Inc.，Defendant.United States District Court， N.D. Illinois， Eastern Division. 238 F.Supp.3d 1088. 。此外，加利福尼亞州也從消費(fèi)者保護(hù)法的角度對(duì)生物識(shí)別信息給予了關(guān)注。該州的《消費(fèi)者隱私法》第1798.140（b）條對(duì)“生物識(shí)別信息”的界定是：個(gè)人的生理、生物和行為特征包括個(gè)人脫氧核糖核酸（DNA）的數(shù)據(jù)，這些數(shù)據(jù)可以單獨(dú)、合并或者與其他身份識(shí)別數(shù)據(jù)一起使用以建立個(gè)人身份。生物識(shí)別信息包括但不限于從虹膜、視網(wǎng)膜、指紋、臉部、手掌、靜脈的圖像和語音記錄中所提取的識(shí)別模板（例如面部印記、細(xì)節(jié)模板或者聲紋），以及包含可以識(shí)別身份的點(diǎn)擊模式或節(jié)奏、步態(tài)模式或節(jié)奏，以及睡眠、健康或運(yùn)動(dòng)數(shù)據(jù)。

綜觀各國(guó)立法上的定義，無論從個(gè)人信息的角度進(jìn)行闡釋（如歐盟、英國(guó)、印度），抑或從隱私的角度進(jìn)行界定（如美國(guó)），各國(guó)對(duì)于生物識(shí)別信息本質(zhì)的認(rèn)識(shí)基本一致：（1）個(gè)人生物特征的反映。生物識(shí)別信息是個(gè)人生物特征的抽象表現(xiàn)形式，能夠表征和反映個(gè)人生物特征的獨(dú)有特點(diǎn)。（2）特定技術(shù)處理的環(huán)節(jié)。生物識(shí)別信息是對(duì)個(gè)人生物特征進(jìn)行特定技術(shù)處理所獲得的信息。常見的技術(shù)處理是借助計(jì)算機(jī)程序?qū)€(gè)人生物特征進(jìn)行幾何掃描、計(jì)算和模板建構(gòu)，即所謂的個(gè)人生物特征的測(cè)量。只有經(jīng)過特定技術(shù)處理，才能形成反映個(gè)人生物特征的虛擬數(shù)據(jù)。因此，“特定技術(shù)處理”是連接個(gè)人生物特征與生物識(shí)別信息的紐帶，其承擔(dān)著轉(zhuǎn)換器的功能，若沒有經(jīng)過這一環(huán)節(jié)則不會(huì)產(chǎn)生生物識(shí)別信息［20］。（3）唯一識(shí)別的功能。生物識(shí)別信息是可以唯一性識(shí)別個(gè)人身份的信息。表征個(gè)人生物特征的信息通常儲(chǔ)存于數(shù)據(jù)庫或者特定介質(zhì)中，其中能夠唯一性識(shí)別個(gè)人身份的信息才是生物識(shí)別信息。若不能做到唯一性識(shí)別，則此類信息便沒有太多法律保護(hù)的必要。“唯一性識(shí)別”最能反映生物識(shí)別信息與其他個(gè)人信息的差別，也最能說明生物識(shí)別信息應(yīng)受法律保護(hù)的根源——當(dāng)該信息遭到泄露、盜用或者違反預(yù)期目的而使用時(shí)，不可能通過重新設(shè)置來更改，個(gè)人將永久性喪失自我身份，并間接引起人格和財(cái)產(chǎn)利益的重大損失。

三、生物識(shí)別信息的認(rèn)定：美國(guó)司法審判的經(jīng)驗(yàn)

生物識(shí)別信息的商業(yè)使用已成為當(dāng)前各國(guó)重要的經(jīng)濟(jì)增長(zhǎng)點(diǎn)，然而為了保護(hù)信息主體的自由與安全，法律為信息控制者設(shè)定了一系列禁止性義務(wù)

美國(guó)伊利諾伊州規(guī)定私人實(shí)體處理生物識(shí)別信息必須負(fù)擔(dān)書面告知的義務(wù)、取得書面同意的義務(wù)、禁止出售和出租以獲取利益的義務(wù)、禁止披露和傳播的義務(wù)，以及妥善儲(chǔ)存和傳輸?shù)牧x務(wù)（參見BIPA第15條）。。為避免被劃入信息控制者的范疇從而承擔(dān)強(qiáng)制性義務(wù)，許多企業(yè)對(duì)生物識(shí)別信息作出新穎之解讀。以常見的人臉識(shí)別案件為例，被訴侵權(quán)者最常提出的反駁是——被告僅僅收集了原告的面部圖像，并未處理原告的生物識(shí)別信息，且圖像為原告自愿公開披露。涵蓋了生物特征的圖像是否是生物識(shí)別信息？自愿公開披露該圖像是否意味著同意他人收集和使用自己的生物識(shí)別信息？這些問題成為困擾法官的難題。美國(guó)伊利諾伊州作為世界上最早制定生物識(shí)別信息專門立法的地區(qū)，自BIPA頒布以來至少已有110起針對(duì)私人實(shí)體提出的違法訴訟［21］。這些私人實(shí)體大多是擁有尖端生物識(shí)別技術(shù)的科技公司或者是通過指紋識(shí)別等生物識(shí)別方式進(jìn)行員工管理的雇主［22］。在這些訴訟中，私人實(shí)體是否涉及對(duì)個(gè)人生物識(shí)別信息的處理，更確切地說，生物識(shí)別信息應(yīng)當(dāng)如何認(rèn)定，成為案件審理不得不跨越的障礙。

（一）圖像是否構(gòu)成生物識(shí)別信息的爭(zhēng)論

生物識(shí)別信息可以通過含有生物特征的圖像來采集，例如人臉、指紋、掌紋和虹膜的影像。不過獲取圖像只是信息采集的第一步，接下來還要進(jìn)行許多維度的測(cè)量。以人臉識(shí)別為例，采集者在獲取人臉的圖像后需要測(cè)量面孔各個(gè)節(jié)點(diǎn)的特征，例如兩眼之間的距離、鼻子的寬度、眼窩的深度、顴骨、下頜輪廓和下顎等，最后獲得一串可以代表這些特征的數(shù)字代碼，這串?dāng)?shù)字代碼即為生物識(shí)別信息。由于識(shí)別系統(tǒng)的不同和測(cè)量節(jié)點(diǎn)的差異，人臉特征在不同數(shù)據(jù)庫中呈現(xiàn)出的數(shù)字表達(dá)也不相同，但是這些數(shù)字表達(dá)的源頭——人臉圖像可能是相同的。那么，收集、儲(chǔ)存、使用人臉圖像是否就是在處理生物識(shí)別信息？

2016年，全球最大的社交網(wǎng)絡(luò)公司臉書公司因使用面部識(shí)別軟件在用戶上傳的照片中顯示頭像的人名引發(fā)用戶集體訴訟。這項(xiàng)所謂“標(biāo)簽建議”服務(wù)的基本步驟是：首先掃描用戶上傳的照片，然后識(shí)別照片中出現(xiàn)的面孔，如果程序識(shí)別出面孔的主人，就會(huì)提示該人的名字或者自動(dòng)為面孔添加姓名標(biāo)簽。三名用戶對(duì)臉書公司提起了訴訟。他們主張，臉書公司利用先進(jìn)的面部識(shí)別技術(shù)，在未經(jīng)用戶同意的情況下從用戶上傳的照片中秘密收集了用戶的生物識(shí)別信息，其行為構(gòu)成了對(duì)權(quán)利的侵犯。三用戶認(rèn)為，臉書公司至少在四個(gè)方面違反了BIPA的規(guī)定：（1）沒有書面告知用戶他們的生物識(shí)別信息正在被生成、收集和儲(chǔ)存；（2）沒有書面告知用戶生物識(shí)別信息被收集、儲(chǔ)存、使用的目的和時(shí)間；（3）沒有公開提供保留生物識(shí)別信息的期限和銷毀的期限；（4）沒有獲得用戶的書面同意。面對(duì)以上指控，臉書公司從生物識(shí)別信息的定義入手提出了反駁。其援引了BIPA對(duì)“生物識(shí)別信息”的除外規(guī)定——“被生物特征標(biāo)識(shí)的定義所排除的項(xiàng)目的信息不是生物識(shí)別信息”，然后又援引了BIPA對(duì)“生物特征標(biāo)識(shí)”的除外規(guī)定——“書寫樣本、書面簽名、照片、用于有效的科學(xué)檢測(cè)或篩選的人類生物樣本、人口數(shù)據(jù)、紋身描述或者諸如身高、體重、頭發(fā)顏色或眼睛顏色等物理描述不在此列”，最后得出結(jié)論：照片和從照片中衍生的信息被明確排除在生物特征標(biāo)識(shí)和生物識(shí)別信息之外，因此不受BIPA的保護(hù)

185 F.Supp.3d 1155，United States District Court，N.D.California.In Re Facebook Biometric Information Privacy Litigation.Case No.15-cv-03747-JD，Signed May 5，2016.。

對(duì)照片性質(zhì)的認(rèn)定直接影響到案件的判決，但是解決這一問題著實(shí)棘手：照片的確不在BIPA的保護(hù)范圍；但是，臉書公司取得的面部特征數(shù)據(jù)確實(shí)從照片中來。若對(duì)BIPA的規(guī)定進(jìn)行純粹字面上的解釋，原告極有可能敗訴，而這樣的結(jié)果與BIPA的立法意圖明顯背離，因?yàn)橐晾Z伊州制定BIPA的初衷就是為了解決新興的生物識(shí)別技術(shù)對(duì)民眾隱私的侵犯。審理該案的法院非常清醒地認(rèn)識(shí)到這一點(diǎn)，于是放棄了單純的文本解釋，改采目的解釋、體系解釋、歷史解釋的多元方法以求對(duì)BIPA規(guī)定的深入理解。法院認(rèn)為，法律條文必須置于整體背景下審讀，對(duì)其含義的理解應(yīng)當(dāng)考察其他相關(guān)規(guī)定，并考慮條文在整個(gè)法律中的地位。就如BIPA將照片排除在外一樣，這里的“照片”更應(yīng)當(dāng)被理解為紙質(zhì)印刷品，而非儲(chǔ)存于電腦文件或者上傳到互聯(lián)網(wǎng)的數(shù)字化圖像。因?yàn)閺捏w系上看，與照片一同被排除的還有“書寫樣本、書面簽名、人類生物樣本、人口統(tǒng)計(jì)數(shù)據(jù)、紋身描述和身體描述”，它們與照片一樣都是非數(shù)字化的物理標(biāo)識(shí)。因此，將照片絕對(duì)排除在BIPA的保護(hù)范圍之外是不恰當(dāng)?shù)模@樣做只會(huì)削弱BIPA的效力④。

本案法院盡管駁回了被告提出的“照片不受保護(hù)”的主張，卻沒有承認(rèn)從照片中衍生的信息就是生物識(shí)別信息。按照法院的邏輯，紙質(zhì)印刷品的照片確實(shí)不涉及生物特征標(biāo)識(shí)和生物識(shí)別信息，但是以數(shù)字化形式呈現(xiàn)的圖像則可能是生物特征標(biāo)識(shí)和生物識(shí)別信息的重要來源，所以一概將照片排除在BIPA的保護(hù)范圍是不恰當(dāng)?shù)摹Ｃ绹?guó)法院超出法律文本之字面對(duì)“照片”一詞重新解釋的做法，深刻反映了生物識(shí)別技術(shù)快速發(fā)展給社會(huì)認(rèn)識(shí)帶來的變化。BIPA頒布于2008年，當(dāng)時(shí)的照片以紙質(zhì)印刷品為主，即便儲(chǔ)存了數(shù)字化圖像，憑借當(dāng)時(shí)剛剛起步的生物識(shí)別技術(shù)，也不足以從數(shù)字圖像中提取生物特征標(biāo)識(shí)。在伊利諾伊州，生物識(shí)別信息糾紛大多發(fā)生于2015年之后，被告則大多是尖端的生物識(shí)別技術(shù)公司，這些事實(shí)表明生物識(shí)別信息糾紛是隨著生物識(shí)別技術(shù)的發(fā)展產(chǎn)生的，而BIPA的規(guī)定一定會(huì)落后于快速變化的社會(huì)生活，因此對(duì)于BIPA條文的解釋必須跟上現(xiàn)實(shí)需要。臉書案判決的意義在于澄清了“單純的圖像不能作為生物識(shí)別信息而受保護(hù)”，但是法院的說理仍然不能從根本上回答原告怎樣的利益受到了侵害，尤其在當(dāng)下紙質(zhì)印刷品的照片與數(shù)字化的圖像早已實(shí)現(xiàn)了相互的自由轉(zhuǎn)換，以照片形式（無論是紙質(zhì)化還是電子化）劃分保護(hù)對(duì)象的方法終將沒有說服力。因此，法院仍有必要在“照片”解釋的基礎(chǔ)上更近一步，才能使被告信服其行為確實(shí)與BIPA的規(guī)定相違背。

（二）對(duì)“幾何結(jié)構(gòu)掃描”真實(shí)含義的理解

在臉書案中，三原告圍繞“照片是否受保護(hù)”的問題提出了許多有價(jià)值的主張，由此推動(dòng)了案件真相的發(fā)現(xiàn)。原告提出，臉書公司的違法行為不在于收集、儲(chǔ)存和使用了原告的照片，而在于收集、儲(chǔ)存和使用了從原告的數(shù)字化圖像中衍生的信息——根據(jù)原告獨(dú)特的面部特征而創(chuàng)建的原告面部特征的數(shù)字表示，即所謂的“人臉模板”。這些面部特征的數(shù)字表示來源于對(duì)面部幾何結(jié)構(gòu)的測(cè)量，又稱為“面部幾何結(jié)構(gòu)掃描”，例如一個(gè)人的眼睛、鼻子和耳朵之間的距離。臉書公司的“標(biāo)簽建議”服務(wù)必須依賴于面部幾何結(jié)構(gòu)掃描，而后者是BIPA明確保護(hù)的“生物特征標(biāo)識(shí)”，所以臉書公司未經(jīng)原告同意收集、儲(chǔ)存和使用原告照片的行為就是對(duì)生物識(shí)別信息的侵犯。

原告的這一主張使案件變得更加復(fù)雜，而要解除困惑就必須從技術(shù)層面回答什么是“面部幾何結(jié)構(gòu)掃描”。臉書公司首先通過詞語解釋的方法對(duì)原告的主張進(jìn)行了反駁，它認(rèn)為BIPA雖然明確將“面部幾何結(jié)構(gòu)掃描”規(guī)定為生物特征標(biāo)識(shí)，但是這一術(shù)語中的“掃描”一詞應(yīng)當(dāng)作限制性解釋，即應(yīng)理解為“精確測(cè)量”，例如眼睛、鼻子和耳朵等在距離、深度和角度上的專門測(cè)量，而自己的行為僅僅是對(duì)照片進(jìn)行了映射，所以不符合“掃描”的應(yīng)有含義，不能被認(rèn)為收集了原告的生物識(shí)別信息。

原被告就“面部幾何結(jié)構(gòu)掃描”形成的爭(zhēng)論真正觸及人臉識(shí)別糾紛的根本，對(duì)于“掃描”一詞的理解甚至可以決定案件裁判的走向。對(duì)于法院而言，探究這一詞匯的真意至關(guān)重要，而一個(gè)前提是必須結(jié)合立法的目的進(jìn)行考察。基于這樣的考慮，法院認(rèn)為，BIPA作為專門應(yīng)對(duì)生物識(shí)別技術(shù)的隱私保護(hù)法律，理應(yīng)不對(duì)“掃描”一詞作過多的限制；“掃描”一般是指通過觀察來檢測(cè)或者通過系統(tǒng)性數(shù)據(jù)尤其是儲(chǔ)存的數(shù)據(jù)來檢測(cè)，“幾何”于日常生活中被理解為“結(jié)構(gòu)”，“結(jié)構(gòu)”則指各部分或各元素的相對(duì)排列，所有這些詞匯都不要求實(shí)際和精確的測(cè)量；BIPA沒有對(duì)“掃描”一詞作出解釋，也從未暗示專門的測(cè)量是必需的。

法院對(duì)于“掃描”一詞的分析看似在解決一個(gè)事實(shí)問題，實(shí)際上卻揭示了生物識(shí)別信息糾紛的實(shí)質(zhì)——生物特征測(cè)量或言生物特征標(biāo)識(shí)，才是生物識(shí)別信息糾紛訴爭(zhēng)的關(guān)鍵。臉書案之后，美國(guó)法院已經(jīng)可以非常熟練地把握該類訴訟的核心問題了。例如在2017年，因谷歌“云服務(wù)”而引發(fā)的針對(duì)谷歌公司的集體訴訟中，法院很快就鎖定了爭(zhēng)議的核心，并確認(rèn)通過掃描照片中人物的面部特征而創(chuàng)建的“人臉模板”屬于生物特征標(biāo)識(shí)，而谷歌公司未經(jīng)原告同意創(chuàng)建和使用“人臉模板”的行為違反了BIPA的規(guī)定。谷歌案判決再一次證明，在因生物識(shí)別技術(shù)而引發(fā)的糾紛中，生物特征測(cè)量以及生物特征測(cè)量數(shù)據(jù)才是法律需要保護(hù)的核心利益。

（三）測(cè)量方式是否影響生物識(shí)別信息認(rèn)定之辨析

臉書案和谷歌案讓法院明白，生物識(shí)別所涉及的核心利益是生物特征測(cè)量及其數(shù)據(jù)，然而面對(duì)快速發(fā)展的生物識(shí)別技術(shù)，法院在認(rèn)定一項(xiàng)行為是否涉及對(duì)生物識(shí)別信息的處理時(shí)仍會(huì)出現(xiàn)許多障礙。在谷歌案中，就生物特征測(cè)量的來源問題再一次引發(fā)了爭(zhēng)論。這次爭(zhēng)論的焦點(diǎn)是：生物識(shí)別信息的獲得是否受到測(cè)量方式的影響？

谷歌公司認(rèn)為，BIPA規(guī)定了兩個(gè)非常重要的定義：“生物特征標(biāo)識(shí)”和“生物識(shí)別信息”。這兩個(gè)定義是從來源上進(jìn)行區(qū)分——由人派生的是生物特征標(biāo)識(shí)，隨后由生物特征標(biāo)識(shí)派生的才是生物識(shí)別信息。“面部幾何結(jié)構(gòu)掃描”之所以是生物特征標(biāo)識(shí)，是因?yàn)樗荒軓娜硕鴣怼Ｒ虼耍瑢?duì)人面部的直接掃描才能形成生物特征標(biāo)識(shí)，而掃描照片獲得的生物特征測(cè)量不符合生物特征標(biāo)識(shí)的定義。谷歌公司意圖從生物特征標(biāo)識(shí)的來源（即生物特征的測(cè)量方式）入手找尋勝訴的機(jī)會(huì)，但它的這一努力無法從法律文本中找到依據(jù)，也明顯不符合BIPA的立法目的。“BIPA關(guān)于生物特征標(biāo)識(shí)的定義只是簡(jiǎn)單列舉了生物特征標(biāo)識(shí)的類型，卻沒有規(guī)定獲取和存儲(chǔ)它們的方法，事實(shí)上生物特征標(biāo)識(shí)可以通過各種方式獲得，只要生物特征的測(cè)量值不發(fā)生改變，它們就依然是生物特征標(biāo)識(shí)。”

Lindabeth Rivera and Joseph Weiss， on behalf of themselves and all others similarly situated， Plaintiffs，v. Google Inc.，Defendant.United States District Court，N.D.Illinois，Eastern Division. 238 F.Supp.3d 1088.法院通過判決表明一種立場(chǎng)：生物特征標(biāo)識(shí)就是對(duì)一個(gè)人的生物特征測(cè)量，與測(cè)量的方式無關(guān)。

生物特征測(cè)量及其數(shù)據(jù)的獲得不受測(cè)量方式的影響，這一觀點(diǎn)對(duì)后續(xù)案件的審判起到了相當(dāng)重要的影響。在Monroy v. Shutterfly， Inc.案中，被告再一次提出“面部幾何結(jié)構(gòu)掃描”應(yīng)被理解為只能從真人處獲得，理由是：其一，生物特征標(biāo)識(shí)既然不包括從圖像或照片中獲得的信息，那么生物特征標(biāo)識(shí)定義中的“面部幾何結(jié)構(gòu)掃描”就只能是對(duì)人臉進(jìn)行的面對(duì)面掃描；其二，在生物特征標(biāo)識(shí)的定義中，與“面部幾何結(jié)構(gòu)掃描”一同列舉的項(xiàng)目例如視網(wǎng)膜或虹膜的掃描，指紋、聲紋、手部掃描等都暗示了面對(duì)面的過程。審理該案的法院從多個(gè)角度反駁了被告的觀點(diǎn)：

其一，認(rèn)為“生物特征標(biāo)識(shí)”定義所列出的生物特征標(biāo)識(shí)只能通過面對(duì)面方式獲得的觀點(diǎn)是不正確的，例如指紋、視網(wǎng)膜掃描從技術(shù)的角度看完全可以從電子圖像和照片中獲得，即便某些生物特征測(cè)量無法通過影像獲得，考慮到技術(shù)發(fā)展的速度，未來也有充分的可能性。其二，如果將“面部幾何結(jié)構(gòu)掃描”理解為面對(duì)面掃描，那么法律將在應(yīng)對(duì)技術(shù)發(fā)展帶來的新問題時(shí)捉襟見肘。正如谷歌案判決陳述的那樣，“技術(shù)的進(jìn)步是促使伊利諾伊州頒布BIPA的原因，因此該法不可能通過限定測(cè)量的方式來限制生物特征標(biāo)識(shí)的定義。有誰知道將來還可能通過何種方式進(jìn)行虹膜掃描、視網(wǎng)膜掃描、指紋、聲紋以及面部和手部掃描”，最為重要的是，沒有法律條文要求生物特征標(biāo)識(shí)必須直接來源于人。如果立法者有意使“面部幾何結(jié)構(gòu)掃描”指代對(duì)人臉進(jìn)行的實(shí)際掃描，那么它就應(yīng)當(dāng)作出更明確的表示，例如在定義中明確使用“來自人”或者“基于人”等詞匯

Alejandro Monroy，on behalf of himself and all others similarly situated， Plaintiffs，v. Shutterfly，Inc.，Defendant.United States District Court， N.D.Illinois， Eastern Division.2017 WL 4099846.。

（四）美國(guó)經(jīng)驗(yàn)的總結(jié)與反思

美國(guó)生物識(shí)別信息的認(rèn)定經(jīng)歷了一個(gè)由技術(shù)進(jìn)步助推認(rèn)知成長(zhǎng)的過程。技術(shù)更迭所帶來的認(rèn)知困惑深刻地反映在法庭雙方所進(jìn)行的各種爭(zhēng)辯中。這些爭(zhēng)辯為深入理解生物識(shí)別信息的內(nèi)涵提供了鮮活的素材，也為檢驗(yàn)法律定義的適恰性提供了現(xiàn)實(shí)依據(jù)。

美國(guó)法院的審判經(jīng)驗(yàn)可以概括為以下方面：（1）單純對(duì)于個(gè)人生物特征的描述不構(gòu)成生物識(shí)別信息。生物識(shí)別信息要從個(gè)人生物特征中提煉，但是個(gè)人生物特征不是生物識(shí)別信息。個(gè)人生物特征的描述即便以有形的方式呈現(xiàn)亦不構(gòu)成生物識(shí)別信息，例如能夠展現(xiàn)眼睛顏色的照片不是生物識(shí)別信息。（2）生物特征樣本須與生物識(shí)別信息區(qū)分開來。生物特征樣本是記錄個(gè)人生物特征的載體，該載體若單純以物理形式呈現(xiàn)（如紙質(zhì)印刷品的照片）則不會(huì)產(chǎn)生與生物識(shí)別信息的交集。但是當(dāng)生物特征樣本經(jīng)過特定技術(shù)處理后（如數(shù)字化的圖像），它與生物識(shí)別信息的界限就可能變得模糊。美國(guó)法院的貢獻(xiàn)就在于澄清了一個(gè)事實(shí)——無論生物特征樣本的載體形式如何，都不能將它與生物識(shí)別信息相等同，因?yàn)樯镒R(shí)別信息的本質(zhì)不在于形式，而在于是否對(duì)個(gè)人生物特征進(jìn)行了測(cè)量。（3）生物識(shí)別信息的實(shí)質(zhì)是對(duì)生物特征的測(cè)量（即對(duì)生物特征的特定技術(shù)處理）。由于BIPA對(duì)生物識(shí)別標(biāo)識(shí)采用了表象性的描述——“視網(wǎng)膜或虹膜掃描，指紋、聲紋、手部或面部幾何結(jié)構(gòu)的掃描”，由此引發(fā)了爭(zhēng)議雙方的各類解讀。法院審判的意義在于還原了法律文本中“掃描”一詞的真實(shí)含義，揭示了生物識(shí)別標(biāo)識(shí)的內(nèi)核是生物特征測(cè)量。建立在這一認(rèn)知的基礎(chǔ)之上，生物識(shí)別信息的認(rèn)定變得精準(zhǔn)而簡(jiǎn)單——所有因生物特征測(cè)量所形成的數(shù)據(jù)就是生物識(shí)別信息，至于這些數(shù)據(jù)的取得方式則沒有必要過多考慮。

從美國(guó)的審判經(jīng)驗(yàn)得到啟示：一個(gè)良好的定義可以避免許多不必要的紛爭(zhēng)，而要塑造這樣一個(gè)定義，就必須從問題的本質(zhì)入手。以BIPA的定義來看，其最大的缺陷在于采用表象性的描述來界定生物特征標(biāo)識(shí)，沒有對(duì)生物特征標(biāo)識(shí)的內(nèi)核進(jìn)行挖掘。這種表象性的描述極易引起認(rèn)識(shí)上的偏差，同時(shí)表象性的列舉也不可能做到周延。例如，當(dāng)作為行為特征的步態(tài)經(jīng)過特定程序的測(cè)量從而具備識(shí)別個(gè)人身份的功能時(shí)也會(huì)上升為生物識(shí)別信息，但是在BIPA的列舉中卻缺乏這種描述。由是觀之，生物識(shí)別信息的定義更應(yīng)當(dāng)從“生物特征測(cè)量”的本質(zhì)著手，才能避免技術(shù)更迭所帶來的不斷解釋的問題。對(duì)比來看，較BIPA晚了近10年的歐盟定義尤其是印度的定義更具有合理性。

四、生物識(shí)別信息的中國(guó)語義：以生物特征測(cè)量為核心的開放型定義

生物識(shí)別的應(yīng)用帶來了權(quán)利侵害的新特點(diǎn)：從顯性到隱性的安全風(fēng)險(xiǎn)［23］。然而，個(gè)人生物識(shí)別信息的法律保護(hù)現(xiàn)實(shí)地?cái)[在面前。隨著《個(gè)人信息保護(hù)法》立法的塵埃落定，生物識(shí)別信息的安全防護(hù)將獲得極大提升。但不可否認(rèn)的是，我國(guó)尚缺乏對(duì)生物識(shí)別信息的準(zhǔn)確定義，而現(xiàn)有法律文件所使用的定義存在保護(hù)對(duì)象不統(tǒng)一、內(nèi)涵和外延不明確等各種問題［24］。這實(shí)際上反映了對(duì)生物識(shí)別信息本質(zhì)認(rèn)識(shí)的欠缺。

目前一個(gè)普遍性的錯(cuò)誤是，將生物識(shí)別信息與個(gè)人生物特征相混淆。例如，有觀點(diǎn)認(rèn)為人臉就是生物識(shí)別信息［25］。生物識(shí)別信息須由個(gè)人生物特征經(jīng)過特定技術(shù)處理轉(zhuǎn)化而來，這是生物識(shí)別信息與個(gè)人生物特征的聯(lián)系，二者絕非同一內(nèi)涵。個(gè)人生物特征與生俱來，具有天然的客觀性，生物識(shí)別信息則是經(jīng)過了人工干預(yù)而在后天形成的數(shù)據(jù)。譬如一個(gè)人的兩眼距離過寬，此乃對(duì)個(gè)人生物特征的描述，而兩眼之間距離的測(cè)量數(shù)據(jù)才是生物識(shí)別信息。事實(shí)上，我國(guó)理論界對(duì)于個(gè)人生物特征、生物特征樣本、生物特征測(cè)量、生物識(shí)別信息等均未形成明確的認(rèn)知，因此上述概念混用的現(xiàn)象時(shí)有發(fā)生。例如，《信息安全技術(shù)：個(gè)人信息安全規(guī)范》第6.3C條之3規(guī)定：“原則上不應(yīng)存儲(chǔ)原始個(gè)人生物識(shí)別信息（如樣本、圖像等），可采取的措施包括但不限于在使用面部識(shí)別特征、指紋、掌紋、虹膜等實(shí)現(xiàn)識(shí)別身份、認(rèn)證等功能后刪除可提取個(gè)人生物識(shí)別信息的原始圖像。”根據(jù)該條語義，人臉圖像究竟是生物特征樣本抑或生物識(shí)別信息，概莫能辨。2022年實(shí)施的《信息安全技術(shù) 生物特征識(shí)別信息保護(hù)基本要求》對(duì)“生物特征識(shí)別信息”作出了最新定義：“對(duì)自然人的物理、生物或行為特征進(jìn)行技術(shù)處理得到的、能夠單獨(dú)或者與其他信息結(jié)合識(shí)別該自然人身份的個(gè)人信息。”然而在該定義的注解中我們看到，“生物特征識(shí)別信息”不僅包括面部識(shí)別特征、虹膜、指紋等，還包括樣本和圖像。這表明概念之間交叉重疊、邊界不明的現(xiàn)象依然存在，個(gè)人生物特征、生物特征樣本與生物識(shí)別信息之間的混淆認(rèn)識(shí)沒有消除。

筆者認(rèn)為，個(gè)人生物識(shí)別信息的定義應(yīng)當(dāng)把握三個(gè)原則：第一，揭示生物識(shí)別信息的本質(zhì)；第二，反映生物識(shí)別信息的構(gòu)成；第三，兼顧技術(shù)更新的速度。在上述原則的指導(dǎo)下，生物識(shí)別信息的定義宜由內(nèi)涵與外延兩部分組成，前者規(guī)定生物識(shí)別信息的本質(zhì)與構(gòu)成，為未來所有可能的情況提供解釋的基礎(chǔ)，后者進(jìn)行開放式列舉，以引導(dǎo)當(dāng)下的理論與實(shí)踐。生物識(shí)別信息的實(shí)質(zhì)是對(duì)生物特征的測(cè)量，個(gè)人生物特征的反映、特定技術(shù)處理的環(huán)節(jié)、唯一性識(shí)別的功能是識(shí)別生物識(shí)別信息的核心要素，在此基礎(chǔ)可以勾勒出生物識(shí)別信息的內(nèi)涵——對(duì)自然人的生物特征進(jìn)行特定技術(shù)處理（測(cè)量）所形成的能夠唯一性識(shí)別自然人身份的信息（數(shù)據(jù)）。生物識(shí)別信息的三個(gè)要素也是區(qū)分它與個(gè)人生物特征、生物特征樣本、生物特征測(cè)量的依據(jù)。例如，人臉圖像在未經(jīng)技術(shù)處理之前僅僅作為生物特征樣本而存在，所以單純對(duì)于照片的處理例如收集、掃描、傳輸、公開他人的照片不涉及生物識(shí)別信息的問題。倘若通過特定的程序從人臉圖像中將面部各代表性部位的相對(duì)位置和相對(duì)大小作為特征提取出來，所獲得的特征向量就是生物特征測(cè)量。如果這些特征向量被儲(chǔ)存于特定數(shù)據(jù)庫中以便日后用于識(shí)別和認(rèn)證個(gè)人身份，那么便形成了生物特征參考模板俗稱“人臉模板”，與原始的人臉圖像不同，人臉模板則是生物識(shí)別信息。

至于生物識(shí)別信息的外延，則應(yīng)當(dāng)在兼顧特別列舉的同時(shí)保持開放。盡管出于產(chǎn)業(yè)保護(hù)的需要，一些地區(qū)出現(xiàn)了限縮生物識(shí)別信息種類的現(xiàn)象，例如美國(guó)華盛頓州的《生物信息隱私法》沒有在生物特征標(biāo)識(shí)的定義中列舉“面部幾何結(jié)構(gòu)掃描”［26］。評(píng)論者多認(rèn)為這是一種商業(yè)友好利用的表現(xiàn)［27］。但是從國(guó)際總體情況看，保持外延的開放性已經(jīng)成為主流。歐盟、英國(guó)和印度對(duì)生物識(shí)別信息的定義采取“概括”立法模式，其外延多不加以限制，只要對(duì)自然人的生物特征進(jìn)行特定程序處理所形成的唯一識(shí)別自然人身份的數(shù)據(jù)均是生物識(shí)別信息。美國(guó)伊利諾伊州采用“概括+排除”的立法模式，例如將遺傳信息和健康信息排除在生物識(shí)別信息之外，但是作此排除的目的主要是為了避免與聯(lián)邦法律已有涉及的生物識(shí)別信息的規(guī)定發(fā)生沖突，至于生物識(shí)別信息的范圍依舊十分廣泛。加利福尼亞州的定義則采用“概括+列舉”的立法模式，一方面從正面列舉從虹膜、視網(wǎng)膜、指紋、臉部、手掌、靜脈、語音、步態(tài)、點(diǎn)擊模式、睡眠模式、運(yùn)動(dòng)模式，以及健康狀況中提取的數(shù)據(jù)是生物識(shí)別信息，另一方面又在定義中使用“包括但不限于”的表述使生物識(shí)別信息的范圍不受列舉的限制。我國(guó)《信息安全技術(shù)：個(gè)人信息安全規(guī)范》也曾羅列生物識(shí)別信息的種類——“個(gè)人基因、指紋、聲紋、掌紋、耳廓、虹膜、面部識(shí)別特征等”，此種羅列明顯只具有提示意義。伴隨著生物識(shí)別技術(shù)的發(fā)展，生物識(shí)別信息的范圍會(huì)不斷擴(kuò)大，故而，為實(shí)現(xiàn)保護(hù)和管理的目標(biāo)，不宜對(duì)生物識(shí)別信息的種類加以限制。我國(guó)應(yīng)當(dāng)借鑒比較法上的經(jīng)驗(yàn)，在生物識(shí)別信息的外延界定上保持涵攝性。

五、結(jié)語

生物識(shí)別信息是隨著生物識(shí)別技術(shù)發(fā)展出現(xiàn)的個(gè)人信息的新類型。伴隨著生物識(shí)別技術(shù)應(yīng)用的不斷深入，生物識(shí)別信息危機(jī)問題將愈發(fā)突出。然而生物識(shí)別信息除承載個(gè)體的人格價(jià)值外，還有重要的商業(yè)利用價(jià)值與公共管理價(jià)值，這就意味著生物識(shí)別信息的安全風(fēng)險(xiǎn)可能長(zhǎng)期存在［28］。加強(qiáng)生物識(shí)別技術(shù)的合規(guī)化管理，建立企業(yè)、行業(yè)組織、監(jiān)管機(jī)構(gòu)在內(nèi)的多方協(xié)同治理機(jī)制，對(duì)于預(yù)防生物識(shí)別信息的安全風(fēng)險(xiǎn)具有重要意義。而從技術(shù)或者法律的層面建立生物識(shí)別系統(tǒng)的安全性能標(biāo)準(zhǔn)，使個(gè)人在了解生物識(shí)別系統(tǒng)的風(fēng)險(xiǎn)后再進(jìn)行授權(quán)同意，是實(shí)現(xiàn)個(gè)人對(duì)生物識(shí)別信息控制權(quán)的真正途徑［29］。不過上述所有措施都必須依賴一個(gè)共同的前提，即明確生物識(shí)別信息的范圍和類別，而這必須借助于對(duì)生物識(shí)別信息的準(zhǔn)確定義。

參考文獻(xiàn)：

［1］王丹娜.生物識(shí)別：傳統(tǒng)信息安全在新技術(shù)環(huán)境的創(chuàng)新應(yīng)用［J］.中國(guó)信息安全，2019（2）：60-64.

［2］付微明.大數(shù)據(jù)時(shí)代個(gè)人生物識(shí)別信息法律保護(hù)的重要意義［J］.研究生法學(xué)，2019（4）：134-140.

［3］JAIN A K.Technology：Biometric recognition［J］.Nature，2007（7158）：38-40.

［4］周正.生物識(shí)別技術(shù)助力信息惠民工程［J］.中國(guó)信息界，2015（2）：72.

［5］宋子晴.生物識(shí)別信息安全新主張［J］.中國(guó)公共安全（綜合版），2016（10）：84-87.

［6］李爾靜.軟件可以竊取“臉”，你將如何證明你是“你”［N］.長(zhǎng)江日?qǐng)?bào)，2019-09-05（05）.

［7］毛亞楠.人臉識(shí)別第一案：告的是什么［J］.方圓，2019（24）：14-17.

［8］ELIZABETH C.Reject the evidence of your eyes and ears：Deepfakes and the law of virtual replicants［J］.Seton Hall Law Review，2020（1）：177-206.

［9］屈暢.17萬“人臉數(shù)據(jù)公開售賣被下架”［N］.北京青年報(bào)，2019-09-11（07）.

［10］海通證券.信息服務(wù)：生物識(shí)別產(chǎn)業(yè)爆發(fā)在即［J］.股市動(dòng)態(tài)分析，2016（38）：48.

［11］王德政.針對(duì)生物識(shí)別信息的刑法保護(hù)：現(xiàn)實(shí)境遇與完善路徑：以四川“人臉識(shí)別案”為切入點(diǎn)［J］.重慶大學(xué)學(xué)報(bào)（社會(huì)科學(xué)版），2021（2）：133-143.

［12］張勇.個(gè)人生物信息安全的法律保護(hù)：以人臉識(shí)別為例［J］.江西社會(huì)科學(xué)，2021（5）：157-168，255-256.

［13］周行.人臉信息立法保護(hù)的規(guī)范體系建構(gòu)［J］.中南民族大學(xué)學(xué)報(bào)（人文社會(huì)科學(xué)版），2021（8）：128-135.

［14］吳小帥.大數(shù)據(jù)背景下個(gè)人生物識(shí)別信息安全的法律規(guī)制［J］.法學(xué)論壇，2021（2）：152-160.

［15］王澤鑒.債法原理（三）侵權(quán)行為［M］.北京：中國(guó)政法大學(xué)出版社，2001：138.

［16］趙秀萍.生物特征識(shí)別技術(shù)發(fā)展綜述［J］.刑事技術(shù)，2011（6）：44-48.

［17］顧理平.身份識(shí)別與復(fù)制：智能生物識(shí)別技術(shù)應(yīng)用中的隱私保護(hù)［J］.湖南師范大學(xué)社會(huì)科學(xué)學(xué)報(bào)，2021（4）：123-130.

［18］WILLOUGHBY A.Biometric surveillance and the right to privacy［J］.IEEE Technology and Society Magazine，2017（3）：41-45.

［19］BINIMOW B J.State statutes regulating collection or disclosure of consumer biometric or genetic information［J］.American Law Reports 7th，2019（41）：38.

［20］付微明.個(gè)人生物識(shí)別信息民事權(quán)利訴訟救濟(jì)問題研究［J］.法學(xué)雜志，2020（3）：78-88.

［21］SCHWAB K.A landmark ruling gives new power to sue tech giants for privacy harms［EB/OL］.（2019-01-26）［2021-12-05］.http：//www.fastcompany.com/90297382/illinois-supreme-court-decision-marks-a-landmark-win-for-biometric-privacy-harm？position=7&campaign_date=11082020.

［22］STEPNEY C. Actual harm means it is too late：How Rosenbach v.Six Flags demonstrates effective biometric information privacy law［J］.Loyola of Los Angeles Entertainment Law Review，2019（1）：51-87.

［23］顧理平.智能生物識(shí)別技術(shù)：從身份識(shí)別到身體操控：公民隱私保護(hù)的視角［J］.上海師范大學(xué)學(xué)報(bào)（哲學(xué)社會(huì)科學(xué)版），2021（5）：5-13.

［24］曾昌.分離困境與整合路徑：大數(shù)據(jù)時(shí)代下個(gè)人生物識(shí)別信息保護(hù)制度之完善［J］.云南社會(huì)科學(xué)，2021（5）：114-122，187.

［25］郭春鎮(zhèn).數(shù)字人權(quán)時(shí)代人臉識(shí)別技術(shù)應(yīng)用的治理［J］.現(xiàn)代法學(xué)，2020（4）：19-36.

［26］BENSON B.Fingerprint not recognized：Why The United States needs to protect biometric privacy［J］.North Carolina Journal of Law & Technology，2018（4）：161-192.

［27］陸海娜，趙賡.個(gè)人生物識(shí)別信息商業(yè)利用的法律規(guī)制：美國(guó)州立法經(jīng)驗(yàn)的比較與反思［J］.人權(quán)研究，2021（2）：86-105.

［28］冉克平.論個(gè)人生物識(shí)別信息及其法律保護(hù)［J］.社會(huì)科學(xué)輯刊，2020（6）：111-120.

［29］華國(guó)慶，陶?qǐng)@.論生物特征識(shí)別系統(tǒng)個(gè)人信息采集處理授權(quán)同意機(jī)制［J］.江西社會(huì)科學(xué)，2021（5）：169-178.

Abstract：

Biometric information is a kind of data that comes from technical processing of personal biological characteristics. Personal biometric characters have the characteristics of invariance and uniqueness， which makes biometric identification identify individuals once and for all. Biometric information processed by a specific technology also has these characteristics， so any attacks on biometric information may have an irreversible impact on individuals. In real life， the information subject suffer loss from illegal commercial collection， freedom limitation， information sale and theft， deep fake and fraud. Its urgent to protect biometric information security， while defining biometric information precisely is the primary prerequisite. Experiences from comparative law show that the biometric information has three essential elements： the reflection of biological characters， the processing by specific technology， and the function of unique recognition. They are the key to identify biometric information. Biometric information can be collected by an image containing personal biometric characteristics， but the image is only a reflection of personal biometric characteristics. The image is not biometric information unless it is processed by specific technology， whether the image is an electronic image or a paper photo. The essence of biometric information is the measurement of personal biometric， which is called “specific technology processing”， but the measuring method itself doesnt matter. Whether measurement from face to face on real-person or from image containing personal biometric characteristics， the information is both biometric information. The description of personal biometric characteristic does not constitute biometric information， and personal biometric samples should be distinguished from the personal biometric information. There are many deviations in understanding the definition of biometric information in the legal documents now， and concept confusion， unclear connotation and incomplete extension are the main problems. The definition of biometric information in China should follow three principles in future： revealing the nature of biometric information， reflecting the elements of biometric information， and taking into account the speed of technology progress. It is necessary to define the concept from two aspects： connotation and extension. The functions of connotation are defining essence and composition， so as to provide explanation rooms for possible technological revolution. The functions of extension are listing typical biometric information， so as to provide guide for the current theory and practice. As far as the connotation， “biometric information” can be described as a kind of information which can uniquely identify a natural person by the specific technical processing of his biological characteristics. In terms of extension， the ordinary kinds of biometric information can be listed， at the same time， using the expressing of “including but not limited” to keep the scope of biometric information open.

Key words：? biometric information; biological characters; samples of biological characteristic; biometric measurement; personal information protection

（責(zé)任編輯 袁 虹）