付微明

一、問題的緣起

在傳統(tǒng)中國社會，“信息”指消息。(1)參見(唐)李中《碧云集·暮春懷故人詩》：“夢斷美人沉信息，日穿長路倚樓臺。”現(xiàn)代漢語中將英語“information”一詞翻譯為“信息”，名詞意義上指關于某人的情報、消息、資料等。(2)參見《辭?！?，商務印書館2015年版，第283頁。“生物”在漢語詞匯中原指“產生萬物”(3)《莊子·天地》：“留動而生物”。以及“有生命的物質”(4)《禮樂記》：“氣衰則生物不遂”。，現(xiàn)代漢語將英文“Biology”譯為“生物學的”“與生命有關的”(5)《牛津高階英漢雙解詞典》，商務印書館、牛津大學出版社2002年版，第1478頁。?！癇iometrics(生物識別)”一詞無論在英文還是現(xiàn)代漢語中均是一個新詞，是隨著計算機技術的應用與互聯(lián)網空間的飛速發(fā)展而產生的“通過計算機與光學、聲學、生物傳感器和生物統(tǒng)計學原理等高科技手段密切結合,利用人體固有的生理特性,(如指紋、臉像、虹膜等)和行為特征(如筆跡、聲音、步態(tài)等)來進行個人身份的鑒定?！?6)顧冰冰：“淺談網絡安全技術”，載《科技創(chuàng)新導報》2011年第12期，第12頁。的一項技術應用?！吧镒R別信息”即由生物識別而產生的“信息”。

對“生物識別信息”的法律內涵，國外一些相關立法中有明確界定。2008年，美國伊利諾斯州議會通過并于2009年1月1日生效的《生物識別信息隱私法案》明確：“生物識別信息”是指基于個人，并用于識別個人的生物識別標識符的任何信息，無論其如何被取得、轉換、存儲或共享。生物識別信息不包括來源于生物識別信息定義排除的項目或程序衍生的信息?！?7)BIPA﹒Section10﹒Public Act 095-0994 SB2400 Enrolled LRB095 19768 KBJ 46142 b.

新近出臺的國際條例及外國個人信息保護法，對個人“生物特征數(shù)據”進行了法律上的定義。如2018年5月25日生效的歐盟《一般數(shù)據保護條例》定義“‘生物識別數(shù)據’是通過自然人的物理、生物或行為特征進行特定的技術處理而得到的個人數(shù)據。這類數(shù)據生成了那個自然人的唯一標識，如人臉圖像或指紋數(shù)據?！?8)參見李愛君、蘇桂梅主編：《國際數(shù)據保護要覽》，北京：法律出版社2018年版，第344頁。2018年生效的英國《數(shù)據保護法案》以及2018年出臺有望于2019年通過的印度《個人數(shù)據保護法》等等，均對“生物識別數(shù)據”進行了定義，將之視為識別個人的“唯一標識符”。

“生物識別信息”是不同于傳統(tǒng)意義上的個人信息的一種新型信息。大數(shù)據時代，計算機算法的飛速發(fā)展，使得個人生物識別技術的應用突飛猛進。生物識別不僅僅被國家機關用于對個人身份的采集、鑒定、識別，而且大量地被“私人實體”應用于與公眾個體的各種交易活動與相關服務中，對個人身份的采集、鑒定與識別，例如各種APP以刷臉、指紋為主的注冊與認證方式。可以說，個人生物識別信息的廣泛應用已經勢不可擋。而縱觀科學技術的歷史發(fā)展，新科技常常是一柄雙刃劍，其在不斷造福于人類的同時，其安全性也常常是難于完全預測的。生物識別技術事關個人身份、隱私、人身、財產等各方面的利益與安全，已經不能僅僅用傳統(tǒng)民法上的身份權、隱私權、人身權、財產權之類的單一權利加以限定，因此，大數(shù)據時代個人生物識別信息的法律保護在國際社會已成為一個新興的法律領域，個人生物信息權已經萌生為一項新型權利。就我國目前的法律體系結構而言，個人信息保護立法雖已見雛型，但是對于“個人生物識別信息”的法律保護卻并未受到應有的重視。大數(shù)據下的“數(shù)字身份”時代，個人生物識別信息的法律保護已時不待我。推動我國個人生物識別信息的法律保護，必須厘清其作為大數(shù)據時代個人身份識別的新形態(tài)以及區(qū)別于其他個人信息的特殊性，如此，才能明確個人生物信息識別立法保護的重要意義。

二、生物識別是大數(shù)據時代個人身份識別的新形態(tài)

生物識別是大數(shù)據時代個人身份識別的新形態(tài)。對個人身份的鑒定、識別古已有之。中國早在商鞅于秦國變法時期，即發(fā)明了刻有特定人頭像和籍貫信息的“照身帖”以作為秦國頒發(fā)給秦民的物質化形式的身份標識。漢代以園戶籍、年細籍、田比地籍、田命籍、田租籍等作為每家每戶以及戶中個人的身份記載，同時，以“傳”等物質化形式的憑據作為個人身份的識別標記。唐以后一直實行戶籍登記制度，與此同時，歷朝歷代均存在由政府向個人頒發(fā)的對身份具有證明作用的物質化形式憑證。隋唐時期，朝廷向官員發(fā)放刻有其姓名、任職衙門及官居品級等信息的“魚符”，向需要出入關津要塞的申請者頒發(fā)“過所”。宋代向官員發(fā)放證明其身份的“魚袋”。近代中國，于國民政府時期出現(xiàn)專門用于證明個體身份的“居民證”，(9)1936年民國寧夏省政府，出臺了中國近代最早的身份證——“居民證”，居民證為白布制作，寫有個人的姓名、年齡、籍貫、職業(yè)、身長、面貌、特征以及手紋箕斗形狀等項，縫于個人上衣內里以便查驗。1945年抗戰(zhàn)勝利后，南京國民政府頒行了一系列戶籍法律法規(guī)，規(guī)定凡年滿18歲以上的中華民國國民，不分男女，均可以獲得國民政府頒發(fā)的標記有持證人的所在地、姓名、性別、出生日期、本籍等48條社會屬性信息的“中華民國國民身份證”，從而建立起近代化的中國居民身份制度。

新中國建立以后的相當長時間內，關于個人身份的確認、識別，實行的是居民戶籍制度，證明居民身份的文件為戶口簿和單位介紹信。1984年4月6日，國務院發(fā)布了《中華人民共和國居民身份證試行條例》。1985年9月6日第六屆全國人民代表大會常務委員會第十二次會議通過，同日中華人民共和國主席令第二十九號公布，于1985年9 月6日起施行的《中華人民共和國居民身份證條例》，明確居民身份證是用于證明居住在中華人民共和國境內的公民身份的證明文件，從而實現(xiàn)了居民身份信息的采集、認證、應用的法制化。2004年3月29日起，中國大陸正式開始為居民換發(fā)內置非接觸式IC卡智能芯片的第二代居民身份證，采用防偽膜和印刷防偽技術，使用個人彩色照片，并可用機器讀取數(shù)字芯片內的信息。

2011年10月29日，十一屆全國人大常委會第二十三次會議通過了關于修改居民身份證法的決定，修改后的居民身份證法規(guī)定居民身份證登記的項目包括：姓名、性別、民族、出生日期、常住戶口所在地住址、公民身份號碼、本人相片、指紋信息、證件的有效期和簽發(fā)機關。而“公民申請領取、換領、補領居民身份證，應當?shù)怯浿讣y信息”。與此前身份錄入、鑒別、識別事項相比較，最為突出的是加入了“指紋信息”，這是新中國歷史上將個體生物特征作為身份識別標記的首次入法。條例還明確規(guī)定頒發(fā)身份證的法定機構是居民常居地區(qū)的公安局、公安分局、行政派出所。至此，中國當代物質化形式的身份鑒別、確認、識別法律制度得以建立和完善。

由此可見，從傳統(tǒng)中國至近現(xiàn)代中國，所謂“身份”的首要意蘊無外于一國之人作為一國之民的確認與識別。身份的確認、識別需要向一元化、中心化的國家機構申請、并由其鑒別、記錄并頒發(fā)物質化形式的憑證才能獲得。因此，作為國家對個人身份的鑒定、識別、證明意義上的“身份”，是由國家法定機構對“某人之為某人”的特定記錄和標識及其內涵的證明，身份證明持有者即具有作為一國之人的各項完全法定權利。

本世紀以來，隨著計算機技術應用與網絡空間的高速發(fā)展，出現(xiàn)了與傳統(tǒng)身份鑒定、識別所不同的“數(shù)字身份”的鑒定與識別。根據著名科技網站wiseGEEK上的解釋，所謂“數(shù)字身份”具有以下內涵：一是指在數(shù)字世界(即在線)中，身份被創(chuàng)造和感知的方式和手段。它既包括獨特的描述性數(shù)據，也包括相關信息。數(shù)字身份既定義了一個事物本身，也定義了一個事物與其它事物的關系。二是，個人和公司都可以有數(shù)字身份。個人在世界上總有一個具體的身份，企業(yè)則可以有一個店面身份并建立一個數(shù)字平臺，因為他們建立了一個線上存在以從事網上商務活動，數(shù)字身份也可能是企業(yè)的唯一的身份。三是數(shù)字身份需要的網上認證十分重要。許多網站，個人數(shù)字身份的認證方式是個人于網站上創(chuàng)建用戶名和密碼，并在稍后返回該網站時通過重新輸入戶名和密碼以確認自己的身份。公司數(shù)字身份的認證方式是由認證機構(CA)頒發(fā)的日期數(shù)字證書，在允許在互聯(lián)網上安全通信的公鑰加密系統(tǒng)中發(fā)揮作用。四是公司的數(shù)字身份還可以通過使用的URL、logo、網站設計、網站文本和特征加以創(chuàng)建。用或者不用如Twitter或者Facebook這些社交網站，對公司的在線身份均會產生影響，并且各種社交網站的交互作用也很重要。各種搜索引擎對企業(yè)的線上身份也產生重要影響。而LinkedIn或Xing等網絡上的專業(yè)網站則進一步促進了公司數(shù)字身份的形成。

個人的數(shù)字身份，不僅包括個人在tweet、posts、email、blog、website和其它線上交流中的自我表達，而且還通過用賬戶名、屏幕名、虛擬人物和顯示名得到表達，甚至個人的自我展示及其藝術品的展示、網頁設計和照片等等均構成個人的線上身份。同時，在自己的站點或共享站點上的ARES，自己的朋友、最愛的人、追隨者，以及那些自己所選擇跟隨的人——以及那些自己選擇轉發(fā)、分享或類似的人——都有助于個人數(shù)字身份的實現(xiàn)。

2018年2月，ATF(10)當前國際社會最具權威的反洗錢和反恐怖融資專業(yè)性政府間國際組織。的政策制定工作組(DPG)在對數(shù)字ID開展政策制定中，對“數(shù)字身份”的概念進行了定義。DPG對“數(shù)字ID”的界定包括兩個層面：“一是指在‘真實世界’中建立標識的驗證方法,即以數(shù)字化或“非物質化”的形式來識別和認證特定對象的身份。此種認證需事先所需信息進行登記并核實，目的是將電子身份和真實人員的信息聯(lián)系起來。二是指通過某人的網上在線活動(例如用戶名和密碼、在線搜索記錄、博客文章、論壇信息、音頻、視頻內容、歷史購買記錄等)所產生的信息來確定某人身份，這些信息還可用于對個人行為的檢測?！?11)陳思、邵楊、蔡真：“FATF數(shù)字身份界定及建議對我國的經驗啟示”，載《金融發(fā)展評論》2018年第8期，第115頁。

由上述各種對“數(shù)字身份”的界定來看，數(shù)字身份實包括廣義和狹義兩個層面。狹義的數(shù)字身份與實體的身份為基礎，是實體身份的數(shù)字形式表現(xiàn)。而廣義的“數(shù)字身份”則由傳統(tǒng)意義上的身份之外的各種數(shù)據集合而成。前者具有代表性的是目前一些歐洲國家所建立的數(shù)字身份識別公共系統(tǒng)，如意大利數(shù)字ID公共系統(tǒng)(SPID)，英國在線身份識別系統(tǒng)(GOV·UK Verifyr)，挪威由政府主導的數(shù)字識別系統(tǒng)、瑞典人口數(shù)字登記系統(tǒng)。我國公安部門也正在建設eID身份查詢及認證系統(tǒng)。這些均是通過系統(tǒng)與個體身份證信息的綁定，實現(xiàn)相關證件的第三方核實驗證，是對傳統(tǒng)“物質化”形式身份認證的數(shù)字化。后者可以表述為：“一組獨一無二地描述一個人(有時稱主體subject或者實體entity)的數(shù)據，是有關一個人的所有在數(shù)字上可得的信息的總和。”(12)邱仁宗、黃雯、翟曉梅：“大數(shù)據技術的倫理問題”，載《科學與社會》2014年第1期，第36頁。或者“個體參與網絡活動形成的可以表征自己身份的數(shù)字信息。”(13)董軍、程昊：“大數(shù)據時代個人的數(shù)字身份及其倫理問題”，載《自然辨證法研究》2018年12期，第76頁?？傊瑐€人“數(shù)字身份”既與傳統(tǒng)意義上的身份有關，又超越了傳統(tǒng)意義上的身份，是網絡社會所產生的個人新型身份。

大數(shù)據下“數(shù)字身份”的基本特點無外于“生物識別”。傳統(tǒng)物質化形式的身份，以個人的社會性為基礎，主要包括姓名、性別、民族、出生、住址、身份證號碼等基本信息。在我國新的身份證法加入了指紋這一生物特征識別標識。但網絡空間中的數(shù)字身份確認、識別、數(shù)字身份頒發(fā)，則主要由口令、密碼、智能卡以及指紋、視網膜、虹膜、臉部、脈紋、掌紋、聲紋、手形、數(shù)字簽名等構成，當前，個人生物識別正成為數(shù)字身份的主要內容以及個人數(shù)字身份的主要識別方式。目前網絡世界中的生物識別，主要包括人體所固有的生理特征，如指紋、眼紋、虹膜、視網膜、面相、DNA、手脈，聲紋，或行為特征，如步態(tài)、簽名筆記、擊鍵習慣等。較傳統(tǒng)物質化形式的身份確認、識別、證明頒發(fā)、身份識別運用，數(shù)字身份對個人信息的記錄、儲存、應用擴展到前所未有的領域，即個人生物識別。由此可見，生物識別信息是大數(shù)據時代產生的個人身份信息的新形態(tài)。

三、生物識別信息之于普通個人信息的特殊性

就個人生物識別信息的權屬而言，目前尚無明確法律界定。雖然2017年《中華人民共和國民法總則》第一百一十一條規(guī)定：“自然人的個人信息受法律保護。任何組織和個人需要獲取他人個人信息的，應當依法取得并確保信息安全，不得非法收集、使用、加工、傳輸他人個人信息，不得非法買賣、提供或者公開他人個人信息?！?14)中華人民共和國第十二屆全國人民代表大會第五次會議通過，自2017年10月1日起施行。但我國民法中尚無“個人信息權”這一明確的法律概念，因此，對于“個人信息”的權屬問題仍十分模糊。國內學界或主張將“個人信息”或者說“個人數(shù)據”作為一項獨立的人格權而對待。例如，“信息權是新興的人格權，具有具體人格權的法律地位。傳統(tǒng)意義上的隱私權和一般人格權無法涵蓋民事主體的信息利益，信息權的確立已成為立法潮流。明確信息權的具體人格權地位，對于保護民事主體的人格獨立、自由和尊嚴具有重要意義。信息權具有豐富的內容，權利人享有信息專有權、信息支配權、信息維護權和被遺忘權。”(15)王麗莎：“信息權的獨立人格權地位及內容”，載《國家檢察官學院學報》，2016年第3期，第16頁?；虿⒉恢鲝垖ⅰ皞€人信息權”作為一項獨立的個人權利而對待。例如，“從數(shù)據主體角度看，基于個人信息的實質利益可以納入民法的形式化權利體系，基于個人信息的權利屬于一般人格權，歐盟GDPR列舉的六類權利都可以歸類于此，然后通過侵權法進行保護。比如就更正權、反對權而言，責任承擔方式是排除妨礙，針對刪除權(被遺忘權)、限制處理權，責任承擔方式實際是消除危險。”(16)徐卓斌：“個人信息的民法保護路徑”，載《人民法院報》2018年9月12日。從國外立法來看，個人信息通常被作為一項“隱私權”而對待。個人生物識別信息屬于個人信息的組成部份，但是由于民法上對“個人信息”的權利屬性缺乏明確法律界定，因此，個人信息中的個人生物識別信息的法律界定，更為困難。

就“個人信息”的種類而言，目前法律上各類個人信息處于混同狀態(tài)?！吨腥A人民共和國網絡安全法》列出的個人信息包括：姓名與稱號；出生日期與其他重要日期；身份證號碼與其他身份編碼；個人生物識別信息與基因信息；住址、郵政編碼與IP地址；電話號碼與電子郵件地址。除此之外還包括：健康信息、財產信息、位置信息、犯罪記錄等。其中并未就所列出的“個人信息”的內容進行進一步的法律界定。而實質上，個人生物識別信息與其它個人的普通信息存在差異，個人生物識別信息有其特殊性。

個人生物識別信息與其它個人的普通信息的差異及其特殊性在于個人生物識別信息的獨一無二、不可更改性。生物識別信息一旦泄露，被盜，不可彌補，無法追索，凡是與生物信息認證相關的所有的活動都將永遠退出。美國伊利諾斯州《生物識別信息隱私法》于立法宗旨和目的中，就專門對生物識別信息的特殊性進行描述，指出：“生物特征與通常用于財務的惟一標記或其它敏感信息不同，例如社會保險號碼，一旦被泄露可以改變。生物特征在生物學上是個人獨一無二的，一旦受到損害，個人沒有追索權，身份盜竊的風險更高，并且可能不得不退出基于生物識別而進行的業(yè)務?！?17)BIPA﹒Section 5(a)SB2400 Enrolled LRB095 19768 KBJ 46142b.簡明而言，比如身份證件丟失，可以補辦。銀行卡、信用卡丟失或者數(shù)字密碼失竊，可凍結賬號，重新申請新的賬號和設定密碼。出生日期與其它重要日期泄露，對個人而言并不會影響其商業(yè)活動和各種社會活動；個人電話號碼在很多情況下本身就是用于公眾交往的，即便在不想為人所知下的泄露，也可以即行更換，申請新的號碼。如此等等。但是個人生物識別信息隱私，則是獨一無二的，一旦泄露、被盜、被損害，無法更換、無法補辦，無法索回。因此，其與普通個人信息具有不同的特點。

美國伊利諾斯州《生物識別信息隱私法》中，對“生物識別標識符”“生物識別信息”“機密和敏感信息”三個概念進行了定義，旨在厘清生物識別信息與其它信息的界限。明確生物識別信息的特定范圍?！吧镒R別標識符”指視網膜或虹膜掃描、指紋、聲紋或手部或面部幾何結構掃描，包括一整套特定的合格生物識別標識符。(18)BIPA﹒Section10，Public Act 095-0994 SB2400 Enrolled LRB095 19768 KBJ 46142b.“生物識別信息”的定義以“生物識別標識符”的定義為基礎。“生物識別信息”是指基于個人用于識別個人的生物識別標識符的任何信息，無論其如何被取得、轉換、存儲或共享。生物識別信息不包括來源于生物識別信息定義排除的項目或程序衍生的信息。(19)BIPA﹒Section10﹒Public Act 095-0994 SB2400 Enrolled LRB095 19768 KBJ 46142b.“機密和敏感信息”是指個人可用于唯一標識個人、或個人的賬戶或財產的信息。實例：機密和敏感信息包括但不僅限于，一個遺傳標記，遺傳檢測信息，一個用于定位賬戶或屬性的唯一標識符編號，賬號、密碼、通行證、駕駛執(zhí)照號碼或社會保險號碼?？捎糜谖ㄒ粯俗R個人的信息或個人的賬戶或財產。(20)BIPA﹒Section10﹒Public Act 095-0994 SB2400 Enrolled LRB095 19768 KBJ 46142b.由此可見，生物識別信息有其特有的限定與范圍。生物識別技術識別的“視網膜或虹膜掃描、指紋、聲紋或手部或面部幾何結構掃描”屬于“生物識別標識符”，而基于“生物識別標識符”的任何用于識別個人的信息即“個人生物識別信息”。

傳統(tǒng)意義上的個人信息并不需要經過計算機算法的鑒定與識別，而“生物識別信息”必須經過計算機的相關生物識別程序的識別才能生成相關信息。例如，F(xiàn)acebook于2011年6月7日發(fā)布了“Tag Suggestions”?！癟ag Suggestions”由檢測-對齊-表示-分類四步驟構成。最初，軟件試圖檢測人臉，并標準化任何檢測到的人臉的質量，如方向和大小。接著識別程序對于每個被“檢測”和“對齊”的人臉，進行計算，計算出一個“人臉簽名”，即“代表人臉特定圖像的數(shù)字串”，然后，人臉簽名在所存儲的用戶的“人臉模板”數(shù)據庫中運行，以查找匹配項，如果計算的面部簽名落在用戶的面部模板描述的邊界內，則Facebook建議標記用戶，從而形成Facebook下的“數(shù)字身份”。由此可見，個人生物識別信息無論是其產生還是內容構成以及功能作用均與傳統(tǒng)個人信息存在極大差別，是大數(shù)據時代區(qū)別于傳統(tǒng)個人身份信息的“數(shù)字身份”信息中的一類特殊信息。

四、加強生物識別信息保護立法的必要性與迫切性

自2017年以來，人工智能技術、互聯(lián)網+、云處理平臺、大數(shù)據與生物識別技術紛紛結緣，在我國被普遍用于安防、金融、商業(yè)、廣告?zhèn)髅降阮I域。目前，除政府機關的一些政務活動，已經廣泛采用指紋、人臉的鑒定、識別與簽名方式而生成個人數(shù)字身份外，主要是一些“私人實體”(21)“私人實體”指任何個人、合伙企業(yè)，公司、有限責任公司、協(xié)會或其他任何組織?！八饺藢嶓w”不包括州或地方政府機構，不包括伊州的任何法院、法院書記員或法官或司法機關。參見BIPA﹒Section10﹒Public Act 095-0994 SB2400 Enrolled LRB095 19768 KBJ 46142b.，或者說我國民法上所謂“法人”“非法人”“特殊法人”等在廣泛使用生物識別技術進行各種活動。比如，近來最熱門的是一些CV(計算機視覺)公司，他們首先聚焦人臉識別，以大數(shù)據深度學習為突破口，以云端處理和云服務(SaaS)為創(chuàng)新的商業(yè)模式，已經占據技術上的先機，其基于云端的SaaS服務模式切合了目前互聯(lián)網應用之特點，借助云計算大數(shù)據而橫空出世的新型CV和語音識別企業(yè)的部分業(yè)務(人臉識別為重點)，成為生物識別新貴。

但在風起云涌的生物識別技術的創(chuàng)新與應用中，這些基于云計算、云處理、云服務的應用，在對個人生物特征采集、本地存儲以及上傳、云存儲等諸多環(huán)節(jié)中，均缺乏相關技術標準、制度規(guī)范和法律約束。因此，個人生物數(shù)據安全存在嚴重問題。無論是從行業(yè)監(jiān)管、行業(yè)標準、行政管理上，對擁有個人生物識別信息的互聯(lián)網公司的規(guī)制，還是對互聯(lián)網企業(yè)濫用、交易、泄露個人生物識別信息的法律禁止，均缺乏相應的法律規(guī)范。

近年以來，人們對生物識別技術的應用的風險性，已經有所認識。如果不能預先在法律和制度上做好準備，急功近利于大數(shù)據下個人生物識別技術應用的無序競爭，盲目放任和跟隨商業(yè)逐利目的而無限制地推廣使用生物識別和人工智能技術，必將導致對個人安全、利益、福利的巨大危害。一旦失控(如生物特征數(shù)據被盜用、濫用甚至非法公開)，后果將不堪設想。人臉識別等生物識別技術有重大網絡安全風險，生物識別技術的大規(guī)模應用，必須慎之又慎?！吧镒R別技術提取和識別人體生物學特征的唯一性，是很多人看好這個領域商業(yè)前景的主要原因?！?22)劉春泉：“人臉識別技術存在重大網絡安全風險”，《第一財經日報》2017年3月30日。但是，生物識別技術大規(guī)模使用的基本途徑是網絡，并非現(xiàn)場使用。作為數(shù)字身份的鑒定與識別，一定要通過網絡才可能進行。而“通過信息網絡，任何技術都要轉化為計算機識別的0-1這樣的二進制代碼。人臉不能復制，轉化的二進制計算機代碼卻可以復制，也完全可能被盜竊。生物識別技術的識別原理和提取的數(shù)據都會存儲成為企業(yè)的數(shù)據庫，在目前全世界的情況來看，都存在重大的數(shù)據泄露、失竊的潛在安全風險?！?23)劉春泉：“人臉識別技術存在重大網絡安全風險”，《第一財經日報》2017年3月30日。生物識別信息的泄露是永久、不可索回的，對個人而言，一旦自己的生物識別信息泄露或被盜，可能將永久退出需要通過生物信息識別才能進行的各種活動。與物質化的身份證、社會保險卡之類的失落相比較，前者可以補辦，可以重新申請，生物識別信息之于個人卻是無法補辦，無法重新申請的。目前，生物信息識別，存在密保強度低、隱私權易侵犯、數(shù)據易泄露等問題，用生物識別信息作為個人數(shù)字身份存在重大安全隱患。攻擊者已經想出了如何繞過現(xiàn)今生物識別技術的解決辦法，此類事例并鮮見。例如，著名黑客Krissler利用德國國防部長UrsulavonderLeyen的高分辨率照片擊敗認證技術。又如，Krissler在蘋果新一代TouchID發(fā)布一天后，便破解了蘋果的Touch ID技術。Krissler通過IPhone屏幕上留下的指紋污點，掃描復制指紋模型，利用這個模型黑進手機。

生物識別技術的專家們總是在提倡技術進步帶來的益處。但是不可否認的是，生物識別技術在進步，攻擊方式也在進步。安全解決方案日益復雜的同時，攻擊變得更加復雜。在最近的一次對美國政府網站的入侵事件中，560萬人的指紋和2150萬人的社會保障數(shù)字被泄露。新近發(fā)生的美國海關和邊境保護局(CBP)收集的旅客照片和車牌照片，被一個外包公司泄露。如今在美國，各大機場和陸地邊境口岸，都有CBP設下的大量拍照和錄像設備。這些設備收集到的影像，會拿去喂養(yǎng)人臉識別AI，追蹤出入美國的人的身份。(24)“突發(fā)！美國海關大量人臉數(shù)據泄露，暗網可以免費下載，鍋被甩給外包公司”，參見“量子位”，轉引自“數(shù)據法盟”2019年2月12日。由此可見，在現(xiàn)實世界中，作為個人數(shù)字身份的生物識別信息并不安全。隨著生物信息的更加廣泛的應用，不法分子侵害用戶生物識別數(shù)據的可能性也會不斷增加。

結 論

由上述原因，個人生物識別信息的保護，不僅僅需要安防技術的不斷發(fā)展進步，更需要設立法律的堅固防線。個人生物識別信息的法律保護既是必要的，也是迫切需要的。參考國外的立法經驗來看，對于個人生物識別信息的法律保護，我們需要注重：通過行政立法的形式，設定企業(yè)生物識別技術及其應用的行業(yè)標準、認證評價機制、安防制度以及許可制度；通過個人信息的專門立法明確“生物識別標識符”“生物識別信息”的基本概念和范圍；通過專門立法明確規(guī)定個人生物信息識別的禁止性與限定性規(guī)范；明確個人生物信息權的基本內容；明確互聯(lián)網企業(yè)在采集、存儲、使用、傳輸、保管、披露、銷毀個人生物識別信息中的法律義務和法律責任；明確規(guī)定對個人生物信息侵權行為的法律救濟以及“有形損害”“無形損害”或者“程序性違法”的法律救濟形式與賠償標準；嚴厲打擊侵犯個人生物數(shù)據信息安全的各種犯罪活動。如此等等，只有通過行政法制、民事法制、刑事法制的相互配合，才能為大數(shù)據時代個人生物識別信息建構安全屏障，并使生物識別技術及其應用，在法律的規(guī)制下得到健康有序的發(fā)展。