針對(duì)生物特征識(shí)別信息的唯一識(shí)別作用及其經(jīng)濟(jì)價(jià)值，法律應(yīng)合理平衡公民數(shù)據(jù)安全與生物技術(shù)產(chǎn)業(yè)發(fā)展、公共管理效益、個(gè)人生活便利之間的多方利益沖突，并同時(shí)促進(jìn)生物識(shí)別技術(shù)的創(chuàng)新發(fā)展。由此，在個(gè)人信息分級(jí)分類保護(hù)制度建設(shè)中，生物特征識(shí)別信息有其專門的規(guī)則構(gòu)建路徑，包括規(guī)范文件形式、文本整體框架、具體規(guī)制對(duì)象、技術(shù)保護(hù)要求、技術(shù)工具監(jiān)管等方面。關(guān)于生物特征識(shí)別信息的收集與應(yīng)用的具體規(guī)則設(shè)計(jì)，我國(guó)制度建構(gòu)進(jìn)路應(yīng)圍繞四個(gè)維度探討：一是法律規(guī)范體系的結(jié)構(gòu)化安排；二是規(guī)制框架的樣本參照方案；三是立法內(nèi)容的多維規(guī)制層面，涉及企業(yè)安全責(zé)任、市場(chǎng)交易規(guī)范、信息主體權(quán)利等方面；四是提前的司法救濟(jì)模式。

鑒于個(gè)人生物特征識(shí)別信息的不可變更性與主體唯一性，生物特征識(shí)別信息一旦被泄露或冒用，可能會(huì)對(duì)信息主體造成難以彌補(bǔ)或永久性的傷害與損失。因此，相對(duì)于其他個(gè)人信息的泄露風(fēng)險(xiǎn)，生物特征識(shí)別信息的泄露明顯呈現(xiàn)高危性。并且生物特征識(shí)別信息的安全極度依賴技術(shù)保障，而目前生物特征識(shí)別技術(shù)的發(fā)展階段尚不夠成熟，其更新速度與趨勢(shì)也難以預(yù)測(cè)。因此，在各項(xiàng)互聯(lián)網(wǎng)認(rèn)證技術(shù)中，對(duì)生物特征識(shí)別信息的識(shí)別技術(shù)存在相當(dāng)?shù)牟话踩c不穩(wěn)定性。生物特征信息經(jīng)生物識(shí)別技術(shù)認(rèn)定后①，被識(shí)別主體可直接處分與合法控制該身份下的人身與財(cái)產(chǎn)權(quán)益，與密碼控制模式相比，生物特征識(shí)別信息一旦被盜用則不可通過(guò)重新設(shè)置而更改，因此必須對(duì)其進(jìn)行高度保護(hù)。對(duì)比歐美已有的生物信息法律制度，我國(guó)對(duì)于生物特征識(shí)別信息的制度建設(shè)尚不完善，需及時(shí)跟進(jìn)生物特征識(shí)別信息商業(yè)應(yīng)用的規(guī)范設(shè)置。

一、美國(guó)生物特征識(shí)別信息立法規(guī)制與發(fā)展態(tài)勢(shì)分析

美國(guó)是世界上最早頒布生物特征隱私保護(hù)法律的國(guó)家，但各州呈分散式立法狀態(tài)。自2009年伊利諾斯州首次出臺(tái)《生物特征信息隱私法》，其他州如德克薩斯州與華盛頓州也相繼出臺(tái)了專門的法律。而佛羅里達(dá)州與加利弗尼亞州，盡管在勞動(dòng)法中已經(jīng)規(guī)定生物特征識(shí)別信息的使用與保護(hù)要求，目前仍在醞釀出臺(tái)專門的生物識(shí)別信息保護(hù)法。

（一）美國(guó)各州的立法規(guī)定比較

在美國(guó)，目前還沒(méi)有統(tǒng)一與全面的聯(lián)邦法律規(guī)范生物特征數(shù)據(jù)的收集和使用。除了伊利諾斯州、德克薩斯州和華盛頓州，其他所有州均允許雇主或企業(yè)收集和分析生物特征信息，而不需要向雇傭人員或消費(fèi)者披露或發(fā)出任何通知。作為世界上首部生物特征信息隱私保護(hù)法律，2008年伊利諾斯州立法機(jī)構(gòu)通過(guò)了《伊利諾斯生物特征信息隱私法》（Illinois Biometric Information Privacy Act，簡(jiǎn)稱BIPA）。［1］需要注意，在法律適用與權(quán)利行使方式上，伊利諾斯州是目前唯一一個(gè)允許公民個(gè)人對(duì)于違反《生物特征信息隱私法》的行為提出私人司法訴訟的州。但是，盡管伊利諾斯州在2008年就通過(guò)了BIPA法案，但直到2015年才發(fā)生針對(duì)企業(yè)違反該法律而提起的5例集體訴訟，在此之前，該法尚未得到現(xiàn)實(shí)適用。②由此看到，盡管這項(xiàng)法律制定于十多年前，鑒于如今生物識(shí)別技術(shù)的發(fā)展與應(yīng)用，該法目前仍具有普遍適用的潛力。因此，如果企業(yè)在伊利諾斯州經(jīng)營(yíng)與生物識(shí)別有關(guān)的業(yè)務(wù)，則有必要繼續(xù)關(guān)注該法的適用及變化。［2］德克薩斯州于2009年頒布了《生物特征信息隱私法》，2017年6月，華盛頓州成為第三個(gè)通過(guò)生物特征信息隱私法的州。阿拉斯加、康涅狄格和新罕布什爾等其他一些州也提出了頒布生物識(shí)別信息法的計(jì)劃。加州在2018年底頒布的《加利福尼亞州消費(fèi)者隱私法》（The California Consumer Privacy Act，簡(jiǎn)稱CCPA）也明確涉及生物特征數(shù)據(jù)的特殊保護(hù)規(guī)定。各州立法規(guī)定的差異有四個(gè)方面。

1.生物信息權(quán)利行使路徑。德克薩斯州和華盛頓州通過(guò)的生物特征數(shù)據(jù)保護(hù)法律與BIPA相似，但并不完全相同。如根據(jù)德克薩斯州的法律要求，在私營(yíng)主體開始收集生物特征識(shí)別標(biāo)識(shí)符（biometric identifiers）之前，必須得到個(gè)人的知情同意，但是并不需要書面同意。此外，與BIPA不同的是，只有德克薩斯州的司法部長(zhǎng)才能執(zhí)行與適用德克薩斯州的生物特征識(shí)別信息隱私法，因?yàn)樵摲蓻](méi)有提供公民私人訴訟的途徑。由此看出，華盛頓州與德克薩斯州沒(méi)有在其法律中提供行使私人權(quán)利的方式，而伊利諾斯州法律提供了權(quán)利救濟(jì)的路徑，即，公民個(gè)人可自行向法院提起司法訴訟，主張依據(jù)該法所享有的生物特征識(shí)別信息權(quán)利。由此看出，在公民生物特征識(shí)別信息的權(quán)利化認(rèn)識(shí)上，各州立法存在不同的態(tài)度。

2.對(duì)待生物特征識(shí)別信息商業(yè)應(yīng)用的態(tài)度。華盛頓州的生物特征識(shí)別信息法于2017年5月16日簽署生效，《華盛頓州議會(huì)1493號(hào)法案》（2017 Washington House Bill 1493）適用于個(gè)人和非政府實(shí)體（主要指企業(yè)），規(guī)范上述主體在收集、存儲(chǔ)和使用生物特征信息行為方式。在華盛頓州，任何主體都被禁止“未經(jīng)事先通知、征得同意或提供防止隨后將生物識(shí)別信息用于商業(yè)目的的機(jī)制，就將生物識(shí)別信息登記到數(shù)據(jù)庫(kù)中用于商業(yè)目的”?！兜驴怂_斯州買賣與交易法案》也是適用于為“商業(yè)目的”使用生物特征信息的任何主體，但該法并不解釋“商業(yè)目的”的明確含義。因此，在生物特征識(shí)別信息的商業(yè)適用上，各州生物特征識(shí)別信息法律原則上是限制與規(guī)范而非禁止，且規(guī)定內(nèi)容本身并不具體，生物特征識(shí)別信息商業(yè)使用仍存在合法空間。

3.對(duì)待面部識(shí)別應(yīng)用的態(tài)度。華盛頓州的生物特征識(shí)別信息隱私法僅適用于被“登記”或收錄于商業(yè)數(shù)據(jù)庫(kù)的生物標(biāo)識(shí)符，并被定義為“（正在）獲取個(gè)體的生物特征標(biāo)識(shí)符，將其轉(zhuǎn)換為不能重構(gòu)為原始輸出圖像的參照模板，并將其存儲(chǔ)在與特定個(gè)體的生物特征標(biāo)識(shí)符匹配的數(shù)據(jù)庫(kù)中”［3］。對(duì)于生物特征數(shù)據(jù)的定義，該法明確排除了“物理或數(shù)字照片、視頻或音頻記錄或由此產(chǎn)生的數(shù)據(jù)”。因此華盛頓法規(guī)排除了面部識(shí)別技術(shù)，社交網(wǎng)絡(luò)和照片存儲(chǔ)網(wǎng)站可使用該技術(shù)為用戶的數(shù)碼照片貼標(biāo)簽?！兜驴怂_斯州買賣與交易法案》也不包括面部幾何形狀，亦未將面部識(shí)特征別信息的商業(yè)使用納入生物識(shí)別信息法律的規(guī)制范圍。［4］

4.對(duì)待生物信息公共管理使用的態(tài)度。2019年2月21日，佛羅里達(dá)州立法機(jī)構(gòu)提出《佛羅里達(dá)州生物特征信息隱私法》（Florida Biomtric Information Privacy Act），旨在對(duì)私營(yíng)主體使用、收集和保存生物標(biāo)識(shí)符（biometric identifiers）和生物信息（biometric information）提出要求和限制。與以往三部法律不同的是，該法案確立了私營(yíng)主體的范圍。根據(jù)該法案，“私人實(shí)體”（private entity）是指任何個(gè)人、合伙、公司、有限責(zé)任公司、協(xié)會(huì)或其他團(tuán)體。但是，該類主體并不包括：州或地方政府機(jī)構(gòu)或任何州法院，法院書記員、法官或?qū)徟袉T。由此推斷，該法適用對(duì)象僅限于行使公權(quán)力之外的私營(yíng)個(gè)人或組織，保留了國(guó)家機(jī)關(guān)對(duì)公民生物特征識(shí)別信息進(jìn)行公共使用的法律空間。伊利諾斯州、德克薩斯州和華盛頓州的法律規(guī)定，在私人企業(yè)收集生物特征識(shí)別信息之前必須發(fā)出特定形式的通知以征得主體的自愿同意，但在國(guó)家機(jī)關(guān)收集生物特征數(shù)據(jù)上則沒(méi)有限制。由此看出，盡管目前美國(guó)社會(huì)對(duì)于生物識(shí)別信息的公共使用持續(xù)發(fā)出反對(duì)聲音，但是美國(guó)各州最新的專門立法所表現(xiàn)出的態(tài)度則并非如此，事實(shí)上，美國(guó)某些州立法對(duì)于生物特征識(shí)別信息的公共管理使用仍持肯定與積極態(tài)度。需要注意，鑒于面部識(shí)別技術(shù)自身存在的缺陷與公眾的不滿，目前美國(guó)一些城市在立法上明確持禁止態(tài)度。③

（二）美國(guó)制度模式評(píng)價(jià)與立法發(fā)展態(tài)勢(shì)分析

美國(guó)某些州已頒布的生物特征識(shí)別信息立法主要側(cè)重于規(guī)范勞動(dòng)雇傭中私營(yíng)主體在員工管理中對(duì)員工生物特征識(shí)別信息的保存與使用，并禁止通過(guò)利用生物特征識(shí)別信息獲利。即主要針對(duì)作為雇主身份的企業(yè)所要求的生物特征識(shí)別信息使用規(guī)范，但對(duì)于最新的商業(yè)使用如電子支付、智能解鎖、金融服務(wù)等尚無(wú)針對(duì)性規(guī)定。無(wú)論是對(duì)于國(guó)家機(jī)關(guān)還是企業(yè)對(duì)生物特征識(shí)別信息的使用，尤其是人臉識(shí)別，美國(guó)立法機(jī)構(gòu)與民眾整體上呈觀望甚至排斥態(tài)度。主要表現(xiàn)為三個(gè)方面：第一，在政治敏感度上，由于目前生物識(shí)別技術(shù)還不能達(dá)到百分百準(zhǔn)確性，例如人臉識(shí)別技術(shù)對(duì)不同種族的準(zhǔn)確率差異巨大④，違背了美國(guó)社會(huì)的主流政治傾向，不被社會(huì)大眾所接納。第二，在數(shù)據(jù)安全性方面，由于人臉識(shí)別技術(shù)建立于數(shù)據(jù)代碼基礎(chǔ)，因此生物特征數(shù)據(jù)庫(kù)的泄露風(fēng)險(xiǎn)可能導(dǎo)致身份冒用等情況發(fā)生。第三，在隱私保護(hù)上，美國(guó)社會(huì)公眾對(duì)于“被監(jiān)控”表示反感和憂慮。由此，在該社會(huì)背景下，美國(guó)的立法動(dòng)態(tài)則表現(xiàn)為：一是在生物特征識(shí)別信息公共應(yīng)用方面，美國(guó)社會(huì)所面臨的是公眾對(duì)隱私保護(hù)的呼吁以及被“國(guó)家監(jiān)控”的警惕。在最近的關(guān)于生物特征識(shí)別信息的州立法中，2019年2月21日，佛羅里達(dá)州立法機(jī)構(gòu)提出《生物特征信息隱私法》。從文件名稱上可以看出，生物特征識(shí)別信息保護(hù)的立法定位和考量的是保護(hù)公民隱私權(quán)。然而，該法僅針對(duì)私人主體提出生物特征識(shí)別信息收集與使用的規(guī)范，理論上說(shuō)明公權(quán)力機(jī)關(guān)有著更加廣泛與自由的生物特征識(shí)別信息使用空間。二是在商業(yè)應(yīng)用上，于2020年1月生效的《加利福尼亞州消費(fèi)者隱私法》規(guī)定了生物信息（biometric information）屬于一類個(gè)人信息（personal information）［5］，因此商事交易中消費(fèi)者的生物識(shí)別信息保護(hù)適用一般信息保護(hù)相關(guān)規(guī)則，例如主體同意制度等，但是沒(méi)有專門針對(duì)生物特征識(shí)別信息收集與使用的規(guī)定條款。美國(guó)國(guó)會(huì)目前在審議《人臉識(shí)別商業(yè)應(yīng)用中隱私保護(hù)法案》（S.847 -Commercial Facial Recognition Privacy Act of 2019），該法案旨在禁止某些私主體在未得到用戶同意的情況下使用面部識(shí)別技術(shù)識(shí)別或追蹤用戶個(gè)人活動(dòng)。但根據(jù)Skopos實(shí)驗(yàn)室的調(diào)查，制定幾率僅為3%。⑤綜上，整體審視美國(guó)現(xiàn)有的生物特征識(shí)別信息立法體系，基于公民對(duì)于隱私較為敏感的社會(huì)環(huán)境，立法文件名稱均有隱私的用詞⑥，似乎在顯示生物特征識(shí)別信息保護(hù)均涉及隱私問(wèn)題。但是個(gè)人信息可分為隱私信息與一般信息兩類，［6］在法律適用上存在一定差異。

二、歐盟生物特征識(shí)別信息立法規(guī)制與發(fā)展態(tài)勢(shì)分析

歐盟歷來(lái)對(duì)于個(gè)人信息的法律保護(hù)要求非常嚴(yán)格，相關(guān)立法活動(dòng)也一直走在世界前沿。然而對(duì)于公民生物特征信息的保護(hù)，目前歐盟尚無(wú)專門的生物特征識(shí)別信息立法。有關(guān)的法律保護(hù)主要體現(xiàn)在GDPR相關(guān)規(guī)定中，整體立法傾向?yàn)椋阂环矫婀膭?lì)生物特征識(shí)別技術(shù)的創(chuàng)新，另一方面保障組織收集與保存生物特征識(shí)別數(shù)據(jù)的安全，并盡量實(shí)現(xiàn)兩者利益之間的平衡。

（一）歐盟的法律適用闡釋

1.現(xiàn)有立法規(guī)定。在生物特征識(shí)別信息的公共使用上，Regulation (EU) 2018/1725規(guī)定了歐盟的機(jī)構(gòu)、組織、辦公室和代理處在處理個(gè)人數(shù)據(jù)時(shí)的規(guī)則，包括數(shù)據(jù)保護(hù)與自由流動(dòng)。⑦第76款第1條規(guī)定，在歐盟機(jī)構(gòu)、辦公室或機(jī)構(gòu)的法定職權(quán)范圍內(nèi)，確有工作必要并在適當(dāng)保障信息主體權(quán)利和自由情況下可以處理公民生物特征識(shí)別信息。歐盟《第2252/2004號(hào)關(guān)于成員國(guó)簽發(fā)護(hù)照和旅行證件的安全特征和生物特征標(biāo)準(zhǔn)的理事會(huì)條例》 對(duì)于生物特征識(shí)別信息在邊境管制中的使用也做出了專門規(guī)范，并在相關(guān)案例（Michael Schwarz v.Stadt Bochum）的司法判決中表示，［7］法律適用必須嚴(yán)格區(qū)分出于法律義務(wù)（基于公共目的）收集和儲(chǔ)存的生物特征數(shù)據(jù)與為合同目的（基于主體同意）收集和儲(chǔ)存的生物特征數(shù)據(jù)，并確認(rèn)生物特征識(shí)別信息的公共管理使用是必要、正當(dāng)、合理的，且優(yōu)先于個(gè)人權(quán)利保護(hù)。同時(shí)，值得注意，該案原告訴求性質(zhì)為個(gè)人數(shù)據(jù)權(quán)利保護(hù)問(wèn)題，而非隱私權(quán)保護(hù)糾紛。并且歐盟法院（CJEU）也認(rèn)為，以指紋為代表的生物特征信息應(yīng)視為公民的憲法性權(quán)利，需受到特別的法律保護(hù)。由此，GDPR對(duì)于生物特征識(shí)別信息的關(guān)注更多出于對(duì)公民個(gè)人信息權(quán)利的保護(hù)考慮，并且重點(diǎn)在于規(guī)范生物識(shí)別軟件公司的數(shù)據(jù)處理行為。根據(jù)GDPR第9條規(guī)定，個(gè)人生物特征識(shí)別數(shù)據(jù)屬于特殊種類的個(gè)人數(shù)據(jù)（個(gè)人敏感數(shù)據(jù)），適用區(qū)別于一般個(gè)人信息的特殊保護(hù)規(guī)定。GDPR第9條第1款又強(qiáng)調(diào)生物特征數(shù)據(jù)禁止用于個(gè)人身份的識(shí)別。因此，原則上GDPR禁止為了識(shí)別特定自然人對(duì)基因數(shù)據(jù)與生物特征識(shí)別數(shù)據(jù)做出相關(guān)的數(shù)據(jù)處理。但是，GDPR第9條第2款亦統(tǒng)一規(guī)定了可以處理個(gè)人敏感數(shù)據(jù)的例外情形。那么，作為一類個(gè)人敏感數(shù)據(jù)，生物特征識(shí)別信息在什么情況下可用于身份識(shí)別？主要包括以下情形：（1）信息主體的明示同意；（2）數(shù)據(jù)處理是為了數(shù)據(jù)控制者履行義務(wù)或行使權(quán)利，或者為了利益相關(guān)方在勞動(dòng)和社會(huì)保障法中的權(quán)利行使；（3）即使未經(jīng)主體同意的情況下，為保護(hù)信息主體或其他自然人的重大利益；（4）數(shù)據(jù)處理涉及的是個(gè)人先前已公開的私人數(shù)據(jù)；（5）為維護(hù)公共利益目的；（6）為了提出、行使或辯護(hù)法律主張；（7）為了預(yù)防醫(yī)學(xué)或職業(yè)醫(yī)學(xué)有關(guān)的所有事宜，例如為評(píng)估雇員的精神狀況、協(xié)助醫(yī)生的醫(yī)療診斷、獲得健康或社會(huì)照料服務(wù)等。因此，當(dāng)處理生物特征識(shí)別信息是為上述目的時(shí)，其處理行為是被GDPR所允許的。法律實(shí)踐中，對(duì)于開發(fā)生物特征識(shí)別軟件的公司，以及使用生物特征識(shí)別軟件進(jìn)行員工管理的公司，均需對(duì)照GDPR做出合規(guī)處理。

2.經(jīng)濟(jì)發(fā)展考量。事實(shí)上，GDPR特別關(guān)注了生物特征識(shí)別技術(shù)，并清楚地認(rèn)識(shí)到這項(xiàng)技術(shù)的巨大市場(chǎng)潛力。雖然GDPR對(duì)使用生物特征識(shí)別數(shù)據(jù)規(guī)定了原則性禁止，但并不意味著在GDPR體系下生物特征識(shí)別技術(shù)被完全禁止。在取得信息主體同意的情況下，或者在某些情況下為了特定合法目的確實(shí)有必要且恰當(dāng)使用生物特征識(shí)別信息時(shí)，是被GDPR所允許的。據(jù)此推斷，GDPR沒(méi)有禁止生物特征識(shí)別數(shù)據(jù)的商業(yè)使用，但GDPR也確實(shí)強(qiáng)調(diào)了在處理生物特征認(rèn)別數(shù)據(jù)前必須謹(jǐn)慎。例如，GDPR允許成員國(guó)在國(guó)內(nèi)立法中提出額外的條件或限制，尤其是對(duì)于遺傳數(shù)據(jù)、健康相關(guān)數(shù)據(jù)和生物特征認(rèn)別數(shù)據(jù)的處理。當(dāng)然，GDPR并未針對(duì)生物特征識(shí)別信息做出專門或額外的規(guī)定，對(duì)于生物特征識(shí)別信息的保護(hù)要求和措施與其他個(gè)人敏感信息相同。在歐盟國(guó)的國(guó)內(nèi)層面，由于歐盟成員國(guó)未能就生物特征識(shí)別數(shù)據(jù)的使用達(dá)成明確的共識(shí)，關(guān)于生物特征識(shí)別數(shù)據(jù)使用的法律要求在成員國(guó)之間仍然存在差異。

（二）歐盟制度模式評(píng)價(jià)與立法發(fā)展態(tài)勢(shì)分析

GDPR和《2018/1725條例》共同提供了詳細(xì)的公權(quán)力機(jī)關(guān)履職與自然人行權(quán)的規(guī)定，但兩者均無(wú)專門針對(duì)生物特征識(shí)別信息的規(guī)范條款。在商業(yè)應(yīng)用規(guī)制上主要適用GDPR，即企業(yè)在收集、使用生物識(shí)別信息時(shí)應(yīng)遵循個(gè)人敏感信息保護(hù)制度，歸屬個(gè)人數(shù)據(jù)權(quán)利保護(hù)范疇，主要涉及個(gè)人信息自決權(quán)。例如，如果軟件公司沒(méi)有詳細(xì)地解釋其系統(tǒng)如何處理生物特征識(shí)別數(shù)據(jù)，或者軟件公司沒(méi)有在其軟件系統(tǒng)中設(shè)置任何保護(hù)與處理生物特征識(shí)別數(shù)據(jù)的安全配置，均被認(rèn)為違反GDPR，需承擔(dān)相應(yīng)法律責(zé)任。這點(diǎn)與美國(guó)佛羅里達(dá)州CCPA相似，但CCPA針對(duì)的是商事交易領(lǐng)域，保護(hù)對(duì)象為消費(fèi)者群體，而GDPR則針對(duì)各類領(lǐng)域中的使用，包括公共管理領(lǐng)域。特別地，針對(duì)面部特征識(shí)別信息的保護(hù)與使用，歐盟目前正考慮出臺(tái)面部識(shí)別信息的新規(guī)定。2019年11月，歐盟基本權(quán)利保護(hù)局（The European Union Agency for Fundamental Rights，簡(jiǎn)稱FRA）發(fā)布了《面部識(shí)別技術(shù)：執(zhí)法中的基本權(quán)利考慮》（Facial recognition technology:fundamental rights considerations in the context of law enforcement）。該報(bào)告概述和分析了在公共管理中使用面部特征識(shí)別技術(shù)可能對(duì)公民基本權(quán)利造成的挑戰(zhàn)，并提出了當(dāng)公共機(jī)關(guān)為執(zhí)法目的部署面部識(shí)別系統(tǒng)時(shí)為避免侵犯人權(quán)應(yīng)采取的實(shí)施步驟。由此看到，與美國(guó)相似，對(duì)于人臉識(shí)別信息的公共使用，面臨公眾被國(guó)家“監(jiān)控”的憂慮，歐盟亦有同樣的使用顧慮及立法考量。

三、比較視野下確立中國(guó)特色的法律制度建設(shè)立場(chǎng)：發(fā)展與監(jiān)管并存的模式

2019年9月27日，工信部發(fā)布的《關(guān)于促進(jìn)網(wǎng)絡(luò)安全產(chǎn)業(yè)發(fā)展的指導(dǎo)意見(jiàn)(征求意見(jiàn)稿)》表示，國(guó)家支持構(gòu)建基于人臉識(shí)別等識(shí)別技術(shù)的網(wǎng)絡(luò)身份認(rèn)證體系。受益于政府政策的支持，當(dāng)前更多的企業(yè)與資本正大力投入人臉識(shí)別產(chǎn)業(yè)的開發(fā)中，人臉識(shí)別技術(shù)在商業(yè)應(yīng)用中愈加普及。

（一）我國(guó)發(fā)展政策與歐美態(tài)度的比較分析

歐美法律模式有其各自的考量與特點(diǎn)。在美國(guó)，基于注重政治正確和公民積極表達(dá)隱私保護(hù)呼吁的社會(huì)氛圍，人臉識(shí)別技術(shù)的公共管理應(yīng)用面臨極大阻力，對(duì)于商業(yè)使用則會(huì)更加困難。歐洲則已經(jīng)在考慮對(duì)人臉識(shí)別等人工智能技術(shù)進(jìn)行立法規(guī)制，限制公共機(jī)關(guān)與企業(yè)不加區(qū)分地使用人臉識(shí)別技術(shù)，同時(shí)也賦予信息主體明確的信息自決權(quán)。相較于歐美對(duì)待生物特征識(shí)別信息商業(yè)使用的謹(jǐn)慎甚至排斥態(tài)度，我國(guó)政府與民間對(duì)于生物識(shí)別技術(shù)的開發(fā)以及生物特征信息的商業(yè)使用較為積極。鑒于我國(guó)生物識(shí)別技術(shù)產(chǎn)業(yè)實(shí)況，規(guī)范層面應(yīng)提供充分的制度保障，以促進(jìn)生物識(shí)別技術(shù)的開發(fā)與創(chuàng)新發(fā)展。同時(shí)，我國(guó)也應(yīng)學(xué)習(xí)歐美法律模式的審慎態(tài)度，進(jìn)一步加強(qiáng)立法與監(jiān)管體系的建設(shè)：一方面，為公民權(quán)利保護(hù)與救濟(jì)提供制度保障，如多層次多方位的主體同意制度；另一方面，企業(yè)要設(shè)立預(yù)防機(jī)制，如事前的安保設(shè)置。綜上，通過(guò)兩方面的努力在公民隱私保護(hù)與企業(yè)技術(shù)創(chuàng)新之間做出最佳平衡。鑒于我國(guó)與歐美在社會(huì)背景與技術(shù)政策上的差異，對(duì)于我國(guó)生物識(shí)別信息的法律建設(shè)工作，歐美目前的法律規(guī)制體系以及立法態(tài)勢(shì)中可被借鑒的制度成果是有限的，我國(guó)應(yīng)立足于自身發(fā)展國(guó)情，探索與建設(shè)符合本土產(chǎn)業(yè)特色的生物特征識(shí)別信息法律制度。

（二）中歐美制度建構(gòu)定位的比較分析

在生物特征識(shí)別信息的商業(yè)應(yīng)用上，歐美均非絕對(duì)禁止態(tài)度。歐盟對(duì)于生物特征識(shí)別信息的保護(hù)側(cè)重考量公民權(quán)利保護(hù)，并且其權(quán)利保護(hù)定位對(duì)應(yīng)的是公民個(gè)人數(shù)據(jù)權(quán)利，而非隱私權(quán)保護(hù)定位。該立法定位反映出歐盟個(gè)人數(shù)據(jù)權(quán)利化的成熟化階段，即，歐盟立法框架下公民的個(gè)人數(shù)據(jù)權(quán)利已經(jīng)與隱私權(quán)相互分離，成為獨(dú)立的憲法性權(quán)利與公民基本權(quán)利。［8］對(duì)比來(lái)看，中美仍將個(gè)人信息權(quán)利保護(hù)與評(píng)價(jià)依附于隱私權(quán)等法律制度。在生物特征識(shí)別信息的制度設(shè)置上，歐美共性少、中美共性多，中美與歐盟的制度模式差異根源在于個(gè)人數(shù)據(jù)權(quán)利是否獨(dú)立確權(quán)，即，隱私權(quán)與數(shù)據(jù)權(quán)利保護(hù)的制度定位。具體來(lái)說(shuō)，三者法律模式定位為：（1）依據(jù)我國(guó)目前立法現(xiàn)狀，體現(xiàn)的是個(gè)人信息安全的規(guī)制定位與趨勢(shì)，同時(shí)兼顧隱私權(quán)、肖像權(quán)等人格權(quán)保護(hù)模式；（2）歐盟制度建設(shè)的是與隱私權(quán)相分離的個(gè)人數(shù)據(jù)權(quán)利體系，歐盟立法體系通過(guò)憲法性文件將數(shù)據(jù)權(quán)利作為公民基本權(quán)利確權(quán)，并主要通過(guò)個(gè)人主動(dòng)積極地行使模式落實(shí)其個(gè)人信息自決權(quán)；（3）美國(guó)某些州的立法現(xiàn)狀反映的是隱私權(quán)保護(hù)模式的側(cè)重，同時(shí)兼顧個(gè)人數(shù)據(jù)安全制度。對(duì)比分析，中美歐社會(huì)對(duì)于生物識(shí)別技術(shù)發(fā)展與應(yīng)用的認(rèn)可度與接受度呈現(xiàn)差異的原因在于：基于不同的社會(huì)與文化背景，隱私理念與制度在不同國(guó)家存在各自的解讀與定位，并非孰對(duì)孰錯(cuò)與孰優(yōu)孰劣的問(wèn)題。從技術(shù)創(chuàng)新與經(jīng)濟(jì)發(fā)展角度看，歐美或許也需要適當(dāng)放松管制增加生物信息進(jìn)入商業(yè)應(yīng)用領(lǐng)域的機(jī)會(huì)，使生物識(shí)別技術(shù)服務(wù)于人類與社會(huì)。

（三）確定我國(guó)規(guī)制立場(chǎng)的思路

對(duì)比歐美立法現(xiàn)狀與我國(guó)當(dāng)前規(guī)制缺失狀態(tài)，筆者認(rèn)為，立法建設(shè)在制度完善路徑上應(yīng)秉持以下思路：（1）立法建設(shè)需適應(yīng)并促進(jìn)生物識(shí)別信息商業(yè)應(yīng)用的發(fā)展，推動(dòng)與完善我國(guó)個(gè)人信息保護(hù)與利用法律體系。生物特征識(shí)別技術(shù)是人工智能落地最快和商業(yè)市場(chǎng)規(guī)模最大的主要方向之一，2019年1月，阿里巴巴達(dá)摩院發(fā)布《2019十大科技趨勢(shì)》認(rèn)為生物特征識(shí)別技術(shù)將于2019年進(jìn)入大規(guī)模應(yīng)用階段。生物特征識(shí)別信息的唯一識(shí)別特性決定了其高度保護(hù)的必要性，相關(guān)法律制度建設(shè)應(yīng)及時(shí)跟進(jìn)。（2）立法建設(shè)響應(yīng)國(guó)家的生物技術(shù)創(chuàng)新發(fā)展策略，讓法律制度為技術(shù)革新及應(yīng)用保駕護(hù)航?！靶乱淮斯ぶ悄芤?guī)劃”等國(guó)家戰(zhàn)略提出重點(diǎn)支持生物特征識(shí)別信息技術(shù)的發(fā)展，為這一產(chǎn)業(yè)領(lǐng)域提供了良好的政策環(huán)境。2019年6月，我國(guó)首次發(fā)布人工智能治理原則，其中包括尊重隱私、安全可控、共擔(dān)責(zé)任等八項(xiàng)原則，如何將上述原則落實(shí)于具體的規(guī)則與制度建設(shè)中已是迫在眉睫，亟需推進(jìn)立法工作。（3）立法建設(shè)為公民生物特征識(shí)別信息安全提供制度支撐，使產(chǎn)業(yè)發(fā)展與個(gè)人信息保護(hù)形成良性循環(huán)。生物特征識(shí)別信息商業(yè)創(chuàng)新應(yīng)用也存在一定社會(huì)風(fēng)險(xiǎn)，例如視頻合成技術(shù)可能導(dǎo)致信息安全、色情內(nèi)容、政治博弈等社會(huì)問(wèn)題，立法需合理平衡生物信息保護(hù)與產(chǎn)業(yè)經(jīng)濟(jì)發(fā)展間的利益沖突。

四、我國(guó)生物特征識(shí)別信息的立法缺失

目前我國(guó)立法體系尚無(wú)針對(duì)生物特征識(shí)別信息的保護(hù)及利用的專門規(guī)定。立法缺失問(wèn)題一方面會(huì)導(dǎo)致泄露、竊取或?yàn)E用生物特征識(shí)別信息的行為更加猖獗，威脅公民生物信息安全；另一方面亦不利于生物特征識(shí)別信息產(chǎn)業(yè)規(guī)范發(fā)展。我國(guó)立法工作亟需加快完善關(guān)于生物特征識(shí)別信息保護(hù)與利用的法律制度。

在數(shù)據(jù)安全合規(guī)問(wèn)題上，我國(guó)數(shù)據(jù)企業(yè)目前采納的合規(guī)文件與安全措施包括：《信息安全管理要求ISO/IEC27001》《歐盟數(shù)據(jù)保護(hù)條例(GDPR)》、數(shù)據(jù)保護(hù)官制度、數(shù)據(jù)獲取授權(quán)規(guī)則等?？梢钥吹?，ISO/IEC27001與GDPR屬于國(guó)際規(guī)范標(biāo)準(zhǔn)，而數(shù)據(jù)保護(hù)官制度在我國(guó)尚無(wú)明確法律依據(jù)，僅數(shù)據(jù)獲取授權(quán)存在現(xiàn)實(shí)的規(guī)范依據(jù)，包括幾類規(guī)范體系：（1）法律與司法解釋文件，《網(wǎng)絡(luò)安全法》《電子商務(wù)法》《消費(fèi)者權(quán)益保護(hù)法》《刑法》《民法總則》《民法典（草案）》《關(guān)于辦理侵犯公民個(gè)人信息刑事案件適用法律若干問(wèn)題的解釋》等；（2）行業(yè)規(guī)范文件，《互聯(lián)網(wǎng)個(gè)人信息安全保護(hù)指南》《App違法違規(guī)收集使用個(gè)人信息行為認(rèn)定方法》《網(wǎng)絡(luò)交易監(jiān)督管理辦法（征求意見(jiàn)稿）》；（3）推薦性國(guó)家標(biāo)準(zhǔn)，《個(gè)人信息安全規(guī)范》。⑧在上述所有規(guī)范性文件中，盡管對(duì)于個(gè)人信息的收集與使用提出了具體要求，除了《個(gè)人信息安全規(guī)范》《互聯(lián)網(wǎng)個(gè)人信息安全保護(hù)指南》,其他文件均未直接明確提出對(duì)生物特征識(shí)別信息的專門規(guī)定?！睹穹ǖ洌ú莅福返?89條之一規(guī)定，從事與人體基因、人體胚胎等有關(guān)的醫(yī)學(xué)和科研活動(dòng)的，應(yīng)當(dāng)遵守法律、行政法規(guī)和國(guó)家有關(guān)規(guī)定，不得危害人體健康，不得違背倫理道德，不得損害公共利益。可以看到，該規(guī)定旨在保護(hù)被試驗(yàn)自然人的健康權(quán)，而非個(gè)人信息安全。《民法典（草案）》第799條規(guī)定任何組織或者個(gè)人不得以丑化、污損，或者利用信息技術(shù)手段偽造等方式侵害他人的肖像權(quán)，第803條第2款提出對(duì)自然人聲音的保護(hù)參照適用肖像權(quán)保護(hù)的有關(guān)規(guī)定。由此判斷，對(duì)于人臉和聲音等生物識(shí)別特征的法律保護(hù)，《民法典（草案）》將其納入傳統(tǒng)肖像權(quán)保護(hù)制度。整體來(lái)看，對(duì)于生物特征信息的收集與使用，目前我國(guó)法律規(guī)范體系尚無(wú)特殊的法律規(guī)定。

需要指出，我國(guó)亦存在針對(duì)生物特征識(shí)別信息的專門規(guī)范文件，包括《人類遺傳資源管理?xiàng)l例》《人類遺傳資源管理暫行辦法》《生物特征識(shí)別信息的保護(hù)要求（征求意見(jiàn)稿）》《涉及人的生物醫(yī)學(xué)研究倫理審查辦法》等。但是，《人類遺傳資源管理?xiàng)l例》《人類遺傳資源管理暫行辦法》僅針對(duì)遺傳資源的有效保護(hù)和合理利用，且重點(diǎn)關(guān)注科研領(lǐng)域中對(duì)遺傳資源的開發(fā)、利用與共享問(wèn)題，也提及中外合作研究中的遺傳資源的權(quán)屬分配問(wèn)題。然而，上述文件并未意識(shí)到遺傳資源的商業(yè)經(jīng)濟(jì)價(jià)值，未對(duì)遺傳資源的商業(yè)使用予以關(guān)注。對(duì)比而言，在規(guī)范生物特征信息適用場(chǎng)景的多元性上，德國(guó)2009年制定的《人類基因檢測(cè)法》廣泛針對(duì)醫(yī)療、保險(xiǎn)、就業(yè)、血緣鑒定等不同使用場(chǎng)景分別對(duì)基因檢測(cè)做出了規(guī)范。而我國(guó)《涉及人的生物醫(yī)學(xué)研究倫理審查辦法》則是針對(duì)生物醫(yī)學(xué)研究背景下的基因信息保護(hù)作出的單一場(chǎng)景性規(guī)范。［9］（P111-136）值得提出，遺傳數(shù)據(jù)對(duì)于開展人類疾病預(yù)測(cè)、診斷、治療與研究作用重大，是發(fā)展生物醫(yī)藥領(lǐng)域的核心競(jìng)爭(zhēng)力之一。《人類遺傳資源管理?xiàng)l例》第6條明確了國(guó)家支持合理利用人類遺傳資源開展科學(xué)研究、發(fā)展生物醫(yī)藥產(chǎn)業(yè)與提高診療技術(shù)。隨著精準(zhǔn)醫(yī)療服務(wù)的迅猛發(fā)展，醫(yī)學(xué)研究與醫(yī)藥開發(fā)領(lǐng)域?qū)ι飿颖編?kù)的需求也日益迫切，越來(lái)越多的國(guó)際生物公司和醫(yī)學(xué)研究人員都對(duì)生物樣本數(shù)據(jù)提出了更多的業(yè)務(wù)需求。然而，在目前我國(guó)法律體系下，生物樣本庫(kù)的數(shù)據(jù)共享問(wèn)題是生物樣本數(shù)據(jù)使用中面臨的最大法律挑戰(zhàn)。《人類遺傳資源管理?xiàng)l例》第12條第1款規(guī)定，采集我國(guó)人類遺傳資源，應(yīng)當(dāng)事先告知人類遺傳資源提供者采集目的、采集用途、對(duì)健康可能產(chǎn)生的影響、個(gè)人隱私保護(hù)措施及其享有的自愿參與和隨時(shí)無(wú)條件退出的權(quán)利，征得人類遺傳資源提供者的書面同意。該規(guī)定符合個(gè)人信息收集的一般法律要求，但未針對(duì)公民生物特征識(shí)別信息建立起與其敏感度和隱私性相適應(yīng)的特殊保護(hù)制度。

五、我國(guó)生物特征識(shí)別信息商業(yè)應(yīng)用的規(guī)制框架

（一）法律規(guī)范體系的結(jié)構(gòu)安排

圍繞生物特征識(shí)別信息的商業(yè)使用范圍、分級(jí)分類制度、技術(shù)安全標(biāo)準(zhǔn)、主體同意模式、行業(yè)自律規(guī)范等內(nèi)容，在規(guī)范體系中可做以下安排：（1）相關(guān)的一般法律，《侵權(quán)責(zé)任法》在高度危險(xiǎn)責(zé)任一章中規(guī)定侵犯公民生物特征識(shí)別信息的責(zé)任承擔(dān)方式，《消費(fèi)者權(quán)益保護(hù)法》《電子商務(wù)法》增加獲取生物特征識(shí)別信息的特殊授權(quán)規(guī)則、保護(hù)措施與安全責(zé)任；（2）個(gè)人信息保護(hù)的專門法律，即將出臺(tái)的《個(gè)人信息保護(hù)法》《數(shù)據(jù)安全法》設(shè)置獨(dú)立章節(jié)規(guī)定生物特征信息在獲取、使用、披露、存儲(chǔ)、跨境傳輸?shù)仁马?xiàng)上的特殊保護(hù)規(guī)則；（3）生物特征識(shí)別信息保護(hù)的專門法律，是否有必要出臺(tái)專門的《生物特征信息隱私法》？筆者認(rèn)為，考慮到目前我國(guó)的立法現(xiàn)狀與理論進(jìn)展，對(duì)于個(gè)人信息保護(hù)中的諸多理論問(wèn)題如數(shù)據(jù)權(quán)屬、權(quán)利模式、侵權(quán)救濟(jì)、各方利益沖突等尚未完全厘清，目前出臺(tái)《生物特征信息隱私保護(hù)法》還為時(shí)過(guò)早。2019年6月25日，信標(biāo)委發(fā)布了《生物特征識(shí)別信息的保護(hù)要求（征求意見(jiàn)稿）》，體現(xiàn)出我國(guó)制度層面已經(jīng)關(guān)注到公民生物特征識(shí)別信息迫切的保護(hù)需求。因此，要靈活參照國(guó)家標(biāo)準(zhǔn)中保護(hù)要求，以增強(qiáng)該國(guó)家標(biāo)準(zhǔn)的約束力與影響力。一方面，出臺(tái)專門的行政性文件，例如可由國(guó)務(wù)院主導(dǎo)出臺(tái)《生物特征識(shí)別技術(shù)管理暫行辦法》；另一方面，出臺(tái)專門的行業(yè)規(guī)范，例如可由工信部、網(wǎng)信辦或國(guó)家市場(chǎng)監(jiān)督管理總局主導(dǎo)出臺(tái)《生物特征信息使用監(jiān)督管理辦法》，暫且為收集與使用生物特征識(shí)別信息的企業(yè)提供合規(guī)依據(jù)，為公民生物特征識(shí)別信息保護(hù)提供制度保障，避免生物特征識(shí)別信息產(chǎn)業(yè)完全的“野蠻生長(zhǎng)”，待立法時(shí)機(jī)成熟后再出臺(tái)專門與正式的立法文件。

（二）立法框架的樣本參照方案

其一，在國(guó)際標(biāo)準(zhǔn)上，2011年6月，國(guó)際標(biāo)準(zhǔn)化組織（International Organization for Standardization，簡(jiǎn)稱ISO）與國(guó)際電工委員會(huì)（International Electrotechnical Commission，簡(jiǎn)稱IEC）聯(lián)合頒布的《信息技術(shù)—安全技術(shù)—生物測(cè)定信息保護(hù)標(biāo)準(zhǔn)》（ISO/IEC 24745:2011 Information Technology --Security Techniques --Biometric Information Protection）為生物特征信息保護(hù)提供了技術(shù)指導(dǎo)，在存儲(chǔ)和傳輸過(guò)程中需滿足保密性、完整性和可更新/可撤銷性等要求。此外，ISO/IEC 24745:2011為生物特征識(shí)別信息的安全、隱私合規(guī)管理和處理提出了要求及相應(yīng)的指導(dǎo)。ISO/IEC 24745:2011具體規(guī)定了以下幾方面內(nèi)容：（1）分析生物特征和生物特征識(shí)別系統(tǒng)應(yīng)用模型中固有的威脅及對(duì)策；（2）生物特征引用和身份引用之間安全綁定的安全要求；（3）生物特征系統(tǒng)應(yīng)用模型具有不同的應(yīng)用場(chǎng)景，包括各自場(chǎng)景下對(duì)生物特征識(shí)別信息的保存、參照與比對(duì)；（4）在生物特征識(shí)別信息處理過(guò)程中保護(hù)個(gè)人隱私的指南。

其二，在國(guó)內(nèi)標(biāo)準(zhǔn)上，2019年《個(gè)人信息安全規(guī)范（修訂草案）》（簡(jiǎn)稱《安全規(guī)范》）明確指出“個(gè)人生物識(shí)別信息”屬于個(gè)人敏感信息。根據(jù)《安全規(guī)范》中的相關(guān)規(guī)定，對(duì)于生物識(shí)別信息，在收集信息時(shí)的授權(quán)同意、隱私政策制定、傳輸與存儲(chǔ)、訪問(wèn)控制措施、目的限制、共享與轉(zhuǎn)讓、公開披露、應(yīng)急處置和報(bào)告、數(shù)據(jù)控制者的義務(wù)與責(zé)任、工作人員管理等事項(xiàng)的安排與設(shè)置上，均需適用個(gè)人敏感信息的特殊保護(hù)要求。另外，在明確提到生物識(shí)別信息的專門條款上，《安全規(guī)范》要求在存儲(chǔ)個(gè)人生物識(shí)別信息時(shí)，應(yīng)采用技術(shù)措施確保信息安全后再進(jìn)行存儲(chǔ)，例如將個(gè)人生物識(shí)別信息的原始信息和摘要分開存儲(chǔ)，或僅存儲(chǔ)摘要信息。同時(shí)，即使個(gè)人信息控制者經(jīng)法律授權(quán)或具備合理事由確需公開披露個(gè)人信息時(shí)，也一律不應(yīng)公開披露個(gè)人生物識(shí)別信息、基因信息。由此看出，相較于其他個(gè)人信息，生物識(shí)別信息與基因信息屬于絕對(duì)不公開的范疇。除正文外，《安全規(guī)范》附錄D在展示隱私政策模板時(shí)，舉例說(shuō)明在收集身份證、護(hù)照、駕照等法定證件信息和個(gè)人生物識(shí)別信息時(shí)，應(yīng)專門提醒信息主體此次收集活動(dòng)所涉及的信息，并說(shuō)明處理目的、處理規(guī)則。除此之外，《生物特征識(shí)別信息的保護(hù)要求（征求意見(jiàn)稿）》規(guī)定了生物識(shí)別信息的安全保護(hù)要求，包括生物特征識(shí)別系統(tǒng)的威脅和對(duì)策、生物特征信息和身份主體之間綁定的安全要求、應(yīng)用模型以及個(gè)人信息保護(hù)要求與指南等。⑨雖然《生物特征識(shí)別信息的保護(hù)要求》提供了可落地操作的技術(shù)標(biāo)準(zhǔn)與應(yīng)用模型，但現(xiàn)有監(jiān)管體系不應(yīng)簡(jiǎn)單地適用與其他個(gè)人信息同樣的主體授權(quán)同意機(jī)制，在機(jī)制設(shè)置上更應(yīng)考慮對(duì)收集必要性的干預(yù)，可明確列舉允許使用的情形和應(yīng)滿足的條件，以限制或防止生物識(shí)別信息被肆意收集與濫用。［10］此外，2019年4月10日，公安部網(wǎng)絡(luò)安全保衛(wèi)局、北京網(wǎng)絡(luò)行業(yè)協(xié)會(huì)、公安部第三研究所聯(lián)合發(fā)布的《互聯(lián)網(wǎng)個(gè)人信息安全保護(hù)指南》建議僅存儲(chǔ)個(gè)人生物特征識(shí)別的摘要信息，即經(jīng)過(guò)分析與處理后得到的結(jié)果，該規(guī)定與2017年版《個(gè)人信息安全規(guī)范》中對(duì)生物特征信息的規(guī)定是一致的。［11］對(duì)于上述推薦性國(guó)家標(biāo)準(zhǔn)，在立法過(guò)程中均可有選擇性地納入法律規(guī)制中。

（三）立法內(nèi)容的多維規(guī)制角度

相對(duì)于一般個(gè)人信息（包括個(gè)人敏感信息），在規(guī)則內(nèi)容設(shè)計(jì)上，生物識(shí)別信息有其特殊保護(hù)與處理規(guī)則。國(guó)際與國(guó)內(nèi)生物測(cè)定信息的行業(yè)標(biāo)準(zhǔn)指南提供了立法框架樣本，可作為生物識(shí)別信息規(guī)范文件的框架基礎(chǔ)。如何將行業(yè)保護(hù)標(biāo)準(zhǔn)納入法律規(guī)制框架？ 具體的保護(hù)標(biāo)準(zhǔn)是否需要變通？數(shù)據(jù)安全目的在于風(fēng)險(xiǎn)防范，即，刑法、民法、網(wǎng)絡(luò)安全法等相關(guān)信息安全規(guī)定本質(zhì)上針對(duì)的是個(gè)人信息的濫用或泄露問(wèn)題。例如，刑法所規(guī)定的侵犯公民信息罪（第253條之一）與非法侵入計(jì)算機(jī)罪（第285條）均可評(píng)價(jià)數(shù)據(jù)濫用與泄露行為。而個(gè)人信息保護(hù)則更多側(cè)重于個(gè)人的信息權(quán)利行使，例如《民法典（草案）》第六章相關(guān)條文。由此看出，數(shù)據(jù)安全與個(gè)人信息權(quán)利在法律規(guī)范目的上是不同的，這也意味著企業(yè)責(zé)任設(shè)置與公民權(quán)利賦能的立法側(cè)重。一方面，信息主體該如何做出授權(quán)表示以及如何實(shí)現(xiàn)絕對(duì)控制力？另一方面，對(duì)應(yīng)的，數(shù)據(jù)企業(yè)的安全保障責(zé)任與信息使用規(guī)范又該如何設(shè)計(jì)？基于該思考，規(guī)制內(nèi)容將重點(diǎn)圍繞上述兩類規(guī)范目的進(jìn)行設(shè)計(jì)。

1.企業(yè)的數(shù)據(jù)保護(hù)責(zé)任：數(shù)據(jù)安全側(cè)重。BIPA要求企業(yè)應(yīng)謹(jǐn)慎地收集必要的生物特征信息，并且保留時(shí)間不應(yīng)該超過(guò)特定業(yè)務(wù)目的時(shí)限。對(duì)此，企業(yè)需要做出存儲(chǔ)、保護(hù)和共享生物特征信息的書面政策。該安排應(yīng)是正式制定的，并采取管理、物理和技術(shù)保障措施來(lái)妥善保管生物識(shí)別數(shù)據(jù)。［12］由此看出，BIPA僅寬泛地針對(duì)生物特征信息的保留、收集、披露和銷毀做出了原則性規(guī)定，但對(duì)生物特征信息的商業(yè)使用，僅提及了為完成金融轉(zhuǎn)賬可經(jīng)信息主體授權(quán)后披露。［13］BIPA未對(duì)生物特征信息的合理商業(yè)使用予以關(guān)注，整體上是以預(yù)防與禁令方式為生物信息提供保護(hù)機(jī)制，并重點(diǎn)服務(wù)于雇傭單位的員工管理場(chǎng)景。此外，目前已開發(fā)了許多保護(hù)隱私的生物特征方案(PPBSs)，也為未來(lái)的隱私保護(hù)生物計(jì)量學(xué)研究提供了指導(dǎo)。［14］在技術(shù)原理上，生物識(shí)別技術(shù)是基于計(jì)算機(jī)、物理學(xué)、生物統(tǒng)計(jì)學(xué)等科學(xué)原理，通過(guò)采集待識(shí)別個(gè)人的生理或行為特征，與其固有特征對(duì)比，以實(shí)現(xiàn)用戶身份識(shí)別。筆者認(rèn)為，對(duì)于生物識(shí)別軟件的開發(fā)方與使用方，應(yīng)設(shè)置各自的安全保障義務(wù)與責(zé)任：一是對(duì)于提供生物識(shí)別服務(wù)或開發(fā)生物識(shí)別技術(shù)的企業(yè)，當(dāng)生物識(shí)別軟件上架APP商店時(shí)，應(yīng)提供國(guó)內(nèi)或國(guó)際認(rèn)證標(biāo)準(zhǔn)，以證明軟件內(nèi)置了必要的保障措施，會(huì)及時(shí)維護(hù)生物信息的安全存儲(chǔ)與處理。二是對(duì)于使用生物識(shí)別服務(wù)或收集、處理生物特征信息的企業(yè)，可選擇與提供生物識(shí)別服務(wù)的公司合作，以達(dá)到安全技術(shù)標(biāo)準(zhǔn)。需要注意，參照《加利福尼亞州勞動(dòng)法》（The California Labor Code）規(guī)定，如果雇主企業(yè)通過(guò)第三方機(jī)構(gòu)提供生物特征識(shí)別服務(wù)，必須確保第三方主體無(wú)法獲取與保留生物特征信息。

2.企業(yè)的信息使用規(guī)則：應(yīng)用規(guī)范側(cè)重。一是生物特征識(shí)別信息的商業(yè)應(yīng)用場(chǎng)景與個(gè)性化規(guī)范設(shè)置。目前生物識(shí)別特征被廣泛應(yīng)用在商業(yè)盈利模式中。亞馬遜早在2016年就推出了人臉識(shí)別軟件Rekognition，類似的產(chǎn)品還有谷歌云Vision API、IBM Watson Visual Recognition和微軟的Face API。尤其在創(chuàng)新金融服務(wù)的開發(fā)上，金融數(shù)據(jù)技術(shù)結(jié)合人臉辨識(shí)、對(duì)象辨識(shí)與客戶金融數(shù)據(jù)來(lái)推測(cè)客戶潛在的意圖，進(jìn)一步分析個(gè)人的投資喜好與信用評(píng)價(jià)等，最終推測(cè)出客戶未來(lái)的金融需求。金融業(yè)通過(guò)開發(fā)人臉辨識(shí)與自然語(yǔ)言理解技術(shù)，以增加風(fēng)險(xiǎn)管理、營(yíng)銷、反洗錢等金融業(yè)務(wù)。例如，智能ATM人臉辨識(shí)技術(shù)可以通過(guò)使用者的年齡、性別、衣著打扮等推測(cè)用戶的特征，以推送定制化的廣告或金融服務(wù)。由此看到，生物特征信息在電子商務(wù)中的使用場(chǎng)景是多元的，相應(yīng)的規(guī)范也有其專門性與特殊性。同時(shí)也應(yīng)注意，對(duì)于生物特征信息商業(yè)使用的分場(chǎng)景監(jiān)管模式可能會(huì)增加執(zhí)法的復(fù)雜度。這是因?yàn)?，?dāng)前數(shù)字化產(chǎn)業(yè)中，各行業(yè)之間加速融合，各類信息流也隨之匯聚，如手持身份證的面部拍照上傳，會(huì)同時(shí)涉及一般個(gè)人信息與生物識(shí)別信息。因此，筆者認(rèn)為，在個(gè)人信息分類分級(jí)分場(chǎng)景的保護(hù)模式下，宜采取“就高不就低”的保護(hù)原則，在多級(jí)個(gè)人信息保護(hù)場(chǎng)景中，應(yīng)遵循最高保護(hù)級(jí)別信息的法律收集、處理與使用要求。

二是人臉識(shí)別技術(shù)應(yīng)用的特別關(guān)注。AI換臉可能會(huì)被用于盜刷支付，鑒于財(cái)產(chǎn)權(quán)益的敏感性，引起人們對(duì)面部識(shí)別應(yīng)用的恐慌。⑩然而，利益驅(qū)動(dòng)下視頻合成技術(shù)的突破能力是難以預(yù)測(cè)的，信息技術(shù)的安全保障能力亦是不確定的。因此，真?zhèn)舞b別手段與視頻偽造技術(shù)的賽跑，始終是懸在面部識(shí)別技術(shù)商業(yè)應(yīng)用頭上的“達(dá)摩克利斯之劍”。大型互聯(lián)網(wǎng)企業(yè)目前正增加投資以開發(fā)更有效識(shí)別假視頻的鑒別技術(shù)?。但是，預(yù)防與打擊假視頻所帶來(lái)的社會(huì)風(fēng)險(xiǎn)僅憑技術(shù)手段是遠(yuǎn)遠(yuǎn)不夠的，必須要有法律制度的保障。深度偽造（Deepfakes）可制作肉眼難辨真?zhèn)蔚膭?dòng)態(tài)人臉畫面和聲音，AI換臉可以隨意替換視頻中人物角色的面部。隨著深度偽造技術(shù)發(fā)展，引發(fā)了社會(huì)公眾對(duì)可能侵犯其隱私權(quán)、肖像權(quán)、名譽(yù)權(quán)、榮譽(yù)權(quán)的擔(dān)憂。例如，數(shù)據(jù)企業(yè)濫用信息、并將所收集的用戶信息交由公開數(shù)據(jù)庫(kù)使用，嚴(yán)重違反了信息保護(hù)規(guī)定。相較于其他生物特征識(shí)別信息，人臉信息的盜用對(duì)于公民可能造成無(wú)形的榮譽(yù)或名譽(yù)損害。我國(guó)目前立法體系如何評(píng)價(jià)身份冒用行為與規(guī)制視頻合成技術(shù)？《民法典（草案）》對(duì)此作出規(guī)定：“任何組織或者個(gè)人不得以丑化、污損，或者利用信息技術(shù)手段偽造等方式侵害他人的肖像權(quán)。其他人格權(quán)的許可使用和自然人聲音的保護(hù)，參照適用本章的有關(guān)規(guī)定?！痹撘?guī)定對(duì)于盜用人臉或聲音問(wèn)題做出了原則性規(guī)定，提供了侵權(quán)保護(hù)的法律救濟(jì)思路。參照BIPA中的規(guī)定，對(duì)于因違反該法的行為而受到損害的個(gè)人，過(guò)失侵權(quán)可獲得1000美元賠償，故意侵權(quán)則可以通過(guò)主張個(gè)人權(quán)利獲得5000美元賠償。借鑒該法律模式，我國(guó)在生物特征識(shí)別信息規(guī)則構(gòu)建過(guò)程中，結(jié)合侵權(quán)責(zé)任的法律構(gòu)成要件，提供更加細(xì)化的規(guī)定，包括過(guò)錯(cuò)形式、因果認(rèn)定、賠償標(biāo)準(zhǔn)、責(zé)任方式等。

3.用戶數(shù)據(jù)權(quán)利行使路徑：個(gè)人信息權(quán)利側(cè)重。一是信息獲取時(shí)多層授權(quán)機(jī)制與使用中主體絕對(duì)控制模式。整理2018版本《個(gè)人信息安全規(guī)范》中的有關(guān)規(guī)定，對(duì)生物識(shí)別信息的保護(hù)措施有：第一，收集生物識(shí)別特征時(shí)，應(yīng)取得信息主體的明示同意；第二，收集生物識(shí)別信息前，應(yīng)明確告知收集信息的功能、用途、必要性以及不同意的后果等事項(xiàng)；第三，存儲(chǔ)個(gè)人生物識(shí)別信息時(shí)，應(yīng)采用技術(shù)措施處理后再進(jìn)行存儲(chǔ)，例如僅存儲(chǔ)個(gè)人生物識(shí)別信息的摘要；第四，（絕對(duì)）不得公開披露個(gè)人生物識(shí)別信息。前兩條屬于對(duì)于個(gè)人敏感信息的一般保護(hù)規(guī)則，后兩條則是專門針對(duì)生物識(shí)別信息的特別規(guī)定。在保護(hù)規(guī)則的制定上，立法應(yīng)側(cè)重體現(xiàn)對(duì)于生物識(shí)別信息的特殊保護(hù)要求。筆者認(rèn)為，在向用戶征求明示授權(quán)同意時(shí)，應(yīng)向信息主體告知生物識(shí)別信息的收集目的、處理方式、使用范圍、再度披露規(guī)則等，還要求信息主體通過(guò)書面聲明做出同意表示，并且在后續(xù)的二次使用中，仍需再次征求用戶的明確（二次）授權(quán)。根據(jù)《網(wǎng)絡(luò)交易監(jiān)督管理辦法（征求意見(jiàn)稿）》第22條第2款規(guī)定，網(wǎng)絡(luò)交易經(jīng)營(yíng)者收集、使用消費(fèi)者個(gè)人信息的，應(yīng)當(dāng)逐次征求消費(fèi)者同意，不得采取一次性授權(quán)方式獲得消費(fèi)者同意，不得因消費(fèi)者不同意收集與該網(wǎng)絡(luò)交易活動(dòng)無(wú)關(guān)的個(gè)人信息而拒絕向其銷售商品或者提供服務(wù)。但是，此處的權(quán)利行使具有請(qǐng)求權(quán)性質(zhì)，權(quán)利實(shí)現(xiàn)往往需要數(shù)據(jù)控制者的作為方能實(shí)現(xiàn)。筆者認(rèn)為應(yīng)在技術(shù)上設(shè)置即時(shí)生效的控制機(jī)制，尤其在網(wǎng)絡(luò)交易中，對(duì)于消費(fèi)者的生物特征識(shí)別信息如身份證照片、指紋、人臉信息等，用戶可以隨時(shí)行使更正、刪除和注銷的權(quán)利，并且無(wú)需任何前置條件即可當(dāng)場(chǎng)實(shí)現(xiàn)與即時(shí)生效，即時(shí)型權(quán)利行使方式將很大程度保障用戶生物信息安全。

二是生物特征識(shí)別信息權(quán)利的司法救濟(jì)模式。Rosenbach v.Six Flags Entertainment Corp.一案中，伊利諾斯州最高法院推翻了上訴法院的判決，認(rèn)為公民根據(jù)《伊利諾斯生物特征信息隱私法》有資格成為“受損害的”人，并可根據(jù)該法案要求違約金和禁令救濟(jì)，即使原告尚未受到實(shí)際傷害或不利影響，而只是被侵犯了本人根據(jù)該法案所應(yīng)享有的公民權(quán)利。［15］由此推斷，法院在該案中確立的司法保護(hù)規(guī)則為：即使公民生物識(shí)別信息未遭受實(shí)質(zhì)損害，信息主體仍有權(quán)尋求司法救濟(jì)。相較于一般個(gè)人信息侵權(quán)，生物特征識(shí)別信息的司法保護(hù)標(biāo)準(zhǔn)顯然更高。之所以生物特征識(shí)別信息的司法訴訟要求較低，是為保證生物特征識(shí)別信息主體可及時(shí)主張權(quán)利，以對(duì)將來(lái)可能遭受的損失做出提前預(yù)防。畢竟一旦遭受現(xiàn)實(shí)損害，損害后果將難以彌補(bǔ)。

注釋：

①嚴(yán)格來(lái)說(shuō)，“生物識(shí)別特征”與“生物特征識(shí)別信息”存在本質(zhì)區(qū)別，理論上有其各自的學(xué)術(shù)定義，本文也對(duì)此區(qū)別做出了具體闡述。但在本文書寫過(guò)程中，鑒于不同語(yǔ)境中的描述便利，文中混合使用“生物識(shí)別特征”“生物特征識(shí)別信息”“生物識(shí)別信息”“生物特征信息”“生物特征識(shí)別數(shù)據(jù)”等，均視為同義描述。

②2019年8月8日，位于舊金山的美國(guó)第九巡回上訴法院駁回Facebook希望撤銷一項(xiàng)集體訴訟的申請(qǐng)。該集體訴訟中，提起訴訟的為伊利諾伊州用戶，針對(duì)Facebook未經(jīng)用戶同意非法收集并存儲(chǔ)數(shù)百萬(wàn)用戶的生物識(shí)別數(shù)據(jù)的行為。

③2019年5月，美國(guó)舊金山立法機(jī)構(gòu)通過(guò)了禁止官方使用人臉識(shí)別技術(shù)的新法令，禁止該技術(shù)在政府機(jī)關(guān)和執(zhí)法機(jī)關(guān)中使用，成為全球首個(gè)官方禁止使用人臉識(shí)別技術(shù)的城市。隨后，馬薩諸塞州薩默維爾市成為美國(guó)第二個(gè)禁止在公共場(chǎng)所使用面部識(shí)別的城市，頒布了《全面禁止面部監(jiān)控條例》（Face Surveillance Full Ban Ordinance）。加州奧克蘭市成為美國(guó)第三個(gè)禁止這種技術(shù)的城市。

④例如，亞馬遜人臉識(shí)別軟件Rekognition可能違反女性、有色人種、移民以及其他邊緣化群體的民權(quán)，導(dǎo)致這類人群特別容易成為警方關(guān)注的目標(biāo)。

⑤該法案于2019年3月14日提交國(guó)會(huì)，正處于立法進(jìn)程的第一階段。法案通常被委員會(huì)審議，然后可能會(huì)提交給眾議院或參議院商議。

⑥如本文所述，《2018年加州消費(fèi)者隱私法案》，旨在加強(qiáng)消費(fèi)者隱私權(quán)和數(shù)據(jù)保護(hù)。以及，相關(guān)州的專門生物識(shí)別信息立法文件《生物特征信息隱私法》，均含有隱私一詞。

⑦The regulation on the protection of natural persons with regard to the processing of personal data by the Union institutions,bodies,offices and agencies and on the free movement of such data，取代之前的Regulation (EC) No 45/2001.

⑧具體條款如《刑法》第253條之一、《網(wǎng)絡(luò)安全法》第42條、《電子商務(wù)法》第23條、《消費(fèi)者權(quán)益保護(hù)法》第29條、《網(wǎng)絡(luò)交易監(jiān)督管理辦法（征求意見(jiàn)稿）》第22條第2款。

⑨該征求意見(jiàn)稿生效后將取代2011年的《生物特征識(shí)別信息保護(hù)》，對(duì)比來(lái)看，征求意見(jiàn)稿的變動(dòng)主要體現(xiàn)了近期對(duì)個(gè)人信息保護(hù)監(jiān)管要求的更新。

⑩如，《男子酒后打出租被司機(jī)趁機(jī)“刷臉”，微信轉(zhuǎn)走4500元》，網(wǎng)址http://news.ynet.com/2019/12/27/2293480t70.html。

?目前用來(lái)鑒別假視頻的主流技術(shù)是MediFor，主要綜合視頻的電子指紋、人體物理規(guī)律、額外信息等三方面做出鑒別。