冉克平

一、問題的提出

個人信息是指以電子或者其他方式記錄的能夠單獨或者與其他信息結合識別特定自然人身份或者反映特定自然人活動情況的各種信息?！?〕我國《民法典》第1034條將個人生物識別信息納入個人信息，第1035條進一步確立了個人信息的收集、處理應當遵循的原則和條件，體現(xiàn)了我國人格權立法的前瞻性與先進性。隨著大數(shù)據(jù)與人工智能的飛速發(fā)展，個人生物識別信息的獲取、收集、存儲和共享等技術越發(fā)成熟。例如銀行、網(wǎng)絡平臺、支付平臺、不動產(chǎn)登記機構等普遍通過人臉識別、指紋技術進行認證并儲存；新冠疫情暴發(fā)，很多小區(qū)和場所通過人臉識別門禁系統(tǒng)采集個人生物識別信息實施防疫管控。相比一般個人信息，個人生物識別信息具有高度可識別性屬性。這意味著個人生物識別信息一旦被信息控制者泄露、非法提供或者濫用，極易導致信息主體的個人名譽、身份健康受到損害或遭受歧視性待遇，從而危害個人的財產(chǎn)與人身安全?！?〕個人生物識別信息在極大滿足社會發(fā)展需求的同時，亦引發(fā)個人生物識別信息法律保護與監(jiān)督管理的問題。例如，利用深度偽造技術制作難辨真?zhèn)蔚膭討B(tài)人臉畫面和聲音，換臉App“ZAO”引發(fā)的隱私和安全風險等問題均引起人們對生物識別信息采集使用可能侵犯其隱私權、肖像權、名譽權以及自由權等的擔憂甚至恐慌?！?〕在《民法典》實施的背景之下，結合我國個人生物識別信息保護與使用的現(xiàn)狀，界定生物識別信息的法律屬性及其邊界，探討個人生物識別信息的法律屬性及其利益關系，規(guī)范個人生物識別信息收集利用的風險防范以及責任承擔等問題顯得尤為必要。

二、個人生物識別信息的法律屬性及其邊界

（一）個人生物識別信息的法律屬性

個人生物識別信息是指通過運用科學技術手段對人的身體特征進行數(shù)字化處理后得到的信息。個人生物識別信息必須經(jīng)過計算機相關生物識別程序的識別才能生成?！?〕2015年美國《消費者隱私保護法案》規(guī)定的個人生物識別信息包括面相、指紋、聲音、視網(wǎng)膜、虹膜、基因等。美國加利福尼亞州《2018消費者隱私法》增加點擊模式、步態(tài)模式以及睡眠或運動數(shù)據(jù)等作為個人生物識別信息類型。2016年歐盟公布的《一般數(shù)據(jù)保護條例》規(guī)定個人生物識別信息是基于特別技術處理自然人的相關身體、生理或行為特征而得出的個人數(shù)據(jù)，這種個人數(shù)據(jù)能夠識別或確定自然人的獨特標識，并列舉了人臉數(shù)據(jù)、指紋數(shù)據(jù)等。我國2020年實施的《個人信息安全規(guī)范》規(guī)定的個人生物識別信息包括自然人的身體、生理特征的相關信息如指紋、聲紋、掌紋、耳廓、虹膜、面部特征、個人基因等。①《民法典》第1009條規(guī)定：“從事與人體基因、人體胚胎等有關的醫(yī)學和科研活動的，應當遵守法律、行政法規(guī)和國家有關規(guī)定，不得危害人體健康，不得違背倫理道德，不得損害公共利益?！痹摋l旨在保護被試驗自然人的健康權，而非個人基因信息安全。總之，由于計算機、互聯(lián)網(wǎng)和互動式數(shù)字媒體的推廣普及，大大拓展了經(jīng)營者或管理者獲取公民個人生物信息的渠道和范圍，致使“脆弱的個人”被置于受威脅的境地。

個人生物識別信息包括自然人的身體、生理及行為特征，可以分別表達為個人生物身體和生理識別信息與個人生物行為特征識別信息，它們直接反映自然人獨一無二與不可替代性的身體、生理或行為特征，具有強烈的人身屬性?！?〕例如基因信息是由DNA（少數(shù)RNA）分子片段組成的生物遺傳信息；指紋和掌紋信息是由人的指紋、掌紋因遺傳與環(huán)境共同作用產(chǎn)生的信息。個人生物識別信息與個人一般信息例如電話號碼、電子郵箱地址、身份證號碼等相比具有顯著差異，后者以信息主體的社會性特征為基礎，它們外在于人本身；而前者直接反映信息主體內在的身體、生理和行為本質屬性，不僅具有更高程度的可識別性，而且與自然人的人身不可分割，屬于高度敏感的個人信息。一般個人信息例如姓名、身份證號碼、手機號碼等通?？梢宰兏莻€人生物識別信息具有獨一無二性，任何人的生物識別信息與其他同種類的生物識別信息均不相同，這是由每個人遺傳物質、身體器官以及行為特征的獨特性所決定的。②《信息安全技術公共及商用服務信息系統(tǒng)個人信息保護指南》3.7規(guī)定：個人敏感信息是指“一旦遭到泄露或修改，會對標識的個人信息主體造成不良影響的個人信息。各行業(yè)個人敏感信息的具體內容根據(jù)接受服務的個人信息主體意愿和各自業(yè)務特點確定。例如個人敏感信息可以包括身份證號碼、手機號碼、種族、政治觀點、宗教信仰、基因、指紋等”；而個人一般信息是“除個人敏感信息以外的個人信息”。由于個人生物識別信息與身體屬性密切關聯(lián)而且不可替代，已經(jīng)成為數(shù)字身份的主要識別方式?！?〕

個人生物識別信息對于信息主體的獨一無二表明其具有極強的防偽性特征，但是并不意味著個人生物識別信息無法被復制或偽造。隨著數(shù)字信息技術的發(fā)展，人臉信息、指紋、掌紋等均可以復制甚至變造從而收到以假亂真的效果。例如，通過利用AI合成技術獲得人臉信息、聲紋進行詐騙，或者利用指紋、掌紋解鎖盜竊他人財產(chǎn)等。個人生物識別信息與其它個人的普通信息的差異及其特殊性，致使其一旦被泄露或盜竊，會使受害人的人格尊嚴遭受嚴重的侵害，并會給信息主體帶來永久的不可逆的損失?！?〕如果個人生物識別信息泄露或被不法使用，信息主體為避免自身的權益遭受進一步的侵害，將被迫退出與個人生物信息認證相關的活動。①美國伊利諾斯州《生物識別信息隱私法》在立法宗旨和目的中對生物識別信息的特殊性作出如下描述:“生物特征與通常用于財務的惟一標記或其它敏感信息不同，例如社會保險號碼，一旦被泄露可以改變。生物特征在生物學上是個人獨一無二的，一旦受到損害，個人沒有追索權，身份盜竊的風險更高，并且可能不得不退出基于生物識別而進行的業(yè)務?！盨ee Biometric Information Privacy Act.Public Act 095-0994,SB2400 Enrolled LRB09519768 KBJ 46142 b.從現(xiàn)實生活來看，個人生物識別信息在推廣使用過程中存在風險，例如成為“透明人”、被操控以及數(shù)據(jù)的泄露與濫用等等。②根據(jù)裁判文書網(wǎng)公開信息顯示，從2018年7月開始，有犯罪嫌疑人通過非法購買公民個人信息并制作相應的“換臉”視頻，突破了支付寶的人臉識別認證。2019年，有人繞過廈門銀行App的人臉識別系統(tǒng)，使用虛假身份信息注冊多個賬戶并倒賣牟利。參見南都社論：《激辯人臉識別應用，珍視法學教授說“不”的價值》，《南方都市報》2020年9月26日，（GA02）社論版。

個人生物識別信息所具有的穩(wěn)定性和可靠性使其在經(jīng)濟和商業(yè)方面的作用日益重要?，F(xiàn)代生物科技的發(fā)展使基因信息和相關技術能夠產(chǎn)生巨大的經(jīng)濟和商業(yè)利益，例如通過基因檢測可以發(fā)現(xiàn)致病基因、研發(fā)基因藥品以及申請基因成果專利等?！?〕基因信息被廣泛用于刑事偵查程序以辨認犯罪嫌疑人和受害人的身份或者親子鑒定等。人臉信息、指紋信息、掌紋信息等還被用作研究和開發(fā)具有商業(yè)價值的新產(chǎn)品。目前，國內從事生物識別信息的企業(yè)有千余家，市場規(guī)模約達千億元。我國生物識別市場規(guī)模復合年均增速可以達到50%左右，發(fā)展態(tài)勢迅猛，商業(yè)化步伐還在加速中。〔9〕

個人生物識別信息還具有極強的公共管理利益屬性。學理上通常認為，個人信息具有人格價值與財產(chǎn)利益的雙重屬性?！?0〕相比一般個人信息，個人生物識別信息反映了公民獨一無二的人身特征，在識別公民身份上天然地具備極強并且迅捷的辨識效果。因而人臉識別、指紋等被普遍用于識別、追蹤個人身份，在公共安全與社會管理領域獲得廣泛的使用。例如，政府基于社會公共安全需要強制要求采集個人生物識別信息，典型情形如機場、高鐵、地鐵等在實施安檢時使用人臉識別系統(tǒng)；在新冠疫情期間，人臉識別系統(tǒng)還具有追蹤新冠肺炎患者的行為蹤跡、密切接觸者的功能。隨著大數(shù)據(jù)的飛速發(fā)展，個人生物識別技術正在全方位改變著社會管理與公共安全的方式和認知。

（二）個人生物識別信息的保護模式

從隱私權與個人信息的關系看，美國判例與學理采取的是廣義的隱私權即“一元論”的保護模式，姓名、名譽、肖像等都被納入到隱私權的保護范疇之內。計算機技術的發(fā)展催生了“信息隱私權”概念。由于數(shù)字化技術的應用，越來越多的個人私生活秘密因可被記錄而具備個人信息的特點，個人的隱私在信息時代的表現(xiàn)為“隱私信息化”現(xiàn)象（例如病人的醫(yī)療信息、體檢報告信息等）。20世紀60年代，艾倫·威斯汀在《隱私與自由》一書中認為，隱私權是個人或群體自主決定在何時以何種方式在多大程度上將有關自身信息披露給他人的權利，由此形成個人信息控制論的源頭?！?1〕按照日本判例及傳統(tǒng)理論，隱私權包括私生活及其安寧狀態(tài)、私事（日記與信件、夫妻生活或者異性關系或者性隱私）以及個人信息?！?2〕依此立法例，個人生物識別信息屬于隱私權。相較于美國隱私權概念所蘊含的多元利益平衡機制（與言論自由、公眾知情權、大數(shù)據(jù)產(chǎn)業(yè)發(fā)展之平衡），德國、法國對于隱私權與個人信息的保護采用的是“二元論”保護模式。隱私權以對個人秘密和私生活空間進行支配并排除他人干預為內容，包括自然人獨處的生活狀態(tài)或私人事務與私生活秘密不受他人的非法披露兩個方面?！?3〕在隱私權與個人信息分立的模式之下，隱私權制度的重心在于防范個人秘密被非法披露，并不在于保護這種秘密的控制與利用。相較于防御性的隱私權，個人信息致力于實現(xiàn)信息主體對其個人信息的積極控制，其控制方式隨著信息技術、新型判例和立法的發(fā)展而不斷增多。如《德國聯(lián)邦數(shù)據(jù)保護法》第20、35條的刪除權和封存權，《通用數(shù)據(jù)保護條例》GDPR第17條規(guī)定的被遺忘權和第20條的數(shù)據(jù)攜帶權等。此類衍生性權利與個人信息自決權的“源權利”特征一脈相承?！?4〕隨著人工智能技術的發(fā)展，亦出現(xiàn)了“個人信息隱私化”現(xiàn)象。例如人臉本身并非隱私，除在極少數(shù)文化背景之下，人臉都是公開示人的，但是人臉識別技術使人臉成為隱私信息。個人生物識別信息的隱私化使傳統(tǒng)隱私權的邊界得以擴展，隱私權與個人信息的邊界變得更加復雜。

《民法典》第1034條第2款規(guī)定，個人信息中的私密信息，適用有關隱私權的規(guī)定；沒有規(guī)定的，適用有關個人信息保護的規(guī)定。這表明我國采取的是隱私權與個人信息分立的“二元論”立法例，但是個人信息與隱私權存在重疊之處：兩者的關系可以表達為純粹的個人隱私、隱私性信息與純粹的個人信息。〔15〕隱私性信息意指通過數(shù)據(jù)形式表達的個人隱私，是隱私與純粹的個人信息交叉的部分。例如患者的重大疾病信息、客戶的投資理財信息等。個人生物識別信息包含身體、生理及行為特征，均屬于隱私性信息。相比個人生物行為特征識別信息，個人生物身體與生理識別信息的隱私屬性更強。個人生物識別信息具有非常高的身體指向性和高度私密性，與信息主體的人格尊嚴密切相關，對其予以公開或非法利用將會給信息主體造成重大影響。個人生物識別信息不同于純粹的隱私（如自然人獨處生活、夫妻性生活等），后者是隱私權保護的主要對象，是指個人生活極為私密、直接涉及到個人人格尊嚴與自由的部分，一旦泄露通常會給受害人帶來精神損害。盡管個人生物識別信息屬于個人信息與隱私權交叉的范疇，但是在個人生物識別信息的法律結構顯然遠遠超出了傳統(tǒng)隱私權所形成的權利主體（自然人）—權利客體（隱私）—義務人的模式。這是因為單個信息的財產(chǎn)價值非常有限，即使是個人生物識別信息，信息主體除對其享有使用價值的期待之外，更為重要的是隱私期待。但是，個人生物識別信息的主體不限于信息本身的主體，個人生物識別信息主體可以自主控制或允許數(shù)據(jù)控制者利用，從而發(fā)揮該信息的經(jīng)濟與社會價值，這是傳統(tǒng)的隱私權觀念所不具備的。因此，單個個人生物識別信息的保護可以適用于隱私權規(guī)范，但是一旦涉及個人生物識別信息的數(shù)據(jù)控制者，則應當適用個人信息相關規(guī)范。

我國《民法典》第111條規(guī)定自然人的個人信息受法律保護。然而，理論上對個人信息的法律屬性眾說紛紜。主要的爭議觀點是民事權利說與民事權益說。前者認為，個人信息屬于人格要素，可成為人格權的客體。信息主體對其個人信息擁有信息自由和信息利益，這種新型利益具備歸屬性、排他性或法律明定的公示性，并具有足夠的重要性，從而應當上升為一種權利?！?6〕后者則認為自然人對個人信息并不享有絕對權和支配權，而只享有應受法律保護的利益。該利益是指自然人享有的防止因個人信息被非法收集、泄露、買賣或利用進而導致人身財產(chǎn)權益遭受侵害或人格尊嚴、個人自由受到損害的利益?！?7〕權利的密度高于利益。傳統(tǒng)民法理論認為，若一項權益同時具備歸屬效能、排除效能和社會典型公開性的，則其為一種侵權法上的權利，反之則只能歸于一種利益。〔18〕然而，與有形財產(chǎn)的所有權人與相對人（承租人、抵押權人）相比，單個信息主體對于信息所享利益與信息控制者所享利益之間的法律關系存在本質差異而且更為復雜。艾倫·威斯汀并未將個人信息泛化為一種私法意義上的權利?！?9〕采集、加工、利用海量個人信息的數(shù)據(jù)控制者，他們在對個人信息挖掘、加工及開發(fā)過程中會逐漸形成新的利益期待即數(shù)據(jù)財產(chǎn)，其所具有的商業(yè)價值遠遠超出單個信息。數(shù)據(jù)財產(chǎn)的價值包含信息控制者自身的研發(fā)成本以及付出的勞動，這顯然與承租人或者抵押權人不同，因為后者所享有的利益仍然與所有權人相同。信息主體對于個人信息享有人格權益和財產(chǎn)權益，而信息控制者享有數(shù)據(jù)經(jīng)營權和數(shù)據(jù)資產(chǎn)權?！?0〕數(shù)據(jù)財產(chǎn)價值的創(chuàng)造是各方（個人信息）共同參與、持續(xù)互動與合作的結果，信息主體與數(shù)據(jù)控制者之間的法律關系不同于“服務商在一端、顧客在另一端”的傳統(tǒng)合同關系。如果將個人信息視為一種可以對抗他人的權利，必將導致個人信息侵權現(xiàn)象在日常生活中的泛化。每個人都將成為一座孤島，既無法進行正常的社會交往，也無法有效獲取社會信息。〔21〕通過賦予個人對信息享有具體人格權的方式來配置個人信息保護與個人信息數(shù)據(jù)化利用之間的復雜利益關系，難以說明數(shù)據(jù)價值的創(chuàng)造過程，對于發(fā)揮數(shù)據(jù)主體的創(chuàng)造力極為不利?！皺嗬f”與“權益說”之爭主要是一個法律的形式化建構問題，并不能直接決定背后的價值取向和利益分配問題。比較而言，因個人在數(shù)據(jù)上的權益具有比較強的變動性和發(fā)展性，在形式層面采用“利益說”更妥當?！?2〕個人生物識別信息能夠同時滿足多個主體互不沖突的利益期待，而有別于經(jīng)典的物權客體。對于單個信息主體而言，個人生物識別信息的人格利益遠大于財產(chǎn)利益。為獲得免費軟件或服務，信息主體也會樂于無償同意企業(yè)采集和處理。對于數(shù)據(jù)主體而言，個人生物識別信息匯聚成數(shù)據(jù)庫及其加工、處理形成的數(shù)據(jù)財產(chǎn)能夠產(chǎn)生額外的財產(chǎn)價值。

三、個人生物識別信息商業(yè)利用的保護路徑

（一）個人生物識別信息商業(yè)利用的價值沖突

個人生物識別信息權益涉及人格尊嚴、隱私、肖像、財產(chǎn)等利益與安全，傳統(tǒng)的隱私權、肖像權等單一權利已經(jīng)不足以概括其內容。肖像權系個人對其肖像是否公開的自主權利，以個人肖像所承載的人格或財產(chǎn)法益為內容。未經(jīng)他人同意使用肖像攝影、寫生、陳列、復制或者以肖像作為營業(yè)廣告，均構成對肖像權的侵害?！?3〕依據(jù)《民法典》第1018條第2款規(guī)定，肖像是通過影像、雕塑、繪畫等方式在一定載體上所反映的特定自然人可以被識別的外部形象。人臉識別信息屬于肖像的類型之一，通過電子數(shù)據(jù)的方式使肖像再現(xiàn)自然人相貌特征的準確度可達到獨一無二的程度。如果行為人利用信息技術偽造并非法使用他人人臉信息，既侵害受害人的肖像權，也侵害受害人的生物識別信息權益。個人生物識別信息的濫用還可能侵害他人的名譽權，例如通過AI技術將人臉信息剪輯接入淫穢視頻，就會降低受害人的社會評價從而侵害其名譽權。聲音權與聲紋信息之間具有密切的關系?！睹穹ǖ洹返?023條第2款規(guī)定對自然人聲音的保護參照適用肖像權保護的有關規(guī)定。聲音權與聲紋信息的權利客體相同，但是內容不同。前者以保護聲音語言不被他人擅自錄音、竊聽、模仿或使用為旨歸，是一種防御性的具體人格權；后者系自然人對聲紋信息的利用和控制權，兼具人格權與財產(chǎn)權的特征。個人生物識別信息與數(shù)據(jù)權亦不相同。數(shù)據(jù)權是數(shù)據(jù)控制者對“數(shù)據(jù)集合”（collection of data）享有的占有、處理、處分的新型財產(chǎn)權，個人生物識別信息是數(shù)據(jù)財產(chǎn)的重要前提和基礎。在人格權和財產(chǎn)權的二分格局下，無論是《民法總則（一審稿草案）》將數(shù)據(jù)視為一種知識產(chǎn)權，還是《民法典》第127條將數(shù)據(jù)與虛擬財產(chǎn)并列，數(shù)據(jù)權均系財產(chǎn)權；而個人生物識別信息則兼具人格利益、財產(chǎn)利益與社會管理利益多重屬性。簡言之，個人生物識別信息廣泛存在因而并不稀缺，它們不太可能因激勵而大幅增加。而與個人生物識別信息有關的數(shù)據(jù)財產(chǎn)是數(shù)據(jù)從業(yè)者對海量的個人生物識別信息進行搜集、記錄、存儲和分析的結果，最終形成富有經(jīng)濟價值的數(shù)據(jù)產(chǎn)品。〔24〕

個人生物識別信息包括指紋、聲紋、掌紋、耳廓、虹膜、面部特征、個人基因等多個方面，承載著人格自由和人格尊嚴價值、商業(yè)價值和公共管理等多重價值，因此對其保護與利用的利益衡量是個人信息保護法重要的邏輯起點與理論基礎。個人生物識別信息主體的人格尊嚴屬于價值理性的范疇，而生物識別信息控制者的數(shù)據(jù)利用和管理則屬于工具理性的范疇。生物識別信息的價值屬性與工具屬性之間形成巨大的張力：一方面，法律要保護生物識別信息主體的人格尊嚴和自由，保障其追求人格完整和發(fā)展的自主能力，避免個人生物識別信息的泄露或非法使用危害信息主體的人格尊嚴和自由價值。個人作為目的性的存在，只有消除個人對“信息化形象”被他人操控的疑慮和恐慌，才能有自尊并受到他人尊重地生存與生活；另一方面，個人生物識別信息包含巨大的經(jīng)濟價值，可以被進行大規(guī)模的處理與應用。法律要適應技術進步與經(jīng)濟發(fā)展，平衡個人生物識別信息主體隱私、利用期待與控制者的數(shù)據(jù)利用和管理的需要。有學者從目的價值應優(yōu)先于工具價值的角度出發(fā)，認為個人信息的人格利益相較于開發(fā)利用價值而言更為重要?！?5〕為避免過于寬泛的個人信息概念限制信息開發(fā)利用之空間，美國學者提出“基于場景”的隱私信息保護理念，即涉案信息是否承載或影響人格利益，需結合信息類型及其應用場景作個案判斷?！?6〕只要涉案信息未承載或不影響其人格利益，無論是否與個人有關，均不宜認定為個人信息，這屬于“合目的性限縮”。納入考量的因素包括但不限于信息收集目的、商業(yè)利用模式、信息保有量、信息存儲時間和環(huán)境、識別動機和潛在激勵、技術條件和企業(yè)信譽等。這是一種結果導向的利益權衡。

個人生物識別信息的商業(yè)利用取決于信息控制者與生物識別信息主體之間的權利義務配置。個人生物識別信息的利用主要涉及信息的收集、信息的儲存、信息的加工和處理以及信息的使用，每一個過程都可能涉及到信息的隱私化和隱私的信息化。過度限制生物識別信息的利用會影響人們的信息分享和造福社會。法律規(guī)范應妥當平衡個人生物識別信息利益的保護與生物信息資源有效利用之間的關系?！?7〕在美國，總的理念是允許自由開發(fā)利用個人信息，除非該行為給他人造成法律上的損害或遭到法律的明文禁止?！?8〕以美國《商業(yè)性人臉識別隱私法案（2019）》為例，該法案從知情同意的角度規(guī)定控制者必須在取得個人明確同意的情況下采集、創(chuàng)造、產(chǎn)生、記錄、組織、構建、存儲、應用、修改、編輯、咨詢、使用、披露、轉讓、傳播或者采取其他方式使用、組合、擦除或者銷毀面部信息，并對明確同意做出具體界定，還要求控制者向終端用戶發(fā)送詳實易懂的識別通知，充分保障信息主體的知情權和選擇權。為保障公共安全、制裁違法犯罪以及開展明顯有益于終端用戶的人臉識別活動則屬于例外情形。與之不同的是，歐盟致力于實現(xiàn)對個人信息自我控制所進行的絕對權立法，造就了個人信息優(yōu)先保護的典范；直接附著于人身，具有唯一性、持久性和不可更改性的人臉信息密切關聯(lián)著尊嚴、自由、財產(chǎn)與話語權等，因此對于人臉識別的研發(fā)和應用一直堅守著謹慎的態(tài)度，要求境內任何涉及人臉識別的活動都必須嚴格遵循《通用數(shù)據(jù)保護條例》（GDPR）的規(guī)定。GDPR第9條第1款原則上禁止為了識別特定自然人對基因信息與生物特征識別信息做出相關的數(shù)據(jù)處理。但是第2款統(tǒng)一規(guī)定可以處理個人生物識別信息的例外情形，例如信息主體的明示同意、信息處理是為了信息控制者履行義務或行使權利，或者為了利益相關方在勞動和社會保障法中的權利行使以及信息處理涉及的是個人先前已公開的私人信息等。

（二）個人生物識別信息商業(yè)利用的保護路徑

個人生物識別信息屬于高度敏感的個人信息，生物識別信息與個體的人格尊嚴和自由密不可分，在立法上傾向于信息主體的利益，以禁止商業(yè)化收集、使用個人生物識別信息為原則，同時列舉可以收集、使用個人生物識別信息的具體情形。①《征信業(yè)管理條例》第14條第1款規(guī)定：“禁止征信機構采集個人的宗教信仰、基因、指紋、血型、疾病和病史信息以及法律、行政法規(guī)規(guī)定禁止采集的其他個人信息?！睂τ谡餍艡C構采集個人生物識別信息，立法上完全禁止。依據(jù)《民法典》第111條的規(guī)定，個人生物識別信息主體與信息利用者以及義務人之間的權利義務關系可以表述為兩個方面：一是信息利用者應當獲得信息主體的同意，并且應保障個人生物識別信息的安全；二是任何組織或個人不得非法收集、使用、加工、傳輸、非法買賣、提供或者公開個人生物識別信息。依據(jù)《網(wǎng)絡安全法》第41條的規(guī)定，個人信息的收集和使用的原則包括合法性原則、正當性原則、必要性原則以及公開性原則，同時應當獲得信息主體的知情同意。信息主體的知情同意權是個人生物識別信息積極權能的核心。知情同意權可分為知情權和同意權。知情是同意的前提，同意是知情最重要的目的。前者是指信息控制者應向信息主體告知生物識別信息的收集目的、處理方式、使用范圍、存儲方式、披露規(guī)則、傳輸?shù)葍热?。后者是指信息主體對于信息控制者對于信息的處理方式作出的自愿、清晰的同意表示。知情同意權體現(xiàn)了信息主體的信息自決權，是意思自治原則在信息歸屬和利用上的具體貫徹，被視為人性尊嚴和自由的具體化。依據(jù)《個人信息安全規(guī)范（2020）》的規(guī)定，收集個人敏感信息應征得個人信息主體的明示同意，并應確保個人信息主體的明示同意是其在完全知情的基礎上自主給出的、具體的、清晰明確的意愿表示。收集個人生物識別信息前，應單獨向個人信息主體告知收集、使用個人生物識別信息的目的、方式和范圍以及存儲時間等規(guī)則，并征得個人信息主體的明示同意，除非個人信息主體自行向社會公眾公開其個人信息。收集年滿14周歲的未成年人的個人信息前，應征得未成年人或其監(jiān)護人的明示同意，這表明不具備完全表示同意能力的未成年人應盡可能參與表示同意的程序，未成年人的意見應作為一個決定性因素考慮，決定性程度應與其年齡和成熟的程度相當。不滿14周歲的，應征得其監(jiān)護人的明示同意。該法定代理人應當遵循當事人的最大利益原則行事。個人生物識別信息的知情同意權極為嚴格，這是因為不同類型的個人信息所承載的人格法益與數(shù)據(jù)開發(fā)價值不同，相應的保護水平理應有所區(qū)別。個人生物識別信息因其直接表征和彰顯個人身份的特質，蘊含重要的人格利益，因此必須對其提供特別保護。

近年來，商業(yè)公司或特定機構（例如學校、公園）對個人生物識別信息的收集和利用有愈演愈烈的趨勢。人們即使對此有異議，但由于個人屬于弱勢一方通常也只能徒喚奈何。例如互聯(lián)網(wǎng)公司開發(fā)的很多App設置的所謂“隱私條款”完全超出“正當、必要”的范圍，尤其令人不能接受的是，如果用戶不接受其隱私條款，App的發(fā)布者則拒絕用戶安裝或使用其App。此種“只能被迫接受，否則沒法使用”的條款嚴重侵犯用戶的選擇權；又如商業(yè)公司或特定機構（學校、小區(qū)等）對于個人生物識別信息的收集和利用通常并非基于公共利益的目的，它們通常基于自身管理的需要采用生物識別信息系統(tǒng)，雖名為“公共安全的需要”，但是并不符合正當性與必要性原則，這些單位無權自行決定收集和利用個人生物識別信息；再如小區(qū)使用門禁系統(tǒng)就可以達到安全的目的，完全沒有必要代之以人臉識別系統(tǒng)或者指紋系統(tǒng)。商業(yè)公司基于交易的目的或者特定機構基于經(jīng)濟管理的需要收集和利用個人生物識別信息時，應當在經(jīng)營者—消費者的框架之下，經(jīng)營者遵循合法、正當、必要的原則，明示收集、使用信息的目的、方式和范圍，并經(jīng)消費者／信息主體的知情同意。

個人生物識別信息的采集人與使用人應當遵循法律對信息控制者施加的法律義務，在技術標準、制度規(guī)范、法律約束等各個方面適用更加嚴格的條件和程序。具體而言：（1）個人生物識別信息原則上不應與第三人共享或者轉讓給第三人。個人生物識別信息具有公共產(chǎn)品的非排他性與非獨占性特征，可以反復使用共享，而且與他人共享信息的邊際成本非常低。因業(yè)務需要、確需共享、轉讓的，應單獨向個人信息主體告知目的、類型、數(shù)據(jù)接收方的具體身份和數(shù)據(jù)安全能力等，并征得個人信息主體的明示同意。（2）個人生物識別信息的傳輸和存儲更為嚴格。a.傳輸和存儲個人敏感信息時，應采用加密等安全措施；b.個人生物識別信息應與個人身份信息分開存儲；c.原則上不應存儲原始個人生物識別信息（如樣本、圖像等），可采取的措施包括但不限于：僅存儲個人生物識別信息的摘要信息；在采集終端中直接使用個人生物識別信息實現(xiàn)身份識別、認證等功能；在使用面部識別特征、指紋、掌紋、虹膜等實現(xiàn)識別身份、認證等功能后刪除可提取個人生物識別信息的原始圖像。個人生物識別信息的控制者應明確告知個人生物識別信息的存儲期限。如果信息儲存期限已屆滿或者收集和持有信息的目的已經(jīng)完成，保有個人生物識別信息的控制者應當及時刪除。（3）個人生物識別信息不應公開披露。與可識別的個人有關聯(lián)的個人識別信息不應向第三者，特別是雇主、保險公司、教育機構和家庭披露，也不應讓他們查詢，除非由于重大公共利益原因或法律另有限制性規(guī)定或當事人事先在自愿并知情的情況下明確表示同意。由此可以看出，相較于其他個人信息，生物識別信息與基因信息屬于絕對不公開的范疇。（4）在生物識別信息的隱私政策制定、訪問控制措施、應急處置和報告、信息保護政策、工作人員管理等事項的安排與設置上，均需適用個人敏感信息的特殊保護要求。為了保護消費者的生物識別信息，應當賦予可以隨時行使更正、刪除和注銷的權利，并且無需任何前置條件即可當場實現(xiàn)并即時生效，以保障個人生物識別信息安全。

四、個人生物識別信息的公共目的利用及其保護

（一）個人生物識別信息的公共目的利用：政府數(shù)據(jù)與社會數(shù)據(jù)

在個人生物識別信息的保護領域，國家扮演著多重角色。對于個人生物識別信息的商業(yè)化利用而言，國家大體上處于超然于個人生物識別信息主體與信息控制者雙方利益的中立地位，其以社會管理者身份通過制定法律和實施法律調和信息主體的信息歸屬、信息自決權與信息控制者的數(shù)據(jù)利用、數(shù)據(jù)財產(chǎn)利益之間的矛盾。

從現(xiàn)實情況來看，為了公共利益的需要，國家實際上已經(jīng)成為個人生物識別信息最大的收集、處理、儲存和利用者，其本身是作為生物識別信息獨立的利益相關者出現(xiàn)的。相應地，國家就從個人生物識別信息商業(yè)化利用中的中立地位轉變?yōu)榧婢咝畔⒗谜吆凸芾碚叩碾p重身份的角色。國家對個人生物識別信息的收集與利用可以極大地發(fā)揮個人生物識別信息的價值，從而有效地保障公共安全與社會公共利益。自有國家以來，為實施社會管理（征稅、兵役和徭役）和提供公共服務，國家收集和利用國民的個人信息（編戶）是非常普遍的現(xiàn)象。但在現(xiàn)代信息社會中，個人生物識別信息因直接反映自然人獨一無二的身體特征的屬性、具有高度的可識別性而備受青睞。利用大數(shù)據(jù)與人工智能、統(tǒng)計學等技術，政府或者經(jīng)授權的機構可以廣泛采集和儲存極其龐大的個人生物識別信息，并通過數(shù)據(jù)分析充分發(fā)掘個人生物識別信息的社會管理價值，“數(shù)字政府”已經(jīng)成為現(xiàn)代政府的基本標志。中共十九屆四中全會也提出，“建立健全運用互聯(lián)網(wǎng)、大數(shù)據(jù)、人工智能等技術手段進行行政管理的制度規(guī)則。推進數(shù)字政府建設，加強數(shù)據(jù)有序共享”〔29〕。

政府機關基于國家利益和公共安全所采集和使用的個人生物識別信息稱為政府數(shù)據(jù)，經(jīng)政府授權的機構和商業(yè)公司、網(wǎng)絡平臺收集的個人生物識別信息稱為社會數(shù)據(jù)。政府所授權的機構基于社會公共利益的需要可以采集和適用個人生物識別信息。例如，英國生物樣本庫UK BioBank是目前規(guī)模最大的基因數(shù)據(jù)庫，已經(jīng)完成并向全世界依申請開放了50萬英國人的全基因組遺傳數(shù)據(jù)、臨床測量及健康記錄，全球已有上千個科研團隊申請和使用其數(shù)據(jù)開展研究，顯示了大數(shù)據(jù)、大合作對于全人類的價值。美國GnomAD項目也公開了14萬余美國人的基因數(shù)據(jù)，相關信息均可以公開查閱。為應對全球健康挑戰(zhàn)，我國批準組建的深圳國家基因庫（China National GeneBank）致力于建立生命資源的全球性合作網(wǎng)絡，為啟動公共衛(wèi)生應對措施及制定醫(yī)療對策提供依據(jù)。除此之外，商業(yè)公司和網(wǎng)絡平臺基于信息主體的知情同意而采集和使用的個人生物識別信息，基于公共利益的目的也可以公開。①《最高人民法院關于審理利用信息網(wǎng)絡侵害人身權益民事糾紛案件適用法律若干問題的規(guī)定》（法釋〔2014〕11號，第12條規(guī)定：“網(wǎng)絡用戶或者網(wǎng)絡服務提供者利用網(wǎng)絡公開自然人基因信息、病歷資料、健康檢查資料、犯罪記錄、家庭住址、私人活動等個人隱私和其他個人信息，造成他人損害，被侵權人請求其承擔侵權責任的，人民法院應予支持。但下列情形除外：為促進社會公共利益且在必要范圍內；學校、科研機構等基于公共利益為學術研究或者統(tǒng)計的目的，經(jīng)自然人書面同意，且公開的方式不足以識別特定自然人?！睆臄?shù)據(jù)規(guī)模上看，政府數(shù)據(jù)遠高于社會數(shù)據(jù)。由于信息技術日益發(fā)達，政府部門之間的共享政府數(shù)據(jù)，或者政府部門與商業(yè)公司之間互相共享數(shù)據(jù)具有積極的作用，因而越來越常見。例如在新冠肺炎疫情期間，騰訊、阿里巴巴等商業(yè)機構通過自己的數(shù)據(jù)與技術給疫情防控提供了大量的數(shù)據(jù)（其中包括人臉識別、指紋等）。這其中既包括政府授權平臺公司利用自己的技術優(yōu)勢直接參與防控，也包括它們對已有數(shù)據(jù)的加工和處理。通過對政府數(shù)據(jù)與社會數(shù)據(jù)的共享和充分發(fā)掘，可以準確識別個人的行動軌跡、個人的感染情況以及相關密切接觸者的健康狀況，充分發(fā)揮數(shù)字化防控的最大效能。這是過去從未有過的現(xiàn)象。

但是政府數(shù)據(jù)與社會數(shù)據(jù)的共享在提高政府工作效率和降低工作成本的同時，也增加了隱私信息泄露的幾率。為避免泄露個人生物識別信息，有必要構建一套統(tǒng)一的、法定的數(shù)據(jù)交換標準，形成規(guī)范的數(shù)據(jù)格式。在信息公開時，要對個人生物識別信息進行去標識化或脫敏化處理，并選擇恰當?shù)墓_方式和范圍。通過去標識化，將個人生物識別信息中的人格屬性剝離，將信息與特定個人之間的聯(lián)系阻斷，從而降低信息主體被識別的風險，在政府信息公開與信息主體權益保護之間取得平衡。在信息共享時，除法律規(guī)定的共享情形之外，政府機關或授權機構非經(jīng)許可不得向他人轉讓個人生物識別信息。為保護國家安全，確實需要向境外傳輸個人生物識別信息的，應當嚴格審查接收國的使用目的及其所提供的保護措施。某些特定人員的個人生物識別信息或者積攢到一定數(shù)量的個人生物數(shù)據(jù)，應當按照國家秘密來進行管理。

（二）個人生物識別信息公共目的利用的限度

國家負有保護公民基本權利和自由的責任。國家采集和處理個人生物識別信息屬于獲取權力的方式，是對個人生物識別信息進行必要的限制或克減，通常以信息主體為代價?！锻ㄓ脭?shù)據(jù)保護條例》（GDPR）第9條規(guī)定，未經(jīng)主體的知情同意可以采集和使用信息的情形包括以下情形：為保護信息主體或其他自然人的重大利益；為維護公共利益目的；為了提出、行使或辯護法律主張；為了預防醫(yī)學或職業(yè)醫(yī)學有關的所有事宜。美國《商業(yè)性人臉識別隱私法案（2019）》規(guī)定的例外情形包括：與國家安全、國防安全直接相關的；與公共安全、公共衛(wèi)生、重大公共利益直接相關的；與刑事偵查、起訴、審判和判決執(zhí)行等直接相關的；出于維護個人信息主體或其他個人的生命、財產(chǎn)等重大合法權益但又很難得到本人授權同意的。我國《反恐怖法》第50條規(guī)定：“公安機關調查恐怖活動嫌疑，可以依照有關法律規(guī)定對嫌疑人員進行盤問、檢查、傳喚，可以提取或者采集肖像、指紋、虹膜圖像等人體生物識別信息和血液、尿液、脫落細胞等生物樣本，并留存其簽名?！薄冻鼍橙刖彻芾矸ā返?0條第2款規(guī)定：“申請辦理外國人居留證件，應當提交本人的護照或者其他國際旅行證件，以及申請事由的相關材料，并留存指紋等人體生物識別信息。”

《民法典》第999條規(guī)定：“為公共利益實施新聞報道、輿論監(jiān)督等行為的，可以合理使用民事主體的姓名、名稱、肖像、個人信息等；使用不合理侵害民事主體人格權的，應當依法承擔民事責任?！痹摋l規(guī)定“可以合理使用個人生物識別信息”，意味著政府不能無節(jié)制地肆意收集和利用個人信息，個人信息法律保護制度的發(fā)展始終伴隨著對政府權力的限制?！?0〕個人生物識別信息涉及信息主體的人格尊嚴和自由，后者屬于憲法所保障的基本權利。當國家基于國家利益和公共利益的名義對個人生物識別信息進行收集和使用時，應當明確規(guī)定公權力與個人生物識別信息之間的邊界，規(guī)范個人生物識別信息準入制度并限制其適用場景。〔31〕規(guī)范個人生物識別信息的公共利用，避免政府機關借國家利益和公共利益之名濫用公權力，以實現(xiàn)保障個人生物識別信息的信息歸屬、信息自決權與國家利益、公共利益之間的妥當平衡。

政府機關或授權機構在收集個人生物識別信息時必須基于公共利益的要求并遵循法定程序，符合比例原則之下目的性、必要性和狹義比例的要求，兼顧收集和使用目標的實現(xiàn)和保護信息主體的權益。政府機關或相關機構對于個人生物識別信息的收集必須具有法定的依據(jù)和授權事項，并明確告知相對人該法律依據(jù)和授權事項以及不提供個人生物識別信息的法律后果。政府機關不得為公共利益之外的目的利用個人生物識別信息，不得超越職權收集個人生物識別信息。為支持學術研究，授權機構也基于公共利益的目的利用個人生物識別信息，但是須無害于個體的人格利益，相關研究人員或機構應當對使用的個人生物識別信息采取妥善的保護措施。必要性原則要求實現(xiàn)正當目的的手段具有必要性，對當事人造成的損害最小。在收集和利用個人生物識別信息的目的與手段的關系上，個人生物識別信息的種類和范圍必須是為達成目的所必需，否則不應被收集和利用。為醫(yī)學和科學研究目的采集個人生物識別信息不應保持與可識別個人的關聯(lián)。即使上述數(shù)據(jù)已經(jīng)切斷與可識別個人的關聯(lián)，也應采取必要的預防措施保障有關數(shù)據(jù)的安全，防止非法獲取。只有在必須進行研究且個人隱私和有關數(shù)據(jù)的保密性依法受到保護時,為醫(yī)學和科學研究目的采集的個人生物識別信息才能保持與可識別個人的關聯(lián)。鑒于個人生物識別信息被侵害后的不可挽救性，若有其他替代性途徑可以實現(xiàn)公共安全的目的，則優(yōu)先選擇對個體影響最小的方式即“對于當事人自由的干預應盡可能最少”〔32〕。例如在疫情防控中，政府機關或授權機構在收集和使用個人生物識別信息時應當控制在對維護國家利益和公共安全確有必要的限度內，遵守采集個人生物識別信息的最小化原則，不收集、處理與疫情防控無關的個人信息；不將個人信息分享給不具備合法接觸權限、沒有必要接觸信息的人員；個人信息保存到疫情防控已經(jīng)不需要處理該信息時即應采取刪除或匿名化措施。狹義比例原則即均衡性原則，該原則要求當維護的公共利益大于對個人私益造成的侵害時，對于個人私益的限制手段才具有正當性。當眾多個人生物識別信息被匯集、加工、利用時，其呈現(xiàn)出的已非單一的個人私益，而包含社會法益屬性，因而應考慮其社會公共利益的屬性進行利益衡量?！?3〕

在面對重大疫情等需要維護公共利益的情形時，信息主體的“知情同意原則”應予以彈性適用，即相關信息的收集利用主體可不受信息主體知情同意原則的限制，這有助于高效防控疫情及維護其他社會公眾利益?！?4〕相反，若是采用以同意機制為主的模式來保護個人信息，即將數(shù)據(jù)的相應風險置于作為數(shù)據(jù)主體的個人身上?！?5〕因社會一般成員對信息被利用的風險性認識有限，個人難以預判其生物識別信息泄露后的風險。歐盟GDPR第6條第1款規(guī)定，若數(shù)據(jù)處理是為了執(zhí)行公共利益領域的任務所必需、為實現(xiàn)控制者或第三人所追求的合法利益所必需時，即便缺乏數(shù)據(jù)主體同意要件，該行為方式依舊符合法律規(guī)定。我國《傳染病防治法》也對各級疾病預防控制機構、醫(yī)療機構進行授權，使其可以在疫情防控中主動收集、分析和報告?zhèn)魅静”O(jiān)測信息，而無需詳細告知信息主體，以便迅速高效防控疫情。