肖琪暢

(西南政法大學經(jīng)濟法學院,重慶 401120)

近年來，生物識別技術在眾多領域快速發(fā)展并深入推廣，但生物識別信息自身的特性使得其在開發(fā)利用中暴露出諸多數(shù)據(jù)安全風險，加之新冠疫情期間諸如戴口罩時的人臉識別、紅外體溫檢測等新技術的廣泛應用，使得個人生物識別信息保護成為社會熱點、學術熱點。我國民法學者、訴訟法學者對個人生物識別信息權利、生物識別信息司法保護展開了一定的研究，形成了一些有價值的成果。但就個人生物識別信息的民事司法保護而言，以往成果多局限于一般的個人信息權保護或者整體上的司法保護，而未能根據(jù)個人生物識別信息的特殊性進行民事司法保護。因此，在信息安全漏洞頻出、個人生物識別信息安全亟需保護和救濟的背景下，對相關民事司法保護制度進行改進與完善，以保證對受侵害信息主體有效救濟目標的實現(xiàn)以及助力生物識別信息技術合法、健康發(fā)展，有著重要的研究價值。

一、個人生物識別信息的特征

2021年最高人民檢察院發(fā)布的《人民檢察院辦理網(wǎng)絡犯罪案件規(guī)定》第62條第6項首次從司法解釋的層面對個人生物識別信息的含義進行了界定：“生物識別信息，是指計算機利用人體所固有的生理特征(包括人臉、指紋、聲紋、虹膜、DNA等)或者行為特征(步態(tài)、擊鍵習慣等)來進行個人身份識別的信息?！毕鄬ζ胀▊€人信息，個人生物識別信息具有以下幾個特點：

1.技術性。個人生物識別信息的產(chǎn)生、收集與處理均離不開生物識別技術的應用，也就是通過計算機與光學、聲學、生物傳感器和生物統(tǒng)計學原理等高科技手段密切結(jié)合，來對個人身份進行識別和鑒定(1)白度.生物識別技術[J].老友,2009,(2):55-55.。而且在大數(shù)據(jù)時代，隨著信息技術的快速更迭，使得生物識別技術較之傳統(tǒng)的個人身份鑒別知識和技術更先進、更現(xiàn)代。對這種信息的盜取或泄露以及非法利用，離不開相關技術。同時，非法利用這種信息以謀取不當利益，引發(fā)民事侵權或刑事犯罪案件，為證明侵權事實或犯罪事實而收集相關證據(jù)、在法庭上出示證據(jù)，往往也離不開相關科技的使用。

2.集合性。個人生物識別信息的集合性主要體現(xiàn)在：一是這種信息是在人身上選擇若干個點，通過科技設備拍攝、掃描生成數(shù)據(jù)并將相關特征數(shù)據(jù)集合在一起，才能形成準確的個人身份信息，進而區(qū)分此人非彼人。二是這種信息在多數(shù)情況下是將個人固有的生理特性(如指紋、臉像、虹膜、基因等)和行為特性(如筆跡、聲音、步態(tài)等)通過技術手段集合在一起后形成的(2)陸強華. 生物特征信息采集必須取之有道[N]. 學習時報,2019-10-18(003).。

3.隱私性。個人生物識別信息本質(zhì)上是在通過技術處理所得數(shù)據(jù)的基礎上識別個人身份的標識，起“身份證件”的作用。這也就是所謂的“數(shù)字身份”。在這樣的信息中，或許有的個人生物識別信息可以適當公開，但多數(shù)情況下不宜向外界公開，特別是某些構(gòu)成私密信息的生物信息，屬于個人隱私的組成部分。例如，某些特定疾病常在人體表層形成某些特殊的生物特征，可以根據(jù)這種關聯(lián)推測個體是否已患病或預測未來患病的概率和趨勢。此種信息如若外泄，有高度可能性會給該個體招致污名化乃至于社會歧視(3)胡海明,翟曉梅.論生物識別技術應用的隱私保護[J].中國醫(yī)學倫理學,2018,31(1):60-64.。

4.唯一性。個人生物識別信息系通過對某個自然人的物理、生物或行為特征進行特定的技術處理而得到的個人數(shù)據(jù)。這類數(shù)據(jù)生成了該自然人的唯一標識，因而可用以鑒別一個人的身份。而且許多個人生物特征(4)例如，由于形成時具有極大的隨機性，每個眼睛的虹膜所包含的信息互不相同，因此如同指紋一樣，每個虹膜都是獨一無二的?；蛏硖卣髋c生俱來(例如臉部的痣、胎記等)，甚至在無外界因素影響下而終生不變。如果這些特征恰好被作為數(shù)據(jù)采集下來，也就會形成此人獨有的個人生物識別信息。因此，與傳統(tǒng)的機械鑰匙、數(shù)字秘鑰相比，這種生物秘鑰難以被劫奪，無法被遺忘，無法被完全復制到另一人的相同部位，具有永久性、唯一性(5)宋子晴.生物識別信息安全新主張[J].中國公共安全(綜合版),2006,(10):84-87.。這種唯一性決定了生物識別信息是不可變更的，也是不可復制的。

5.易侵性。由于個人生物識別信息往往與個人的人身權、財產(chǎn)權相關，往大說則對整個數(shù)字經(jīng)濟的健康發(fā)展至關重要。也就是說，個人生物識別信息與一定程度的某種利益有關，可能成為侵犯他人利益(包括個人、集體利益乃至社會公共利益等)的武器，因此，過度收集、非法強制采集和大量泄露個人生物識別信息的情況從媒體的報道看已不在少數(shù)(6)據(jù)新華網(wǎng)報道，2019年2月深圳某人臉識別企業(yè)被證實發(fā)生數(shù)據(jù)泄露事件，超過250萬人的核心數(shù)據(jù)可被獲取，680萬條記錄泄露，其中包括身份證信息、人臉識別圖像及GPS位置記錄等。再如，中國消費者協(xié)會曾發(fā)布《100款App個人信息收集與隱私政策測評報告》。報告顯示測評的100款App中，10款App涉嫌過度收集個人生物特征信息。一度成為互聯(lián)網(wǎng)熱門應用的某換臉軟件開發(fā)企業(yè)，也在今年9月因涉嫌未依法依規(guī)收集使用用戶個人信息被工信部約談。參見吳帥帥等.生物信息未必安全 “偷臉”是一種新“生意”[N].重慶晨報,2019-11-07(07).。這表明，個人生物識別信息常常成為一些個人或組織謀取非法利益的獵取對象。而且，在多數(shù)情況下，非法采集、交換、使用個人生物識別信息是在暗中進行，例如偷拍偷錄，在電腦中植入軟件竊取，在電腦后臺進行交易等。換言之，這類侵權行為具有極強的隱蔽性。

6.敏感性。個人生物識別信息屬于敏感個人信息。所謂敏感個人信息，有學者將其解釋為“那些涉及自然人人格尊嚴、人格自由或者其他重大權益的個人信息”(7)程嘯.個人信息保護中的敏感信息與私密信息[N].人民法院報，2020-11-19(05).。《個人信息保護法》第28條將其釋義為“一旦泄露或者非法使用，容易導致自然人的人格尊嚴受到侵害或者人身、財產(chǎn)安全受到危害的個人信息”。按照該條文對敏感個人信息外延的列舉，生物識別信息屬于其中之一。

個人生物識別信息的特征，既表明了其被侵犯時進行民事司法保護存有較大的難度，也意味著對其民事訴訟法保護應有相應的特殊措施。

二、加強個人生物識別信息民事司法保護的價值

考慮到上述特點對個人財產(chǎn)、生活等各種影響，不僅歐美等發(fā)達國家對個人生物識別信息的采集、存儲、利用等在法律上有所規(guī)制，而且印度、巴西等發(fā)展中國家也在加強保護。究其原因，主要在于其有以下價值：

(一)對個人生物識別信息進行民事司法保護可以實現(xiàn)經(jīng)濟價值

1.從個人層面看，其擁有的生物識別信息具有財產(chǎn)性。這表現(xiàn)為三種情形：一是某些生物識別信息本身包含一定的財產(chǎn)內(nèi)容，例如：人臉肖像、血液或DNA、基因等；二是個人生物特征信息與財產(chǎn)權益相關聯(lián)，例如：手機銀行使用的臉像、指紋等；三是轉(zhuǎn)讓生物識別信息可獲得財產(chǎn)性利益。2.從企業(yè)角度看，數(shù)字經(jīng)濟時代掌握信息者為王，因此若企業(yè)(特別是那些從事信息處理的專門企業(yè))欲創(chuàng)造更高的商業(yè)價值和財富，往往需要不斷地收集、使用包括生物識別信息在內(nèi)的眾多個人數(shù)據(jù)。3.從社會、國家層面看，國家通過獲取、開發(fā)利用生物識別信息等各種信息，扶持信息產(chǎn)業(yè)以發(fā)展經(jīng)濟。4.從司法角度看，各國實踐已將財產(chǎn)權范圍擴大至虛擬財產(chǎn)，數(shù)字人民幣也已發(fā)行。因此，個人生物識別符號通過技術加工或處理可生成具有一定財產(chǎn)屬性的數(shù)據(jù)(8)劉越.論生物識別信息的財產(chǎn)權保護[J]. 法商研究，2016,(6)：73-82.。此外，將基本生物識別信息與其他個人信息鏈接，可分析出更有價值的二級信息。這種信息的結(jié)合也能產(chǎn)生龐大的經(jīng)濟價值。

(二)對個人生物識別信息進行民事司法保護具有倫理價值

1.實現(xiàn)人格的完滿與和諧人與人之間的復雜關系，是人之本質(zhì)的發(fā)展的題中之義。德國哲學家伊曼努爾·康德認為：“人是生活在目的的王國中。人是自身目的，不是工具。”(9)康德.實踐理性批判[M].北京：商務印書館，2003.95.對個人生物識別信息進行司法保護是以“人”為本位實現(xiàn)信息主體自我發(fā)展目標的一種手段。這種司法保護一方面對受損主體進行事后救濟，一方面又對信息控制者起到威懾作用，另一方面還警醒廣大信息主體謹慎控制自我信息，積極防范信息安全隱患。因此，對個人生物識別信息進行民事司法保護具有尊重個體自我決定權、保護個體隱私的倫理價值。2.法治、誠信、友善等是社會主義核心價值觀的重要內(nèi)容。有關單位和企業(yè)或個人在生成、采集、存儲和使用個人生物識別信息的過程中，應當遵守科技倫理、公序良俗原則，秉著誠實、善意并遵循法治的原則，既不能濫采濫用，更不能惡意采集和使用。對個人生物識別信息進行民事司法保護，本質(zhì)上是對出于非正當目的或主觀惡意采用他人生物識別信息的違法行為予以規(guī)制，是懲惡揚善的體現(xiàn)，因而有利于貫徹社會主義核心價值觀。

三、個人生物識別信息民事司法保護的現(xiàn)狀

(一)個人生物識別信息民事司法保護現(xiàn)狀的表征

從“面”上看，2021年央視“3.15”晚會上曝光了科勒衛(wèi)浴等多家企業(yè)違法收集或濫用公民生物識別信息牟利的情況，且販賣人臉數(shù)據(jù)已形成黑色產(chǎn)業(yè)鏈；同時，全國公安機關在2020年偵破竊取、販賣人臉數(shù)據(jù)案件22起，抓獲犯罪嫌疑人60名(10)陳拾九.你的人臉信息已被偷走[DB/OL]. (2021-03-15)[2021-05-16].https://www.mpaypass.com.cn/news/202103/15220512.html.?？梢?，侵犯個人生物識別信息的形勢十分嚴峻。但從司法保護的角度看，在已披露的有關侵犯公民個人信息包括生物識別信息的案件中刑事案件明顯要多于民事案件，即刑事司法保護的力度大于民事司法保護的力度。受侵害主體往往不愿、不能通過民事訴訟保護自己的合法權益，卻多以輿論為救濟手段。對侵犯公民個人信息的違法犯罪行為，浙江省人民檢察院檢察長賈宇在列舉數(shù)據(jù)的基礎上說過一段話：“重刑輕民較為明顯，民事救濟相對薄弱。個人信息權屬于民事權利。民事權利受侵害時，民事救濟應當是主要手段。但是，司法實踐恰好相反，刑事保護在前，民事救濟靠后?！?11)燕帥等.賈宇：大數(shù)據(jù)時代個人信息的司法保護與立法完善[EB/OL]. [2020-02-28].http://media.people.com.cn.由此可見，我國對個人信息包括生物識別信息的民事司法保護明顯不力。

從“點”上看，2019年爆出的郭兵訴杭州野生動物世界服務合同糾紛的“人臉識別第一案”中，由于被告意圖將雙方確認的摁指紋入園變更為刷臉入園，也就是把入園方式由指紋識別變更為人臉識別，這一單方變更行為構(gòu)成違約，因而被二審法院終審判決賠償原告合同利益損失678元、交通費360元，并刪除辦卡時提交的包括照片在內(nèi)的面部特征信息和指紋識別信息(12)判令被告刪除原告的指紋識別信息，是因為被告已停用指紋識別閘機，原定入園方式已無法實現(xiàn)。參見最高人民法院新聞局：“人臉識別第一案”：生物識別信息應當更加謹慎處理和嚴格保護[EB/OL].(2021-04-10)[2021-05-16].https://mp.weixin.qq.com/s/TTOqQj7BncjtYn5JdUMUJw.。此案雖然塵埃落定，在一定程度上體現(xiàn)了司法保護個人生物識別信息的決心，然而它也在一定程度上暴露了民事司法保護個人生物識別信息的不足：(1)訴訟周期較長。從媒體披露的信息看，本案一審、二審中幾個重要的時間節(jié)點分別是：2019年10月底原告起訴被受理，2020年11月20日基層法院作出一審判決；2020年12月11日中級法院受理上訴并于同年12月29日進行了開庭審理，直至2021年4月9日才終審宣判。即：一審用時近13個月，二審用時差2天滿4個月，兩個程序合計用時近17個月。在此期間，兩級法院有沒有超越審限，媒體沒有披露，外人也難去查考。相比刑事司法保護而言，該案民事訴訟法保護的周期可謂“漫漫長征路”，而這也意味著當事人投入更多的時間、精力、費用等訴訟成本。(2)保護力度不夠。這體現(xiàn)在：一是在原告的一審訴訟請求中，要求確認人臉識別的店堂告示和短信通知中的相關內(nèi)容無效，此請求有其合理之處，卻依然被一審法院駁回。二是在經(jīng)濟賠償方面，兩級法院僅判決被告賠償原告合同利益損失和交通費，這種賠償只能補償原告所受到的實際損失，沒有因為被告有濫采濫用個人生物信息的目的乃至惡意侵犯他人生物信息的行為而對其施加懲罰性賠償。換言之，被告不會因為自己的非善意的行為或者惡行而受到損失，其違法成本為零或近似于零。

從比較法的角度看，我國對侵害個人生物識別信息之民事司法保護的力度也明顯不如其他國家。域外一些國家的數(shù)據(jù)保護立法明確了個人生物識別信息權利受侵害的索賠權以及違反保護義務的法律責任，且傾向于加大處罰力度。相應的民事訴訟救濟即成為個人生物識別信息權利的民事司法保護機制。例如：美國加利福尼亞州CCPA規(guī)定，消費者可對違反隱私保護規(guī)定的企業(yè)提起民事訴訟，該企業(yè)須向每個受侵害的消費者賠償100至750美元；伊利諾伊州BIPA則更為嚴格地規(guī)定，個人可提出民事賠償訴訟，區(qū)分過失或故意違法而對公司處1000或5000美元的違約金或?qū)嶋H損害賠償金(13)趙淑鈺.生物識別信息法律規(guī)制的國際經(jīng)驗與啟示[J].中國信息安全,2019,(11):37-39+43.。美國是生物識別信息訴訟案件較多的國家。消費者在過去以企業(yè)違反生物識別信息保護規(guī)定對臉書(Facebook)、谷歌(Google)等大型互聯(lián)網(wǎng)企業(yè)提起了多起集團訴訟。2016年5月，臉書就被憤怒的用戶聯(lián)合告上了法院，因其未經(jīng)用戶明確同意就自行利用“圖片標簽”功能收集生物識別信息，作為公司盈利資源儲存在面部識別數(shù)據(jù)庫之中(14)趙淑鈺.生物識別信息法律規(guī)制的國際經(jīng)驗與啟示[J].中國信息安全,2019,(11):37-39+43.。法院審理后對臉書集團訴訟作出了判決：關閉其人臉識別功能，刪除已收集的人臉數(shù)據(jù)，并賠償伊利諾伊州用戶6.5億美元?？梢姡诿绹?，對侵犯公民個人生物識別信息的行為，不僅可以提起私人訴訟，而且可以提起集團訴訟，且可對侵權行為人判處高額賠償金。

(二)個人生物識別信息民事司法保護現(xiàn)狀的成因

我國民事司法對個人生物識別信息保護不足的現(xiàn)狀或許由以下幾個原因?qū)е拢旱谝唬蓪κ占?、使用個人信息所應遵循的“合法、正當、必要”等原則缺乏明確的界定，以致經(jīng)營者對個人生物識別信息的采集、使用與消費者選擇權的邊界不清，“是”與“非”之間的判斷標準不明。第二，法律既不能阻礙科技進步及其所帶來的便利，又要抑制隨科技進步所伴生的消極后果和倫理淪喪。具體到生物識別技術應用問題上，經(jīng)營者與消費者在確立民事法律關系時，經(jīng)營者采集消費者的生物信息以識別消費者的身份，對雙方而言均具有便利性。只不過這也會給相對弱勢的消費者帶來某些不利，例如，消費者將不得不放棄某些個人生物信息的隱私保護，且所放棄的個人生物信息又可能被濫用、被販賣。第三，無論立法還是司法，都未區(qū)分過錯程度而對經(jīng)營者濫采濫用、惡意使用個人生物信息的行為實行有區(qū)別的或曰不同檔次的處罰。

四、我國個人生物識別信息民事司法保護的困境及成因

(一)個人生物識別信息民事司法保護的困境

曾有法官將個人信息民事司法保護的實踐難題歸納為以下幾個方面：民事司法保護的范圍難以確定，權利屬性爭議導致案由選擇困難(案由不明引起立案難)，侵權方式的新穎性導致侵權行為認定困難，信息的可傳遞性導致過錯認定困難，過程認定難又導致歸責原則適用的難題，侵權結(jié)果的不可度量性決定了損害賠償范圍確定的困難以及侵權事實的證明存在困難(15)錢柳君等. 一線法官分析個人信息利益的民事司法保護七大難點[EB/OL]. (2018-06-20)[2020-02-22].https://www.sohu.com.。生物識別信息屬于敏感個人信息，上述難題在個人生物識別信息保護領域中也不同程度地困擾著人們。筆者在這里主要分析以下困境：

1.傳統(tǒng)民事司法管轄制度的地理基礎難以適用。以往管轄法院的確定通常依賴于地理基礎，如住所地、標的物所在地等。這種物理空間具有相對穩(wěn)定性，一般能在此基礎上劃分出“地域”“行政區(qū)域”等概念。但生物識別信息轉(zhuǎn)化為數(shù)據(jù)形態(tài)后，存放在與物理空間并無多少關聯(lián)的網(wǎng)絡空間中，若仍機械采用地理標準來確定司法管轄顯然行不通。這種困境突出體現(xiàn)為以下兩種情形：(1)在傳統(tǒng)司法管轄中侵權案件由被告住所地或侵權行為地法院管轄，而這在通過互聯(lián)網(wǎng)侵犯個人生物識別信息的案件中卻可能陷入兩難困局：一方面，原告很難通過互聯(lián)網(wǎng)揭開被告的“馬甲”來明確地識別被告，即原告知道自己的生物信息被侵犯了，但究竟是誰侵犯了自己的信息卻難以確定，這導致被告住所地亦難以確定；另一方面，如果原告通過“人肉搜索”等方式確定被告，這又是對被告?zhèn)€人信息權的侵犯。(2)網(wǎng)絡空間具有“時空壓縮化”特點，其間信息傳遞的速度和成本幾乎與物理位置無關。在侵犯生物識別信息的案件中，若仍按傳統(tǒng)內(nèi)涵確定“侵權行為地”，投入與所得將不成比例。這是因為在網(wǎng)絡空間中劃分區(qū)域的標準是IP地址及相應域名，但即使消耗許多資源確定了IP地址以及服務器所在地，也不過是大海拾貝。進一步細化區(qū)分侵權行為實施地、結(jié)果地的難度更成倍增加。且侵權行為可能不止與一個地域有關聯(lián)，當相應地域的法院都可能具有管轄權而不受限制時，將形成“平行管轄”與法院選擇的困境。

2.侵害個人生物識別信息案件舉證困難。這具體體現(xiàn)在：(1)了解案件情況的被告難以確定意味著向其收集有關證據(jù)十分困難。在信息傳輸這張錯綜復雜的巨網(wǎng)中鎖定明確的被告本身就是一大難題。生物識別信息一旦外泄，被訴主體的范圍除直接侵權人外，還可能包括諸如信息傳播者、信息接收者一類的間接侵權人。況且，普通個人一般法律意識淡薄、不擅長網(wǎng)絡技術，在證據(jù)搜集、成本承受能力等方面處于明顯弱勢。(2)信息采集者收集個人生物識別信息大多隱蔽進行，信息販賣也是在信息權人不知不覺中完成，這無疑給受害人取證造成了難以想象的困難。信息權人作為受損主體若要請求民事司法救濟，就必須提供相應證據(jù)支持自身的主張。但個人生物識別信息的采集有時具有非接觸性，信息處理者很可能通過高清攝像頭拍攝影像或使用3D打印等其他技術來取得人臉、步態(tài)等個人生物識別信息，而被侵權的信息主體卻毫不知情，因而也就無法舉證。(3)電子證據(jù)的收集和運用困難重重。如前所述，個人生物識別信息是信息采集者將某個自然人的生理特征或行為特征通過科技設備進行技術處理后所形成的數(shù)據(jù)，而這些數(shù)據(jù)又存儲于電子介質(zhì)之中。當這些存儲在電子介質(zhì)之中的數(shù)據(jù)用于證明侵權案件的事實時，就是證據(jù)法中的電子數(shù)據(jù)或電子證據(jù)。在侵害個人生物識別信息的案件中，作為侵權客體的生物信息的采集、存儲、傳輸、交易均離不開手機、電腦、網(wǎng)絡等信息設備設施。因此，電子證據(jù)對于證明這類案件的侵權事實便顯得彌足珍貴和重要。雖然在這類侵權案件中電子證據(jù)可以最為直觀地反映侵權事實，但由于網(wǎng)絡環(huán)境瞬息萬變，網(wǎng)頁和其他電子數(shù)據(jù)又可能被人悄然、快速地刪除、剪輯，這就使得電子數(shù)據(jù)的收集、固定、保全變得相當困難。且當我們無法解讀所獲數(shù)據(jù)的內(nèi)容與屬性來還原侵權場景、找出明確的侵權人時，耗費許多成本搜獲的信息也就難以起到應有的作用。更重要的是，即使我們克服了技術困難而收集、固定好了關鍵的電子證據(jù)，可由于目前電子數(shù)據(jù)固定的程序設計缺漏，裁判者也有可能出于違反正當性原則的考慮而判定不合法，從而無法作為定案依據(jù)。

3.基層法院審判侵害個人生物識別信息案件能力不足。個人生物識別信息具有極強的技術性，這要求審判侵害個人生物識別信息案件的法官具有相應的技術知識和專業(yè)能力。因為對案件爭議焦點的厘清、對侵權行為實施具體情況的探查、對侵權結(jié)果是否發(fā)生及受侵害程度的確認都建立在這些專業(yè)技術知識的基礎之上。然而，這些專業(yè)技術知識一般為大多數(shù)審判人員所不熟悉且在短時間內(nèi)無法掌握。同時，鑒定人和專家輔助人僅起輔助作用，對案件事實判斷起決定作用的仍然是法官。只有法官辨清技術事項后再歸入法律規(guī)范的大前提之中進行分析，才能在此基礎上形成對“案件事實的認識基本符合客觀實際”的內(nèi)心確信。但事實上，受訴最多的基層法院的法官往往僅具單一法律知識背景，因此在這類侵權案件的審案能力方面也許會有所欠缺。

(二)個人生物識別信息民事司法保護之困的成因

1.相關立法缺乏系統(tǒng)性且過于籠統(tǒng)。我國雖已初步建立了公民個人信息保護制度(16)民法典第111條規(guī)定：“自然人的個人信息受法律保護。任何組織或者個人需要獲取他人個人信息的，應當依法取得并確保信息安全，不得非法收集、使用、加工、傳輸他人個人信息，不得非法買賣、提供或者公開他人個人信息?！?，但容易混淆隱私與個人信息兩種權益。在作為個人敏感信息的生物識別信息保護領域，我國對各類組織機構(gòu)處理個人生物識別信息的行為仍欠缺法律規(guī)制，權責關系尚未明確。目前僅在國家標準GB/T 35273-2017中有所規(guī)定。其他對公民個人生物識別信息有所提及的《出入境管理法》《外國人出入境管理條例》等，大多是為了進行行政管理或針對嫌疑人進行管控。只有《網(wǎng)絡安全法》第76條是將個人生物識別信息列舉作為個人信息以便與其他法律條款相結(jié)合保護信息主體權益。該條也僅停留在間接保護的層面，直接保護的條款仍然缺漏，并缺乏相應的實施細則而易成為“僵尸條款”?！秱€人信息保護法》也僅在“敏感個人信息的處理規(guī)則”中有一處提及了生物識別信息，而對如何加以特別保護則未涉及。

2.司法理念仍停滯在相對保守的階段。這表現(xiàn)為：法院將“個人信息”和“隱私”范疇簡單等同，法官在處理個案時，傾向于適用詳細的傳統(tǒng)隱私權和一般人格權的保護性規(guī)定。加之隱私權糾紛案例更為常見，更強的參考性往往驅(qū)使著實務人士選擇以隱私權糾紛作為立案案由。偏差的司法理念帶來了先入為主的誤導，對當事人舉證和法官判斷案件事實皆有影響。此外，司法理念在舉證責任分配、事實認定等方面也較保守，大多只對實質(zhì)損害進行規(guī)制，只對明顯精神損害或經(jīng)濟損失進行賠償。少有法官愿意跳出路徑依賴，在已成型的法律框架內(nèi)上下求索，以期于判決中實現(xiàn)對個人生物識別信息更優(yōu)保護的目標。

3.侵害個人生物識別信息案件往往復雜多樣。大數(shù)據(jù)環(huán)境下，信息傳播速度的飛漲、網(wǎng)絡平臺的開放，使侵害行為的運作機理和傳輸趨勢都難以預測和控制。而這些信息、網(wǎng)絡技術是在計算機的應用上發(fā)展起來的，這就意味著不法分子能夠借助木馬病毒等手段攻陷計算機，從而對信息安全造成極大威脅。這些環(huán)節(jié)疊加起來，使案情陷入復雜多變的泥沼。此外，第三方、第四方等基于不正當目的利用采集者非法獲取的信息權人的生物識別信息實施其他侵權行為或犯罪的情形也越來越多，給信息權人造成多重損害的案件也時常見報。這些多重違法的結(jié)合式的案件更加劇了民事司法保護的困難。

五、個人生物識別信息民事司法保護制度的完善路徑

針對個人生物識別信息民事司法保護不足的現(xiàn)狀和保護中所遭遇的困境，筆者在此提出一些不甚成熟的完善建議。

(一)創(chuàng)制完備的個人生物識別信息保護規(guī)范為民事司法保護提供依據(jù)

生物識別等高新技術的廣泛應用給人們帶來便利的同時，也使不少人擔憂其個人信息能否得到有效保護，因為對新技術的監(jiān)管和執(zhí)法的相關機制并未隨新技術的日益成熟而趨于完善。在此背景之下，全國信息安全標準化技術委員會發(fā)布了人臉、步態(tài)、聲紋識別的國家標準征求意見稿。這些征求意見稿雖然對人臉、步態(tài)、聲紋等個人生物識別信息提出了數(shù)據(jù)安全要求，但這些標準還只是技術層面的規(guī)范，且其編制說明強調(diào)“建議作為國家推薦性標準發(fā)布”，因此并不具備強制性法律效力(17)曾一埔,程柏冰.個人信息保護法草案進入二審，國家電影局明確打擊短視頻侵權盜版行為 [EB/OL].(2021-05-02)[2021-11-23].https://www.163.com/dy/article/G90GGI5K0512865S.html.。在法律層面，根據(jù)我國《民法典》第四編“人格權”下第六章“隱私權和個人信息保護”的規(guī)定，生物識別信息屬于個人信息，而個人信息分為私密信息和非私密信息，且私密信息屬于隱私的范疇(即非法處理他人私密信息的行為應適用有關侵犯隱私權的規(guī)定進行處理)，但并未明確生物識別信息屬于私密信息抑或非私密信息。因此，如果非法處理他人生物識別信息，是按隱私權的規(guī)定，還是按有關個人信息保護的規(guī)定進行處理，《民法典》給執(zhí)法和司法留下了疑難。《個人信息保護法》則把個人信息分為敏感個人信息和非敏感個人信息，且對敏感個人信息規(guī)定了一些特殊的處理規(guī)則。其中，生物識別信息屬于敏感個人信息。也就是說，個人信息處理者對生物識別信息只有“在具有特定的目的和充分的必要性，并采取嚴格保護措施的情形下”方可進行處理，否則，違背這些條件的處理就構(gòu)成非法處理，就是侵犯個人信息權益的行為。然而，敏感個人信息與個人私密信息并非等同的兩個概念，敏感個人信息與隱私也難以劃等號。這樣，當侵犯個人生物識別信息形成民事訴訟時，如何適用法律也就面臨著困惑。因此，筆者主張，未來除遵循普通個人信息保護的一般原則和規(guī)則外，還需吸取域外專門立法保護模式的經(jīng)驗教訓，為個人生物識別信息保護創(chuàng)制更加具有針對性、可操作性的特別法律規(guī)范，為加強民事司法保護提供有力依據(jù)。此外，還要使民事法律制度與行政法律制度、刑事法律制度形成多方合力，構(gòu)建多層安保屏障，助力生物識別技術及其應用的健康發(fā)展。

(二)合理確定個人生物識別信息網(wǎng)絡侵權案件的管轄

1.擴張解釋侵權行為地?，F(xiàn)有技術很難將網(wǎng)絡空間中的侵權行為地直接映射至現(xiàn)實中某地，這種困難在法國雅虎案中可見一斑(18)政武.巴黎法院對“雅虎案”裁定的法律思考[EB/OL].(2000-12-13)[2021-11-22].http://www.people.com.cn/GB/channel5/745/20001213/347879.html.。不排除未來有以新型技術為鑰匙，打開網(wǎng)絡侵權行為地認定大門的可能。但當前通過對信息傳輸中的某些基礎設施(如計算機終端、ICP服務器等)所在的物理區(qū)域進行追溯，結(jié)合計算機的工作原理及網(wǎng)絡數(shù)字傳輸規(guī)則對具體侵權行為進行認定有付諸實踐的可行性(19)《最高人民法院關于審理涉及計算機網(wǎng)絡民事糾紛案件適用法律若干問題的解釋》第2條規(guī)定：“涉及域名的侵權糾紛案件，由侵權行為地或者被告住所地的中級人民法院管轄。對難以確定侵權行為地和被告住所地的，原告發(fā)現(xiàn)的該域名的計算機終端等設備所在地可以視為侵權行為地?！保?相當于對空間轉(zhuǎn)換的漏洞進行嗣后填補。而且通過擴張解釋后，原告所在地也可理解為侵權結(jié)果地。換言之，原告住所地法院對此類案件享有管轄權更有利于保護被侵權人的利益。2.鼓勵協(xié)議管轄。如果存在雙方通過協(xié)商最終取得共贏局面的可能性，則當事人之間意定管轄可以作為此類案件中確定管轄法院的一種方案和依據(jù)。

(三)探索公益訴訟暢通維權路徑

生物識別信息不止牽涉?zhèn)€人的民事權益，且大量的個人生物識別信息被盜取、非法收集或使用，將影響網(wǎng)絡、經(jīng)濟乃至國家安全等，因而與社會公共利益相關聯(lián)，此乃提起公益訴訟之法理基礎。在實踐中，單獨個人在所提起的訴訟中，因取證手段、條件、能力等的欠缺而導致舉證困難，勝訴的可能性較小，難以有效維護其合法權益。但通過公益訴訟維權，則可能改變這種狀態(tài)。畢竟公益訴訟的適格主體是“法律規(guī)定的機關和有關組織”。而有關組織(例如省級以上消費者權益保護協(xié)會)多配有專業(yè)維權團隊，取證能力較強。檢察機關提起公益訴訟也已成為其開展法律監(jiān)督工作的重要業(yè)務之一。因此，在眾多的個人生物識別信息遭受侵犯時，通過公益訴訟以解私益訴訟取證之難題必要且可行。目前，《個人信息保護法》第70條(20)《個人信息保護法》第70條規(guī)定：“個人信息處理者違反本法規(guī)定處理個人信息，侵害眾多個人的權益的，人民檢察院、法律規(guī)定的消費者組織和由國家網(wǎng)信部門確定的組織可以依法向人民法院提起訴訟。”對此已作了確認。

(四)完善特殊證明責任分配及電子證據(jù)制度以解決舉證難問題

1.實行舉證責任倒置?？紤]到主體間信息不對以及舉證能力的懸殊差異，應以舉證責任倒置對這種不平等地位進行平衡。當然，并非所有個人生物識別信息民事司法案件都要一刀切，應當區(qū)分不同案件類型，在舉證責任分配上采取不同的處理方式?？梢越梃b《德國數(shù)據(jù)保護法》的規(guī)定，以當事人中信息主體外的一方是否為公權力主體為標準，將案件劃分為兩類：其一是涉及公權力主體的類型，如在公權主體非法收集或泄漏個人信息的情況下，公民在證據(jù)收集、資金支持等方面都天然處于劣勢，故此類訴訟就應在舉證責任上重新洗牌。其二是當事人雙方均為非公主體時，則需具體考察雙方能力差異來決定如何分配舉證責任。2.完善電子證據(jù)制度。技術的更新迭代在給電子證據(jù)收集與保全帶來新挑戰(zhàn)的同時也帶來了機遇。因超出知識范圍，對收集證據(jù)過程中采用的專業(yè)技術方法在此不作展開。但建議：一是證據(jù)收集上可以從網(wǎng)絡運營主體一端入手。其備份保存的網(wǎng)絡數(shù)據(jù)中很可能含有案件所需電子證據(jù)。二是信息權人或其代理人可以向法院申請證據(jù)調(diào)查令，要求網(wǎng)絡運營者配合提交包含有關數(shù)據(jù)的備份記錄。三是面對電子證據(jù)被銷毀等技術問題時，可以聘請技術專家參與電子證據(jù)的收集以彌補不足。四是借鑒發(fā)達國家的“電子證據(jù)發(fā)現(xiàn)公司”(Electronic Evidence Discovery Corporation)制度，激勵成立中立的專門從事電子證據(jù)發(fā)現(xiàn)與保存的民間技術組織(21)這一點已經(jīng)得到最高法院新修訂的《關于民事訴訟證據(jù)的若干規(guī)定》第94條的確認，即：“由記錄和保存電子數(shù)據(jù)的中立第三方平臺提供或者確認的”電子數(shù)據(jù)，人民法院可以確認其真實性，但有足以反駁的相反證據(jù)的除外。顯然，由中立的電子數(shù)據(jù)第三方存證平臺收集和存儲的電子證據(jù)不易受“污染”，具有較強的真實性而被法院采信的可能性較大。。

(五)改善法官隊伍結(jié)構(gòu)以增強審判能力

一是積極舉辦有關技能培訓，通過考核，選拔具有相關能力的法官來承擔此類特殊審判任務；二是外部加強與各高校聯(lián)動合作，更多地從高校畢業(yè)生中選拔專業(yè)對口的“科技+法律”專門性人才。相應地，高校法學院也應大量培養(yǎng)既懂技術又懂法律的復合型人才，以便向法院輸送所需的“后備軍”。此外，為解決基層法院審理此類案件能力不足的難題，還可在合議庭中吸收專家陪審員以助查明案件事實。