藍壽榮, 羅 靜

(南昌大學(xué) 法學(xué)院, 江西 南昌 330031)

個人生物識別技術(shù)以高效、精準(zhǔn)識別個人身份的優(yōu)勢，被經(jīng)營者廣泛運用于商業(yè)經(jīng)營管理的各個方面，如刷臉(人臉識別)、指紋支付或門禁、監(jiān)控。相應(yīng)地，對于個人生物識別信息被泄露、使用及隨之可能帶來的損失，引起了社會各界人士的廣泛擔(dān)憂。2021年央視“3·15”晚會上，曝光了當(dāng)下人臉識別技術(shù)濫用的問題，其嚴(yán)重程度令人咋舌：央視記者調(diào)查了20多家裝有人臉識別系統(tǒng)的商戶，發(fā)現(xiàn)消費者的人臉信息均被偷偷獲取，而且沒有一個商家明確告知，征得同意更是無從談起，人臉識別濫用和數(shù)據(jù)安全的問題則愈發(fā)牽動人心，公安部發(fā)布數(shù)據(jù)顯示，2020年全國公安機關(guān)共破獲竊取、販賣人臉數(shù)據(jù)的案件22起，抓獲犯罪嫌疑人60名。[1]有學(xué)者調(diào)查表明，“個人信息數(shù)據(jù)泄露的最大受害者是普通公民隱私權(quán)受到侵害”[2]，“在我們國家，對于個人信息的私法保護，無論是科學(xué)立法還是嚴(yán)格執(zhí)法，都是不夠的”[3]。由于個人生物識別信息應(yīng)用的廣泛性，以人臉識別信息為代表的個人敏感性信息成為一個熱點問題，學(xué)界研究文章已相對較為豐富，但是此類文章大部分是從私法角度研究，故此類研究均存在共同性的問題，即從私法理論角度研究不能較好地回應(yīng)大數(shù)據(jù)下出現(xiàn)的社會疑難問題。(1)對此，張守文教授認(rèn)為：“盡管民商法也重視個人信息保護，但仍難以在整體上解決信息規(guī)制問題，尤其是運用信息技術(shù)實施的壟斷、不正當(dāng)競爭，以及各類侵害消費者權(quán)益的行為，更需要經(jīng)濟法進行有效的信息規(guī)制”，參見張守文《數(shù)字經(jīng)濟與經(jīng)濟法的理論拓展》，《地方立法研究》2021年第1期。本文擬從消費者權(quán)益保護的視角，來探討商業(yè)活動中的個人生物識別信息的屬性及其保護路徑。

一、個人生物識別信息的法律性質(zhì)

個人生物識別信息，屬于個人信息的一種，它包括靜態(tài)生理特征(如面部特征、虹膜、耳廓、指紋、掌紋及個人基因)和動態(tài)生理特征(如表情、聲紋、步態(tài)、筆跡等信息)。2021年8月我國發(fā)布的《個人信息保護法》明確將個人信息分為一般個人信息與敏感個人信息，其第28條規(guī)定：“敏感個人信息是一旦泄露或者非法使用，容易導(dǎo)致自然人的人格尊嚴(yán)受到侵害或者人身、財產(chǎn)安全受到危害的個人信息，包括生物識別、宗教信仰、特定身份、醫(yī)療健康、金融賬戶、行蹤軌跡等信息，以及不滿十四周歲未成年人的個人信息”。常見的種族、民族等個人信息生成通過簡單統(tǒng)計過程可得，而個人生物識別信息則有明顯的區(qū)別，是其必須經(jīng)過特定的技術(shù)方能采集，即必須經(jīng)過計算機技術(shù)或其他具有數(shù)據(jù)運算與圖像處理功能的終端設(shè)備才能生成。

(一)個人生物識別信息的屬性：一種新興權(quán)利

關(guān)于個人生物識別信息的屬性，論者觀點不一，直接或間接的主要有“財產(chǎn)權(quán)說”[4-6]、“隱私權(quán)說”[2][7]及“人權(quán)說”(2)如“數(shù)字人權(quán)說”，“人臉信息是人們(至少是短時間內(nèi))不可取代的生物識別信息，是個人信息重要乃至最重要的組成部分，是數(shù)字人權(quán)所應(yīng)關(guān)切的基礎(chǔ)性權(quán)益”，參見郭春鎮(zhèn)《數(shù)字人權(quán)時代人臉識別技術(shù)應(yīng)用的治理》，《現(xiàn)代法學(xué)》2020年第4期。?！柏敭a(chǎn)權(quán)說”忽略了生物識別信息強烈的人格屬性，是不成立的，因為人的尊嚴(yán)無疑是首要的，事實上，我國《民法典》也將個人信息保護放在“人格權(quán)編”，作為人格權(quán)益?！半[私權(quán)說”可能是受美國法律的影響，美國伊利諾伊州《生物識別信息隱私法》(Biometric Information Privacy Act)和《加利福尼亞州2018年消費者隱私法案》(California Consumer Privacy Act of 2018)都將個人生物識別信息作為隱私來保護；[8]我國法律規(guī)定的隱私權(quán)，是一項具體的人格權(quán)，將個人生物識別信息直接納入隱私權(quán)加以保護不僅不符合我國法律體系，而且還會阻礙個人生物識別信息發(fā)揮其利用價值。“人權(quán)說”過于寬泛，不利于個人生物識別信息保護，另外，數(shù)字人權(quán)本身在法學(xué)界尚無定論。從對個人信息認(rèn)識的演進來看，社會交往中的人臉是具有識別、區(qū)別不同人的功能，屬于民法中的肖像權(quán)范疇，但是在現(xiàn)代社會大數(shù)據(jù)技術(shù)下，使人臉相貌信息數(shù)據(jù)化，不再局限于傳統(tǒng)的肖像權(quán)益。

以人臉識別信息為代表的個人生物識別敏感信息，不同于一般的個人信息，是一種隨著大數(shù)據(jù)時代技術(shù)發(fā)展而出現(xiàn)的綜合性新興權(quán)利。法理學(xué)者認(rèn)為，對于一項新興權(quán)利是否能夠上升為法定權(quán)利，需遵循權(quán)利證成標(biāo)準(zhǔn)與程序；而一項新興權(quán)利要得到證成，要同時具備保護的合理性、能為既有的法律體系所容納、有實現(xiàn)的可能性3個基本要件。[9]

一是保護的合理性。它包括3個方面：(1)權(quán)利所保護的利益的正當(dāng)性。一個判斷標(biāo)準(zhǔn)是該利益是否具有普適性，如自殺、吸煙算不上多數(shù)人的利益，因此自殺權(quán)、吸煙權(quán)也就不能成立。個人生物識別信息關(guān)乎每一個個體的重要利益，具有普遍性，故滿足正當(dāng)利益要件。(2)存在保護個人選擇的必要性。權(quán)利旨在保護個人的自治，即權(quán)利人擁有法律賦予的、要求特定人可為或不可為的力量，如譴責(zé)公交車上的不讓座行為與要求他人讓座是不同的，前者體現(xiàn)的是道德的約束力，而后者體現(xiàn)的則是法律權(quán)利的強制力。那么，個人生物識別信息是否需要賦予個人要求而不是譴責(zé)他人的權(quán)利呢？答案應(yīng)當(dāng)是肯定的，僅用道德約束處理個人生物識別信息的行為過于敷衍。(3)所保護的利益對于公共利益具有優(yōu)先性。如果一個法益在任何時候都不具備超越公共利益的優(yōu)先性，就不值得認(rèn)定為法定權(quán)利。只有在防控疫情等緊急狀態(tài)的特定時期，公共利益才優(yōu)先于人臉信息所承載的個人利益，通常情況下個人生物識別信息具有相對優(yōu)先性。

二是能為既有的法律體系所容納。我們今天的法學(xué)知識譜系、思維方法、制度架構(gòu)及運行機制，經(jīng)由幾百年的知識累積和實踐適用，理論發(fā)展與制度創(chuàng)新都要以既有的法學(xué)體系與法律制度為基點和依托。我國《民法典》在民事權(quán)利章節(jié)第111條規(guī)定了“個人信息受法律保護”。我國《民法典》第990條規(guī)定，人格權(quán)是民事主體享有的生命權(quán)、身體權(quán)、健康權(quán)、姓名權(quán)、名稱權(quán)、肖像權(quán)、名譽權(quán)、榮譽權(quán)、隱私權(quán)等權(quán)利。我國《民法典》第1 034條界定了個人信息的定義，列舉了“生物識別信息”，并規(guī)定“個人信息中的私密信息，適用有關(guān)隱私權(quán)的規(guī)定；沒有規(guī)定的，適用有關(guān)個人信息保護的規(guī)定”，從司法裁判的角度，明確了隱私權(quán)與個人信息權(quán)的分野。我國《個人信息保護法》第1條、第2條規(guī)定個人信息受法律保護，使用“個人信息權(quán)益”一詞?！逗笔∠M者權(quán)益保護條例》在消費者權(quán)利章節(jié)第7條規(guī)定了“個人信息受保護權(quán)”，第10條列舉了“個人生物識別信息”，《浙江省實施〈中華人民共和國消費者權(quán)益保護法〉辦法》也有同樣的條文?！稄V東省社會信用條例》第22條規(guī)定，“采集市場信用信息，禁止采集自然人的宗教信仰、血型信息、疾病、病史信息、基因、指紋等生物識別信息以及法律、行政法規(guī)規(guī)定禁止采集的其他信息”，《天津市社會信用條例》《海南自由貿(mào)易港社會信用條例》等也有類似條文。

三是有實現(xiàn)的可能性。嚴(yán)格地說，一項新興權(quán)利的實現(xiàn)可能性不應(yīng)該成為法律權(quán)利的內(nèi)在標(biāo)準(zhǔn)，但沒有實現(xiàn)可能性的權(quán)利會損害法律權(quán)威性，進而導(dǎo)致權(quán)利受損，因此沒有實現(xiàn)可能性的權(quán)利不宜認(rèn)定為法定權(quán)利。實現(xiàn)個人生物識別信息權(quán)，有賴于個人或者組織行為，從權(quán)利行使來看是可行的，并不會出現(xiàn)巨大的社會成本，也不存在政治上的違反政策性，具備現(xiàn)實的實現(xiàn)可能性。

由上可知，個人生物識別信息兼具上述3個基本條件，因而它完全可以成為一項新興的法定權(quán)利。

(二)個人生物識別信息的特征

1.人身唯一性。每個人的基因是由不同的脫氧核糖核酸(DNA)以及少數(shù)核糖核酸(RNA)片段組成的遺傳物質(zhì)，所以世界上沒有一模一樣的臉、指紋、掌紋等，每個個體所具有的生理特征都是特別的、獨一無二的。即便是單純的一個眼眸、一個指紋、一個聲音，經(jīng)過技術(shù)解析，都有明確的主體指向，所隱含的信息價值超過一般個人信息。不同于其他個人信息，個人生物識別信息不需要結(jié)合其他信息即可識別特定的人，這使得個人生物識別信息的指向性非常明確，具有唯一性。個人生物識別信息的唯一性還體現(xiàn)為不可變更性：傳統(tǒng)的敏感個人信息如金融賬號、銀行密碼等，如遭泄露可以掛失補辦，修改密碼；而個人生物識別信息是以個人生理特征為內(nèi)容的信息，通常是不會更改的，一旦泄露，與該信息相關(guān)的身份認(rèn)證活動都將退出，還可能導(dǎo)致其他更隱私的個人信息被挖掘和利用，然而個人卻無法通過變更信息來止損，盡管部分信息可以通過醫(yī)學(xué)技術(shù)(如整容)來實現(xiàn)變更，但那顯然不是正常操作。

2.高度敏感性。個人生物識別信息是敏感個人信息的一類，其敏感性又高于其他敏感個人信息。在我國，當(dāng)一個人分別看到自己的籍貫、姓名以及人臉信息時，其反應(yīng)程度通常是對人臉反應(yīng)最為激烈。當(dāng)然也有例外，以籍貫、姓名和能夠指向自己的人臉數(shù)據(jù)為例，如在有地域偏見的環(huán)境下，個人也可能會對籍貫信息的反應(yīng)更強烈。如果是長期暴露于輿論中的公眾人物，那么對人臉信息的反應(yīng)可能會緩于普通人，但這也無法否認(rèn)，通常情況下個人會對自己的人臉信息反應(yīng)最強烈。

3.侵害后果嚴(yán)重性。個人生物識別信息之所以對個體非常重要，不是信息載體本身重要，而是信息承載內(nèi)容涵蓋的個人財產(chǎn)權(quán)益、人格權(quán)益重要。個人生物識別信息所承載的財產(chǎn)權(quán)益、人格權(quán)益要遠高于其他個人信息。以人臉信息為例，人臉信息具有唯一性，難偽造，人臉識別技術(shù)不需要結(jié)合其他信息就可以做到精準(zhǔn)識別，而且操作簡便、高效，因此被廣泛運用于身份識別，如人臉支付、人臉解鎖手機等。在“一部手機走天下”的智能時代，人臉信息的使用隱藏著極高的風(fēng)險，“一旦泄露，后果嚴(yán)重”[10]，可能會造成重大財產(chǎn)損失和個人信息泄露，并且這種損害往往是不可逆的。人臉本不是什么機密，長期以來只是體現(xiàn)識別功能，天然具有公開性，人臉收集行為也只是簡單地獲取人臉圖片；而現(xiàn)在經(jīng)電子設(shè)備采集后，人臉以數(shù)據(jù)形式存在，通過前沿技術(shù)解析，可快速關(guān)聯(lián)個人的其他敏感信息，從而成為重要的數(shù)據(jù)信息，需要予以特別保護。

4.侵害方式隱蔽性。個人生物識別信息不同于姓名、身份證號、醫(yī)療健康等個人信息，它是直觀的、開放的，不需要個人主動提供即可被他人感知，如人臉、耳廓、聲紋、步態(tài)、表情等，都可以被監(jiān)控探頭隔空捕捉并記錄，這個過程不需要與信息主體進行接觸，且信息主體難以感知到被侵害。這樣的技術(shù)在刑事偵查領(lǐng)域發(fā)揮了重要的作用，但在商業(yè)活動中就可能是侵害個人信息權(quán)益的基礎(chǔ)之源。作為信息主體的個人，很難及時發(fā)現(xiàn)自己合法權(quán)益遭到侵害，即使發(fā)現(xiàn)，也會困于侵權(quán)行為的事實證明而不知如何獲得救濟。

將個人生物識別信息視為一項新興權(quán)利，是因為個人生物識別信息區(qū)別于其他敏感個人信息的顯著特征，具有上述人身唯一性、高度敏感性、侵害方式隱蔽性、侵害后果嚴(yán)重性，特別是其遭受不法侵害后的救濟難，這不是簡單地歸類到民事權(quán)利中的隱私權(quán)或肖像權(quán)等就可以解決的。(3)已經(jīng)有研究者提出：“個人信息具有公共性和社會性”，“從本質(zhì)上講,這是因為大數(shù)據(jù)時代健康數(shù)據(jù)具備的公共屬性與多元價值決定了保護方式的公共性和社會性”，還有人提出要“制定專門性的個人生物識別信息保護法。該法應(yīng)當(dāng)重點規(guī)制法人、非法人以及各種社會組織對個人生物識別信息的處理行為，保護個人生物識別信息保護權(quán)”，分別參見翟相娟《個人敏感信息法定采集范圍之檢視——以大數(shù)據(jù)征信為背景》，《首都師范大學(xué)學(xué)報(社會科學(xué)版)》2021年第1期；高富平《個人信息保護：從個人控制到社會控制》，《法學(xué)研究》2018年第3期；付微明《個人生物識別信息的法律保護模式與中國選擇》，《華東政法大學(xué)學(xué)報》2019年第6期。一方面，隨著生物技術(shù)的發(fā)展，生物識別信息的種類將越來越多，作為一種新興權(quán)利將能很好地涵括多種生物識別信息類型，適應(yīng)社會科技發(fā)展的趨勢；另一方面，作為信息主體的個人，享有知情權(quán)、決定權(quán)、更正權(quán)、刪除權(quán)、被遺忘權(quán)等多種權(quán)利內(nèi)容，其實已經(jīng)要求創(chuàng)設(shè)現(xiàn)有權(quán)利體系以外的新興權(quán)利。

二、商業(yè)活動中個人生物識別信息侵權(quán)的歸責(zé)原則

在商業(yè)活動中，經(jīng)營者使用大數(shù)據(jù)技術(shù)收集使用個人生物識別信息；而消費者作為生物識別信息的被動采集者，個人的地位弱勢明顯，個人生物識別信息應(yīng)該予以特別傾斜保護，要以民事、行政、經(jīng)濟、刑事手段進行保護。

(一)個人生物識別信息侵權(quán)中經(jīng)營者的過錯推定責(zé)任

關(guān)于在商業(yè)活動中發(fā)生個人生物識別信息糾紛事件時，關(guān)于經(jīng)營者應(yīng)該承擔(dān)何種責(zé)任，學(xué)界一般認(rèn)為，個人信息糾紛歸責(zé)原則應(yīng)視不同侵權(quán)主體而有所不同，即“多元歸責(zé)原則”：一是“主體說”，認(rèn)為應(yīng)根據(jù)信息收集的主體是否為公務(wù)機關(guān)采用二元歸責(zé)原則，公務(wù)機關(guān)適用無過錯責(zé)任，非公務(wù)機關(guān)適用過錯推定責(zé)任；二是“技術(shù)說”，認(rèn)為應(yīng)根據(jù)主體是否采用自動化處理技術(shù)適用二元歸責(zé)原則[11]；三是“綜合說”，認(rèn)為是否采用現(xiàn)代大數(shù)據(jù)技術(shù)才是歸責(zé)的關(guān)鍵，不使用自動化技術(shù)的適用一般過錯原則即可，采取自動化技術(shù)的，非公務(wù)機關(guān)適用過錯推定，公務(wù)機關(guān)適用無過錯原則。相對于“主體說”和“技術(shù)說”，“綜合說”適應(yīng)了目前社會存在的技術(shù)風(fēng)險性和主體差異性，更具體、更實際。生物識別技術(shù)是一項自動化處理技術(shù)，以收集、處理大量個人生物識別信息為基礎(chǔ)，信息泄露風(fēng)險更大，因而在糾紛中經(jīng)營者應(yīng)該承擔(dān)相對主要的責(zé)任，應(yīng)適用過錯推定原則。事實上，此類侵權(quán)糾紛適用過錯推定歸責(zé)原則，其他國家已經(jīng)有明文法律規(guī)定，如歐盟《通用數(shù)據(jù)保護條例》第82條第3款規(guī)定：“如果能證明對引起損失的事件沒有任何責(zé)任，那么其可以免除損害賠償責(zé)任”，該規(guī)定對損害也適用推定，美國則有過之而無不及，在各州規(guī)定的相關(guān)民事訴訟中，根本不要求過錯，即適用嚴(yán)格責(zé)任，類似于我國的無過錯責(zé)任原則。[12]

目前，我國還沒有專門針對個人生物識別信息的規(guī)定，個人生物識別信息糾紛的歸責(zé)原則可參考個人信息相關(guān)規(guī)定，即一般過錯原則。如黃某訴騰訊科技(深圳)有限公司等隱私權(quán)、個人信息權(quán)益網(wǎng)絡(luò)侵權(quán)責(zé)任糾紛案，黃某舉證騰訊公司未經(jīng)明確同意公開其微信讀書記錄，存在過錯[13]；孫偉杰訴魯山縣農(nóng)村信用合作聯(lián)社侵犯公民個人信息權(quán)案，“原告舉證被告冒用個人信息擔(dān)保貸款，并將原告征信納入不良記錄，給原告造成精神上、物質(zhì)上的損失，被告過錯明顯”[14]。但是在一些因違法收集個人信息而侵害他人人身或財產(chǎn)權(quán)益造成嚴(yán)重損害甚至生命的案件里，適用一般過錯原則就很難保障個人信息權(quán)益。若采用過錯推定原則，由信息控制者證明自己沒有過錯行為，方可彰顯個人信息權(quán)益保護之公平，倒逼信息控制者嚴(yán)格遵守保護個人信息的義務(wù)。

需要經(jīng)營者承擔(dān)過錯推定責(zé)任，也是因為在發(fā)生個人生物識別信息糾紛事件中，通常都是經(jīng)營者有條件收集、掌握和控制個人生物識別信息，而作為消費者的個人自己的信息被收集甚至被濫用卻無能為力。在侵犯個人敏感信息的糾紛事件中或者是損害賠償中，由于個人對于人臉信息被收集往往并不知情，大多是在無意識中被收集的，加上網(wǎng)絡(luò)上的電子信息數(shù)據(jù)流動快速，根本不會知道被泄露、被修改、被買賣甚至被使用，等到當(dāng)事人自己發(fā)現(xiàn)其個人敏感信息被不當(dāng)使用時可以說是為時已晚，且收集證據(jù)非常困難。相反，經(jīng)營者收集的個人敏感信息卻是可以保留的，所以應(yīng)該實行過錯推定原則，由經(jīng)營者承擔(dān)沒有過錯的舉證責(zé)任。

(二)個人生物識別信息的傾斜性保護

加重經(jīng)營者的舉證責(zé)任，是源于大工業(yè)社會以來消費者的弱勢地位而言的，其理論基礎(chǔ)就是對于作為弱者的傾斜性保護。傾斜性保護理論，要求對社會上處于弱勢地位的個人和群體予以權(quán)利傾斜保護以實現(xiàn)實質(zhì)公平，是維護社會經(jīng)濟秩序的一項重要原則?！霸谙M活動中消費者與經(jīng)營者存在信息不對稱、消費者明顯的弱勢地位，需要立法進行傾斜性權(quán)利配置，以維護正常的社會經(jīng)濟秩序”，我國《消費者權(quán)益保護法》“就是一部體現(xiàn)消費者權(quán)利傾斜性保護的法律”。[15]這可以從以下3個角度觀之：

1.從個人角度看，個人在自己的生物識別信息維權(quán)上處于明顯的弱勢地位。個人信息被收集的非接觸性、無處不在的監(jiān)控攝像頭和生活工作中不可或缺的電子技術(shù)軟件，都會導(dǎo)致個人信息被收集卻不被察覺。如2021年央視“3·15”晚會曝光，某某“衛(wèi)浴等門店便會在不知情的情況下被具有人臉識別功能的攝像頭抓取到人臉信息”[1]，這種行為不僅侵犯了消費者的個人信息權(quán)，而且一旦泄露還可能給消費者人身和財產(chǎn)造成重大損失，而消費者本人卻蒙在鼓里而無從知曉和查證。在信息使用階段，個人生物識別信息被經(jīng)營者實際控制。盡管法律規(guī)定個人是自己信息的權(quán)利人，享有信息自決權(quán)，但在實踐中，個人信息卻被經(jīng)營者實際掌握。消費者授權(quán)經(jīng)營者收集個人信息并儲存、使用，在這個過程中消費者的權(quán)利之手無法觸及，授權(quán)后也不能有效行使監(jiān)督權(quán)，換言之，經(jīng)營者使用信息的行為不受消費者控制。在權(quán)利救濟階段，無論是在技術(shù)的事實層面，還是在相應(yīng)的法律層面，經(jīng)營者都顯現(xiàn)出比消費者更強的專業(yè)性。所以，無論是在經(jīng)營者侵害個人生物識別信息行為發(fā)生之時，還是在發(fā)生之后，經(jīng)營者都具有很大的優(yōu)勢，消費者都難以察覺，難以監(jiān)督，并難以救濟，而在侵權(quán)之訴中也往往難以舉證，消費者始終處在明顯弱勢地位。

2.從公眾利益角度看，個人生物識別信息可能遭受資本霸權(quán)進而對公民權(quán)利、政治生態(tài)造成傷害。[16]個人生物識別信息采集泛濫的后果是，大量個人信息數(shù)據(jù)被技術(shù)充分使用，技術(shù)背后是資本，資本追求利益最大化的特性會使其在操縱技術(shù)過程中有意識地進行算法歧視，將那些沒有消費能力以及對技術(shù)沒有使用能力的“數(shù)字新窮人”逐漸被邊緣化，最終導(dǎo)致人被資本物化而失去存在的價值和主體性，造成群體性的權(quán)利侵害。[17]從這個角度來看，無論是單個的個人，還是作為整體的消費者，在資本、技術(shù)面前都是脆弱的，法律的規(guī)定在資本、技術(shù)與個人之間需要向個人傾斜。

3.從商業(yè)利益角度看，個人生物識別信息傾斜保護有利于數(shù)據(jù)產(chǎn)業(yè)的良性發(fā)展。事物之間是對立統(tǒng)一的，消費者與經(jīng)營者之間雖然存在利益沖突，但更多的是互為依靠。通過法律規(guī)范和保護，引導(dǎo)消費者與經(jīng)營者協(xié)調(diào)發(fā)展。個人生物識別信息傾斜保護，也為經(jīng)營者收集、存儲和利用行為提供了行為規(guī)范，減少經(jīng)營者之間的數(shù)據(jù)糾紛。保護商業(yè)活動中的個人生物識別信息，可以培養(yǎng)消費者對經(jīng)營者的信任，個人生物識別信息權(quán)益得到充分保障，消費者會更愿意將自己的信息交給經(jīng)營者使用，而經(jīng)營者通過獲得更多信息數(shù)據(jù)也能提供更加個性化的產(chǎn)品和服務(wù)，惠及消費者，二者之間的良性互動可以促進經(jīng)濟增長和經(jīng)濟秩序穩(wěn)定運行。

基于個人生物識別信息的損害后果嚴(yán)重、救濟難的現(xiàn)狀，有必要對個人生物識別信息予以傾斜性保護。生物識別技術(shù)在近幾年迅速發(fā)展成生物識別行業(yè)市場并形成一定規(guī)模，如生物識別芯片制造、生物識別設(shè)備及解決方案、生物識別身份認(rèn)證、生物識別出入口管理、生物識別辦公等等。出現(xiàn)了大家關(guān)注的個人生物識別信息安全問題，目前對于個人生物識別信息保護上稍顯滯后，并不能很好地回應(yīng)技術(shù)發(fā)展提出的新要求。從我國現(xiàn)行《消費者權(quán)益保護法》內(nèi)容上看，并沒有特別規(guī)定個人生物識別信息，只對個人信息有一些原則性的規(guī)定，如“消費者個人信息受法律保護”“經(jīng)營者收集使用個人信息的合法、正當(dāng)、必要原則”“消費者知情同意權(quán)”“受侵害時消費者的請求權(quán)”。[15]我國《消費者權(quán)益保護法》制定于1993年，最近的修改也是在2013年，應(yīng)該適應(yīng)大數(shù)據(jù)時代發(fā)展的需要而進行再次修改。

三、商業(yè)活動中個人生物識別信息侵權(quán)的司法認(rèn)定

人們?nèi)绱岁P(guān)注個人生物識別信息問題，是因為擔(dān)心個人生物識別信息一旦泄露或被非法使用會造成個人人身、財產(chǎn)乃至精神上的嚴(yán)重損害，甚至還可能給個人周遭的其他人帶來損害。那么，在個人生物識別信息糾紛案件裁決中，對于當(dāng)事人的個人生物識別信息侵害的行為及其損失認(rèn)定，就十分關(guān)鍵。

(一)個人生物識別信息侵權(quán)的行為認(rèn)定

我國《民法典》第1 035條、我國《個人信息保護法》第5條規(guī)定，“處理個人信息應(yīng)當(dāng)遵循合法、正當(dāng)、必要和誠信原則，不得通過誤導(dǎo)、欺詐、脅迫等方式處理個人信息”。合法、正當(dāng)、必要原則本身是很抽象的，需要具體地細化規(guī)則才可以司法適用，但在錯綜復(fù)雜的個人信息保護問題中，目前還沒有體系性的具體法律規(guī)則，在多數(shù)情況下還是要依靠該原則條款予以判定。

1.合法、正當(dāng)原則。合法性原則，通常意義下的合法之義，即符合法律對處理個人信息行為所施加的具體規(guī)則，違背具體規(guī)則即違背合法原則。因此，合法性原則起籠統(tǒng)的宣示作用，不具有對法律適用的直接指導(dǎo)意義。就正當(dāng)性原則而言，正當(dāng)與否是屬于倫理道德意義上的判斷，一般來說，合法的即是正當(dāng)?shù)模泊嬖诜蛇z漏的情況，因此正當(dāng)性原則其實是起到對合法性原則的兜底作用。當(dāng)事人本人的“知情同意”是經(jīng)營者收集使用個人信息具有合法正當(dāng)性的基礎(chǔ)，我國《消費者權(quán)益保護法》規(guī)定經(jīng)營者處理個人信息應(yīng)當(dāng)保障消費者知情同意權(quán)，但是現(xiàn)實中，情況多樣。如在一些平臺應(yīng)用中，消費者往往是疲于應(yīng)對冗長的隱私協(xié)議，若想使用就必須接受經(jīng)營者的格式條款規(guī)定，所以法律條文規(guī)定的“知情同意”規(guī)則事實上流于形式，沒有選擇余地，故在判斷經(jīng)營者與消費者的格式合同條款時，不僅要關(guān)注“知情同意書”的有無，還要關(guān)注其意思表示的實質(zhì)公平性問題。而更多的時候，人臉信息往往是在本人不知情的情況下被收集，個人生物識別信息的“知情同意權(quán)”有時候連形式都無法保障。所以，在判斷經(jīng)營者是否遵循了“合法、正當(dāng)”原則時，需要充分考慮個人的弱勢地位，僅僅是依據(jù)合同法來考慮是不夠的，需要依據(jù)消費者權(quán)益保護法來認(rèn)定。

2.必要原則。它是對個人信息收集、處理、使用行為的規(guī)制。對個人信息進行充分保護是有共識的，但是在保護方式上并不一致，“我國立法則以‘必要原則’的概念，代替了與之相關(guān)的其他諸多原則，并可以成為特定目的、限制收集、限制利用等相關(guān)原則的上位原則，體現(xiàn)了一種立法技術(shù)上的簡約化考量”[18]。在社會運行的各個領(lǐng)域，個人信息被收集、使用是客觀存在的，個人信息的大數(shù)據(jù)運算極大地提高了效率，帶給民眾更多的便利，所以法律的具體條款規(guī)定還要保護經(jīng)營者合法運用個人信息的社會利用價值，要考慮社會性利用與風(fēng)險性制約的平衡，因此要確定其收集、處理、使用的必要性標(biāo)準(zhǔn)。過于寬松，可能會使個人信息權(quán)益受損；而過于嚴(yán)格，又有可能限制信息經(jīng)濟產(chǎn)業(yè)的發(fā)展。在司法實踐中，對于“合法、正當(dāng)”原則的把握比較容易，但對“必要”原則，法官要把握自由裁量難度很大。

在“人臉識別第一案”中，郭兵起訴杭州野生動物園，不同意杭州野生動物園將入園年卡由指紋識別入園升級為人臉識別入園。一審法院杭州市富陽區(qū)人民法院認(rèn)為，杭州野生動物園公開收集人臉識別信息，“以達到甄別年卡用戶身份、提高年卡用戶入園效率的目的”，符合“合法、正當(dāng)、必要的原則”。[19-20]顯而易見，作為經(jīng)營者，杭州野生動物園收集游客的人臉信息并不符合必要性原則。這是混淆了“目的正當(dāng)”與“目的必要”之間的區(qū)別，前者是對正當(dāng)性原則的判斷，后者則是對必要性原則的判斷。提高用戶入園效率的目的是正當(dāng)?shù)?，但并不代表為實現(xiàn)該目的而進行的個人信息處理行為就是必要的，還需具體分析行為的必要性。必要性原則的具體衡量標(biāo)準(zhǔn)，包括以下4個方面：(1)目的必要，最少收集。非必要不收集，處理個人信息是為完成某個合乎法律規(guī)定和道德規(guī)范的正當(dāng)目的所必需的，即舍去收集處理個人信息行為，則該目的不能實現(xiàn)。[21]此案中，杭州野生動物園提高管理效率的方式有很多，識別身份證就已經(jīng)可以甄別用戶身份，如果說是為了防止非用戶冒用用戶身份證的現(xiàn)象，可以隨機抽查入園者，沒有必要強制使用指紋識別、人臉識別等。我國《個人信息保護法》第13條規(guī)定，處理個人信息，應(yīng)“取得個人的同意”，或“為訂立、履行個人作為一方當(dāng)事人的合同所必需”。需要注意的是，必需行為不僅包括會導(dǎo)致合同目的不能實現(xiàn)的行為，還應(yīng)當(dāng)包括可以極大地減少經(jīng)濟成本的行為。(2)手段必要，最小收集。“收集、使用個人信息所采取的手段不應(yīng)是任意的，而應(yīng)當(dāng)有所限制，僅限于那些對實現(xiàn)收集和使用之目的必要的手段?！盵18]被告在收集原告指紋信息時，已告知并獲得原告同意，錄入指紋收集手段是必要的，但另外進行的人臉拍照則是不必要的。(3)時間必要，最短維持。我國《個人信息保護法》第19條規(guī)定：“個人信息的保存期限應(yīng)當(dāng)為實現(xiàn)處理目的所必要的最短時間?！痹谔囟〞r期內(nèi)，某個處理個人信息行為或許是符合目的必要和手段必要的，但當(dāng)這個時間期結(jié)束，意味著特定的條件消失，這個處理個人信息行為就不見得仍然必要了，比如疫情期間收集公民個人行程軌跡是必要的，若當(dāng)?shù)匾咔榻獬鸵Ｖ故占駛€人行程軌跡信息了，并且對已收集和處理的個人行程軌跡信息應(yīng)當(dāng)予以刪除。此案中，原告與被告解除合同，被告所持有的原告所有個人信息，就并非必要，故應(yīng)當(dāng)予以刪除。(4)安全必要，最小損害。盡管符合上述必要性，處理個人信息行為也應(yīng)當(dāng)將對個人可能造成的損害降到最小，盡可能少處理或者不處理個人信息，這也要求當(dāng)處理個人信息行為不可避免時，也應(yīng)當(dāng)為個人的不同選擇預(yù)留出替代方案。此案中就算杭州野生動物園升級系統(tǒng)經(jīng)濟、必要，也應(yīng)當(dāng)保留用戶身份證、年卡識別等其他入園方式，以此保障用戶的自主選擇權(quán)。技術(shù)是為人服務(wù)的，應(yīng)當(dāng)避免人被技術(shù)所限制。

3.嚴(yán)格原則。鑒于個人生物識別信息的個人獨特性，其被泄露使用可能產(chǎn)生的損失，處理人臉信息等個人生物識別信息應(yīng)當(dāng)遵循比非敏感個人信息更加嚴(yán)格的規(guī)則。有學(xué)者提出，處理人臉信息還應(yīng)當(dāng)滿足緊迫性要件，即為實現(xiàn)正當(dāng)目的需要立即收集或者使用人臉信息[22]，“要對人臉識別信息的收集、處理和其他過程施加更為嚴(yán)格的限制，并要求其以更高的標(biāo)準(zhǔn)對其加以保護”[23]。還有學(xué)者提出，“建立如下公私部門一體適用的安全與責(zé)任底線，如第三方獨立機構(gòu)定期檢測、加密措施、建立可追蹤的技術(shù)體系”[24]。我國《個人信息保護法》第28條規(guī)定，處理個人敏感信息，個人信息處理者應(yīng)具有特定的目的和充分的必要性，這說明處理個人敏感信息不僅要滿足目的正當(dāng)?shù)囊话阈砸?，還要是某種特定的目的，即不收集使用某種個人敏感信息不足以完成商業(yè)活動。

(二)個人生物識別信息侵權(quán)的損害認(rèn)定

我國目前公布的《個人信息保護法》對于損害賠償?shù)囊?guī)定強調(diào)實際損失，如第69條規(guī)定：“損害賠償責(zé)任按照個人因此受到的損失或者個人信息處理者因此獲得的利益確定；個人因此受到的損失和個人信息處理者因此獲得的利益難以確定的，根據(jù)實際情況確定賠償數(shù)額”。這一規(guī)定對于非物質(zhì)性損害賠償?shù)囊?guī)定不明，鑒于個人生物識別信息的特殊性及其被侵權(quán)的可能嚴(yán)重后果，個人生物識別信息侵權(quán)損害賠償?shù)恼J(rèn)定不應(yīng)限定于實質(zhì)性損害，還要包括非物質(zhì)性損害。非物質(zhì)性損害賠償，是指因侵權(quán)行為而誘發(fā)的其他損害，包括精神損害。例如，某一個人在感覺個人生物識別信息被侵害后會感到焦慮，因為人臉信息遭到泄露后，當(dāng)事人很難進行人臉更換，這個就不是花費時間、精力、金錢就可以解決的，這種莫名的恐懼給當(dāng)事人帶來的焦慮是無形的，是需要侵權(quán)者適當(dāng)賠償?shù)摹?/p>

在侵害個人生物識別信息的案件審理中，司法審判認(rèn)定精神損害賠償難。我國目前還沒有專門針對個人生物識別信息侵權(quán)責(zé)任承擔(dān)的規(guī)定，即適用一般侵權(quán)責(zé)任承擔(dān)方式：停止侵害，排除妨礙，消除危險，賠禮道歉，賠償損害。在實際中，通常只有造成了“嚴(yán)重精神損害”才可請求對非物質(zhì)性損害進行賠償。個人生物識別信息被定性為人格權(quán)益，屬于個人私密信息適用隱私權(quán)相關(guān)規(guī)定，這意味著被侵權(quán)人只有在實質(zhì)性的人身、財產(chǎn)損失和嚴(yán)重精神損害時才可獲得賠償。在糾紛案件審理中，多數(shù)法官不認(rèn)為個人信息侵權(quán)會造成嚴(yán)重的精神損害，個人信息侵權(quán)糾紛損害要件往往難以認(rèn)定，致使被侵權(quán)人無法獲得賠償。[14][25-27]這種以“‘實質(zhì)損害’為損害賠償依據(jù)的傳統(tǒng)民法范式與目前民法所規(guī)定的對個人信息處理的‘程序性違法’的損害賠償認(rèn)定之間的沖突，將有可能成為個人生物識別信息民事權(quán)益訴訟救濟實現(xiàn)所面臨的現(xiàn)實困境”[28]。

侵害個人生物識別信息，不需要有實質(zhì)性損害發(fā)生作為前提。個人信息權(quán)利損害應(yīng)當(dāng)獲得必要的補償，在個人生物識別信息侵權(quán)認(rèn)定的損害要件上，“人格權(quán)受侵犯程度的不同只能影響損害賠償數(shù)額，而不能決定權(quán)利人損害賠償請求權(quán)的有無”[29]，個人信息侵權(quán)賠償范圍，不僅要包括“內(nèi)心焦慮上的精神損害，還應(yīng)當(dāng)包括為降低風(fēng)險而支出合理成本的風(fēng)險損害”[30]。鑒于個人生物識別信息具有的前述的人身唯一性、高度敏感性、侵害方式隱蔽性、侵害后果嚴(yán)重性等特征，特別是其遭受不法侵害后救濟難，對個人生物識別信息侵權(quán)行為的認(rèn)定，可以不要求實質(zhì)性的損害或者嚴(yán)重精神損害發(fā)生，主要是基于以下4種原因：(1)個人生物識別信息被侵害的后果可能很嚴(yán)重，有明顯的侵害過程和結(jié)果的不確定性。人臉信息的泄露不一定會在被侵權(quán)的當(dāng)下就產(chǎn)生某種損害，但由于網(wǎng)絡(luò)空間的特殊性，信息傳播速度快，不能保證該信息不會被有心之人保存及在未來某個時間挖掘、恢復(fù)和利用，進而造成損害。侵害個人信息損害后果可預(yù)見性低，若嚴(yán)格按照侵權(quán)責(zé)任一般要求侵害個人信息賠償要有物質(zhì)性的損害，多數(shù)的個人信息受害人在受侵害之時是無法獲得賠償?shù)模龑嶋H損害發(fā)生后，也會由于時間的推移和過程的技術(shù)復(fù)雜而無法證明。(2)個人生物識別信息雖不是絕對的人格權(quán)，但其具有明顯的人格權(quán)益，在受侵害時應(yīng)當(dāng)予以保護。在大數(shù)據(jù)時代背景下，個人生物識別信息的侵害極具廣泛性，包括受害群體的數(shù)量大，即使對單一個體產(chǎn)生的精神損害輕微，當(dāng)涉及整個群體時可能就會很嚴(yán)重。因此，應(yīng)當(dāng)認(rèn)為個人生物識別信息遭受侵害，即可能會產(chǎn)生不同程度精神損害，需要予以保護，而不能苛求其要有損害的嚴(yán)重性。(3)不要求證明實質(zhì)損害的侵權(quán)認(rèn)定，我國目前已有相關(guān)規(guī)定。在隱私權(quán)侵權(quán)糾紛中，我國《民法典》中規(guī)定不要求證明實質(zhì)損害的發(fā)生，只要行為人實施了法律禁止行為，如非法跟蹤、窺探等，且沒有法定免責(zé)事由的前提，行為人就應(yīng)當(dāng)承擔(dān)責(zé)任，這是因為侵害隱私權(quán)造成的受害人焦慮、恐慌等精神損害很難證明。自然，侵害個人生物識別信息，也不需要有實質(zhì)性損害發(fā)生為前提。鑒于司法審判中，法官要在個案中判定誘發(fā)或潛在的其他損害，難度較大，還會嚴(yán)重影響司法效率，因而涉及個人生物識別信息這類案件時，可以立法規(guī)定一定的賠償限額范圍。

如果經(jīng)營者存在實質(zhì)性欺詐行為，要承擔(dān)懲罰性賠償。在實際中，經(jīng)營者以欺詐手段騙取個人生物識別信息，要遠比普通老百姓想象得復(fù)雜。由于大數(shù)據(jù)技術(shù)的科技性以及商業(yè)經(jīng)營者的排他性商業(yè)競爭，算法就像一個“黑箱”，消費者無從真正清楚算法的目的和意圖，也無法監(jiān)督算法控制者的行為，每一套算法背后都可能隱藏著侵害個人信息權(quán)益的可能。[31]個人生物識別信息在被收集后，經(jīng)營者會運用大數(shù)據(jù)算法技術(shù)對個人信息進行有利于商業(yè)活動的整合，在這個過程中消費者無從感知也無從避免，時刻處于被違法收集和被違法使用的風(fēng)險當(dāng)中，經(jīng)營者的行為從一開始就是蓄意的。像建立在大量個人信息數(shù)據(jù)基礎(chǔ)上的大數(shù)據(jù)殺熟，此種行為主觀上具有惡意欺詐的故意，客觀上會造成侵害個人生物識別信息權(quán)益的嚴(yán)重后果，要予以法律遏制。[32]由于經(jīng)營者存在實質(zhì)性欺詐行為，可以適用我國《消費者權(quán)益保護法》中的懲罰性賠償。對于惡意“欺詐者課以懲罰性賠償，是為了起到對于欺詐者的懲罰作用，對于受害者的補償作用，而更重要的是能夠起到阻遏其他有不良動機的潛在經(jīng)營欺詐者，在社會上形成對于欺詐獲利行為的否定性評價”[33]，從而有利于維護個人生物識別信息安全和法律權(quán)威。對于懲罰性賠償?shù)姆秶捎趥€人生物識別信息的收集、使用可能存在于消費者購買商品或者接受服務(wù)的整個過程當(dāng)中，個人生物識別信息本身不是合同標(biāo)的，無法按照《消費者權(quán)益保護法》中3倍價款計算賠償。如果按照購買商品或者服務(wù)的價款計算，則很可能因為價款標(biāo)的額太小而起不到懲罰性作用，畢竟相較于個人生物識別信息給經(jīng)營者帶來的收益，幾百塊甚至是幾千塊的賠償都是經(jīng)營者所不在乎的。無論標(biāo)的額大小，個人生物識別信息一旦泄露都會造成極大損害，因此可以對個人生物識別信息欺詐行為課以一定范圍的懲罰性賠償，具體數(shù)額的判定方法有待司法解釋明確，目前可以視欺詐情節(jié)由法官酌情裁量。

四、個人生物識別信息保護的公益訴訟

我國《個人信息保護法》第70條規(guī)定了個人信息保護的公益訴訟制度。鑒于個人生物識別信息具有的人身唯一性、高度敏感性、侵害方式隱蔽性、侵害后果嚴(yán)重性等特征，當(dāng)事人在無意識、不知情情況下，個人生物識別信息被收集、泄露、使用，由于個人很難判定如何被收集被使用和收集證據(jù)，有必要倡導(dǎo)公益訴訟。

(一)公益訴訟的必要性

由于個人生物識別信息被侵害的事件發(fā)生，往往是具有侵害的涉及人數(shù)眾多、隱形損害嚴(yán)重、不利影響持久的特點。在現(xiàn)實社會生活中，涉及眾多人利益的侵害事件，侵害者一般都是經(jīng)濟實力強大的實體，而受害者是單個的自然個體，在經(jīng)濟、經(jīng)驗、精力等方面都是不均衡的，迫使不少的受害者會認(rèn)為自己只是眾多普通人的一員，等著其他人去主張權(quán)利，容易出現(xiàn)維權(quán)者缺位。這樣，需要有代表公眾利益的機構(gòu)出面幫助大家去訴訟。公益訴訟的出發(fā)點和歸宿都是為了公共利益，區(qū)別于個人信息受害者的民事訴訟，兩者相對照，公益訴訟的發(fā)起者基本上不是直接的受害者，沒有直接的利益關(guān)系，也就是說訴訟的原因與目的都不是為了自己的利益。

公益訴訟的核心是為了保護公共利益，由法律規(guī)定的國家機關(guān)或者組織向法院提起訴訟，代表廣大消費者尋求司法救濟。在個人生物識別信息侵權(quán)糾紛中，個人處于明顯的弱勢地位，應(yīng)當(dāng)適用公益訴訟的相關(guān)規(guī)定，主要有3方面的原因：(1)侵權(quán)行為的個人無意識感和科技性所導(dǎo)致的消費者維權(quán)困難?；诂F(xiàn)代社會治理的需要，智能化監(jiān)控設(shè)備遍布各地，實時抓取各類信息，駐留于特定封閉空間(如超市、商城等營業(yè)場所)內(nèi)的消費者會比流動者更易暴露人臉信息特征，換言之，經(jīng)營者能夠不經(jīng)同意獲取到消費者全面、準(zhǔn)確的人臉信息?！斑@樣的顧慮在日常消費中已成為事實，幾乎困擾著每一位消費者。個人信息被盜用也成為消費領(lǐng)域的痛點難點?！盵34]生物識別技術(shù)的專業(yè)技術(shù)性、隱蔽性，造成了侵權(quán)方與被侵權(quán)方信息的嚴(yán)重不對稱。(2)生物識別技術(shù)以海量的個人生物識別信息數(shù)據(jù)庫為基礎(chǔ)，具有侵權(quán)對象規(guī)模性和損害后果嚴(yán)重性的特征，一旦損害發(fā)生影響廣泛，就是一個社會公共性問題。侵犯對象的規(guī)模性意味著在一定范圍內(nèi)存在不特定多數(shù)人的共同利益受到侵害，已經(jīng)構(gòu)成事實上的公共利益，損害后果嚴(yán)重性則增加了公共利益保護的緊迫性，應(yīng)當(dāng)發(fā)動公權(quán)力予以救濟。(3)個人生物識別信息糾紛救濟困難。多數(shù)案件顯示的損害不明顯、難證明，也有少數(shù)案件的損害明顯，卻因為生物識別信息的特殊性而難以恢復(fù)，收集證據(jù)和舉證太難，以致維權(quán)意識和動力不足。

基于上述3種原因，個人生物識別信息糾紛依靠個人的力量難以在訴訟中與侵權(quán)方抗衡，如“人臉識別第一案”中原告其實沒有獲得任何實質(zhì)性的侵權(quán)損害賠償。因此，當(dāng)侵害不特定、眾多人的個人信息權(quán)益現(xiàn)象發(fā)生時，公益訴訟能夠提高維權(quán)效率，確保違法行為得以懲罰，危害個人信息的現(xiàn)象得以盡快消除，體現(xiàn)社會的公平、正義。

(二)檢察公益訴訟的倡導(dǎo)

作為消費者權(quán)益保護的重要方式，我國《消費者權(quán)益保護法》第47條規(guī)定了消費者協(xié)會可以提起消費問題公益訴訟。我國《民事訴訟法》第55條明確在消費者公益訴訟中人民檢察院的補充作用，即在規(guī)定的機關(guān)和組織不提起訴訟的情況下，人民檢察院可以向人民法院提起訴訟。而我國《個人信息保護法》第70條規(guī)定：“個人信息處理者違反本法規(guī)定處理個人信息，侵害眾多個人的權(quán)益的，人民檢察院、法律規(guī)定的消費者組織和由國家網(wǎng)信部門確定的組織可以依法向人民法院提起訴訟”，即在個人信息保護公益訴訟中，沒有明確各起訴主體的起訴順序，可見立法者是考慮到了個人信息保護公益訴訟的實際情況。目前，檢察機關(guān)的公益訴訟作用是明顯的，也是必要的。鑒于當(dāng)前個人生物識別信息權(quán)利性質(zhì)模糊，侵害行為的高科技、大數(shù)據(jù)因素，證據(jù)的發(fā)現(xiàn)、收集、固定、鑒定等都需要一定的專業(yè)技術(shù)手段，這給公益訴訟工作帶來一定的挑戰(zhàn)，侵害行為可能橫跨多個縣、市、省甚至國家，因此鼓勵檢察公益訴訟發(fā)揮主導(dǎo)作用。從長遠看，在消費和個人信息交叉的領(lǐng)域，也要發(fā)揮消費者保護協(xié)會在消費者個人信息保護中的作用，包括消費公益訴訟。

2021年8月，最高人民檢察院發(fā)布《關(guān)于貫徹執(zhí)行個人信息保護法推進個人信息保護公益訴訟檢察工作的通知》，使檢察院開展個人信息保護公益訴訟工作有了工作規(guī)范。實踐中，檢察機關(guān)成為個人信息民事公益訴訟的主要起訴主體，發(fā)揮良好作用。通過北大法寶平臺數(shù)據(jù)庫，檢索到個人信息保護民事公益訴訟案件209例，其中檢察院參與的案件多達193例，占比92.3%。(4)2021年11月5日在北大法寶數(shù)據(jù)庫司法案例檢索欄輸入“個人信息”“公益訴訟”檢索到209篇案例，https:∥www.pkulaw.com/law/。也有消費者協(xié)會提起的個人信息保護公益訴訟，如重慶首例消費者個人信息保護民事公益訴訟案[35]，但不多，這其中的原因，一方面是目前存在大量侵害個人信息的刑事附帶民事公益訴訟案件；另一方面可能是相較于其他起訴主體，檢察院更具訴訟能力。鑒于當(dāng)前我國《個人信息保護法》剛剛出臺，可能存在諸多實踐問題以及消費者維權(quán)難度大等現(xiàn)實，消費者協(xié)會應(yīng)對大量侵權(quán)事件力量不足，需要鼓勵檢察公益訴訟發(fā)揮主導(dǎo)作用。

基于個人生物識別信息保護的緊迫性和重要性，人民檢察院除了發(fā)揮消費公益訴訟補充作用外，還可以通過行政公益訴訟發(fā)揮其監(jiān)督作用。2021年4月22日最高人民檢察院發(fā)布11件檢察機關(guān)個人信息保護公益訴訟典型案例，其中包括6件行政公益訴訟案。[36]行政機關(guān)是維護公共利益第一順位的代表，且行政機關(guān)部門依據(jù)管理領(lǐng)域劃分，在處理個人信息保護問題上更具有專業(yè)性優(yōu)勢。人民檢察院向行政機關(guān)提出檢察建議，督促行政機關(guān)依法履行職責(zé)，有利于及時糾正違法行為，提高個人信息保護執(zhí)法效率。

(三)公共利益的認(rèn)定

在公益訴訟司法實踐中，公共利益的認(rèn)定是一個難點。公益訴訟，在我國已經(jīng)開展多年，成績斐然，形成了較為完善的司法制度，但涉及公共利益的認(rèn)定問題，一直在理論上沒有大家認(rèn)可的主流觀點，實踐中也沒有形成可行性的判斷標(biāo)準(zhǔn)。

我國法學(xué)界對于公共利益一直很重視，在很多的研究文獻中都會涉及，但對于公共利益的概念界定及其內(nèi)涵外延卻沒有準(zhǔn)確的表述，存在文字表述和內(nèi)容的不確定性。這種法律概念含義的不確定性，很有可能會長期持續(xù)，從歷史上看其內(nèi)涵似乎更具有價值性的一種正義理念和行動追求，也可能正是這種概念及其內(nèi)容的不確定性，卻具有社會變化適應(yīng)能力，使其具有歷久彌新的生命力?；氐焦怖娴脑鹾x，漢語里的公共利益，與私人利益并存，是公眾利益之意，在某一個一定時期、一定范圍內(nèi)，代表最多數(shù)人的利益。由于我國歷史上，大多數(shù)時候是高度集中統(tǒng)一的政權(quán)，公共利益往往與國家利益、社會利益、集體利益相關(guān)聯(lián)，但又有區(qū)別。從字義來看，公共利益可以拆分為“公共”和“利益”。“公共”是指一定時期、一定范圍內(nèi)的最多數(shù)人，那么“公共利益”就應(yīng)該是最多數(shù)人的利益，這個人數(shù)多少的確定，要依照一定時期或一定范圍來確定，并且這種人數(shù)眾多的群體，是分散的、不特定的人群，不是事先組織起來的，更不會是特定的利益集團，是自然生態(tài)式的客觀存在，具有人數(shù)眾多、人群組成不特定的特征。這些不特定人的利益是具有共同性的，不是每個人利益的簡單相加，具有不可分割性，并且這樣的利益應(yīng)該是基于人的生存發(fā)展所必需的基本性的利益，如涉及飲食醫(yī)療、住宿休息、生活環(huán)境、人身安全等，具有利益的普遍性、基本性，也就是說，判斷是否是公共利益的時候，要考慮涉及人數(shù)的眾多、組成人員的不特定、利益的普遍性、人的基本生存發(fā)展需要這4個因素。

由于個人生物識別信息的特征，在認(rèn)定損害公共利益的“眾多個人的權(quán)益”時，需要考慮以下3個因素：(1)受害人數(shù)，包括實際受害人數(shù)，也包括潛在的受害者。如前文所述央視報道的某某衛(wèi)浴門店利用監(jiān)控設(shè)備抓取消費者人臉信息，并非一次抓取，而是多次反復(fù)，盡管實際受害人數(shù)不多，但潛在危害很大。(2)受害群體，要考慮不同類別的受害群體。如同樣人數(shù)的未成年人與成年人的個人信息所包含的公共利益不同，未成年人個人信息受損的危害性更大，法律對未成年人保護應(yīng)有所傾斜，對侵害未成年人生物識別信息權(quán)益的行為不要求與成年人同樣的“眾多”標(biāo)準(zhǔn)。同樣地，在個人信息保護公益訴訟中，消費者屬于明顯弱勢群體，應(yīng)當(dāng)適用較為寬松的“眾多”標(biāo)準(zhǔn)。(3)權(quán)益范圍，鑒于個人生物識別信息對于其他個人信息的關(guān)聯(lián)性，不僅包括已經(jīng)侵害的權(quán)益，還應(yīng)包括未來可能侵害的權(quán)益。