楊銅銅

（華東政法大學(xué) 政治學(xué)與公共管理學(xué)院，上海 201620）

伴隨著人工智能的快速發(fā)展，以“人臉識(shí)別”“指紋驗(yàn)證”“聲音解鎖”“虹膜識(shí)別”為代表的生物識(shí)別技術(shù)蓬勃興起，在刑偵、治安、金融、醫(yī)療、交通、學(xué)校、支付、社區(qū)、企業(yè)等場(chǎng)景大范圍使用，其對(duì)網(wǎng)絡(luò)科技、大數(shù)據(jù)，乃至數(shù)字經(jīng)濟(jì)的發(fā)展發(fā)揮著至關(guān)重要的作用，已經(jīng)成為國(guó)民經(jīng)濟(jì)的重要組成部分。這種通過(guò)生物識(shí)別技術(shù)對(duì)自然人的物理、生理或行為特征進(jìn)行特殊技術(shù)處理而得到的信息即為“個(gè)人生物識(shí)別信息”，比如指紋、虹膜、臉部特征、聲音、步態(tài)、筆跡等。由于個(gè)人生物識(shí)別信息具有唯一性、不可更改性，一經(jīng)泄露將永遠(yuǎn)不可索回，因而可能引發(fā)侵犯隱私、違法犯罪、種族歧視、危害國(guó)家安全等風(fēng)險(xiǎn)，亟待警覺(jué)。比如近來(lái)廣受熱議的Facebook因人臉識(shí)別技術(shù)引發(fā)集體訴訟賠償5.5億美元、郭某訴杭州市動(dòng)物園強(qiáng)制收集人臉信息案、17萬(wàn)人臉數(shù)據(jù)遭公開(kāi)銷售、“ZAO”網(wǎng)紅換臉軟件、“剪刀手”拍照泄露指紋信息等。因此，面對(duì)生物識(shí)別技術(shù)帶來(lái)的挑戰(zhàn)，如何保護(hù)個(gè)人生物識(shí)別信息已經(jīng)成為全球關(guān)注的核心議題。

在保護(hù)個(gè)人生物識(shí)別信息的多種機(jī)制中，通過(guò)立法路徑提供個(gè)人生物識(shí)別信息使用與保護(hù)的框架，是規(guī)制個(gè)人生物識(shí)別信息濫用，實(shí)現(xiàn)個(gè)人生物識(shí)別信息保護(hù)的前提與關(guān)鍵?！皬姆稍砩蟻?lái)說(shuō)，一般性規(guī)則能夠減少信息搜尋成本與認(rèn)知成本，有利于個(gè)人盡快認(rèn)知和利用法律進(jìn)行維權(quán)，有利于數(shù)據(jù)收集者與處理者盡快地進(jìn)行合規(guī)操作，也有利于執(zhí)法主體盡快進(jìn)行執(zhí)法?！盵1]當(dāng)前許多國(guó)家和地區(qū)已經(jīng)開(kāi)始制定相關(guān)立法①比如美國(guó)伊利諾伊州制定了《生物識(shí)別信息隱私法案》；馬塞諸塞州薩摩維爾市制定了《暫停面部識(shí)別或其他遠(yuǎn)程生物識(shí)別監(jiān)控系統(tǒng)的法案》；歐盟最新頒布的《一般數(shù)據(jù)保護(hù)條例》(General Data Protection Regulation, GDPR) 將“個(gè)人生物識(shí)別信息”作為敏感個(gè)人信息的一種，著重予以保護(hù)；印度《2019年個(gè)人數(shù)據(jù)保護(hù)法》（Personal Data Protection Bill, PDPB 2019）對(duì)“生物特征數(shù)據(jù)”保護(hù)亦作出特別規(guī)定。，然而中國(guó)尚未形成體系化的立法保護(hù)框架，致使個(gè)人生物識(shí)別信息的保護(hù)存在重大缺漏。

一、中國(guó)個(gè)人生物識(shí)別信息保護(hù)的立法現(xiàn)狀與問(wèn)題

（一）個(gè)人生物識(shí)別信息保護(hù)的立法現(xiàn)狀

中國(guó)有關(guān)個(gè)人生物識(shí)別信息保護(hù)的規(guī)范相對(duì)較少，主要散見(jiàn)于《身份證法》《反恐怖主義法》《網(wǎng)絡(luò)安全法》《出境入境管理法》《刑法》《刑事訴訟法》《民法典》《消費(fèi)者權(quán)益保護(hù)法》等法律，《外國(guó)人入境管理?xiàng)l例》《保安服務(wù)管理?xiàng)l例》《征信業(yè)管理?xiàng)l例》等行政法規(guī)，以及一些效力較低的規(guī)章、規(guī)范性文件之中①比較具有代表性的規(guī)章、規(guī)范性文件為《公安機(jī)關(guān)辦理行政案件程序規(guī)定》《普通護(hù)照和出入境通行證簽發(fā)管理辦法》《互聯(lián)網(wǎng)個(gè)人信息安全保護(hù)指南》《信息安全技術(shù)個(gè)人信息安全規(guī)范》等。。多涉及個(gè)人生物識(shí)別信息保護(hù)原則、使用規(guī)則、監(jiān)管機(jī)構(gòu)與職能、法律責(zé)任、權(quán)利救濟(jì)等內(nèi)容。

一是有關(guān)公安機(jī)關(guān)在偵查案件、打擊犯罪和治安管理等活動(dòng)中收集、管理與保護(hù)“指紋信息”的相關(guān)規(guī)定。根據(jù)《居民身份證法》《反恐怖主義法》《刑事訴訟法》《外國(guó)人入境管理?xiàng)l例》《公安機(jī)關(guān)辦理行政案件管理規(guī)定》等法律規(guī)定，公安機(jī)關(guān)可以在身份證管理、出入境管理、辦理行政案件、刑事案件中利用指紋等個(gè)人生物識(shí)別信息，并負(fù)有保密義務(wù)，如果泄露將承擔(dān)行政處分、追究刑事責(zé)任。

二是通過(guò)明確各方信息主體的權(quán)利義務(wù)、法律責(zé)任對(duì)個(gè)人生物識(shí)別信息進(jìn)行保護(hù)。比如在民事領(lǐng)域，《民法典》第111條規(guī)定了個(gè)人信息保護(hù)的基本行為規(guī)范，信息處理者確保信息安全等基本義務(wù)?！睹穹ǖ洹啡烁駲?quán)編更是著重從“隱私權(quán)”保護(hù)的維度，對(duì)個(gè)人信息處理的原則、個(gè)人信息主體的權(quán)利、信息處理者的安全義務(wù)和保密義務(wù)等進(jìn)行了詳細(xì)的規(guī)定。同時(shí)《消費(fèi)者權(quán)益保護(hù)法》第29條規(guī)定了經(jīng)營(yíng)者收集、使用消費(fèi)者個(gè)人信息的規(guī)則以及經(jīng)營(yíng)者的保護(hù)義務(wù)。在刑事領(lǐng)域，通過(guò)規(guī)定侵犯公民個(gè)人信息的刑事責(zé)任間接地對(duì)個(gè)人生物識(shí)別信息進(jìn)行保護(hù)，較為典型的是《刑法》第253條之一侵犯公民個(gè)人信息罪的規(guī)定。

三是規(guī)定個(gè)人生物識(shí)別信息的收集、處理、使用等不同環(huán)節(jié)的規(guī)則。相對(duì)聚焦在信息管理領(lǐng)域，例如《網(wǎng)絡(luò)安全法》規(guī)定了網(wǎng)絡(luò)運(yùn)行者收集、使用個(gè)人信息的規(guī)則，網(wǎng)絡(luò)運(yùn)行者、網(wǎng)絡(luò)監(jiān)管人員以及其他組織和個(gè)人不得非法獲取、出售、向他人提供個(gè)人信息等義務(wù)，其中的“個(gè)人信息”便包括“個(gè)人生物識(shí)別信息”。與此同時(shí)，中國(guó)立法也已意識(shí)到“個(gè)人生物識(shí)別信息”有別于一般個(gè)人信息，對(duì)個(gè)人生物識(shí)別信息進(jìn)行了特別規(guī)定，比如《互聯(lián)網(wǎng)個(gè)人信息安全保護(hù)指南》在“個(gè)人信息安全保護(hù)的管理機(jī)制、安全技術(shù)措施和業(yè)務(wù)流程”中，對(duì)個(gè)人生物識(shí)別信息的“收集”“公開(kāi)披露”環(huán)節(jié)作出了特殊規(guī)定。需要注意的是，2020年3月6日修訂的《信息安全技術(shù)個(gè)人信息安全規(guī)范》對(duì)個(gè)人生物識(shí)別信息的收集與存儲(chǔ)進(jìn)行了專門規(guī)定，明確規(guī)定“收集人臉信息需單獨(dú)告知，不得存儲(chǔ)原始圖像”。此外，一些行業(yè)協(xié)會(huì)的自律規(guī)范也對(duì)其進(jìn)行了規(guī)定，比如中國(guó)支付清算協(xié)會(huì)發(fā)布的《人臉識(shí)別線下支付行業(yè)自律公約（試行）》，從安全管理、終端管理、風(fēng)險(xiǎn)管理、用戶權(quán)益保護(hù)等方面對(duì)人臉識(shí)別線下支付進(jìn)行了規(guī)定。

（二）個(gè)人生物識(shí)別信息保護(hù)的立法問(wèn)題

中國(guó)對(duì)個(gè)人生物識(shí)別信息的保護(hù)已經(jīng)有部分規(guī)定，但立法仍較為分散，無(wú)法滿足個(gè)人生物識(shí)別信息保護(hù)的需要。

第一，獨(dú)特屬性未突出，針對(duì)性規(guī)定缺失?，F(xiàn)有立法未突出個(gè)人生物識(shí)別信息的獨(dú)特屬性，多將“個(gè)人生物識(shí)別信息”視為“個(gè)人信息”的一種類型加以規(guī)范，比如上述《民法典》《網(wǎng)絡(luò)安全法》《消費(fèi)者權(quán)益保護(hù)法》的規(guī)定。即使少數(shù)法律規(guī)范意識(shí)到個(gè)人生物識(shí)別信息屬于“敏感個(gè)人信息”，但也只是在“收集”“披露”等環(huán)節(jié)簡(jiǎn)單地進(jìn)行規(guī)定，缺乏系統(tǒng)的針對(duì)性規(guī)定，比如《信息安全技術(shù)個(gè)人信息安全規(guī)范》。

第二，立法理念不明確，表達(dá)不清晰。立法理念本質(zhì)上是對(duì)不同利益的衡量，引導(dǎo)著立法的路徑與價(jià)值選擇。當(dāng)前國(guó)內(nèi)外均對(duì)收集、處理與利用個(gè)人生物識(shí)別信息的安全性、合法性存在質(zhì)疑，但中國(guó)各行業(yè)卻積極鼓勵(lì)開(kāi)發(fā)利用個(gè)人生物識(shí)別信息，甚至有愈演愈烈之勢(shì)，因而如何確立立法理念、衡量個(gè)人生物識(shí)別信息保護(hù)與利用之間的利害，是個(gè)人生物識(shí)別信息保護(hù)立法的重點(diǎn)。當(dāng)下中國(guó)立法理念并不明確，比如《網(wǎng)絡(luò)安全法》《民法典》等僅將“個(gè)人生物識(shí)別信息”作為“個(gè)人信息”的一種類型進(jìn)行規(guī)范，《互聯(lián)網(wǎng)個(gè)人信息安全保護(hù)指南》《信息安全技術(shù)個(gè)人信息安全規(guī)范》也只是對(duì)個(gè)人生物識(shí)別信息收集、存儲(chǔ)、公開(kāi)披露環(huán)節(jié)作出特別規(guī)定，均沒(méi)有明確地表明立法理念。

第三，立法碎片化，法律位階較低。當(dāng)前有關(guān)個(gè)人生物識(shí)別信息的技術(shù)標(biāo)準(zhǔn)與保護(hù)機(jī)制缺乏統(tǒng)一的規(guī)定，系統(tǒng)的專門立法付之闕如。同時(shí)，個(gè)人生物識(shí)別信息保護(hù)規(guī)范的法律位階較低，大多為規(guī)章、規(guī)范性文件，甚至是行業(yè)協(xié)會(huì)與企業(yè)制定的行業(yè)規(guī)則。盡管當(dāng)下對(duì)個(gè)人生物識(shí)別信息的權(quán)利屬性存在隱私權(quán)、新型人格權(quán)、財(cái)產(chǎn)權(quán)之爭(zhēng)，但是毋庸置疑均屬于公民的基本權(quán)利，因此應(yīng)由效力等級(jí)較高的立法規(guī)范進(jìn)行規(guī)定。

第四，具體內(nèi)容不明確，尚未形成體系化的保護(hù)。當(dāng)前有關(guān)個(gè)人生物識(shí)別信息保護(hù)的規(guī)定多以原則性、概括性條款為主，可操作性不強(qiáng)。比如《保安服務(wù)管理?xiàng)l例》僅規(guī)定了公安機(jī)關(guān)“應(yīng)當(dāng)保密”，但是對(duì)于如何保密等問(wèn)題沒(méi)有進(jìn)行規(guī)定。同時(shí)，從內(nèi)容上看集中于責(zé)任條款設(shè)置，并散見(jiàn)于不同的規(guī)范類型中，比如刑事領(lǐng)域規(guī)定侵犯公民個(gè)人信息罪；而關(guān)于個(gè)人生物識(shí)別信息的法律屬性、保護(hù)的特有法律原則、權(quán)利義務(wù)關(guān)系、監(jiān)管機(jī)構(gòu)與職責(zé)等均沒(méi)有規(guī)定，而上述內(nèi)容正是個(gè)人生物識(shí)別信息保護(hù)的核心。

第五，保護(hù)對(duì)象比較狹窄，適用主體較為單一。由于受制于信息技術(shù)發(fā)展，當(dāng)前立法多側(cè)重于“指紋信息”的保護(hù)，對(duì)面部信息、虹膜信息、耳廓信息、靜脈信息、聲音信息等其他個(gè)人生物識(shí)別信息的保護(hù)規(guī)定較少。近來(lái)伴隨著“人臉識(shí)別技術(shù)”的快速發(fā)展與廣泛運(yùn)用，才開(kāi)始對(duì)“人臉識(shí)別信息”加以保護(hù)。與此同時(shí)，現(xiàn)有法律多集中于規(guī)制公權(quán)力機(jī)關(guān)，尤其是公安機(jī)關(guān)收集指紋信息的相關(guān)規(guī)定，針對(duì)私主體收集、處理與利用個(gè)人生物識(shí)別信息的保護(hù)規(guī)定相對(duì)較少。

二、立法模式：漸進(jìn)式的綜合立法模式

個(gè)人生物識(shí)別信息的立法模式是指國(guó)家在個(gè)人生物識(shí)別信息保護(hù)立法時(shí)所采取的、與調(diào)整范圍有關(guān)的法律形式。立法模式在廣度上深刻影響著個(gè)人生物識(shí)別信息保護(hù)的實(shí)現(xiàn)，是個(gè)人生物識(shí)別信息立法首先需要解決的問(wèn)題。

（一）個(gè)人生物識(shí)別信息的雙重立法模式

基于立法傳統(tǒng)與背景等方面的不同，當(dāng)前個(gè)人生物識(shí)別信息保護(hù)的立法模式主要存在專門立法模式與綜合立法模式兩種。

專門立法模式是指采用單獨(dú)立法的形式對(duì)個(gè)人生物識(shí)別信息加以保護(hù)的模式。其中以美國(guó)的部分州為代表。美國(guó)對(duì)個(gè)人生物識(shí)別信息的保護(hù)大多建立在隱私權(quán)保護(hù)的基礎(chǔ)上，自21世紀(jì)開(kāi)始生物識(shí)別技術(shù)被規(guī)?；貞?yīng)用到反恐、國(guó)家安全、刑事偵查等領(lǐng)域，并逐漸在伊利諾伊州、芝加哥州等開(kāi)始民用化與商用化[2]78-88。當(dāng)前美國(guó)大部分州均允許雇主或企業(yè)收集、分析個(gè)人生物識(shí)別信息，但是禁止通過(guò)生物識(shí)別信息獲利。美國(guó)雖然未在聯(lián)邦層面上對(duì)個(gè)人生物識(shí)別信息的收集與使用作出統(tǒng)一規(guī)定，但各州先后制定了專門規(guī)制私部門使用個(gè)人生物識(shí)別信息的保護(hù)法案，如2008年伊利諾伊州制定了美國(guó)首部《生物識(shí)別信息隱私法案》，2009年德克薩斯州制定了《生物特征信息隱私法》，2019年佛羅里達(dá)州制定了《生物信息隱私法案》等，此外阿拉斯加、新罕布什爾等州也逐漸將生物識(shí)別信息法列入立法議程。上述立法的適用對(duì)象僅為“私營(yíng)主體”收集、處理、利用個(gè)人生物識(shí)別信息的行為，立法內(nèi)容主要從法律概念、權(quán)責(zé)關(guān)系、行為規(guī)范、監(jiān)管機(jī)構(gòu)與職能、救濟(jì)途徑與方式等方面進(jìn)行規(guī)定。自2019年開(kāi)始，由于“人臉識(shí)別技術(shù)”的廣泛應(yīng)用，有關(guān)利用個(gè)人生物識(shí)別信息的合法性問(wèn)題再次引發(fā)爭(zhēng)議，無(wú)論是州層面還是聯(lián)邦層面，均出臺(tái)了專門針對(duì)“人臉識(shí)別信息”保護(hù)的法案。2019年5月加利福尼亞州舊金山市對(duì)《停止秘密監(jiān)視》條例進(jìn)行修訂，認(rèn)為人臉識(shí)別技術(shù)侵害了公民的隱私與自由，并可能引發(fā)種族不平等，由此成為美國(guó)第一個(gè)禁止官方機(jī)構(gòu)使用人臉識(shí)別技術(shù)的城市。2019年6月馬薩諸塞州薩默維爾市議會(huì)則通過(guò)《人臉識(shí)別全面禁止條例》，禁止警察和公共部門使用人臉識(shí)別軟件，2019年7月加利福尼亞州的奧克蘭市亦頒布《監(jiān)視及社區(qū)安全法案》。在聯(lián)邦層面上，2019年3月美國(guó)參議院通過(guò)了《商業(yè)面部識(shí)別隱私法案》；2020年2月12日有議員在參議院提出了《人臉識(shí)別道德使用法》草案，旨在委員會(huì)提出使用人臉識(shí)別技術(shù)的適當(dāng)指南和限制之前，暫緩政府機(jī)構(gòu)使用人臉識(shí)別技術(shù)[3]。

綜合立法模式是指不區(qū)分個(gè)人生物識(shí)別信息與一般個(gè)人信息，將不同類型、性質(zhì)的個(gè)人信息統(tǒng)一納入到個(gè)人信息保護(hù)法之下，從行政、民事、刑法等不同方面進(jìn)行統(tǒng)一的立法保護(hù)[2]80。當(dāng)前大多數(shù)國(guó)家、地區(qū)采用綜合立法模式。歐盟是綜合立法模式的典型代表，其以人格權(quán)為基礎(chǔ)建立了強(qiáng)化公共部門行政監(jiān)管的保護(hù)方式。2018年生效的《通用數(shù)據(jù)保護(hù)條例》（亦稱為《一般數(shù)據(jù)保護(hù)條例》），即GDPR，對(duì)處理個(gè)人數(shù)據(jù)中的自然人保護(hù)以及個(gè)人數(shù)據(jù)自由流動(dòng)的規(guī)則進(jìn)行了規(guī)定，將“生物識(shí)別數(shù)據(jù)”作為“特殊類型個(gè)人數(shù)據(jù)”予以特殊保護(hù)，并“原則上禁止”為了“識(shí)別特定自然人”而收集處理生物特征數(shù)據(jù)，但是規(guī)定了9種例外情形①General Data Protection Regulation.Art.9。。同時(shí)GDPR允許成員國(guó)在國(guó)內(nèi)立法作出額外的限制。需要注意的是，歐盟對(duì)于人臉識(shí)別技術(shù)的應(yīng)用持有警惕態(tài)度，2019年歐盟基本權(quán)利保護(hù)局發(fā)布了《面部識(shí)別技術(shù)：執(zhí)法中的基本權(quán)利考慮》，分析了面部識(shí)別技術(shù)對(duì)基本權(quán)利帶來(lái)的挑戰(zhàn)，簡(jiǎn)要介紹了當(dāng)公共當(dāng)局部署實(shí)時(shí)面部識(shí)別技術(shù)來(lái)實(shí)現(xiàn)執(zhí)法的目的時(shí)避免侵犯人權(quán)應(yīng)采取的步驟[4]。亞洲對(duì)個(gè)人生物識(shí)別信息保護(hù)進(jìn)行立法相對(duì)較晚，并深受歐盟立法的影響，亦主要采取綜合立法模式。比如印度為了保護(hù)與個(gè)人數(shù)據(jù)有關(guān)的個(gè)人隱私，以及明確個(gè)人數(shù)據(jù)的流動(dòng)和使用，于2019年頒布了第373號(hào)法案《2019年個(gè)人數(shù)據(jù)保護(hù)法》，其在明確一般個(gè)人數(shù)據(jù)保護(hù)規(guī)則的同時(shí)，將“生物特征數(shù)據(jù)”作為一種特殊的個(gè)人數(shù)據(jù)類型予以特殊保護(hù)，明確規(guī)定“除非法律允許，任何數(shù)據(jù)受托者不得處理經(jīng)中央政府通告的生物特征數(shù)據(jù)?！雹赑ersonal Data Protection Bill, Sec.92。

總體而言，兩種立法模式均存在利弊。專門立法模式針對(duì)性、可操作性強(qiáng)，可以根據(jù)不同領(lǐng)域靈活制定，然而不同立法之間容易發(fā)生沖突；綜合立法模式體系性較強(qiáng)，但靈活性卻存在不足。從立法內(nèi)容上看，無(wú)論采取何種模式，在保護(hù)個(gè)人生物識(shí)別信息的法律原則、保護(hù)規(guī)則、權(quán)責(zé)條款等方面趨于一致。

（二）中國(guó)個(gè)人生物識(shí)別信息保護(hù)的立法模式選擇

個(gè)人生物識(shí)別信息保護(hù)的立法模式選擇應(yīng)在辨析不同立法模式的產(chǎn)生原因、歷史演變與現(xiàn)實(shí)困境的情況下，結(jié)合中國(guó)的立法傳統(tǒng)、現(xiàn)實(shí)需求，以及法制發(fā)展現(xiàn)狀等進(jìn)行綜合判斷，在個(gè)體權(quán)益保護(hù)與群體發(fā)展之間尋求最佳利益平衡點(diǎn)[5]。

從中國(guó)信息立法的傳統(tǒng)與發(fā)展趨勢(shì)看，均采用綜合立法模式。在立法傳統(tǒng)上，比如《網(wǎng)絡(luò)安全法》即將個(gè)人生物識(shí)別信息納入個(gè)人信息的范疇予以規(guī)范。其他的一些規(guī)范性文件，如《互聯(lián)網(wǎng)個(gè)人信息安全保護(hù)指南》《信息安全技術(shù)個(gè)人信息安全規(guī)范》等也均在明確一般個(gè)人信息保護(hù)規(guī)則的同時(shí)，對(duì)個(gè)人生物識(shí)別信息的特殊保護(hù)規(guī)則進(jìn)行規(guī)定。在立法趨勢(shì)上，當(dāng)前《數(shù)據(jù)安全法》與《個(gè)人信息保護(hù)法》的草案均已進(jìn)入公開(kāi)征求意見(jiàn)階段，兩者均呈現(xiàn)出綜合立法的模式，比如《數(shù)據(jù)安全法》（草案）已經(jīng)對(duì)重要數(shù)據(jù)與一般數(shù)據(jù)共同予以規(guī)范。

同時(shí)，相較于專門立法模式，綜合立法模式更有助于解決中國(guó)分散立法存在的問(wèn)題：一是綜合立法模式層級(jí)清晰體系完整。個(gè)人生物識(shí)別信息的保護(hù)屬于個(gè)人信息保護(hù)法律體系的一個(gè)分支，采用綜合立法模式能夠在明晰一般個(gè)人信息保護(hù)規(guī)則的前提下，規(guī)定個(gè)人生物識(shí)別信息保護(hù)的特殊規(guī)則，進(jìn)而實(shí)現(xiàn)個(gè)人信息保護(hù)法律體系的完整性。二是綜合立法模式的保護(hù)方法與保護(hù)措施全面。一方面綜合立法模式不局限于單一領(lǐng)域，對(duì)個(gè)人生物識(shí)別信息的保護(hù)具有普遍的適用性。另一方面保護(hù)方法與保護(hù)措施更為全面，包括行政法保護(hù)、民事救濟(jì)以及刑事制裁等領(lǐng)域。三是綜合立法模式有利于法律適用。個(gè)人生物識(shí)別信息在體系上不僅要符合一般個(gè)人信息收集、處理、使用的基本原理與規(guī)定，而且要符合個(gè)人生物識(shí)別信息的特殊規(guī)則。綜合立法模式有助于實(shí)現(xiàn)一般個(gè)人信息與特殊個(gè)人生物識(shí)別信息的體系協(xié)調(diào)，避免分散立法引發(fā)的體系違反，便于法律適用。

需要注意的是，一方面面對(duì)當(dāng)下個(gè)人生物識(shí)別信息濫用的境地，亟待立法保護(hù)。特別是在中國(guó)生物識(shí)別技術(shù)安全性未得到充分證實(shí)，使用風(fēng)險(xiǎn)尚未得到全面評(píng)估，以及保護(hù)機(jī)制尚待系統(tǒng)化之前，個(gè)人生物識(shí)別信息已經(jīng)被大范圍使用，比如不僅局限于國(guó)家安全、治安管理等公用場(chǎng)景，而且包括金融、醫(yī)療、學(xué)校、支付、交通、社區(qū)、企業(yè)、小區(qū)物業(yè)管理、商場(chǎng)等私用場(chǎng)景。日益泛濫的生物識(shí)別技術(shù)運(yùn)用，已經(jīng)導(dǎo)致個(gè)人生物識(shí)別信息在實(shí)踐中被販賣、泄露，侵犯了信息主體的隱私權(quán)、財(cái)產(chǎn)權(quán)等合法權(quán)益，亟待進(jìn)行立法規(guī)制。另一方面雖然《數(shù)據(jù)安全法》與《個(gè)人信息保護(hù)法》的草案已經(jīng)開(kāi)始公開(kāi)征求意見(jiàn)，但是縱觀世界，生物識(shí)別技術(shù)尚未成型，有關(guān)的技術(shù)標(biāo)準(zhǔn)也未達(dá)成共識(shí)，因而對(duì)個(gè)人生物識(shí)別信息進(jìn)行系統(tǒng)性、明確性、完整性規(guī)定尚需時(shí)間。比如2019年12月，全國(guó)信標(biāo)委生物特征識(shí)別分技術(shù)委員會(huì)才正式全面啟動(dòng)人臉識(shí)別國(guó)家標(biāo)準(zhǔn)的制定，系統(tǒng)化建設(shè)中國(guó)人臉識(shí)別國(guó)家標(biāo)準(zhǔn)體系。作為大數(shù)據(jù)時(shí)代的新問(wèn)題，在尚未探索出個(gè)人生物識(shí)別信息保護(hù)的成熟實(shí)踐經(jīng)驗(yàn)之前，貿(mào)然進(jìn)行立法可能適得其反?？筛鶕?jù)《立法法》第9條進(jìn)行“授權(quán)立法”①《立法法》第9 條：本法第八條規(guī)定的事項(xiàng)尚未制定法律的，全國(guó)人民代表大會(huì)及其常務(wù)委員會(huì)有權(quán)作出決定，授權(quán)國(guó)務(wù)院可以根據(jù)實(shí)際需要，對(duì)其中的部分事項(xiàng)先制定行政法規(guī)，但是有關(guān)犯罪和刑罰、對(duì)公民政治權(quán)利的剝奪和限制人身自由的強(qiáng)制措施和處罰、司法制度等事項(xiàng)除外。，或者根據(jù)《立法法》第73條進(jìn)行“地方先行立法”②《立法法》第73 條：地方性法規(guī)可以就下列事項(xiàng)作出規(guī)定：……除本法第八條規(guī)定的事項(xiàng)外，其他事項(xiàng)國(guó)家尚未制定法律或者行政法規(guī)的，省、自治區(qū)、直轄市和設(shè)區(qū)的市、自治州根據(jù)本地方的具體情況和實(shí)際需要，可以先制定地方性法規(guī)。在國(guó)家制定的法律或者行政法規(guī)生效后，地方性法規(guī)同法律或者行政法規(guī)相抵觸的規(guī)定無(wú)效，制定機(jī)關(guān)應(yīng)當(dāng)及時(shí)予以修改或者廢止。，待時(shí)機(jī)成熟上升至全國(guó)統(tǒng)一立法。

綜上所述，面對(duì)中國(guó)當(dāng)前個(gè)人生物識(shí)別信息保護(hù)分散立法存在的問(wèn)題，結(jié)合中國(guó)信息立法的現(xiàn)有情況與發(fā)展趨勢(shì)，中國(guó)應(yīng)該采用綜合立法模式。但是為了解決當(dāng)前個(gè)人生物識(shí)別信息亟待立法進(jìn)行保護(hù)的迫切需求，可以采用“授權(quán)立法”“地方先行立法”的模式，為綜合立法中個(gè)人生物識(shí)別信息保護(hù)條款的制定提供經(jīng)驗(yàn)。因此，漸進(jìn)式的綜合立法模式更適合中國(guó)實(shí)踐。

三、立法理念：充分信息保護(hù)基礎(chǔ)上的有限開(kāi)發(fā)利用

個(gè)人生物識(shí)別信息保護(hù)立法是一項(xiàng)系統(tǒng)的工程，立法理念是支撐立法的基石，指引著立法的制度設(shè)計(jì)。個(gè)人生物識(shí)別信息保護(hù)的立法本質(zhì)上是多元主體之間利益的角逐，基于個(gè)人生物識(shí)別信息的獨(dú)特屬性，“充分信息保護(hù)基礎(chǔ)上的有限開(kāi)發(fā)利用”是立法的核心價(jià)值理念。

（一）個(gè)人生物識(shí)別信息承載人格尊嚴(yán)與個(gè)人隱私需要充分保護(hù)

相較于一般個(gè)人信息，個(gè)人生物識(shí)別信息具有獨(dú)特的物理屬性，屬于敏感個(gè)人信息，承載著人格尊嚴(yán)與個(gè)人隱私利益，需要予以特殊、充分的保護(hù)。

1.個(gè)人生物識(shí)別信息具有獨(dú)特物理屬性

生物識(shí)別是以人類獨(dú)有的生理特征或行為表現(xiàn)，來(lái)辨識(shí)或者驗(yàn)證使用者的個(gè)人身份。生理特征是先天具有的，包括指紋、人臉、虹膜、視網(wǎng)膜、靜脈等。行為表現(xiàn)是后天形成的，如走路的步態(tài)、按鍵的力度等。由此而獲取的個(gè)人生物識(shí)別信息具有獨(dú)特的物理屬性，需要予以充分保護(hù)：

一是具有“獨(dú)一無(wú)二性、難以更改性”，一旦被竊取或泄露，將不可索回，無(wú)法進(jìn)行更改與撤銷。與其他個(gè)人信息，比如身份證號(hào)、電話號(hào)碼、銀行卡密碼、家庭住址等相比，個(gè)人生物識(shí)別信息具有生物學(xué)意義上的唯一性，其不可能因客觀環(huán)境的變化而作出改變，如果使用不當(dāng)，造成的損害將是不可逆的。

二是部分個(gè)人生物識(shí)別信息極易脫離信息主體的掌控，可以被輕而易舉地獲得與利用，加劇了濫用風(fēng)險(xiǎn)。以“人臉識(shí)別”信息為例，由于當(dāng)下密集的攝像頭布置，致使個(gè)體容易暴露在攝像頭之下，因而在收集上可不經(jīng)過(guò)信息主體主動(dòng)配合而獲得人臉圖像，在使用上亦可以脫離信息主體而被利用。例如嘉興上外秀洲外國(guó)語(yǔ)學(xué)校402班科學(xué)小隊(duì)在做課外實(shí)驗(yàn)的時(shí)候，用一張打印照片就能代替真人刷臉，騙過(guò)小區(qū)里的豐巢智能柜，取出父母?jìng)兊呢浖6]。

三是由于個(gè)人生物識(shí)別信息需經(jīng)由計(jì)算機(jī)的算法才能生成，因而可能存在算法錯(cuò)誤，導(dǎo)致誤判，由此引發(fā)種族歧視風(fēng)險(xiǎn)，加劇社會(huì)不平等等問(wèn)題。美國(guó)國(guó)會(huì)經(jīng)過(guò)調(diào)研發(fā)現(xiàn)，人臉識(shí)別技術(shù)的準(zhǔn)確率歷來(lái)不高，特別在識(shí)別女性、年輕人、非裔美國(guó)人和其他族裔群體。已有證據(jù)顯示人臉識(shí)別對(duì)有色人種、活動(dòng)家、移民和其他原因本就受到不公正對(duì)待的群體的不良影響更為顯著[7]。

2.個(gè)人生物識(shí)別信息屬于“敏感個(gè)人信息”

個(gè)人生物識(shí)別信息的性質(zhì)決定其保護(hù)的方式。根據(jù)泄露該信息導(dǎo)致重大傷害的可能、對(duì)信息主體帶來(lái)傷害的大小、社會(huì)大多數(shù)人對(duì)某類信息敏感度的認(rèn)知等因素，可以將個(gè)人信息劃分為“一般個(gè)人信息”與“敏感個(gè)人信息”。敏感個(gè)人信息是指“一旦泄露或?yàn)E用，極易危及人身、財(cái)產(chǎn)安全或?qū)е氯烁褡饑?yán)受到損害、歧視性待遇的個(gè)人信息”，比如健康信息、金融信息、基因信息、關(guān)乎個(gè)人安全的信息等[8]。從性質(zhì)上看，個(gè)人生物識(shí)別信息屬于“敏感個(gè)人信息”的一種，應(yīng)當(dāng)予以特殊保護(hù)。

一方面，個(gè)人生物識(shí)別信息承載著人格尊嚴(yán)、隱私等重要價(jià)值。由于個(gè)人生物識(shí)別信息具有高度的專屬性與私密性，與個(gè)人最隱秘的生理特征直接相關(guān)，具有表征和彰顯個(gè)人身份的特質(zhì)，因而構(gòu)成了“數(shù)字化人格”的核心組成部分?！叭烁駱?biāo)識(shí)的完整性與真實(shí)性是主體受到他人尊重的基本條件?！盵9]只有保障數(shù)字化人格與信息主體相一致，并且不被非法侵犯，才能獲得他人的尊重，實(shí)現(xiàn)自由與尊嚴(yán)。另一方面，個(gè)人生物識(shí)別信息的泄露將對(duì)公民權(quán)利造成更大的傷害。相較于其他個(gè)人信息，個(gè)人生物識(shí)別信息不僅能夠識(shí)別自然人的身份，而且可以從事個(gè)性化服務(wù)，如利用指紋、面部開(kāi)啟手機(jī)、辦理金融業(yè)務(wù)等。一經(jīng)泄露或者公開(kāi)，將對(duì)個(gè)人隱私、尊嚴(yán)等造成不可逆影響，乃至遭受歧視性待遇。正是由于個(gè)人生物識(shí)別信息與個(gè)人生理特征最為緊密，承載了人格尊嚴(yán)與個(gè)人因素等權(quán)益，屬于敏感個(gè)人信息，理應(yīng)予以充分、特殊保護(hù)。

當(dāng)下將個(gè)人生物識(shí)別信息列入“敏感個(gè)人信息”并給予特殊保護(hù)，已經(jīng)成為各地的普遍共識(shí)。比如歐盟的《通用數(shù)據(jù)保護(hù)條例》GDPR第9條便將“生物性識(shí)別數(shù)據(jù)”納入“特殊類型個(gè)人數(shù)據(jù)”；美國(guó)《2018年加州消費(fèi)者隱私法案》亦將包括虹膜、視網(wǎng)膜、指紋、臉部、手掌、靜脈圖案和語(yǔ)音記錄的圖像等在內(nèi)的生物特征識(shí)別數(shù)據(jù)列為個(gè)人隱私信息[10]；印度頒布的《2019年個(gè)人數(shù)據(jù)保護(hù)法》禁止在印度境外處理個(gè)人敏感數(shù)據(jù)和重要個(gè)人數(shù)據(jù)，禁止處理特定形式的生物特征數(shù)據(jù)，明確了輸入個(gè)人敏感數(shù)據(jù)和關(guān)鍵個(gè)人數(shù)據(jù)的條件。事實(shí)上，中國(guó)《個(gè)人信息保護(hù)指南》已經(jīng)采取了一般個(gè)人信息與敏感個(gè)人信息區(qū)分的理念，在收集時(shí)前者可以默許同意，后者必須明示同意?！缎畔踩夹g(shù)個(gè)人信息安全規(guī)范》也在收集與存儲(chǔ)等方面進(jìn)行了細(xì)化與完善，明確規(guī)定“收集人臉信息需單獨(dú)告知，不得存儲(chǔ)原始圖像”“用戶拒絕授權(quán)擴(kuò)展業(yè)務(wù)功能權(quán)限，App不得反復(fù)征求授權(quán)”,并建議App支持用戶對(duì)畫(huà)像標(biāo)簽的自主控制機(jī)制。

（二）公私部門對(duì)個(gè)人生物識(shí)別信息具有強(qiáng)烈利用需求

個(gè)人生物識(shí)別信息具有公共性，能夠促進(jìn)社會(huì)公共福祉的實(shí)現(xiàn)。無(wú)論在商業(yè)領(lǐng)域還是公務(wù)領(lǐng)域，均具有對(duì)個(gè)人生物識(shí)別信息強(qiáng)烈的應(yīng)用需求。

1.基于政務(wù)價(jià)值的公共利用

在信息社會(huì)，數(shù)字政府已經(jīng)成為現(xiàn)代政府的基本標(biāo)志。特別是當(dāng)下，個(gè)人生物識(shí)別信息的社會(huì)治理價(jià)值更為突出。比如個(gè)人生物識(shí)別信息在公共秩序、公共安全、公共福利的推進(jìn)方面，均發(fā)揮著不可替代的作用。

一是進(jìn)行公共管理，維護(hù)公共安全?；趥€(gè)人生物識(shí)別信息獨(dú)特的物理屬性，個(gè)人生物識(shí)別信息無(wú)論在傳統(tǒng)的行政管理領(lǐng)域，亦或是現(xiàn)代的風(fēng)險(xiǎn)社會(huì)治理領(lǐng)域均發(fā)揮著重要功能。在傳統(tǒng)的治安防控、犯罪偵查領(lǐng)域，公安機(jī)關(guān)借助指紋信息、肖像、虹膜圖像等，開(kāi)展身份管理、打擊刑事犯罪、維護(hù)國(guó)家安全，尤其在查找失蹤兒童、犯罪分子等方面表現(xiàn)卓越。在現(xiàn)代風(fēng)險(xiǎn)社會(huì)，看似偶然、不確定的公共事件，其背后的行為規(guī)律仍有跡可循?！按髷?shù)據(jù)的核心就是預(yù)測(cè)，是把數(shù)學(xué)算法運(yùn)用到海量的數(shù)據(jù)上來(lái)預(yù)測(cè)事情發(fā)生的可能?！盵11]個(gè)人生物識(shí)別信息有助于提升預(yù)測(cè)的準(zhǔn)確性，比如人臉識(shí)別能夠?qū)崿F(xiàn)數(shù)據(jù)的實(shí)時(shí)監(jiān)控，提升風(fēng)險(xiǎn)防控的效率。

二是優(yōu)化行政服務(wù)，增進(jìn)公共福利。推行電子政務(wù)一直是中國(guó)信息化發(fā)展的的戰(zhàn)略重點(diǎn)，當(dāng)前中國(guó)已經(jīng)運(yùn)用生物識(shí)別信息推行高效便捷的“網(wǎng)上政務(wù)”，并在社會(huì)保障領(lǐng)域積極推廣，提升了社會(huì)治理的效能。比如《國(guó)務(wù)院辦公廳關(guān)于推進(jìn)養(yǎng)老服務(wù)發(fā)展的意見(jiàn)》提出了實(shí)施“互聯(lián)網(wǎng)+養(yǎng)老”行動(dòng)，倡導(dǎo)通過(guò)運(yùn)用互聯(lián)網(wǎng)和生物識(shí)別技術(shù)，來(lái)探索建立老年人補(bǔ)貼遠(yuǎn)程申報(bào)審核機(jī)制。北京市為了加強(qiáng)公租房管理，規(guī)制違法轉(zhuǎn)租等行為，規(guī)定納入保障房建設(shè)計(jì)劃的公租房，全面采用人臉識(shí)別等技術(shù)，以便于相關(guān)管理①北京市住建委發(fā)布的《關(guān)于進(jìn)一步加強(qiáng)公共租賃住房轉(zhuǎn)租行為監(jiān)督管理工作的通知》。。

2.基于商業(yè)價(jià)值的市場(chǎng)利用

伴隨著人工智能時(shí)代的來(lái)臨，個(gè)人生物識(shí)別信息不再是簡(jiǎn)單地識(shí)別身份特征的標(biāo)志，毋寧說(shuō)其已成為重要的生產(chǎn)要素，推動(dòng)著產(chǎn)業(yè)分工與經(jīng)濟(jì)結(jié)構(gòu)調(diào)整，而且改變著人們的生活習(xí)慣。

首先，個(gè)人生物識(shí)別信息的收集與處理對(duì)人工智能、大數(shù)據(jù)，乃至整個(gè)數(shù)字經(jīng)濟(jì)的發(fā)展至關(guān)重要，具有重要的商業(yè)價(jià)值。在國(guó)家層面上，國(guó)務(wù)院2015年發(fā)布《促進(jìn)大數(shù)據(jù)發(fā)展行動(dòng)綱要》，積極鼓勵(lì)與推進(jìn)大數(shù)據(jù)產(chǎn)業(yè)的發(fā)展。據(jù)有關(guān)研究顯示，2016年國(guó)內(nèi)生物識(shí)別的市場(chǎng)規(guī)模在120億左右，而到2021年預(yù)測(cè)將達(dá)到340億[12]。甚至有預(yù)測(cè)稱，生物識(shí)別技術(shù)會(huì)先于人工智能步入大規(guī)模應(yīng)用階段[13]。與此同時(shí)，有關(guān)個(gè)人生物識(shí)別信息的應(yīng)用催生了大量的信息服務(wù)產(chǎn)業(yè)，比如信息查詢平臺(tái)、征信機(jī)構(gòu)、數(shù)據(jù)處理公司等。

其次，個(gè)人生物識(shí)別信息有助于改變營(yíng)銷策略，提升個(gè)性化的服務(wù)?！盃I(yíng)銷建立在對(duì)消費(fèi)者需求的準(zhǔn)確把握之上?！盵14]運(yùn)用個(gè)人生物識(shí)別信息有助于更為精確地了解消費(fèi)者的需求與偏好，提升經(jīng)營(yíng)者決策的理性與效率，從而進(jìn)行更具針對(duì)性的產(chǎn)品推介、引導(dǎo)，提供更為個(gè)性化的服務(wù)，促進(jìn)服務(wù)升級(jí)與未來(lái)產(chǎn)品的研發(fā)。

最后，方便企業(yè)管理，提供更為安全、便捷的服務(wù)?；趥€(gè)人生物識(shí)別信息的獨(dú)特性，部分企業(yè)運(yùn)用生物識(shí)別技術(shù)進(jìn)行員工簽到等日常管理。同時(shí)生物識(shí)別技術(shù)在提供安全管理、金融服務(wù)等領(lǐng)域具有獨(dú)特的優(yōu)勢(shì)，比如物業(yè)設(shè)置人臉識(shí)別門禁系統(tǒng)防止外來(lái)人員進(jìn)入，超市、商場(chǎng)等開(kāi)設(shè)人臉識(shí)別支付系統(tǒng)實(shí)現(xiàn)自助結(jié)賬等。

實(shí)現(xiàn)個(gè)人信息保護(hù)與利用的動(dòng)態(tài)平衡是信息保護(hù)立法的關(guān)鍵。對(duì)于個(gè)人生物識(shí)別信息而言，其具有區(qū)別于一般個(gè)人信息的獨(dú)特物理屬性，關(guān)涉公民的人格尊嚴(yán)、隱私保護(hù)，一旦泄露，將對(duì)公民權(quán)利產(chǎn)生不可逆的影響，因而應(yīng)當(dāng)予以充分特殊的保護(hù)。尤其在生物識(shí)別技術(shù)的安全性尚未得到有效證實(shí)，生物識(shí)別技術(shù)使用標(biāo)準(zhǔn)尚未形成共識(shí)的情況下，對(duì)個(gè)人生物識(shí)別信息予以充分保護(hù)是立法應(yīng)當(dāng)明確的核心法益，這也是當(dāng)前諸多國(guó)家和地區(qū)禁止收集、儲(chǔ)存與利用個(gè)人生物識(shí)別信息的原因所在。個(gè)人生物識(shí)別技術(shù)在增進(jìn)社會(huì)福祉方面發(fā)揮著不可替代的功能，既有助于維護(hù)公共秩序，增進(jìn)公共福利，亦能推動(dòng)信息產(chǎn)業(yè)、數(shù)字經(jīng)濟(jì)的發(fā)展。因此，在充分保護(hù)的基礎(chǔ)上有限地利用個(gè)人生物識(shí)別信息，是立法應(yīng)當(dāng)秉持的核心理念，由此實(shí)現(xiàn)個(gè)人生物識(shí)別信息保護(hù)與利用之間的利益平衡。

四、個(gè)人生物識(shí)別信息保護(hù)立法的核心內(nèi)容

個(gè)人生物識(shí)別信息的保護(hù)需要借助于具體的法律條文予以落實(shí)。個(gè)人生物識(shí)別信息保護(hù)涉及到諸多內(nèi)容，在綜合立法模式的前提下，需要結(jié)合中國(guó)的現(xiàn)實(shí)需要，制定較為完備、具有針對(duì)性、可操作性的法律規(guī)范。

（一）界定個(gè)人生物識(shí)別信息的法律概念、類別、屬性條款

概念明確與否，直接關(guān)系到立法邏輯乃至法律體系構(gòu)成。首先應(yīng)當(dāng)規(guī)定個(gè)人生物識(shí)別信息的法律概念。在此可以參照歐盟GDPR①歐盟GDPR第4 條第14 款規(guī)定，“生物性識(shí)別數(shù)據(jù)”指的是基于特別技術(shù)處理自然人的相關(guān)身體、生理或行為特征而得出的個(gè)人數(shù)據(jù)，這種個(gè)人數(shù)據(jù)能夠識(shí)別或確定自然人的獨(dú)特標(biāo)識(shí)，例如臉部形象或指紋數(shù)據(jù)。General Data Protection Regulation.Art.4 (14)。、伊利諾伊州②伊利諾伊州《生物識(shí)別信息隱私法案》中將生物識(shí)別信息界定為“基于個(gè)人生物標(biāo)識(shí)而生成的任何信息，無(wú)論其如何被取得、轉(zhuǎn)換、存儲(chǔ)或共享”。Biometric Information Privacy Act。、印度③印度《2019年個(gè)人數(shù)據(jù)保護(hù)法》（Personal Data Protection Bill, 2019）第1章第3條第7款規(guī)定，“生物特征數(shù)據(jù)”是指面部圖像、指紋、虹膜掃描，或其他類似的能夠通過(guò)物理、生理或行為特征測(cè)量或技術(shù)處理操作得到的，可以允許或完全能夠確認(rèn)一個(gè)自然人的唯一標(biāo)識(shí)的個(gè)人數(shù)據(jù)。等國(guó)家或地區(qū)的立法經(jīng)驗(yàn)，核心在于明確個(gè)人生物識(shí)別信息“單獨(dú)”“識(shí)別個(gè)人身份”的“唯一標(biāo)識(shí)性”、需要借助計(jì)算機(jī)程序等高科技手段予以特殊處理等核心法律內(nèi)涵。其次，細(xì)化個(gè)人生物識(shí)別信息的類型，增強(qiáng)個(gè)人生物識(shí)別信息保護(hù)立法的可操作性。比如《信息安全技術(shù)個(gè)人信息安全規(guī)范》在附錄中進(jìn)行了例舉，包括個(gè)人基因、指紋、聲紋、掌紋、耳廓、虹膜、面部識(shí)別特征等。然而個(gè)人生物識(shí)別信息并不限于上述“生理特征”的個(gè)人生物識(shí)別信息，還包括“行為特征”的個(gè)人生物識(shí)別信息，即“通過(guò)行為特征進(jìn)行特定的技術(shù)處理而得到的可以辨識(shí)個(gè)人身份的信息”④General Data Protection Regulation.Art.4 (14)。，比如筆跡、步態(tài)等，均應(yīng)在立法中加以明確。最后，明晰個(gè)人生物識(shí)別信息的法律屬性，實(shí)現(xiàn)對(duì)個(gè)人生物識(shí)別信息的充分保護(hù)。對(duì)敏感個(gè)人信息與一般個(gè)人信息進(jìn)行分類，并對(duì)敏感個(gè)人信息進(jìn)行特殊保護(hù)已經(jīng)成為世界各國(guó)的普遍共識(shí)。盡管“敏感個(gè)人信息”的認(rèn)定方式與種類存在分歧，但并不影響個(gè)人生物識(shí)別信息屬于敏感個(gè)人信息的性質(zhì)定位。因而在未來(lái)的立法中應(yīng)明確個(gè)人生物識(shí)別信息屬于“個(gè)人敏感信息”的法律屬性，為實(shí)現(xiàn)對(duì)其特殊保護(hù)奠定前提基礎(chǔ)。

（二）確立個(gè)人生物識(shí)別信息保護(hù)的特殊法律原則

個(gè)人生物識(shí)別信息保護(hù)的法律原則，貫穿立法始終。個(gè)人生物識(shí)別信息保護(hù)屬于新興領(lǐng)域，涉及到多重利益關(guān)系，尚無(wú)成熟的立法經(jīng)驗(yàn)，過(guò)于冒進(jìn)或者退縮都可能帶來(lái)負(fù)面影響，因此通過(guò)立法原則的規(guī)定不僅有助于引導(dǎo)個(gè)人生物識(shí)別信息的立法與適用，而且有助于彌補(bǔ)法律漏洞，增加法律條文的彈性與包容性。

在遵循個(gè)人信息保護(hù)一般法律原則的基礎(chǔ)上①即最小化收集原則、目的明確原則、信息質(zhì)量原則、安全保障原則、限制利用原則、參與原則、公開(kāi)原則、責(zé)任原則等。，基于個(gè)人生物識(shí)別信息的特性，還應(yīng)規(guī)定個(gè)人生物識(shí)別信息保護(hù)的特殊原則。個(gè)人生物識(shí)別信息保護(hù)特殊原則的確立，尤其應(yīng)當(dāng)注重“充分信息保護(hù)基礎(chǔ)上的有限開(kāi)發(fā)利用”的立法理念，參考各國(guó)的經(jīng)驗(yàn)，制定特殊原則：一是禁止原則。為充分保護(hù)個(gè)人生物識(shí)別信息安全，除非法律允許，原則上禁止“僅以識(shí)別自然人為目的”的收集、儲(chǔ)存、傳輸、處理、使用或者披露個(gè)人生物識(shí)別信息。為了保護(hù)國(guó)家安全，尤為應(yīng)當(dāng)禁止向境外非法傳輸個(gè)人生物識(shí)別信息。二是明示同意原則。在法定范圍內(nèi)收集個(gè)人生物識(shí)別信息之前，應(yīng)當(dāng)單獨(dú)向信息主體告知收集、使用生物識(shí)別信息的目的、方式與范圍，以及存儲(chǔ)的時(shí)間等，并獲得信息主體的明示同意。三是法定必需原則。只有法律明確規(guī)定的情形下，才可以不經(jīng)過(guò)信息主體的同意而處理個(gè)人生物識(shí)別信息。法定情形的設(shè)定，需要經(jīng)過(guò)風(fēng)險(xiǎn)評(píng)估，并且符合“比例原則”的基本要求?？v觀已有立法，大致包括：為履行工作職責(zé)必需；為實(shí)現(xiàn)實(shí)質(zhì)性的公共利益與維護(hù)公共安全必需；對(duì)于數(shù)據(jù)處理主體或另一自然人的核心利益必需；基金、協(xié)會(huì)或其他非盈利組織已經(jīng)采取了恰當(dāng)?shù)谋Ｗo(hù)措施而進(jìn)行的正當(dāng)性活動(dòng)必需；對(duì)于提起、行使或辯護(hù)法律性主張必需或者法院的司法活動(dòng)必需；對(duì)于預(yù)防性醫(yī)學(xué)或臨床醫(yī)學(xué)目的必需等②General Data Protection Regulation.Art.9。。

（三）明確個(gè)人生物識(shí)別信息主體的權(quán)利條款

法律以權(quán)利為關(guān)注焦點(diǎn)，“法律為客觀的權(quán)利，權(quán)利為主觀的法律?！盵15]在個(gè)人生物識(shí)別信息保護(hù)的立法中，對(duì)信息主體享有的權(quán)利予以明確是立法的核心宗旨，亦是引導(dǎo)相關(guān)保護(hù)措施設(shè)計(jì)、決定保護(hù)深度與質(zhì)量的關(guān)鍵。

結(jié)合各國(guó)的立法經(jīng)驗(yàn)，個(gè)人生物識(shí)別信息主體主要享有權(quán)利：其一信息決定權(quán)，即生物識(shí)別信息主體得以直接控制與支配其個(gè)人信息，并決定是否被收集、處理、利用的權(quán)利。“信息決定權(quán)是個(gè)人信息權(quán)的首要內(nèi)容，它直接說(shuō)明了個(gè)人信息的權(quán)利歸屬，決定了個(gè)人信息的命運(yùn)。”[16]239信息決定權(quán)是信息主體意思自治的體現(xiàn)，這便要求以充分的知情為基礎(chǔ)。由于個(gè)人生物識(shí)別信息關(guān)聯(lián)著個(gè)人基本權(quán)利，只有在獲得信息主體明示同意的情況下，信息處理者才能在法定范圍內(nèi)處理個(gè)人生物識(shí)別信息。其二信息查詢權(quán)，即個(gè)人生物識(shí)別信息主體具有查詢其信息被收集、處理與利用的權(quán)利，包含信息處理者對(duì)信息主體的主動(dòng)告知和信息主體提請(qǐng)查詢兩種方式。信息查詢權(quán)是一項(xiàng)基本權(quán)利，但是也存有某些例外，比如在查詢可能損害他人重大利益，擾亂公共秩序，危害公共安全等情況下，應(yīng)該限制或者禁止查詢[17]。其三信息更正權(quán)，即個(gè)人生物識(shí)別信息主體請(qǐng)求信息控制者對(duì)不正確的個(gè)人生物識(shí)別信息進(jìn)行更正、補(bǔ)充的權(quán)利。其中“不正確”應(yīng)當(dāng)采用廣義的理解，包括“不正確、不完整、不最新”三種情形。其四信息封鎖權(quán)，即在法定或約定事由出現(xiàn)時(shí)，個(gè)人生物識(shí)別信息主體有權(quán)請(qǐng)求信息控制者以一定方式暫停處理和利用個(gè)人生物識(shí)別信息?！靶畔⒎怄i權(quán)的行使對(duì)象是已經(jīng)被收集的個(gè)人信息，行使事由有兩個(gè)：一是個(gè)人信息的正確性處于不確定狀態(tài)，二是個(gè)人信息的完整性處于不確定的狀態(tài)?！盵16]246由此可見(jiàn)，信息封鎖權(quán)大多情況下是信息更正權(quán)的配套措施，在行使信息更正權(quán)之前，信息主體大多會(huì)行使信息封鎖權(quán)，以防止不正確信息的利用給自身造成損害。其五信息刪除權(quán)，即基于法定或約定的事由，信息主體要求信息控制者刪除其個(gè)人信息的權(quán)利。行使此項(xiàng)權(quán)利的事由主要包括：收集、處理與利用之初沒(méi)有得到明示同意、處理與利用的目的消失、處理與利用期限屆滿、處理與利用超出約定或法定的范圍等[16]248?！皠h除”應(yīng)當(dāng)達(dá)到“不得復(fù)認(rèn)”的狀態(tài)，即不僅原信息無(wú)法被再次辨認(rèn)使用，而且沒(méi)有再次提供該信息的可能。其六信息收益權(quán)，即基于商業(yè)目的而被相關(guān)市場(chǎng)使用時(shí)，信息主體可以要求使用者支付相應(yīng)對(duì)價(jià)，這是個(gè)人信息支配權(quán)的體現(xiàn)。

（四）細(xì)化個(gè)人生物識(shí)別信息處理者的行為規(guī)范

個(gè)人信息保護(hù)經(jīng)歷了從“積極確權(quán)模式”到“行為規(guī)范模式”的轉(zhuǎn)變與融合，其中“行為規(guī)范模式”是指基于對(duì)個(gè)人信息運(yùn)用可能帶來(lái)的潛在風(fēng)險(xiǎn)與影響而為處理者設(shè)置相應(yīng)的行為規(guī)范，以此為個(gè)人信息的收集、開(kāi)發(fā)、持有以及泄露等階段提供規(guī)范引導(dǎo)，進(jìn)而實(shí)現(xiàn)個(gè)人信息的保護(hù)[18]。個(gè)人生物識(shí)別信息的保護(hù)以及上述信息主體權(quán)利的實(shí)現(xiàn)，需要信息處理者遵循立法設(shè)定的行為規(guī)范，事實(shí)上美國(guó)伊利諾伊州的《生物識(shí)別信息隱私法案》、歐盟的《通用數(shù)據(jù)保護(hù)條例》、印度的《2019年個(gè)人數(shù)據(jù)保護(hù)法》等均采用此種模式?！皬男袨橹髁x的進(jìn)路出發(fā)，個(gè)人信息保護(hù)應(yīng)當(dāng)根據(jù)不同行為所可能侵犯?jìng)€(gè)人和社會(huì)的權(quán)益而進(jìn)行不同程度的規(guī)制。”[19]在大數(shù)據(jù)時(shí)代，個(gè)人生物識(shí)別信息的應(yīng)用場(chǎng)景紛繁復(fù)雜，并且受到多重因素的影響，僵化的、不變的措施可能難以展開(kāi)有效的保護(hù)，因此在具體行為規(guī)范的制定中，要結(jié)合個(gè)人生物識(shí)別信息的不同應(yīng)用“場(chǎng)景”，以及不同應(yīng)用場(chǎng)景中個(gè)人生物識(shí)別信息的處理行為給信息主體帶來(lái)的風(fēng)險(xiǎn)，進(jìn)行綜合考量。

事實(shí)上，《民法典》第111條①《民法典》第111條：自然人的個(gè)人信息受法律保護(hù)。任何組織和個(gè)人需要獲取他人個(gè)人信息的，應(yīng)當(dāng)依法取得并確保信息安全，不得非法收集、使用、加工、傳輸他人個(gè)人信息，不得非法買賣、提供或者公開(kāi)他人個(gè)人信息。、《網(wǎng)絡(luò)安全法》第4章以及《數(shù)據(jù)安全法（草案）》已經(jīng)從信息的收集、利用、持有三個(gè)階段大致設(shè)定了個(gè)人信息處理的一般規(guī)則，個(gè)人生物識(shí)別信息保護(hù)立法應(yīng)在此基礎(chǔ)上，結(jié)合個(gè)人生物識(shí)別信息的特殊屬性進(jìn)行規(guī)定。首先，信息收集階段，收集者應(yīng)當(dāng)依法取得個(gè)人生物識(shí)別信息，并經(jīng)信息主體的“明示同意”。為防止“明示同意”形同虛設(shè)，要求信息收集者應(yīng)當(dāng)進(jìn)行清晰明確的告知與風(fēng)險(xiǎn)披露，以便個(gè)人生物識(shí)別信息主體自主作出選擇。其次，信息開(kāi)發(fā)利用階段，不得非法買賣、傳輸、使用、加工個(gè)人生物識(shí)別信息。其中，“非法”應(yīng)采取廣義的理解，不僅包括不得違反法律、法規(guī)、規(guī)章等法律規(guī)范的規(guī)定，而且包含不得違反雙方的約定。尤為注意的是，為防止僵化地審視是否符合當(dāng)事人的同意，對(duì)個(gè)人生物識(shí)別信息的處理是否合理，應(yīng)當(dāng)綜合考量所引發(fā)的風(fēng)險(xiǎn)是否符合信息主體的合理預(yù)期，是否可以為信息主體所接受。再次，信息持有階段，確保個(gè)人生物識(shí)別信息安全。由于信息持有者的不當(dāng)儲(chǔ)存行為可能引發(fā)個(gè)人生物識(shí)別信息泄漏的風(fēng)險(xiǎn)，所以應(yīng)當(dāng)通過(guò)隱私設(shè)計(jì)政策、安全保障措施進(jìn)行安全風(fēng)險(xiǎn)防范，消除因持有、儲(chǔ)存等行為引發(fā)侵犯公民權(quán)利的風(fēng)險(xiǎn)。比如區(qū)別于一般個(gè)人信息的儲(chǔ)存方式，原則上不儲(chǔ)存?zhèn)€人生物識(shí)別信息，如果基于特殊需要進(jìn)行儲(chǔ)存，則僅儲(chǔ)存摘要信息、與個(gè)人身份信息分開(kāi)存儲(chǔ)、采取加密措施等②2020年《信息安全技術(shù)個(gè)人信息安全規(guī)范》（6.3）“個(gè)人敏感信息的傳輸與存儲(chǔ)”已對(duì)此進(jìn)行規(guī)定：對(duì)個(gè)人信息控制者的要求包括：（a）傳輸和存儲(chǔ)個(gè)人敏感信息時(shí)，應(yīng)采用加密等安全措施；（b）個(gè)人生物識(shí)別信息應(yīng)與個(gè)人身份信息分開(kāi)存儲(chǔ)；（c）原則上不應(yīng)存儲(chǔ)原始個(gè)人生物識(shí)別信息（如樣本、圖像等），可采取的措施包括但不限于：（1）僅存儲(chǔ)個(gè)人生物識(shí)別信息的摘要信息；（2）在采集終端中直接使用個(gè)人生物識(shí)別信息實(shí)現(xiàn)身份識(shí)別、認(rèn)證等功能；（3）在使用面部識(shí)別特征、指紋、掌紋、虹膜等實(shí)現(xiàn)識(shí)別身份、認(rèn)證等功能后刪除可提取個(gè)人生物識(shí)別信息的原始圖像。。最后，信息泄露后的報(bào)告義務(wù)。為了降低個(gè)人生物識(shí)別信息泄露后的風(fēng)險(xiǎn)，信息處理者應(yīng)當(dāng)及時(shí)將泄露情況有效地告知信息主體，并應(yīng)當(dāng)向信息監(jiān)管機(jī)關(guān)報(bào)告。

（五）設(shè)置個(gè)人生物識(shí)別信息的多元化保護(hù)機(jī)制

個(gè)人生物識(shí)別信息的保護(hù)不僅需要信息主體、信息控制者、信息處理者的自律，而且需要國(guó)家積極構(gòu)建保護(hù)機(jī)制。為實(shí)現(xiàn)保護(hù)的充分性，應(yīng)當(dāng)從行政、民事和刑事三個(gè)方面構(gòu)建。

相較于民事與刑事保護(hù)機(jī)制，行政保護(hù)機(jī)制具有事前預(yù)防、高效便捷等優(yōu)勢(shì)。在行政保護(hù)機(jī)制方面，首先應(yīng)當(dāng)設(shè)置獨(dú)立的監(jiān)管機(jī)構(gòu)。美國(guó)伊利諾伊州設(shè)有“生物識(shí)別信息隱私調(diào)查委員會(huì)”，印度設(shè)有“數(shù)據(jù)保護(hù)局”，為解決分散化、多頭化的監(jiān)管機(jī)構(gòu)帶來(lái)的監(jiān)管難題，中國(guó)應(yīng)當(dāng)明確網(wǎng)信辦的獨(dú)立監(jiān)管地位，并在其內(nèi)部設(shè)置“生物識(shí)別信息監(jiān)管處”，實(shí)現(xiàn)統(tǒng)一監(jiān)管。同時(shí)劃清相關(guān)監(jiān)管部門之間的機(jī)構(gòu)職責(zé)，實(shí)現(xiàn)層級(jí)化、部門化政府機(jī)構(gòu)的協(xié)同監(jiān)管。其次，明確監(jiān)管機(jī)構(gòu)的法定職權(quán)，包括審查權(quán)、許可權(quán)、檢查權(quán)、調(diào)查權(quán)、扣押權(quán)、處罰權(quán)、受理控訴權(quán)、糾紛解決權(quán)等。同時(shí)監(jiān)管機(jī)構(gòu)應(yīng)當(dāng)根據(jù)不同應(yīng)用場(chǎng)景的風(fēng)險(xiǎn)設(shè)置不同的監(jiān)管方式，以風(fēng)險(xiǎn)預(yù)防理念為指引，結(jié)合個(gè)人生物識(shí)別信息應(yīng)用的不同環(huán)節(jié)，通過(guò)行政處罰、行政許可等強(qiáng)制性監(jiān)管方式與行政約談等非強(qiáng)制性監(jiān)管方式的結(jié)合，實(shí)現(xiàn)貫穿個(gè)人生物識(shí)別信息處理生命周期的動(dòng)態(tài)風(fēng)險(xiǎn)監(jiān)管。最后，個(gè)人生物識(shí)別信息的保護(hù)需要專業(yè)能力與技術(shù)能力作支撐，因此應(yīng)當(dāng)配置具有行政專長(zhǎng)的復(fù)合型監(jiān)管人才，并通過(guò)聘請(qǐng)專家、顧問(wèn)等方式彌補(bǔ)監(jiān)管機(jī)構(gòu)專業(yè)技術(shù)能力的不足，提升監(jiān)管效能。

在民事保護(hù)機(jī)制方面，核心在于建立個(gè)人生物識(shí)別信息的損害賠償救濟(jì)機(jī)制。在立法體系中應(yīng)當(dāng)明確個(gè)人生物識(shí)別信息不同處理階段、不同信息處理主體的法律責(zé)任，結(jié)合“隱私風(fēng)險(xiǎn)”確定差異化的法律責(zé)任體系。由于個(gè)人生物識(shí)別信息的侵權(quán)行為大多屬于“程序性違法”行為，比如在收集、使用個(gè)人生物識(shí)別信息之前沒(méi)有履行告知義務(wù)、沒(méi)有獲得明確的同意，同時(shí)濫用、泄露個(gè)人生物識(shí)別信息的“損害”往往難以認(rèn)定，所以“最大的問(wèn)題是如何確認(rèn)侵害知情權(quán)、民事同意權(quán)等程序性權(quán)利的損害事實(shí)和結(jié)果。”[2]85對(duì)此可以借鑒域外國(guó)家的經(jīng)驗(yàn)，即在規(guī)定過(guò)錯(cuò)責(zé)任原則的同時(shí)實(shí)行舉證責(zé)任倒置，以化解程序性違法行為的損害賠償難題。同時(shí)，根據(jù)《民法典》第1 034條規(guī)定，個(gè)人生物識(shí)別信息屬于個(gè)人信息的范疇，并屬于私密信息，應(yīng)當(dāng)適用有關(guān)隱私權(quán)的規(guī)定。應(yīng)以中國(guó)民法規(guī)范中隱私權(quán)損害賠償條款為基礎(chǔ)，結(jié)合損害的性質(zhì)與程度、主觀過(guò)錯(cuò)、信息處理者實(shí)施措施的透明度與問(wèn)責(zé)性等因素，對(duì)損害賠償責(zé)任進(jìn)行綜合考量。在此基礎(chǔ)上，承擔(dān)停止侵害、排除妨礙、消除危險(xiǎn)、賠償損失等侵權(quán)責(zé)任。

刑事保護(hù)機(jī)制是個(gè)人生物識(shí)別信息保護(hù)的最后防線，主要通過(guò)設(shè)置相應(yīng)的刑罰進(jìn)行保護(hù)。美國(guó)在1989年設(shè)置“身份盜竊”罪，其中非法故意轉(zhuǎn)移、使用生物識(shí)別信息用于違法活動(dòng)的行為就屬于此種犯罪情形[20]，美國(guó)2003年制定《身份盜竊處罰增強(qiáng)法》；韓國(guó)《個(gè)人數(shù)據(jù)保護(hù)法》規(guī)定“非法處理唯一標(biāo)識(shí)罪”。立足中國(guó)語(yǔ)境，基于罪刑法定與法律保留原則，刑事處罰只能由刑法進(jìn)行規(guī)定，因而在嚴(yán)重侵害公民個(gè)人生物識(shí)別信息的問(wèn)題上，可以采用“指引條款”的立法技術(shù)，規(guī)定“侵犯公民個(gè)人生物識(shí)別信息情節(jié)嚴(yán)重，構(gòu)成犯罪的，依據(jù)《刑法》第253條之一侵犯公民個(gè)人信息罪追究刑事責(zé)任”。