新闻中心

NEWS CENTER

首页

视点｜个人生物识别信息权利风险及保护路径探析

Published:

2024-12-23

2021年4月9日，人脸识别第一案以原告的获胜而告终，但对人脸识别技术运用所带来的个人权利保障问题的探讨却从未停息。在人脸识别技术安全性尚未得到充分证实的情况下，该技术已经逐步渗透到治安、金融、交通、房产等不同的应用场景中，个人被卷入无限生物识别特征数据的全息链接，犹如脱缰野马，冲击着现有的个人权利保护体系。本文秉承以法治手段促进科技向善的理念，深入探讨当下人脸识别技术的运用给个人权利保护带来的隐忧，并在借鉴西方法治国家相关规定和司法实践的基础上，提出了构建以个人生物识别信息知情权、自决权和救济权为主的“三权”体系，试图更加立体饱满地约束个人生物识别信息的收集与处理行为，并探索出一条中国范式的个人生物识别信息权利保障体系。

内容摘要：2021年4月9日，人脸识别第一案以原告的获胜而告终，但对人脸识别技术运用所带来的个人权利保障问题的探讨却从未停息。在人脸识别技术安全性尚未得到充分证实的情况下，该技术已经逐步渗透到治安、金融、交通、房产等不同的应用场景中，个人被卷入无限生物识别特征数据的全息链接，犹如脱缰野马，冲击着现有的个人权利保护体系。本文秉承以法治手段促进科技向善的理念，深入探讨当下人脸识别技术的运用给个人权利保护带来的隐忧，并在借鉴西方法治国家相关规定和司法实践的基础上，提出了构建以个人生物识别信息知情权、自决权和救济权为主的“三权”体系，试图更加立体饱满地约束个人生物识别信息的收集与处理行为，并探索出一条中国范式的个人生物识别信息权利保障体系。

关键词：个人生物识别信息；人脸识别；三权

引言

自人脸识别技术被推广应用以来，由此产生的争议从未停息，其中较为典型的案例如小区门禁强制实施人脸识别遭业主反对，支付软件人脸识别系统漏洞被非法利用，售楼处通过人脸识别技术非法获取客户信息等等，诸如此类的消息屡见报端。人脸识别技术的肆意推广，仿佛打开了潘多拉的盒子，在不同层面、不同领域撕扯、冲击着原有的社会关系，加剧了特定群体之间的对立。诚然，该项技术的应用在某种程度上提升了社会管理的水平和效率，也便捷了民众的工作和生活，但是科技的双刃剑在人脸识别技术上同样展现得淋漓尽致，它在造福于人的同时，也在一定程度上侵犯了个人权利。面对人脸识别对于个人权利的围猎，在权利保障上，不应再落入“先污染后治理”的窠臼，应乘《民法典》人格权编破题之势，借《个人信息保护法》正式施行之契机及早介入，提前布局，从法律规范层面予以廓清，缩限人脸识别的正当性边界。

一、摄像头下的权利隐忧

面部特征信息极具私人性特征，难以真正实现去识别化，基于其内在的脆弱性，相对于其他技术给个人权益所造成的负面影响而言，人脸识别技术对个人权益的损害更具隐蔽性和侵入性。具体体现在以下几个方面：

（一）威胁个人信息安全

信息时代催生的数据经济使得数据价值以可量化、可视化的姿态呈现于世人，个人信息在数据洪流中被摘取、整合、分析，形成完整的数据包（链）以商品化的形式进入市场流通。例如，在房地产销售领域，潜在购房者一旦进入售楼处便会被分布各处的摄像头抓取面部信息，借助人脸识别和大数据技术，整合其在不同场景有意或无意留存下信息痕迹，如电话号码、身份证号码、个人简历等，据此形成完整的个人信息链条，致使潜在购房者以饱满而赤裸的形象呈现给销售一方，进而为销售方采取针对性的销售策略提供了参照和依据。同时，这些数据还可以通过有偿形式售卖给同行，或其他关联行业，个人信息在不可控的情况下无限扩散，由此引发了诸如现实生活中因关注某一消费点而遭到不同商家电话、信息“轰炸”的现象，给个人信息安全造成较大威胁。

再进一步，当人脸识别技术与增强现实技术（AR）相结合，其对个人权益的破坏性会进一步放大，即实现对个人信息的预测。美国学者Alessa and Acquisti、Ralph Gross 和 Fred Stutzman在2010年进行了三项著名实验来识别陌生人，他们将人脸识别与数据挖掘结合起来，融合在线数据和离线数据，推断出其个人敏感信息。实验结果表明，通过个人面部特征信息并利用AR技术，可以实时识别并预测个人的其他敏感信息。[]十多年的时间已经过去，现在的技术发展界阶远超过往，在线数据和离线数据的无缝衔接，使得个人信息预测的准确性和全面性进一步提升，给个人信息所造成的潜在威胁和现实侵害也在不断升级。

（二）动摇社会信任基础

信任是社会交往的基石和根本，伴随着社会文明的进步与发展，信任已经突破了个人关系的范畴，演化为一种社会关系，并根植于社会生活的方方面面。卢曼（Luhmann，1979）从一种新功能主义的理论角度来界定信任，他认为信任是用来减少社会交往复杂性的机制，它之所以具备该项社会功能是因为信任能超越现有的信息去概括出一些行为的预期，从而用一种带有保障性的安全感来弥补所需要的信息。[]从卢曼对于信任的界定中可以推导出，信任基于信息对等的基础得以建立，这种信息对等给彼此带来了安全感。然而，在人脸识别的技术加持下，交往一方或已破解了另一方的数字身份，形成了对另一方的信息优势，在这种情况下，普遍而近似的态度以及可预期的行为模式变得模糊，双方的信任基础被打破。在具体应用场景中，如人脸识别支付、人脸识别通行、人脸识别认证等，则进一步放大了信任失衡的风险，不断出现的有关违法犯罪行为，[]动摇的或是整个社会的信任基础。

（三）束缚个人消极自由

美国法学家弗里德曼曾生动地刻画过陌生感：“当我们走在大街上，陌生人保护我们，如警察；或威胁我们，如犯罪。陌生人扑灭我们的火灾，陌生人教育我们的孩子，建筑我们的房子，用我们的钱投资。陌生人在收音机、电视或报纸上告诉我们世界上的新闻。当我们乘坐公共汽车、火车或飞机旅行，我们的生命便掌握在陌生人手中。如果我们得病进医院，陌生人切开我们的身体、清洗我们、护理我们、杀死我们或治愈我们。如果我们死了，陌生人将我们埋葬”。[]诚如斯言，在陌生人社会中，我们几乎将所有都给予了他人。相对于传统社会，现代社会给予人类的重要馈赠——陌生感，其背后承载的是个体不被干涉的消极自由，即便是我们无意隐藏自己的行踪、面貌等个人信息，但仍有对他人对自己视而不见、听而不闻的合理期待。正是基于这种合理期待使得个性得以张扬，社会更加包容、多元，避免了个体因行为、外表、民族、性别等差异而受到歧视。并且，这种合理期待已经逐步演化成为公共区域人与人之间“礼貌性不关注”的社会基本范式。

人脸识别技术的推广应用无疑破坏了这种陌生感，陌生感的消失并没有带来如费孝通先生所描述的熟人社会中的安全感，反而造成了社会的不安和焦虑，这就像一个没有警察的社区当然可能是危险的，但处处都是警察的社区或许更加危险。人脸识别技术突破了陌生社会中“阅后即焚”的面容记忆限制，个人面部信息被数字化留存、沉淀，时间越久被滥用的风险越大，而且这种风险会持续存在，进而给消极自由形成了一种无形的束缚。

二、规范人脸识别技术的域外镜鉴

他山之石，可以攻玉。人脸识别技术滥觞于国外，成熟于国内，西方国家对于该项技术的应用多持审慎态度。例如，2019年12月，欧盟《人工智能白皮书（草案）》曾明确在公共场所使用人脸识别技术将被禁止3至5年的时间，尽管欧盟委员会最终删除了该条禁令，但对使用人脸监控等远程生物识别系统进行了严格限制。在美国，2019年5月，旧金山成为首个禁止警察和其他政府机构使用面部监控的城市，随后，马萨诸塞州的萨默维尔、加州奥克兰和圣地亚哥亦积极效仿。2020年6月，在明尼阿波利斯警方杀害乔治·弗洛伊德（George Floyd）引发全国抗议的背景下，IBM、亚马逊、微软相继宣布暂停用于监控的人脸识别技术。亚马逊的暂停期为一年，而微软表示，在法律出台之前，其暂停期是无限期的。为应对人脸识别技术运用给个人权利造成的冲击，西方国家除了从技术层面进行限制外，更多的是从法律层面加以规范，其中较为典型的有美国和欧盟。

（一）美国伊利诺伊州《生物识别信息隐私法案》

在立法层面，美国对于人脸识别技术的立法规制主要依托1974年制定的《隐私法》这一全国性法律规范，并在此框架下，将人脸识别技术纳入到生物识别信息保护的范畴。在联邦层面尚未出台专门的法案加以规范，但各个州针对生物识别信息保护问题开展了一系列立法活动，如华盛顿特区的《生物识别信息法》、伊利诺伊州的《生物识别信息隐私法案》，德克萨斯州的《生物识别信息获得使用法》等，其中较为典型的当属伊利诺伊州的《生物识别信息隐私法案》（以下简称“BIPA”）。BIPA对生物识别信息采集相关主体的权利义务、信息采集处理的限制性规定、免责条款和权利救济等内容进行了全面的规定，其中，对于相关主体的权利义务构建遵循“权利自决”的原则，赋予了生物识别信息主体知情权、同意权和自决权。同样将权利所对应的义务如信息采集告知义务、信息安全保障义务等施加于信息采集主体一方。在信息采集处理的限制性规定中，设定了三项禁止性行为，即禁止个人生物识别信息的交易行为，禁止私人主体的获利行为，禁止未经同意的信息处理行为，为了平衡私人利益和公共利益之间的关系，BIPA设定了三项豁免条款，即经个人信息识别主体同意、依照法律规范规定和法院司法行为要求。在权利救济方面，BIPA明确了损害赔偿和行为禁令两项救济路径，其中损害赔偿不以权利主体造成实质损害为前提，只要个人生物识别信息采集处理主体违反了上述程序或禁令，便可认定为“违约行为”[]而承担赔偿责任。

在司法实践层面，发生于伊利诺伊州的Rosenbach V.Six Flags Entertainment Corporation案中，被告Six Flags公司因违反BIPA程序规定获取了原告14岁儿子的个人生物识别信息被诉至法院，伊利诺伊州最高法院认为虽然Six Flags公司的行为并未给原告儿子造成实质性损害，但基于网络时代个人信息侵害的不可逆性，其违反BIPA的行为实质上构成了对个人生物识别信息主体法定权益的威胁或剥夺，因此法院判决被告承担赔偿责任。在该案例中，伊利诺伊州法院进一步明确，无论企业为符合BIPA的要求而产生多大的成本，这些费用与个人因生物识别信息未得到充分保护而遭受的实质且不可恢复的损害相比都是微不足道的。[]该案例，是对BIPA立法精神的昭示和彰显，更是将个人权利保障凌驾于商业行为之上的宣言。

（二）欧盟《通用数据保护条例》

欧盟历来走在技术与立法的前沿，对于人脸识别技术既希望其能够造福社会，同时也寻求与个人权益保护的平衡。目前，欧盟没有专门的立法去规范人脸识别技术的运用，而是依托《通用数据保护条例》（以下简称“GDPR”），构建起了跨越民法、刑法和行政法等不同法律部门的综合性立法模式，具体内容涵盖了个人生物识别信息的概念、属性、保护原则、监管和救济渠道等。相较于BIPA二者存在一定的共性，如GDPR确定的法定原则、自愿原则和禁止处理原则在BIPA中均有所体现，二者都在寻求个人权利保障与公共利益维护之间的平衡，在权利救济上都赋予了个人生物识别信息主体损害赔偿请求权，且权利的行使不以造成实质损害为前提。

当然，GDPR有其自身特点，首先，基于对个人信息保护的理论基础和立法实践，欧盟对个人信息按照敏感程度划分为普通信息和敏感信息，对于个人信息的敏感程度不同采取不同层级的立法保护措施，如宗教信仰、种族信息、政治倾向等作为高度敏感信息被禁止识别和处理。个人生物识别信息被纳入到了特殊敏感个人信息的范畴，给予高度保护，也是对上文中所提到的人脸识别技术束缚个人消极自由而产生社会歧视的呼应。其次，在权利救济上，GDPR更加全面完备，不仅为个人生物识别信息主体开通了司法救济的渠道，而且也明确了行政申诉渠道，不仅赋予了个人生物识别信息主体的救济权利，而且也给予了个人生物识别信息使用主体抗辩的权利。无救济便无权利，相对完备的权利救济体系，更好地保障了个人生物识别信息主体的个人权利。

在司法实践中，GDPR也得到了严格的贯彻执行，其中以瑞典Anderstorps中学人脸识别考勤实验案为著，该案中Anderstorps中学为学生考勤之便利，在征得学生及其家长同意后采取人脸识别技术进行考勤实验，该行为被瑞典数据检查局处以2万欧元罚款。[]瑞典数据检查局主要依据 GDPR Art.5 (1) c)、GDPR Art. 9、GDPR Art. 35、GDPR Art.36，即最小原则法、特殊类别数据处理规定、数据影响评估和事先咨询等，对Anderstorps高中进行了处罚。瑞典数据检查局认为，Anderstorps中学在未与监察局事前沟通，并未进行数据影响评估的情况下，违背最小化原则，对禁止领域的特殊数据进行了采集和使用，尽管征得了学生及其家长的同意，但基于二者不平等的关系，不符合GDPR 规定的：“同意须为自由作出（Freely Given）”这一要求，因此学生及其家长的同意存在瑕疵，不具有合法性基础。该案例依托GDPR将人脸识别技术下的权利保障抬升到了一个新的高度，赋予了权利相对人严格的保障责任。

三、人脸识别技术法律规制的途径探析

人脸识别技术主要是对个人生物识别信息的滥用，而个人生物识别信息的所有人所涉权利即个人生物识别信息权。为个人生物识别信息权提供周延的保护，首先需厘清其法律性质，目前国内学界对于个人生物识别信息的法律性质尚无定论，《民法典》第一百一十一条宣示保护个人信息权利，第一千零三十四条将生物识别信息纳入到个人信息保护的范畴，但关于个人生物识别信息属于民事权利[]亦或民事利益[]的争论持续至今，即便是主张民事权利的一方，内部也存在财产权、人格权、隐私权、个人信息权的争论。[]限于篇幅本文不深入探讨其法律性质，基于陈甦教授、杨立新教授等人对于个人信息权的理论支持，以及2021年11月1日，《中华人民共和国个人信息保护法》正式实施的现实契机，本文采纳生物识别信息属个人信息权的观点。

对于人脸识别技术的法律规制应走出一条中国范式的路径，在借鉴域外立法实践和经验的基础上，尤其是借鉴GDPR和BIPA的相关内容，本文试图勾勒出以知情权为基础，以自决权为核心，以救济权兜底的“三权”架构，以此形成权利运行的闭环，为权利人提供相对周延的保护。

（一）知情权

知情权作为个人生物识别信息权利保护体系中的首要权利，构建起了个人生物识别信息权利保护的根基，其他权利的实现均以知情权为基础，衍生出更为细致周延的保护权种。知情权以个人尊严作为逻辑起点，尊重个人的存在和价值，充分体现了以人为本的法律理念。个人生物识别信息知情权是指通过书面、口头或其他行为方式获知个人生物识别信息被采集、使用、处理的权利。在权利实现过程中，权利主体多处于相对被动的状态，主要依赖义务人通过作为或不作为的方式予以保障。

知情权的保护可分为两个层面，一是显性知情权保护，权利人通过各种载体直接明了获知个人生物识别信息将被采集、使用或处理的客观事实便可实现，如银行在营业厅明示室内摄像头对客户信息进行采集，并告知其使用目的等；二是隐性知情权保护，权利人无法直接简明地获知个人生物识别信息将被采集、使用或处理的客观事实，但基于自身的某一行为而被推定已经获知，如隐匿在客户协议等权利人不易发现的载体中，并依托同意规则被动获知的情况。就前者而言，应通过立法明确信息采集主体的告知义务，压实信息收集、使用或处理人维护信息权利人知情权的主体责任，并且应细化告知的时间、地点、方式、范围等，确保权利人能够便捷、简明地获知信息被采集的客观事实。就后者而言，主要依托现有的同意规则加以保护，隐性知情权的保护以同意规则为桥梁，权利人并借此获知个人生物识别信息被收集、使用或处理的客观事实。我国的同意规则衍生于《网络安全法》《消费者权益保护法》《信息安全技术个人信息安全规范》等规范性文件，但在实践中同意规制存在被动同意、强制同意的情况，为避免个人生物识别信息权利人知情权“重蹈覆辙”，需构建“单独充分明示”的告知程序，并排除“推定同意”“默示同意”等变相剥夺信息权利人知情权的情况。

（二）自决权

自决权是个人生物识别信息保护体系中的核心权利，广义上的自决权包括上文提到的知情权中的同意他人获取、使用或处理个人生物识别信息权利，在此仅就狭义上的自决权即将同意规则排除在外进行阐述分析。据此，个人生物识别信息自决权是指权利人自行决定个人信息上传或被获取节点、方式、时间，以及对已上传信息选择性更改、删除和转移的权利。自决权作为个人生物识别信息知情权的延伸，其内涵和外延相对于知情权更为丰富和宽泛，权涉主体也更为多元化。

公民个人生物识别信息自决权的保护需要从正反两个层面加以保护，首先就权利主体的正向赋权而言，法律规范应赋予权利主体对于个人生物识别信息被采集、存储、使用、处理、传播等各个环节的介入和决策权，并围绕上述介入和决策权对权利相对人形成一定的约束，尤其对反自动化决策约束，随着人工智能手段的不断运用，信息自动化处理的能力不断加强，个人生物识别信息的采集、使用、处理过程被自动化决策的概率越来越高，而自动化决策环节则是个人生物识别信息泄漏、篡改、扩散的重灾区，为此，对于信息自动化决策应赋予信息权人的充分自决权，可通过拒绝、撤销等权利行使通道加以实现。

其次，就权利相对人逆向加责而言，公民个人生物识别信息自决权的保护，不仅需要对权利人正向的法律赋权，还需要对权利相对人逆向的责任加持，而权利相对人的逆向加责可从两个方面入手：

一是，在技术层面。人脸识别等个人生物信息采集技术的背后本质上是依托算法实现，从源头上控制好算法即完成了法律规则的主要任务。个人生物识别信息的采集人、处理人在采集或处理信息时，应提交算法保障，在存储或分类信息算法中对个人不同类别信息加以隔离或设置加密程序，禁止企业和机构通过数据库对所收集的生物特征信息与其他信息进行交叉匹配，把公民变成“透明人”或者“计算人”，进而引发人脸识别的伦理和法律危机。同时，针对个人生物信息采集、应用所衍生出的社会歧视问题，可从增强算法透明度的法律规制路径切入，算法透明度能尽快定位算法歧视引发的问题根源，从而科学评估、分析遭受影响的范围群体，以便相关主体及时更新改进算法模型。

二是，在目的层面。个人生物识别信息在商业浪潮中被赋予了新的使命，并且在不同的商业领域展现着不同的商业价值，有些商业领域个人生物识别信息成为商业目的实现的主要因素，而有些领域则不然，对于前者而言，如美图秀秀、抖音短视频等软件，对权利人个人生物识别信息的采集是实现其商业目的的主要途径。针对该等商业模式下的权利保护，应自个人信息被采集后，设置一定期限的责任冻结期，一旦期限届满责任解冻，权利相对人应随即承担起删除相关个人生物识别信息的责任，以便保障权利人的个人信息不被滥用。之所以赋予权利相对人定期删除个人生物识别信息的责任，主要是基于人的惰性考量，从日常生活来看，大部分人对于个人信息都缺乏足够的重视和关注，尤其是在人脸识别技术泛滥的背景下，无人能够独善其身，也鲜有谨小慎微对待个人生物识别信息的个人。因此，将定期删除个人生物识别信息的责任强加给权利相对人（多为机构），更加体现立法的人性化。

当然，自决权并非绝对权利，过多的放任自决权必然导致私人诉求与他人自由或公共利益的冲突甚至对抗，应合理配置个人、他人和国家之间的权利义务，并为后期的修正和调整预留足够法律空间，增强权利的柔性因素。

（三）救济权

无救济则无权利。救济权是个人生物识别信息权利体系中的兜底性权利，是基于上述知情权和自决权而派生出的权利，旨在救济被损害的原权利。针对个人生物识别信息权利的保护特点，可从两个层面实现权利救济。

一是，行政救济。行政救济很好地满足了个人生物识别信息权利保护的迫切性要求，畅通权利人行政救济渠道是保障救济权得以实现的前提，借鉴BIPA的做法，我国可以将国家互联网信息办公室（以下简称“网信办”）作为个人生物识别信息权利保护申诉机关，内设“生物识别信息监管处”专门负责个人生物识别信息权利保护申诉问题。将《民法典》相关规定作为立法依据，网信办可制定颁布《个人生物识别信息权利保护暂行办法》，明确权利人行政救济的主体资格、申诉程序、惩戒措施等，同时明确网信办具有调查权、许可权、扣押权、处罚权等行政权力，为更好地救济个人生物识别信息权利提供权力支撑。

二是，司法救济。司法救济是人生物识别信息权利保护最有力，也是最后的救济渠道，鉴于人生物识别信息权利保护的特殊性，现有的司法制度无法完全套用到该项权利的救济上，需对现有司法制度进行适度改造，以此增加二者的匹配度。

在诉讼主体资格方面，个人生物识别信息权利人属于个人诉讼的当然主体，其有权就损害个人权利的行为提起诉讼，然而现实中个人生物识别信息的违法采集、泄露或其他损害行为中的被侵权人往往是不特定主体，就此而引发的集体诉讼不仅占用司法资源，而且降低诉讼效率。为此，可参照BIPA的规定，结合我国环境污染、食品药品安全等领域的司法实践，将群体性的个人生物识别信息权利保障纳入到公益诉讼的范畴，赋予检察机关诉讼主体资格，以公共利益为目的而提起诉讼。

在损害事实的认定方面，权利人信息被采集后，一旦进入网络空间便失去控制，信息在传播的过程中，何人何时以何种方式造成何种损害均处于未知状态，而且，网络空间信息传播速度极快，加之个人生物识别信息的唯一性，一旦出现侵权行为便会造成不可逆的严重后果，倘若以损害结果发生作为权利人维权的节点则为时晚矣。司法救济的价值和意义也不复存在。为此，可借鉴GDPR和BIPA的做法，不以发生实质性损害作为权利人主张侵权责任的构成要件，亦无需权利人证明损害事实。

在主观过错认定方面，由于个人生物识别信息承载着人格尊严、隐私等重要价值。个人生物识别信息具有高度的专属性与私密性，与个人最隐秘的生理特征直接相关，具有表征和彰显个人身份的特质。因此，信息采集主体在个人生物识别信息采集之初就应秉承审慎原则妥善保存使用相关信息，从信息源头上赋予信息采集人严格责任，一旦信息被滥用则按照过错推定原则，推定信息采集人主观存在过错。

结论

被北斗系统绑架的货车司机，被健康码赶下车的乘客，被摄像头监控下的每个人或将成为技术进步与权利保障博弈的牺牲品。科技是冰冷的，生而为人，尚需一丝温存，法律职业人应承压前行，秉持以人为本的理念，妥善解决人脸识别技术下的个人权益保护问题，这不仅关乎着万千民众的“脸面”，更牵扯着每位法律人的“脸面”。本文通过构建以知情权、自决权、救济权为内容的“三权”体系，试图让个人生物识别信息权利更加立体饱满，适用场景更为丰富；也试图通过本文的研究，为国家和社会在处理技术与法律之间的关系上更加理性从容，以多层次、多面向的方式提高国家和社会治理体系和治理能力的现代化。

关键词：

视点｜别墅是否适用房屋空置期间物业费减免政策

视点｜A公司与B公司商标侵权纠纷案分析

视点｜别墅是否适用房屋空置期间物业费减免政策

视点｜A公司与B公司商标侵权纠纷案分析