加强个人生物识别信息法律保护

    【思想库】

    脸部特征、指纹、虹膜、声音、基因、步态、笔迹等可识别自然人的生理特性与行为特征的信息，被称为个人生物识别信息。如今，个人生物识别信息的收集与处理对于网络信息科技尤其是人工智能、大数据技术的发展，乃至整个数字经济的健康发展至关重要。如何在确保合理利用信息的同时有效地加强个人生物识别信息的保护，为各国法律高度关注。

生物识别信息法规“从无到有”

    在我国，包括生物识别信息在内的个人信息的法律保护经历了一个“从无到有”“从刑法保护为主到公法与私法并重”的发展历程。

    2009年，刑法修正案（七）首次将窃取或以其他方式非法获取公民个人信息情节严重的行为规定为犯罪。2012年，《全国人民代表大会常务委员会关于加强网络信息保护的决定》对网络服务提供者和其他企业事业单位、国家机关及其工作人员在收集、使用、保管公民个人电子信息中应当遵循的原则、承担的义务及法律责任作出了具体规定。2017年6月1日起施行的网络安全法不仅明确地界定了个人信息的含义，把个人生物识别信息纳入个人信息的范畴，同时还对个人信息的收集、存储、保管和使用进行了更详细、全面的规范。

    当前，正在编纂的民法典人格权编草案对个人生物识别信息也提供了多重保护：一是，在一定载体上所反映的特定自然人可以被识别的外部形象属于肖像，受到肖像权的保护。任何组织或者个人不得以丑化、污损，或者利用信息技术手段伪造等方式侵害他人的肖像权。对自然人的声音，参照适用肖像权保护规定。二是，采取偷拍偷录等方式采集自然人人脸等生物识别信息的行为将构成对隐私权的侵害。三是，对于既不属于肖像，也不属于隐私的生物识别信息，还可以适用民法典人格权编草案个人信息保护的规定，即任何单位或者个人要收集、处理自然人的个人信息时，不仅应当遵循合法、正当、必要原则，且须征得该自然人或者其监护人同意，同时要公开收集、处理信息的规则，明示收集、处理信息的目的、方式和范围。

生物识别信息的唯一性要求法律严加保护

    自然人的姓名、手机号码、邮箱账号、银行账号等个人信息比较容易进行更改，但是，个人生物识别信息要更改则非常困难。比如，要改变一个人的脸部特征，只能进行整容（即便整容，脸部大部分特征仍会被机器识别）。至于指纹、掌纹、虹膜、基因信息等生物识别信息，被更改的可能性更低。这意味着个人生物识别信息一旦被非法收集、泄露或者被非法买卖，不仅会对自然人的人身财产安全产生威胁或现实损害，而且无法以像更换手机号码、修改银行密码等方式来预防后续损害的发生。

    从更宏观的角度来说，如果这些信息被大规模收集并提供给敌对势力，会对国家安全产生严重危害。故此，个人生物识别信息即便是被合法收集的，对其也要采取极其高度的注意义务加以保管，以防止被泄露或被非法处理。

    除了唯一性，个人生物识别信息中的人脸信息还有一个特殊点，即对该信息的收集可以在不经过自然人主动配合的情形下进行。据报道，在伦敦生活，一天会被摄像头拍下70次。此时，网络安全法等法律规定的告知同意原则实际上难以落实。这就要求法律对于哪些组织或者个人在哪些场合可以收集人脸等生物识别信息作出明确规定。

    目前，北京、山西等地方政府已颁布规章，就公共安全图像信息采集问题作出明确规定。笔者认为，在当前我国加强个人信息保护的大背景下，无论从立法、执法还是司法的角度出发，都应当高度重视对生物识别信息的规范与保护。不仅应当在民法典人格权编、个人信息保护法中对个人生物识别信息作出界定，还应当对个人生物识别信息的收集、处理等作出严格规范，以促进数字经济的健康发展，保障广大人民群众人身、财产安全乃至国家安全。

    （作者：程 啸，系清华大学法学院副院长、教授）

    ■案例链接

动物园因“刷脸”入园成被告

    浙江理工大学老师郭某收到了来自杭州野生动物世界的一条短信，提示他的动物园年卡如果不进行面部识别将无法正常使用。郭某专门向工作人员核实，并表示不同意进行面部识别认证，要求退卡。

    在协商未果的情况下，郭某于2019年10月28日向杭州市富阳区人民法院提起诉讼。郭某认为，被告在未经其同意的情况下，通过升级年卡系统强制收集个人生物识别信息，严重违反了消费者权益保护法等法律，损害了其合法权益，要求退回年卡费用。目前，该案正在审理当中。