個(gè)人生物識(shí)別信息的保護(hù)與監(jiān)管路徑
個(gè)人生物識(shí)別信息技術(shù)在諸多領(lǐng)域得到廣泛的應(yīng)用，有關(guān)個(gè)人生物識(shí)別信息的收集、儲(chǔ)存、利用等已經(jīng)發(fā)展成為一個(gè)龐大的產(chǎn)業(yè)。一方面，法律要保護(hù)生物識(shí)別信息主體的人格尊嚴(yán)和自由，保障其追求人格完整和發(fā)展的自主能力，避免個(gè)人生物識(shí)別信息的泄露或非法使用危害信息主體的人格尊嚴(yán)和自由價(jià)值。個(gè)人作為目的性的存在，只有消除個(gè)人對(duì)“信息化形象”被他人操控的疑慮和恐慌，才能有自尊并受到他人尊重地生存與生活。另一方面，個(gè)人生物識(shí)別信息包含巨大的經(jīng)濟(jì)價(jià)值，可以被進(jìn)行大規(guī)模的處理與應(yīng)用。法律要適應(yīng)技術(shù)進(jìn)步與經(jīng)濟(jì)發(fā)展，平衡個(gè)人生物識(shí)別信息主體隱私、利用期待與控制者的數(shù)據(jù)利用和管理的需要。從現(xiàn)實(shí)生活看，對(duì)于個(gè)人生物識(shí)別信息的收集、利用等大體可以分為三個(gè)方面：一是政府或者政府授權(quán)機(jī)構(gòu)基于社會(huì)公共安全的需要收集與利用個(gè)人生物識(shí)別信息，典型的情形如機(jī)場、高鐵等領(lǐng)域在實(shí)施安檢時(shí)使用人臉識(shí)別系統(tǒng)；二是商業(yè)組織如銀行、電子支付平臺(tái)（支付寶、微信等）等對(duì)于交易主體的生物識(shí)別信息進(jìn)行收集和利用；三是特定的機(jī)構(gòu)基于管理的需要對(duì)個(gè)人生物識(shí)別信息的收集和利用。例如學(xué)校、公園等機(jī)構(gòu)要求進(jìn)入內(nèi)部空間時(shí)使用“人臉識(shí)別系統(tǒng)”。上述情形可以劃分為基于公共利益的需要與基于商業(yè)利益的需要而收集、使用個(gè)人生物識(shí)別信息兩種類型。
基于公共利益收集和利用個(gè)人生物識(shí)別信息及其限度
在個(gè)人生物識(shí)別信息保護(hù)領(lǐng)域，國家扮演著多重角色。對(duì)于個(gè)人生物識(shí)別信息的商業(yè)化利用而言，國家大體上處于超然于個(gè)人生物識(shí)別信息主體與信息控制者雙方利益的中立地位，其以社會(huì)管理者身份通過制定法律和實(shí)施法律調(diào)和信息主體的信息歸屬、信息自決權(quán)與信息控制者的數(shù)據(jù)利用、數(shù)據(jù)財(cái)產(chǎn)利益之間的矛盾。從現(xiàn)實(shí)情況來看，為了公共利益的需要，國家實(shí)際上已經(jīng)成為個(gè)人生物識(shí)別信息最大的收集、處理、儲(chǔ)存和利用者，其本身是作為生物識(shí)別信息獨(dú)立的利益相關(guān)者而出現(xiàn)的。相應(yīng)地，國家就從個(gè)人生物識(shí)別信息商業(yè)化利用中的中立地位轉(zhuǎn)變?yōu)榧婢咝畔⒗谜吆凸芾碚叩碾p重身份角色。國家對(duì)個(gè)人生物識(shí)別信息的收集與利用可以極大地發(fā)揮個(gè)人生物識(shí)別信息的價(jià)值，從而有效地保障公共安全與社會(huì)公共利益。但是正如前文所述，個(gè)人生物識(shí)別信息的應(yīng)用有重大安全風(fēng)險(xiǎn)，因此政府機(jī)關(guān)或授權(quán)機(jī)構(gòu)在收集個(gè)人生物識(shí)別信息時(shí)必須基于公共利益的要求并遵循法定程序，符合比例原則下目的性、必要性和比例性的要求，兼顧收集目標(biāo)的實(shí)現(xiàn)和保護(hù)信息主體的權(quán)益。《民法典》第1035條規(guī)定，處理個(gè)人信息的，應(yīng)當(dāng)遵循合法、正當(dāng)、必要原則，不得過度處理。
政府機(jī)關(guān)或者授權(quán)的機(jī)構(gòu)在收集、處理、利用個(gè)人生物識(shí)別信息時(shí)應(yīng)當(dāng)遵循以下具體規(guī)則：一是收集主體必須有明確的法律依據(jù)或者經(jīng)明確的授權(quán)。政府機(jī)關(guān)或相關(guān)機(jī)構(gòu)對(duì)于個(gè)人生物識(shí)別信息的收集必須具有法定的依據(jù)和授權(quán)事項(xiàng)，并明確告知相對(duì)人該法律依據(jù)和授權(quán)事項(xiàng)以及不提供個(gè)人生物識(shí)別信息的法律后果。政府機(jī)關(guān)或授權(quán)機(jī)構(gòu)不得超越職權(quán)收集個(gè)人生物識(shí)別信息。二是政府機(jī)關(guān)或者授權(quán)機(jī)構(gòu)不得為公共利益之外的目的利用個(gè)人生物識(shí)別信息。為維護(hù)國家安全和公共安全，政府機(jī)關(guān)可以利用個(gè)人生物識(shí)別信息。例如，公安機(jī)關(guān)或稅務(wù)機(jī)關(guān)可以在刑事偵查、追查稅款等特定情形之下進(jìn)行個(gè)人生物識(shí)別信息比對(duì)。但是在此之外，不得為非公共利益的目的儲(chǔ)存、處理或利用個(gè)人生物識(shí)別信息。為支持學(xué)術(shù)研究，授權(quán)機(jī)構(gòu)也可以利用個(gè)人生物識(shí)別信息，但是須無害于個(gè)體的人格利益，相關(guān)研究人員或機(jī)構(gòu)應(yīng)當(dāng)對(duì)使用的個(gè)人生物識(shí)別信息采取妥善的保護(hù)措施。三是個(gè)人生物識(shí)別信息處分要嚴(yán)格限制。政府機(jī)關(guān)或授權(quán)機(jī)構(gòu)非經(jīng)許可不得向他人轉(zhuǎn)讓個(gè)人生物識(shí)別信息，尤其是禁止以營利為目的向任何機(jī)構(gòu)有償轉(zhuǎn)讓個(gè)人生物識(shí)別信息。由于信息技術(shù)日益發(fā)達(dá)，政府部門之間共享政府?dāng)?shù)據(jù)，或者政府部門與商業(yè)公司之間互相共享數(shù)據(jù)越來越常見。例如，在新冠肺炎疫情期間，騰訊、阿里巴巴等商業(yè)機(jī)構(gòu)通過自己的數(shù)據(jù)與技術(shù)給疫情防控提供了大量的數(shù)據(jù)（其中包括人臉識(shí)別、指紋等數(shù)據(jù)）。這其中既包括政府授權(quán)平臺(tái)公司利用自己的技術(shù)優(yōu)勢直接參與防控，也包括它們對(duì)已有數(shù)據(jù)的加工和處理。通過對(duì)政府?dāng)?shù)據(jù)與社會(huì)數(shù)據(jù)的共享和充分發(fā)掘，可以準(zhǔn)確識(shí)別個(gè)人的行動(dòng)軌跡、個(gè)人的感染情況以及相關(guān)密切接觸者的健康狀況，充分發(fā)揮數(shù)字化防控的最大效能。為避免泄露個(gè)人生物識(shí)別信息，有必要構(gòu)建一套統(tǒng)一的、法定的數(shù)據(jù)交換標(biāo)準(zhǔn)，形成規(guī)范的數(shù)據(jù)格式，在公開時(shí)要去標(biāo)識(shí)化處理，并選擇恰當(dāng)?shù)姆绞胶头秶?/p>
非基于公共利益收集和利用個(gè)人生物識(shí)別信息的保護(hù)和監(jiān)管
近年來，商業(yè)公司或特定機(jī)構(gòu)對(duì)個(gè)人生物識(shí)別信息的收集和利用有愈演愈烈的趨勢。商業(yè)公司或特定機(jī)構(gòu)對(duì)于個(gè)人生物識(shí)別信息的收集和利用通常并非基于公共利益的目的。為保護(hù)個(gè)人生物識(shí)別信息，必須在立法、司法以及行政層面加強(qiáng)相應(yīng)的監(jiān)管，
個(gè)人生物識(shí)別信息的商業(yè)利用取決于信息控制者與生物識(shí)別信息主體之間的權(quán)利義務(wù)配置。個(gè)人生物識(shí)別信息的利用主要涉及信息的收集、信息的儲(chǔ)存、信息的加工和處理以及信息的使用，每一個(gè)過程都可能涉及到信息的隱私化和隱私的信息化。過度限制生物識(shí)別信息的利用會(huì)影響人們通過信息造福社會(huì)。法律規(guī)范應(yīng)當(dāng)妥當(dāng)平衡個(gè)人生物識(shí)別信息利益的保護(hù)與個(gè)人生物識(shí)別信息資源有效利用之間的關(guān)系。學(xué)校、公園等基于自身管理的需要采用生物識(shí)別信息系統(tǒng)，雖名為“公共安全的需要”，但是顯然不符合比例原則的要求，這些單位通常無權(quán)收集和利用個(gè)人生物識(shí)別信息。
商業(yè)公司或特定機(jī)構(gòu)在收集和利用個(gè)人生物識(shí)別信息時(shí)，應(yīng)在技術(shù)標(biāo)準(zhǔn)、制度規(guī)范、法律約束等各個(gè)方面適用嚴(yán)格的條件和程序。具體來說：一是商業(yè)公司或特定機(jī)構(gòu)在收集和利用個(gè)人生物識(shí)別信息前須向個(gè)體進(jìn)行充分的告知，獲取個(gè)體的明示同意。二是商業(yè)公司或特定機(jī)構(gòu)公開處理個(gè)人生物識(shí)別信息的規(guī)定，明示處理個(gè)人生物識(shí)別信息的目的、方式和范圍，不得超出規(guī)定的目的收集、處理、利用個(gè)人生物識(shí)別信息，必要情況下的目的變更應(yīng)當(dāng)有法律的許可或取得個(gè)體的明確同意。三是商業(yè)公司或特定機(jī)構(gòu)應(yīng)妥善保管個(gè)人生物識(shí)別信息，相關(guān)收集、儲(chǔ)存、使用、加工、傳輸、提供、公開應(yīng)當(dāng)嚴(yán)格遵循法律、行政法規(guī)的規(guī)定。
（作者為武漢大學(xué)法學(xué)院教授、博導(dǎo)，武漢大學(xué)網(wǎng)絡(luò)治理研究院研究員）
【參考文獻(xiàn)】
①張新寶：《從隱私到個(gè)人信息：利益再衡量的理論與制度安排》，《中國法學(xué)》，2015年第3期。
②李永軍：《論〈民法總則〉中個(gè)人隱私與信息“二元制”保護(hù)及請求權(quán)基礎(chǔ)》，《浙江工商大學(xué)學(xué)報(bào)》，2017年第3期。
③許可：《數(shù)據(jù)保護(hù)的三重進(jìn)路——評(píng)新浪微博訴脈脈不正當(dāng)競爭案》，《上海大學(xué)學(xué)報(bào)（社會(huì)科學(xué)版）》，2017年第6期。
④葉名怡：《個(gè)人信息的侵權(quán)法保護(hù)》，《法學(xué)研究》，2018年第4期。
⑤胡文濤：《我國個(gè)人敏感信息界定之構(gòu)想》，《中國法學(xué)》，2018年第5期。
⑥陳宗波：《我國生物信息安全法律規(guī)制》，《社會(huì)科學(xué)家》，2019年第1期。
⑦高富平：《論個(gè)人信息保護(hù)的目的——以個(gè)人信息保護(hù)法益區(qū)分為核心》，《法商研究》，2019年第1期。
責(zé)編/于洪清 美編/楊玲玲
聲明：本文為人民論壇雜志社原創(chuàng)內(nèi)容，任何單位或個(gè)人轉(zhuǎn)載請回復(fù)本微信號(hào)獲得授權(quán)，轉(zhuǎn)載時(shí)務(wù)必標(biāo)明來源及作者，否則追究法律責(zé)任。
