日本“人臉識別”法律規(guī)制及其鏡鑒

張鎧容，宋天一

（1.中南財經(jīng)政法大學(xué) 法學(xué)院，武漢 430074；2.武漢大學(xué) 法學(xué)院，武漢 430070）

隨著我國“人臉識別第一案”二審的宣判緩緩落下了帷幕，“人臉識別”技術(shù)的法律規(guī)制也被公眾推向了輿論的高潮。[1]“人臉識別”在帶來生活便利的同時，無時無刻不在獲取著我們的個人信息，這些難以被我們掌控的個人信息流向，在大數(shù)據(jù)時代深深威脅著我們的人身和財產(chǎn)安全，一旦泄露將對個人和國家?guī)聿豢晒懒康膿p失后果，如何在科學(xué)技術(shù)進步和個人信息安全間找到合理的平衡點，考驗著現(xiàn)代化國家的治理能力。法治作為治國理政的基本方式，是信息化時代規(guī)范技術(shù)應(yīng)用的重要治理手段。日本是全世界范圍內(nèi)較早開展“人臉識別”法律規(guī)制的國家之一，對“人臉識別”形成了一套系統(tǒng)的治理體系和法治方案，在實踐中積累了大量的“人臉識別”治理經(jīng)驗，能夠為我國“人臉識別”的法律規(guī)制提供豐富有益的鏡鑒。[2]在詳細考察日本“人臉識別”法律規(guī)制情況的基礎(chǔ)上，我們?yōu)橥晟莆覈叭四樧R別”法律規(guī)制提出八點建議。

一、日本“人臉識別”法律規(guī)制現(xiàn)狀

日本法律對于“人臉識別”的規(guī)制主要集中在《個人信息保護法》及其有關(guān)規(guī)范體系中。[3]早在2003年，日本就通過了第一部《個人信息保護法》，至今，日本形成了以《個人信息保護法》為中心的“基本法+配套法+行業(yè)規(guī)范”的規(guī)制體系，全面覆蓋了包括“人臉識別”技術(shù)在內(nèi)的各類個人信息保護問題。[4]

《個人信息保護法》是日本個人信息保護系列法律規(guī)范中的基本法，該法共7章88條，集中規(guī)定了關(guān)于“人臉識別”技術(shù)法律規(guī)制的基礎(chǔ)性概念和范疇。①日本《個人信息保護法》總則規(guī)定個人信息是“和生存著的個人有關(guān)聯(lián)的信息”，并依據(jù)不同信息類型的特征分別列舉了已識別的特定個人信息、可識別的特定個人信息、個人識別符號（個人識別碼）、必要考慮的個人信息和數(shù)據(jù)等。根據(jù)《個人信息保護法指南（通則編）》（平成15年政令第507號）的規(guī)定，“人臉識別”技術(shù)所識別的信息屬于“通過以識別特定個人為目的的裝置或軟件對特定個人進行認證的可提取的面部骨骼和皮膚的顏色及眼睛，鼻子，嘴和其他面部部分的位置和形狀的特征信息”，屬于個人識別符號的范疇，“人臉識別”技術(shù)所轉(zhuǎn)化的信息入庫則屬于“構(gòu)成個人信息處理者管理的‘個人信息數(shù)據(jù)庫等’的個人信息”，屬于個人數(shù)據(jù)的范疇，在日本，它們都受到日本《個人信息保護法》的嚴(yán)格保護和規(guī)制。②由于人臉識別信息等個人識別符號具有獨有性和不可逆性，日本《個人信息保護法》對于個人識別符號規(guī)定了相較于其他個人信息更為嚴(yán)格的保護規(guī)定，如對于匿名加工信息而言，相較于其他信息的刪除片段，要求對個人識別符號“全部刪除”、設(shè)置安全保障、識別行為禁止等方面。在對個人識別符號的特別規(guī)定和對個人信息保護的一般規(guī)定相結(jié)合的情形下，日本形成了對“人臉識別”技術(shù)所涉?zhèn)€人信息嚴(yán)密的法律規(guī)制體系，值得我國借鑒。

二、我國“人臉識別”技術(shù)法律規(guī)制的完善路徑

相較于發(fā)達國家，我國關(guān)于個人信息保護的法律體系建設(shè)較晚。根據(jù)我國《民法典》第1304條第2款之規(guī)定，個人信息包括可識別和已識別的特定自然人信息，并將生物識別信息作為其所列舉的個人信息的典型一類。此外，我國《民法典》將個人信息分為私密信息和非私密信息兩類，對于私密信息的保護和規(guī)制適用《民法典》關(guān)于隱私權(quán)的相關(guān)規(guī)定，對于非私密信息的保護和規(guī)制則適用《個人信息保護法》的規(guī)定。限于《民法典》調(diào)整對象和體例等的局限性，其對個人信息保護的規(guī)定較為抽象性和原則性，具體可操作性較差，因此，《個人信息保護法》應(yīng)運而生。但限于立法經(jīng)驗的不足和法律實踐的缺失，該法還有很多遺憾之處，特別是關(guān)于“人臉識別”信息的保護在實踐中顯得還非常不足。日本《個人信息保護法》及其有關(guān)“人臉識別”法律規(guī)制的規(guī)定，為完善我國《個人信息保護法》及“人臉識別”法律規(guī)制提供了許多鏡鑒之處。

（一）建構(gòu)多層次個人信息規(guī)制體系

大數(shù)據(jù)時代，無論是“人臉識別”技術(shù)所涉?zhèn)€人信息，還是其他個人信息，其用途都非常廣泛，基于行業(yè)的特點不同，其對個人信息的使用范圍有很大的差異性。但我國《個人信息保護法》并未回應(yīng)這一實踐需求，而是僅對國家機關(guān)和其他主體做了原則性的區(qū)分規(guī)定，沒有進一步深化細化。在日本法律規(guī)范體系中，《個人信息保護法》是個人信息保護的基本法，規(guī)定了國家、地方公共團體、個人信息處理從業(yè)者、個人信息保護委員會等與個人信息保護聯(lián)系最為緊密的主體的權(quán)利與義務(wù)，對于與個人信息保護聯(lián)系相對緊密或具有法定職責(zé)的主體則設(shè)立了配套法規(guī)予以規(guī)范，如日本《行政機關(guān)個人信息保護法》《獨立行政法人等個人信息保護法》等，部分行業(yè)對個人信息的使用有特別需求的，如金融行業(yè)、醫(yī)療行業(yè)等又分別設(shè)立了《金融領(lǐng)域個人信息保護指南》《醫(yī)療看護業(yè)者正確處理個人信息的指導(dǎo)》，[5]日本法律體系中多層次、多角度、多行業(yè)的個人信息規(guī)制和保護體系，實現(xiàn)了對個人信息的一般性規(guī)定、有關(guān)主體的特殊性職責(zé)和特種行業(yè)的特別需要合理的區(qū)分和兼顧，并根據(jù)其特點進行分別規(guī)制，值得我國借鑒。

（二）加強對于個人信息范疇的解釋

個人信息范疇是個人信息保護法的立法重點和難點，它決定著“人臉識別”所涉?zhèn)€人信息及其他個人信息能否受到個人信息保護法及其相關(guān)法律法規(guī)的保護和規(guī)制，是平衡科技發(fā)展和技術(shù)安全“阿基米德支點”中的重要一環(huán)?？v覽世界各國立法，由于國情和科技發(fā)展情況的差異，對于個人信息的范疇性規(guī)定千差萬別。我國《個人信息保護法》采用了概括式立法，③這一規(guī)定固然有概括式立法的穩(wěn)定性和可解釋性等優(yōu)勢所在，但在可操作性方面也表現(xiàn)出了一定的不足。日本在個人信息保護系列法規(guī)中采取了“基本法概括+配套法規(guī)（解釋）列舉”的立法模式，值得借鑒。日本《個人信息保護法》對個人信息采取了最宏觀的概括模式，在《個人信息保護法指南（通則編）》及其他配套法規(guī)中則對個人信息的類型進行了詳細的列舉，使之更具有可操作性。④此外，我國《個人信息保護法》中的“可識別”和“已識別”也缺乏統(tǒng)一標(biāo)準(zhǔn)，有待解釋說明，可參照日本有關(guān)規(guī)定，將之解釋為“以普通人的判斷力或理解力能夠識別生存的具體個人與信息之間的同一性”，[6]以社會一般人的觀念而非更高的技術(shù)標(biāo)準(zhǔn)作為“可識別”或“已識別”的標(biāo)準(zhǔn)。

（三）完善處理個人信息的前提條件

個人信息處理的前提條件是各國個人信息保護法所必備的內(nèi)容，總體來看，是圍繞“知情-同意”規(guī)則建立起的有關(guān)規(guī)定。但出于利益衡量和現(xiàn)實考量，仍然會對這一規(guī)則作出有關(guān)例外的限制。我國《個人信息保護法》采取了“列舉+兜底條款”的方式，列舉了六種合法處理個人信息的前提條件。⑤日本《個人信息保護法》則采取了“一般+例外+再例外”的立法模式，在總體性的個人同意要求外，規(guī)定了四種例外情形和五種再例外情形，即根據(jù)法律規(guī)定不適用的；為保護人的生命、身體或財產(chǎn)所必須，而獲得本人同意存在困難的情形；為提高公共衛(wèi)生或促進兒童健康成長所必須，而獲得本人同意存在困難的情形；國家機關(guān)、地方政府或受托人行使法定職權(quán)或事務(wù)有協(xié)助必要時，獲得本人的同意可能阻礙該事務(wù)執(zhí)行的；為廣播機構(gòu)、報社、通訊社和其他新聞機構(gòu)（包括以新聞為業(yè)進行的個人）提供用于報道目的的個人信息；向從事寫作的人提供以寫作為目的的個人信息；向大學(xué)或其他學(xué)術(shù)研究機構(gòu)提供以學(xué)術(shù)研究為目的使用的個人信息；向宗教團體或宗教活動（包括附帶的活動）提供進行宗教活動目的個人信息；向政治團體或政治活動（包括附帶的活動）提供進行政治活動目的的個人信息。與日本的立法模式相比，我國的立法草案將之規(guī)定于一條，具有簡單易行的優(yōu)勢，但也有過于簡單的不足之處，沒有列舉全面應(yīng)當(dāng)例外的情形。立法機關(guān)可以考慮將關(guān)愛兒童、寫作訊息、學(xué)術(shù)研究等情形列入例外情形，但對合同訂立這一情形應(yīng)當(dāng)慎重解釋，基于契約的高度自由性，這一情形的例外可能會給個人信息處理者以逃避取得同意義務(wù)的空間。

（四）細化個人信息“通知-刪除”規(guī)則

“通知-刪除”規(guī)則也是世界各國個人信息保護法立法中常用的立法技術(shù)和規(guī)則類型，指的是在滿足一定條件后，權(quán)利主體可以通過通知個人信息處理者的方式要求個人信息處理者刪除權(quán)利主體的個人信息。我國《個人信息保護法》第47條仍然采用了“列舉+兜底條款”的方式，枚舉了“通知-刪除”的五種前提條件⑥，構(gòu)建了我國《個人信息保護法》的“通知-刪除”規(guī)則。但該規(guī)定有一點不足之處，即《個人信息保護法》中沒有明確刪除義務(wù)的標(biāo)準(zhǔn)，是采取行為標(biāo)準(zhǔn)還是結(jié)果標(biāo)準(zhǔn)，刪除有沒有時間限制等，在標(biāo)準(zhǔn)缺失的情形下，刪除義務(wù)就容易由于缺乏明確性和可操作性而流于文字或出現(xiàn)法律漏洞。日本《個人信息保護法》為我們提供了很好的參考，日本《個人信息保護法》規(guī)定，當(dāng)收到本人的刪除請求時，“一旦查明請求成立，應(yīng)在必要的限度內(nèi)糾正違規(guī)行為且毫不遲延地停止使用其持有的個人信息”⑦，在糾正違規(guī)的前提下加入毫不遲延地停止使用的要求，能夠在發(fā)現(xiàn)違法行為后最大限度地保護本人個人信息的安全，同時使法律更具有可操作性。同時，日本《個人信息保護法》也為上述情況規(guī)定了例外情形，即“停止使用其持有的個人信息將產(chǎn)生大量費用或難以停止其他使用的情況下，如果個人信息處理者能采取必要的替換措施保護本人的權(quán)利和利益的”，可以不受上述條款的約束。這一例外情形的規(guī)定體現(xiàn)了法律的人性化和合理化，均衡考慮了本人的個人信息權(quán)益和個人信息處理者的實際情況，在個人信息處理者有成本更低的可替代的方案時，法律允許個人信息處理者選用這種方案，這種立法規(guī)定平等地保護了雙方的權(quán)益，豐富了解決方案，節(jié)約了處理成本，值得我國借鑒。

（五）強化對敏感個人信息的特別保護

我國《個人信息保護法》的一大立法優(yōu)勢和特色是對敏感個人信息的特別嚴(yán)格保護。根據(jù)我國《個人信息保護法》第28條之規(guī)定，“人臉識別”技術(shù)所涉的自然人面部的生物特征信息即屬于個人生物特征，屬于敏感個人信息。與其他類型的個人信息相比，敏感個人信息一旦遭到泄露，就會對個人和社會造成更為嚴(yán)重的甚至不可逆轉(zhuǎn)的危害，因此也應(yīng)當(dāng)?shù)玫礁鼮槿娓鼮閲?yán)格的保護。從我國《個人信息保護法》的規(guī)定來看，雖然有對敏感個人信息特別保護的規(guī)定，但其在保護的范圍、效力和程序等方面均有待強化?？傮w來說，我國《個人信息保護法》對敏感個人信息的特別保護僅限于必要性的說明、注意義務(wù)的增強等方面，且在法律責(zé)任中沒有對敏感個人信息的違法處理行為科以更為嚴(yán)格的法律責(zé)任。日本《個人信息保護法》在這方面能為我國提供相應(yīng)的鏡鑒。日本《個人信息保護法》中規(guī)定了“需要考慮的個人信息”，“是指為了避免引起不公平、歧視以及其他不利影響需要特別考慮的事項”，包括人種、信仰、社會身份、病歷等十一項，類似于我國《個人信息保護法》中所說的敏感個人信息。日本《個人信息保護法》對于需要考慮的信息的處理進行了全方位的更為嚴(yán)格的法律規(guī)制，科以個人信息處理者以更加嚴(yán)格的義務(wù)，如“個人信息處理者，未事先征得本人同意，不得獲取本人須考慮的個人信息”、向第三方提供個人信息限制的例外之排除適用等方面。我國《個人信息保護法》可借鑒日本《個人信息保護法》關(guān)于敏感個人信息的保護和規(guī)制，在已有規(guī)定的基礎(chǔ)上進一步強化對敏感個人信息的特別保護，確保大數(shù)據(jù)時代公民的“人臉安全”。

（六）優(yōu)化個人信息保護訴訟的特別程序

個人信息保護的公益訴訟制度是我國《個人信息保護法》的一大創(chuàng)建。作為一種區(qū)別于私益訴訟的特別程序，它為個人信息保護公益訴訟提供了法律依據(jù)，使個人信息保護在司法層面能夠得到更加具體的救濟。[7]但日本《個人信息保護法》中關(guān)于個人信息保護訴訟特別程序的規(guī)定，仍然能為我們提供一些有益的鏡鑒之處。日本《個人信息保護法》規(guī)定了一種個人信息保護的訴前請求制度，該法第34條規(guī)定“本人試圖根據(jù)本法第二十八條第一款，第二十九條第一款，第三十條第一款、第三款的規(guī)定提起相關(guān)訴訟的，應(yīng)當(dāng)事先向被告人提出請求，并在該請求到達之日起兩個星期后，才能提起訴訟。但是，如果被告人拒絕本人請求的，則不受兩星期期間的限制?！雹嘣V前請求制度是日本個人信息保護訴訟的特別制度，該制度為訴前化解矛盾糾紛提供了時間上的保障，在個人信息處理者收到有關(guān)請求兩個星期內(nèi)，有充足的時間去找到解決問題的方案，從而減少當(dāng)事人的訴累，節(jié)約訴訟成本，化解矛盾糾紛。同時，也有利于個人信息處理者盡快采取措施防免更大損失的造成，避免進入訴訟程序后難以對危害進行及時的補救。該制度同時說明了如個人信息處理者拒絕請求，本人可徑行起訴，提高了訴訟效率，保證了本人的訴權(quán)，避免個人信息處理者利用這個期間拖延時間從而規(guī)避法律責(zé)任。

（七）完備違法處理個人信息的法律責(zé)任

與日本《個人信息保護法》及其相關(guān)規(guī)定的罰則相比，我國《個人信息保護法》所規(guī)定的法律責(zé)任則略顯單薄且自由裁量的尺度過大。對于行政責(zé)任而言，我國《個人信息保護法》僅通過第66條——68條三條的內(nèi)容予以簡單規(guī)定，且規(guī)定的行政處罰自由裁量空間非常之大，同一違法行為處罰的底限和上限間的差距高達十倍，這就給執(zhí)法不規(guī)范留下了制度的空間。對于民事責(zé)任而言，我國《個人信息保護法》僅在第69條⑨中設(shè)立了相關(guān)規(guī)定?，F(xiàn)實中，大量個人信息民事訴訟都難以確定不法利益的實得數(shù)額或所受損失的具體數(shù)額，原被告雙方各執(zhí)一詞、爭執(zhí)不下，此時法官的自由裁量權(quán)過大不利于案件的公正處理，容易造成“同案不同判”的不良后果。因此，我國《個人信息保護法》需完備違法處理個人信息的法律責(zé)任規(guī)定，增加規(guī)定的可操作性，壓縮規(guī)定的自由裁量空間，確保司法執(zhí)法公平公正。

（八）注重《刑法》《民法典》及訴訟法同《個人信息保護法》的互動

日本《個人信息保護法》包括了關(guān)于個人信息的犯罪構(gòu)成及其量刑區(qū)間、關(guān)于個人信息行政違法的構(gòu)成要件及其處罰方式、關(guān)于個人信息侵權(quán)訴訟及其訴訟程序等多方面的內(nèi)容，與日本不同，我國《個人信息保護法》主要是就個人信息行政違法方面進行了規(guī)定，對于有關(guān)犯罪統(tǒng)一規(guī)定在《刑法》中，對于有關(guān)民事法律責(zé)任的承擔(dān)主要規(guī)定在《民法典》中，[8]對于有關(guān)個人信息訴訟的程序則規(guī)定在《刑事訴訟法》《民事訴訟法》《行政訴訟法》等訴訟法中。我國《個人信息保護法》（草案）所選取的這種立法例與我國立法傳統(tǒng)有關(guān)，具有一定的優(yōu)勢，即便于按照調(diào)整對象和調(diào)整方式對行為及法律責(zé)任進行相應(yīng)的歸類，維護法秩序和法體系的統(tǒng)一性。但采取我國《個人信息保護法》（草案）這種立法例就必須要注重《刑法》《民法典》及有關(guān)訴訟法同《個人信息保護法》之間的互動，及時在有關(guān)法律中進行關(guān)于個人信息保護法的立改釋廢工作，確保與《個人信息保護法》達成法秩序上的統(tǒng)一性和法體系上的協(xié)調(diào)性，發(fā)揮不同調(diào)整方式法律規(guī)范的特點，良性互動協(xié)力促進個人信息保護。同時，要厘清《個人信息保護法》同《刑法》《民法典》及有關(guān)訴訟法等之間的關(guān)系，我們認為，《個人信息保護法》是特別法，根據(jù)特別法優(yōu)于一般法的一般法理，當(dāng)有關(guān)個人信息保護的事項在《個人信息保護法》和其他法律之間發(fā)生沖突時，應(yīng)優(yōu)先適用《個人信息保護法》。

綜上所述，日本關(guān)于“人臉識別”技術(shù)的有關(guān)法律規(guī)制能夠為我國提供許多有益的借鑒，以上八點建議是我們比較中日“人臉識別”技術(shù)法律規(guī)制所提出的一些觀點，希望能為完善我國“人臉識別”技術(shù)法律規(guī)制貢獻一點力量。但必須注意的是，對于外國法律制度，我們借鑒的原則是取其精華去其糟粕，特別是關(guān)于個人信息保護的法律制度，由于個人信息保護具有很強的民族性，因此在借鑒外國法律制度時必須對其進行本土化轉(zhuǎn)化，[9]創(chuàng)制出符合中國國情、體現(xiàn)中國特色的“人臉識別”法律規(guī)制方案，進一步推動國家治理體系和治理能力現(xiàn)代化。

注釋：

①日本《個人信息保護法》的七章分別是總則、國家及地方公共團體的責(zé)任和義務(wù)、保護個人信息的措施、個人信息處理業(yè)者的義務(wù)、個人信息保護委員會的職責(zé)、雜則和罰則。參見『個人情報保護法（Ⅰ）イドfflイas（通則編）』（平成15年政令第507號）。

②『個人情報保護法（Ⅰ）イドfflイas（通則編）』（平成15年政令第507號）。

③《個人信息保護法》第4條：“個人信息是以電子或者其他方式記錄的與已識別或者可識別的自然人有關(guān)的各種信息?！?/p>

④『個人情報保護法（Ⅰ）イドfflイas（通則編）』（平成15年政令第507號）。

⑤六種前提條件分別是：取得個人的同意；為訂立或者履行個人作為一方當(dāng)事人的合同所必需；為履行法定職責(zé)或者法定義務(wù)所必需；為應(yīng)對突發(fā)公共衛(wèi)生事件，或者緊急情況下為保護自然人的生命健康和財產(chǎn)安全所必需；為公共利益實施新聞報道、輿論監(jiān)督等行為在合理的范圍內(nèi)處理個人信息；法律、行政法規(guī)規(guī)定的其他情形。參見《個人信息保護法》第13條之規(guī)定。

⑥根據(jù)我國《個人信息保護法》第47條，五種前提條件即約定的保存期限已屆滿或者處理目的已實現(xiàn)；個人信息處理者停止提供產(chǎn)品或者服務(wù)；個人撤回同意；個人信息處理者違反法律、行政法規(guī)或者違反約定處理個人信息；法律、行政法規(guī)規(guī)定的其他情形。

⑦『個人情報保護法（Ⅰ）イドfflイas（通則編）』（平成15年政令第507號）。

⑧『個人情報保護法（Ⅰ）イドfflイas（通則編）』（平成15年政令第507號）。

⑨《個人信息保護法》第69條：“因個人信息處理活動侵害個人信息權(quán)益的，按照個人因此受到的損失或者個人信息處理者因此獲得的利益承擔(dān)賠償責(zé)任；個人因此受到的損失和個人信息處理者因此獲得的利益難以確定的，由人民法院根據(jù)實際情況確定賠償數(shù)額。個人信息處理者能夠證明自己沒有過錯的，可以減輕或者免除責(zé)任?！?/p>