個人生物識別信息的隱私權(quán)保護

楊瓊宇

桂林電子科技大學(xué)，廣西 桂林 541000

一、生物識別信息概述

（一）語義解釋

個人生物識別信息必須能夠識別特定人身份。每個人的指紋、虹膜以及面部形態(tài)都是與眾不同的。因此，通過生物識別信息技術(shù)，運用科學(xué)算法，可以準確識別特定人的身份。個人生物識別技術(shù)因其有識別自然人身份的作用而被廣泛運用于社會生活中?！睹穹ǖ洹返谝磺Я闳臈l規(guī)定：個人信息是以電子或者其他方式記錄的能夠單獨或者與其他信息結(jié)合識別特定自然人的各種信息。由此可見，我國《民法典》認為個人生物識別信息是可以包含在個人信息這個大框架內(nèi)的，所以說該信息內(nèi)容也必須具有“識別特定人”的功能，如果該信息無法識別特定人，則會被排除于個人信息之外。

（二）個人生物識別信息的特征

1.生物識別信息的唯一性

個人生物識別信息不同于傳統(tǒng)個人信息，其具有唯一性。最具典型的傳統(tǒng)個人信息，例如手機號，一個人可以同時具備多個不同的手機號，或者多人同時使用一個手機號，此時該手機號作為傳統(tǒng)個人信息并不能識別出具體某一個人。但是個人生物識別信息，是一種通過科學(xué)技術(shù)采集自然人的生理信息而成的特殊個人信息，具有獨一無二的特征。例如，自然人的指紋信息，即使是一對同卵雙胞胎兩人的指紋也是不盡相同。因此，個人生物識別信息可以準確識別自然人，且難以被仿造和冒用。

2.生物識別信息的穩(wěn)定性

生物識別信息因其通過采集自然人獨一無二的生理信息和行為信息，使其具有穩(wěn)定性的特征。傳統(tǒng)個人信息，如個人的家庭住址，自然人可以隨意選擇住所、變更住所，因此家庭住址信息是可以改變，不具有穩(wěn)定性。但是自然人的虹膜、指紋等生理信息，是長久伴隨著自己，輕易不會改變。因此，生物識別信息因其穩(wěn)定性而廣泛運用于社會生活中。

（三）個人生物識別信息和隱私的區(qū)別

1.部分生物識別信息不具備隱私的“私密性”

隱私權(quán)要求其客體“私密信息”具有“私密性”的特征，同時個人生物識別信息又能夠識別個人的身份信息。因此，二者存在交叉聯(lián)系，但又有區(qū)別。生物識別信息包括兩類：一類是不被公開的生物識別信息；一類是可以公開的信息。不被公開的信息，例如有關(guān)自然人遺傳方面的信息和自然人健康方面的信息等，通常會涉及個人隱私。因此，如果泄露相關(guān)信息，則在被認定侵犯個人信息權(quán)的同時也會被認定為侵犯個人隱私權(quán)。此時生物識別信息與隱私屬于同個范疇。但是，并非所有的生物識別信息都歸屬于隱私，第二類公開的生物識別信息，例如，個人的面部特征、行為動作等信息，通常都暴露于公眾中，因此不具有隱私性。由于隱私一旦被保護、公開就被公眾所知，失去其私密性，不再屬于隱私。［1］

2.生物識別信息主體可以主動行使權(quán)利

隱私權(quán)是一種消極性權(quán)利。所謂消極性權(quán)利，是指這類權(quán)利主體只有在該權(quán)利受到侵犯時才能夠行使，通常表現(xiàn)為損害賠償請求權(quán)和排除妨害請求權(quán)，更多地體現(xiàn)為一種事后救濟。但是，生物識別信息權(quán)屬于主動性權(quán)利，這意味著其權(quán)利主體并非只能在其權(quán)利受到侵犯時行使，而是可以主動行使，例如權(quán)利主體的“知情同意權(quán)”等。同時，隱私權(quán)因其人身依附性的特征而缺少財產(chǎn)價值，但生物識別信息權(quán)與此相反，權(quán)利主體可以通過積極地行使該項權(quán)利以獲得一定的財產(chǎn)利益。

二、國外生物識別信息的保護現(xiàn)狀

（一）參照普通個人信息的保護方式

在參照普通個人信息的保護方式來保護個人生物識別信息的國家或區(qū)域組織中以歐盟和德國最具特色。德國的《聯(lián)邦數(shù)據(jù)保護法》具有前瞻性和系統(tǒng)性的特征而最具典型。歐盟的《一般數(shù)據(jù)保護條例》因其適用的國家眾多而知名。

1.歐盟的《一般數(shù)據(jù)保護條例》

歐盟的《一般數(shù)據(jù)保護條例》(General Data Protection Regulation,簡稱GDPR)將個人生物識別信息歸屬于個人信息之中，又將對個人信息的保護排除于隱私權(quán)保護之列，認為個人生物識別信息權(quán)是一項綜合性權(quán)益，需要通過多個部門法，如民法、刑法、行政法等法律予以保護。歐盟GDPR認為所謂的個人生物識別信息是指一種以自然人的身體結(jié)構(gòu)、生理特征以及行為方式為基本內(nèi)容的，同時需要借用計算機的信息數(shù)據(jù)處理系統(tǒng)來辨別和確認的新形式的個人信息。個人生物識別信息有助于對自然人身份的識別和明確。歐盟也是以可識別性來定義這些信息，不僅包含直接識別個人的信息，也包括可以間接識別個人的信息。①See General Data Protection Regulation，Art.16-21。

2.德國的《聯(lián)邦數(shù)據(jù)保護法》

雖然德國的法律體系歸屬于大陸法系，但是其對個人信息的保護并非全部應(yīng)用大陸法系保護法，反而是借鑒、融合、參考了諸多英美法系在保護個人生物識別信息上的做法，即在對個人生物識別信息進行人格權(quán)保護的同時，吸收借鑒了隱私權(quán)保護模式，產(chǎn)生了德國立法中首創(chuàng)的信息自決權(quán)。德國立法將這項權(quán)利寫入憲法，并規(guī)定此項權(quán)利是公民的基本權(quán)利。

（二）生物識別信息的隱私權(quán)保護

美國1974年《隱私法案》規(guī)定公民的隱私包括公民的個人信息。不同于歐盟和德國將個人生物識別信息納入一般個人信息中保護，美國則是將其歸入隱私權(quán)法中予以保護。但是目前美國缺少專門針對生物識別信息保護的聯(lián)邦立法。因此，各州都出臺了自己的法律。對各大州的相關(guān)立法模式進行分析可知，針對生物識別信息的保護由兩種模式構(gòu)成，一種是將其直接歸于一般個人信息予以保護，另一種則是專門為其單獨立法，設(shè)置一套專門的規(guī)制方法。

三、我國以隱私權(quán)保護生物識別信息的問題

（一）傳統(tǒng)隱私權(quán)保護范圍不包括生物識別信息

1.我國法律對個人信息的保護還未分門別類

我國《網(wǎng)絡(luò)安全法》第七十六條規(guī)定了個人信息的概念，同時也規(guī)定了我國個人信息的范圍包括個人生物識別信息。②參見《中華人民共和國網(wǎng)絡(luò)安全法》第七十六條。另外，我國《民法典》第一千零三十四條規(guī)定將“可識別性”作為判斷是否為個人信息的標志，同時也明確了個人信息包括個人生物識別信息。③參見《中華人民共和國民法典》第一千零三十四條。例如，有關(guān)自然人的身體健康與遺傳基因的個人信息，就比自然人的手機號或者年齡等個人信息更加隱秘和敏感。這些高敏感信息一旦被泄露，不僅侵犯了自然人的隱私權(quán)，有時還會侵犯自然人的人格尊嚴，給被侵權(quán)人帶來嚴重的社會傷害。因此，將個人信息進行分類保護，尤其對高敏感信息進行更加嚴格的保護，才能有效保護自然人的個人信息。

2.生物識別信息與隱私間的界限較模糊

《民法典》第一千零三十四條規(guī)定個人信息包括生物識別信息，個人信息中的私密信息適用隱私法的規(guī)定，沒有規(guī)定的適用個人信息保護的規(guī)定。④參見《中華人民共和國民法典》第一千零三十四條。但是《民法典》并沒有進一步劃分個人信息中私密信息的范圍。由于法律規(guī)定對私密信息和除私密信息以外的個人信息不同的保護方式，因此，準確劃分二者范圍對于確定適用何種保護手段至關(guān)重要。不僅如此，《民法典》將個人生物識別信息納入個人信息，卻沒有明確哪些個人識別信息屬于私密信息，也就難以確定對某個具體的個人生物識別信息決定適用何種保護方式。

（二）個人生物識別信息侵權(quán)因果關(guān)系認定復(fù)雜

1.侵權(quán)主體及環(huán)節(jié)證明困難

信息侵權(quán)案件中因果關(guān)系難以認定主要有兩方面原因：首先，法律的穩(wěn)定性要求其不能隨意變更，但科學(xué)技術(shù)一直在高速發(fā)展，因此法律的規(guī)定難以適應(yīng)科學(xué)技術(shù)的發(fā)展；其次，科學(xué)技術(shù)的空間、行為和客體具有擬制的特點，更加難以認定侵權(quán)因果關(guān)系。

在信息科技時代，侵權(quán)人大多躲在信息世界的背后，被侵權(quán)人不僅很難發(fā)現(xiàn)信息數(shù)據(jù)背后的侵權(quán)人，甚至多數(shù)情況下連自己權(quán)利受到侵犯都不得而知。在復(fù)雜的虛擬世界下，一旦出現(xiàn)存在多個侵權(quán)人的情況，被侵權(quán)人就更加難以理清復(fù)雜的侵權(quán)因果關(guān)系，更加難以在關(guān)系網(wǎng)中找出侵權(quán)人。

2.“算法黑箱”下個人舉證困難

目前社會公眾對于個人信息的保護意識還有待加強，大部分人的個人信息保護的專業(yè)知識和素養(yǎng)是遠遠不夠，再加之在“算法黑箱”下，許多數(shù)據(jù)的處理過程、流轉(zhuǎn)信息的運算程序被掩蓋，使得信息侵權(quán)案件的損害后果通常具有隱蔽性。在侵權(quán)損害結(jié)果發(fā)生之前，被侵權(quán)人通常是難以發(fā)覺自身個人信息被不合理利用的。但即使侵權(quán)損害結(jié)果已顯露，被侵權(quán)人也很難找到信息處理人和信息濫用人之間的因果關(guān)系。

（三）被侵權(quán)人遭受損害的程度難以判斷

由于我國法律并沒有區(qū)分生物識別信息的侵權(quán)和人格權(quán)侵權(quán)的認定條件，所以，在司法實務(wù)上認定生物識別信息侵權(quán)時采用人格權(quán)侵權(quán)的認定標準——過錯責(zé)任標準，即需要被侵權(quán)人證明自己的生物識別信息權(quán)受到侵犯。生物識別信息有別于人格權(quán)，其損害后果的表現(xiàn)多種多樣：例如數(shù)據(jù)被泄露后引發(fā)下游犯罪、面部特征信息被泄露后被別有用心之人處理加工用于不當(dāng)場合導(dǎo)致被侵權(quán)人遭受精神痛苦等。比之于人格權(quán)，生物識別信息遭到損害后更難以證明，因為證明一般人格權(quán)受到損害需要行為具備不法性，但是生物識別信息的損害行為有時也是合法的，這是因為在社會公眾的知情同意前提下，我國有時候是允許某些商事行為去收集采樣社會公眾的生物識別信息的，國家對這些領(lǐng)域并沒有一律禁止。

四、我國生物識別信息隱私權(quán)保護路徑的完善

（一）明確生物識別信息的法律性質(zhì)

私密信息即符合個人信息的“可識別”要求，能夠單獨識別并和其他數(shù)據(jù)結(jié)合用以識別自然人的身份，或者兼具隱私的私密性，具有隱私利益，與公共利益無涉。［2］上文提及，私密信息和普通個人信息的保護方式和保護程度是有很大區(qū)別的，對于私密信息的保護通常比對于普通個人信息的保護更加嚴格。因此，只有明確二者的范圍，確定個人信息中哪些信息屬于私密信息，才能在信息侵權(quán)案件中選擇正確的保護方式。

（二）生物識別信息中侵權(quán)的規(guī)則原則和證明責(zé)任

我們國家的法律將個人信息的范圍擴大到包括了個人生物識別信息，并且還明確了涉及此類信息的侵權(quán)案件的舉證責(zé)任也是采取同個人信息侵權(quán)案件的舉證責(zé)任一致的過錯原則，即誰主張誰舉證，由被侵權(quán)人對自己生物識別信息受到侵犯承擔(dān)舉證責(zé)任。但是事實上，生物識別信息與身高、體重、家庭住址等個人信息有所不同，生物識別信息是通過計算機操作，具有無形性的特征。因此，被侵權(quán)人通常難以發(fā)現(xiàn)自己的權(quán)利受到侵犯。加之通過計算機操作之后，侵權(quán)證據(jù)非常容易銷毀。被侵權(quán)人很難收集到自己信息遭受侵犯的證據(jù)，因此，權(quán)利很難得到保障。

（三）生物識別信息侵權(quán)損害結(jié)果的認定

法律規(guī)定物權(quán)一旦被使用，他人就無法再利用，這是由物權(quán)的競爭性和排他性決定的。但是，生物識別信息則正好相反，生物識別信息具有非競爭性和非排他性，所以可以被輕易復(fù)制使用。之所以個人生物識別信息受到侵犯后會使受害方的財產(chǎn)利益受損，是因為個人生物識別信息與當(dāng)事人的財產(chǎn)利益有直接關(guān)聯(lián)，通常都是侵權(quán)方通過非法利用信息的行為，使受害者財產(chǎn)、利益受損。

五、結(jié)語

生物識別信息在大數(shù)據(jù)時代被廣泛運用于社會生活的方方面面，但由于個人生物識別信息具有唯一性、穩(wěn)定性、非接觸性和關(guān)聯(lián)性的特征，使得個人生物識別信息一旦被非法利用會造成重大影響。因此，有必要明確生物識別信息的權(quán)利屬性、確定過錯推定的證明責(zé)任以及多個侵權(quán)主體間的連帶責(zé)任、擴大損害的認定范圍，不限制于實質(zhì)性損害，將損害可能性也納入其中、擴大精神損害賠償?shù)姆秶?，以期實現(xiàn)對生物識別信息權(quán)的全面保護。