個人生物識別信息的隱私權保護

楊瓊宇

桂林電子科技大學，廣西 桂林 541000

一、生物識別信息概述

（一）語義解釋

個人生物識別信息必須能夠識別特定人身份。每個人的指紋、虹膜以及面部形態都是與眾不同的。因此，通過生物識別信息技術，運用科學算法，可以準確識別特定人的身份。個人生物識別技術因其有識別自然人身份的作用而被廣泛運用于社會生活中。《民法典》第一千零三十四條規定：個人信息是以電子或者其他方式記錄的能夠單獨或者與其他信息結合識別特定自然人的各種信息。由此可見，我國《民法典》認為個人生物識別信息是可以包含在個人信息這個大框架內的，所以說該信息內容也必須具有“識別特定人”的功能，如果該信息無法識別特定人，則會被排除于個人信息之外。

（二）個人生物識別信息的特征

1.生物識別信息的唯一性

個人生物識別信息不同于傳統個人信息，其具有唯一性。最具典型的傳統個人信息，例如手機號，一個人可以同時具備多個不同的手機號，或者多人同時使用一個手機號，此時該手機號作為傳統個人信息并不能識別出具體某一個人。但是個人生物識別信息，是一種通過科學技術采集自然人的生理信息而成的特殊個人信息，具有獨一無二的特征。例如，自然人的指紋信息，即使是一對同卵雙胞胎兩人的指紋也是不盡相同。因此，個人生物識別信息可以準確識別自然人，且難以被仿造和冒用。

2.生物識別信息的穩定性

生物識別信息因其通過采集自然人獨一無二的生理信息和行為信息，使其具有穩定性的特征。傳統個人信息，如個人的家庭住址，自然人可以隨意選擇住所、變更住所，因此家庭住址信息是可以改變，不具有穩定性。但是自然人的虹膜、指紋等生理信息，是長久伴隨著自己，輕易不會改變。因此，生物識別信息因其穩定性而廣泛運用于社會生活中。

（三）個人生物識別信息和隱私的區別

1.部分生物識別信息不具備隱私的“私密性”

隱私權要求其客體“私密信息”具有“私密性”的特征，同時個人生物識別信息又能夠識別個人的身份信息。因此，二者存在交叉聯系，但又有區別。生物識別信息包括兩類：一類是不被公開的生物識別信息；一類是可以公開的信息。不被公開的信息，例如有關自然人遺傳方面的信息和自然人健康方面的信息等，通常會涉及個人隱私。因此，如果泄露相關信息，則在被認定侵犯個人信息權的同時也會被認定為侵犯個人隱私權。此時生物識別信息與隱私屬于同個范疇。但是，并非所有的生物識別信息都歸屬于隱私，第二類公開的生物識別信息，例如，個人的面部特征、行為動作等信息，通常都暴露于公眾中，因此不具有隱私性。由于隱私一旦被保護、公開就被公眾所知，失去其私密性，不再屬于隱私。［1］

2.生物識別信息主體可以主動行使權利

隱私權是一種消極性權利。所謂消極性權利，是指這類權利主體只有在該權利受到侵犯時才能夠行使，通常表現為損害賠償請求權和排除妨害請求權，更多地體現為一種事后救濟。但是，生物識別信息權屬于主動性權利，這意味著其權利主體并非只能在其權利受到侵犯時行使，而是可以主動行使，例如權利主體的“知情同意權”等。同時，隱私權因其人身依附性的特征而缺少財產價值，但生物識別信息權與此相反，權利主體可以通過積極地行使該項權利以獲得一定的財產利益。

二、國外生物識別信息的保護現狀

（一）參照普通個人信息的保護方式

在參照普通個人信息的保護方式來保護個人生物識別信息的國家或區域組織中以歐盟和德國最具特色。德國的《聯邦數據保護法》具有前瞻性和系統性的特征而最具典型。歐盟的《一般數據保護條例》因其適用的國家眾多而知名。

1.歐盟的《一般數據保護條例》

歐盟的《一般數據保護條例》(General Data Protection Regulation,簡稱GDPR)將個人生物識別信息歸屬于個人信息之中，又將對個人信息的保護排除于隱私權保護之列，認為個人生物識別信息權是一項綜合性權益，需要通過多個部門法，如民法、刑法、行政法等法律予以保護。歐盟GDPR認為所謂的個人生物識別信息是指一種以自然人的身體結構、生理特征以及行為方式為基本內容的，同時需要借用計算機的信息數據處理系統來辨別和確認的新形式的個人信息。個人生物識別信息有助于對自然人身份的識別和明確。歐盟也是以可識別性來定義這些信息，不僅包含直接識別個人的信息，也包括可以間接識別個人的信息。①See General Data Protection Regulation，Art.16-21。

2.德國的《聯邦數據保護法》

雖然德國的法律體系歸屬于大陸法系，但是其對個人信息的保護并非全部應用大陸法系保護法，反而是借鑒、融合、參考了諸多英美法系在保護個人生物識別信息上的做法，即在對個人生物識別信息進行人格權保護的同時，吸收借鑒了隱私權保護模式，產生了德國立法中首創的信息自決權。德國立法將這項權利寫入憲法，并規定此項權利是公民的基本權利。

（二）生物識別信息的隱私權保護

美國1974年《隱私法案》規定公民的隱私包括公民的個人信息。不同于歐盟和德國將個人生物識別信息納入一般個人信息中保護，美國則是將其歸入隱私權法中予以保護。但是目前美國缺少專門針對生物識別信息保護的聯邦立法。因此，各州都出臺了自己的法律。對各大州的相關立法模式進行分析可知，針對生物識別信息的保護由兩種模式構成，一種是將其直接歸于一般個人信息予以保護，另一種則是專門為其單獨立法，設置一套專門的規制方法。

三、我國以隱私權保護生物識別信息的問題

（一）傳統隱私權保護范圍不包括生物識別信息

1.我國法律對個人信息的保護還未分門別類

我國《網絡安全法》第七十六條規定了個人信息的概念，同時也規定了我國個人信息的范圍包括個人生物識別信息。②參見《中華人民共和國網絡安全法》第七十六條。另外，我國《民法典》第一千零三十四條規定將“可識別性”作為判斷是否為個人信息的標志，同時也明確了個人信息包括個人生物識別信息。③參見《中華人民共和國民法典》第一千零三十四條。例如，有關自然人的身體健康與遺傳基因的個人信息，就比自然人的手機號或者年齡等個人信息更加隱秘和敏感。這些高敏感信息一旦被泄露，不僅侵犯了自然人的隱私權，有時還會侵犯自然人的人格尊嚴，給被侵權人帶來嚴重的社會傷害。因此，將個人信息進行分類保護，尤其對高敏感信息進行更加嚴格的保護，才能有效保護自然人的個人信息。

2.生物識別信息與隱私間的界限較模糊

《民法典》第一千零三十四條規定個人信息包括生物識別信息，個人信息中的私密信息適用隱私法的規定，沒有規定的適用個人信息保護的規定。④參見《中華人民共和國民法典》第一千零三十四條。但是《民法典》并沒有進一步劃分個人信息中私密信息的范圍。由于法律規定對私密信息和除私密信息以外的個人信息不同的保護方式，因此，準確劃分二者范圍對于確定適用何種保護手段至關重要。不僅如此，《民法典》將個人生物識別信息納入個人信息，卻沒有明確哪些個人識別信息屬于私密信息，也就難以確定對某個具體的個人生物識別信息決定適用何種保護方式。

（二）個人生物識別信息侵權因果關系認定復雜

1.侵權主體及環節證明困難

信息侵權案件中因果關系難以認定主要有兩方面原因：首先，法律的穩定性要求其不能隨意變更，但科學技術一直在高速發展，因此法律的規定難以適應科學技術的發展；其次，科學技術的空間、行為和客體具有擬制的特點，更加難以認定侵權因果關系。

在信息科技時代，侵權人大多躲在信息世界的背后，被侵權人不僅很難發現信息數據背后的侵權人，甚至多數情況下連自己權利受到侵犯都不得而知。在復雜的虛擬世界下，一旦出現存在多個侵權人的情況，被侵權人就更加難以理清復雜的侵權因果關系，更加難以在關系網中找出侵權人。

2.“算法黑箱”下個人舉證困難

目前社會公眾對于個人信息的保護意識還有待加強，大部分人的個人信息保護的專業知識和素養是遠遠不夠，再加之在“算法黑箱”下，許多數據的處理過程、流轉信息的運算程序被掩蓋，使得信息侵權案件的損害后果通常具有隱蔽性。在侵權損害結果發生之前，被侵權人通常是難以發覺自身個人信息被不合理利用的。但即使侵權損害結果已顯露，被侵權人也很難找到信息處理人和信息濫用人之間的因果關系。

（三）被侵權人遭受損害的程度難以判斷

由于我國法律并沒有區分生物識別信息的侵權和人格權侵權的認定條件，所以，在司法實務上認定生物識別信息侵權時采用人格權侵權的認定標準——過錯責任標準，即需要被侵權人證明自己的生物識別信息權受到侵犯。生物識別信息有別于人格權，其損害后果的表現多種多樣：例如數據被泄露后引發下游犯罪、面部特征信息被泄露后被別有用心之人處理加工用于不當場合導致被侵權人遭受精神痛苦等。比之于人格權，生物識別信息遭到損害后更難以證明，因為證明一般人格權受到損害需要行為具備不法性，但是生物識別信息的損害行為有時也是合法的，這是因為在社會公眾的知情同意前提下，我國有時候是允許某些商事行為去收集采樣社會公眾的生物識別信息的，國家對這些領域并沒有一律禁止。

四、我國生物識別信息隱私權保護路徑的完善

（一）明確生物識別信息的法律性質

私密信息即符合個人信息的“可識別”要求，能夠單獨識別并和其他數據結合用以識別自然人的身份，或者兼具隱私的私密性，具有隱私利益，與公共利益無涉。［2］上文提及，私密信息和普通個人信息的保護方式和保護程度是有很大區別的，對于私密信息的保護通常比對于普通個人信息的保護更加嚴格。因此，只有明確二者的范圍，確定個人信息中哪些信息屬于私密信息，才能在信息侵權案件中選擇正確的保護方式。

（二）生物識別信息中侵權的規則原則和證明責任

我們國家的法律將個人信息的范圍擴大到包括了個人生物識別信息，并且還明確了涉及此類信息的侵權案件的舉證責任也是采取同個人信息侵權案件的舉證責任一致的過錯原則，即誰主張誰舉證，由被侵權人對自己生物識別信息受到侵犯承擔舉證責任。但是事實上，生物識別信息與身高、體重、家庭住址等個人信息有所不同，生物識別信息是通過計算機操作，具有無形性的特征。因此，被侵權人通常難以發現自己的權利受到侵犯。加之通過計算機操作之后，侵權證據非常容易銷毀。被侵權人很難收集到自己信息遭受侵犯的證據，因此，權利很難得到保障。

（三）生物識別信息侵權損害結果的認定

法律規定物權一旦被使用，他人就無法再利用，這是由物權的競爭性和排他性決定的。但是，生物識別信息則正好相反，生物識別信息具有非競爭性和非排他性，所以可以被輕易復制使用。之所以個人生物識別信息受到侵犯后會使受害方的財產利益受損，是因為個人生物識別信息與當事人的財產利益有直接關聯，通常都是侵權方通過非法利用信息的行為，使受害者財產、利益受損。

五、結語

生物識別信息在大數據時代被廣泛運用于社會生活的方方面面，但由于個人生物識別信息具有唯一性、穩定性、非接觸性和關聯性的特征，使得個人生物識別信息一旦被非法利用會造成重大影響。因此，有必要明確生物識別信息的權利屬性、確定過錯推定的證明責任以及多個侵權主體間的連帶責任、擴大損害的認定范圍，不限制于實質性損害，將損害可能性也納入其中、擴大精神損害賠償的范圍，以期實現對生物識別信息權的全面保護。