個人生物識別信息保護的消費民事公益訴訟救濟路徑探析

陳東強

引 言

黨的十八大以來，以習近平總書記為核心的黨中央重視互聯網、發展互聯網、治理互聯網，全面促進實施大數據發展行動，推動我國網信事業取得歷史性成就，走在世界前列。為促進我國由網絡大國邁入網絡強國，實現網絡信息技術的高質量發展，維護網絡和信息安全、增進人民福祉，需要加大個人信息保護力度，嚴厲打擊侵犯公民個人隱私等違法犯罪行為，同時暢通對侵權人民事責任的追究路徑，增加違法成本，實現對個人信息侵權行為的多層治理。消費者生物識別信息保護是個人信息保護的重要領域，在大數據經濟快速發展的時代背景下，基于消費者生物識別信息的性質及特點，應當合理把握保護與共享的平衡，準確處理民事公益訴訟與刑事訴訟、私益訴訟、行政管理及訴訟等方面關系，暢通消費民事公益訴訟路徑，促進個人信息保護治理體系的進一步完善。

當前，個人信息尤其是以“人臉識別”為代表的生物識別信息保護，已經成為信息化發展面臨的突出問題。從司法角度來分析，在加大對侵犯個人信息違法犯罪行為的打擊力度、促進行政機關加強行政管理的同時，也應當注意到，在民事審判領域，消費者個人私益訴訟成本高、維權難的問題突出。為維護眾多消費者權益和社會公共利益，促進消費民事公益訴訟對個人生物識別信息保護的有效介入是一項可行選擇。

一、當前個人生物識別信息保護的現狀

（一）以“人臉識別”為代表的生物識別技術廣泛應用

根據《最高人民法院關于審理使用人臉識別技術處理個人信息相關民事案件適用法律若干問題的規定》（法釋〔2021〕15號）（以下簡稱《使用人臉識別技術處理個人信息民事案件規定》）第1條規定，人臉信息屬于《民法典》第1034條規定的“生物識別信息”。人臉信息的處理包括人臉信息的收集、存儲、使用、加工、傳輸、提供、公開等。在當前社會生活中，人臉信息作為個人獨有的生物識別信息，被廣泛應用到公民的身份識別中，主要包括以下幾個方面：

1.社會管理。用人臉識別技術進行闖紅燈抓拍比對，有效減少行人闖紅燈行為的發生。對于線上納稅申報、交通違法處理等事項，通過人臉信息進行核對識別。2.安防領域。在重要路段、地點安裝相應設備，通過人臉識別技術的應用，及時準確查找犯罪及治安違法行為線索，提高破案率。3.公共出行。高鐵站、機場、銀行、電信、賓館等公共服務領域廣泛應用人臉識別技術，提高識別效率。4.門禁通行。單位、學校、小區等，通過安裝人臉識別系統，簡化了對人員出入的管理方式。5.疫情防控。受新冠肺炎疫情影響，各地采取積極應對措施，對人員跨域出行，進入醫院、商場、賓館等場所進行識別。6.消費領域。一些經營者通過人臉識別生物識別系統，識別消費者個人信息，為消費者提供更加便捷高效的服務，也從中獲取商業利益。

（二）配套規制措施相對缺位

2021年央視3·15晚會曝光諸多侵害消費者權益的案件線索，個人生物識別信息的侵權程度和規?？芍^觸目驚心。國家市場監督管理總局組織案件線索涉及的相關地區市場監管部門，依法依規進行從快查處，但對于經營者收集、泄露、竊取個人信息問題，沒有公布明確的查處意見。對于商家未經消費者同意收集人臉識別信息、招聘網站涉嫌泄露求職者信息、手機清理類軟件竊取個人信息等案件線索，國家市場監督管理總局在情況通報中表述為：相關地區市場監管部門全力配合公安、網信、工信等部門做好查處工作，形成執法合力。從概括性的情況通報中，無從得知針對此類案件，各行政部門之間的職責分工與權限配置。

（三）消費者私益訴訟的弱勢

在保護生物識別信息方面，消費者個人私益訴訟在同其他消費者訴訟一樣呈現出小額、多數、訴訟成本高等特點之外，還存在著侵權主體難尋、證據難以收集、損失數額難以確定、知情同意原則認定存在爭議、侵權后果難以消除等一系列難題，使消費者缺乏提起訴訟的動力。在大量的侵權行為面前，即使對于明顯存在的侵權行為，也鮮有消費者提起訴訟。

例如，浙江省杭州中院于2021年4月9日，作出“人臉識別第一案”的終審判決?；景盖闉椋?019年4月，郭兵夫婦支付1360元購買杭州野生動物世界有限公司（以下簡稱野生動物世界）雙人游年卡，確定入園方式為指紋識別。后要求激活人臉識別系統，否則無法入園，引發訴訟。最終判決野生動物世界賠償郭兵合同利益損失及交通費共計1038元，刪除郭兵辦理指紋年卡提交的包括照片在內的面部特征信息等。①參見李保錦：《從“人臉識別第一案”看個人信息保護》，載《江蘇經濟報》2021年4月28日，第B03版。在社會輿論的高度關注下，原告郭兵的部分訴訟請求獲得支持，但賠償數額1038元的結果，顯然遠遠不足以支付訴訟成本，起不到支持個人私益訴訟，維護自身合法權益的效果，對于案涉侵權行為也起不到遏制作用。更何況，原告郭兵還是浙江理工大學特聘副教授，研究個人信息保護的法律問題多年，對于一般的消費者而言尚不具有充分的代表意義。②參見韓沁珂：《人臉識別第一案原告郭兵：個體在個人信息保護方面非常脆弱》，載新浪網2021年4月12日，https://news.sina.com.cn/c/2021-04-12/doc-ikmxzfmk6429763.shtml。消費者個人私益訴訟的程序和實體設置，尚不能起到保護廣大消費者生物識別信息的作用。

（四）相關法律規定不斷出臺

《民法典》第1034條將生物識別信息列入個人信息的范圍，在此基礎上，《個人信息保護法》第28條對敏感個人信息的范圍進行了明確，把生物識別信息列為敏感個人信息。該條還明確，只有在具有特定的目的和充分的必要性，并采取嚴格保護措施的情形下，個人信息處理者方可處理敏感個人信息。在《民事訴訟法》第55條、《消費者權益保護法》第47條規定人民檢察院和省級以上消費者協會具備消費公益訴訟原告資格的基礎上，《個人信息保護法》第70條還明確規定了“個人信息處理者違反本法規定處理個人信息，侵害眾多個人的權益的，人民檢察院、法律規定的消費者組織和由國家網信部門確定的組織可以依法向人民法院提起訴訟”。《使用人臉識別技術處理個人信息民事案件規定》第14條規定：“信息處理者處理人臉信息的行為符合《民事訴訟法》第五十五條、《消費者權益保護法》第四十七條或者其他法律關于民事公益訴訟的相關規定，法律規定的機關和有關組織提起民事公益訴訟的，人民法院應予受理?！睆姆珊退痉ń忉尩膶用嫔?，對消費民事公益訴訟介入個人生物識別信息保護作出了設定。

（五）消費民事公益訴訟相關案件的主要特點

筆者于2021年5月21日在中國裁判文書網搜索“消費、公益訴訟、個人信息”，結果有90篇裁判文書，經篩查涉及消費者公益訴訟和信息保護的文書為55篇，其中包括個人敏感信息的內容，但是對于生物信息保護尚未出現專門的消費民事公益訴訟。人民檢察院提起的相關公益保護措施，主要在督促行政機關或者經營者整改方面進行，盡管取得一定程度的進展，①參見《最高檢發布檢察機關個人信息保護公益訴訟典型案例》，載新華網2021年4月22日，http://www.xinhuanet.com/legal/2021-04-22/c-1211122982.htm。但消費者生物識別信息保護的體系尚未規范運行。現就相關情況分析如下：

1.案件數量整體較少。面對現實社會生活中大量存在的個人信息侵權行為，涉及消費民事公益訴訟的有效案例僅為55件，其中刑事附帶民事案件53件，民事案件2件，絕大部分案件屬于刑事附帶民事案件，是在刑事案件中進行處理，刑事案件53件中當事人全部被追究刑事責任。

2.訴訟主體以基層檢察院為主。提起訴訟的起訴主體中，基層檢察院占53件，市級檢察院1件，消費保護組織1件。

3.涉及個人敏感信息的約占四成。根據判決書載明的內容，涉及公民照片、身份證、銀行卡等敏感信息的21件；不涉及上述敏感信息的31件；另外有3件涉及未成年人信息。案件處理中，沒有區分是否屬于敏感信息，作為直接判斷刑事及民事責任承擔的分析說理。

4.判決賠禮道歉比較普遍。進行實體處理的54件案件中，全部判決了賠禮道歉，其中反映了在民事公益訴訟中對于侵權者的行為負面評價，對于個人信息受到侵害的精神慰藉，成為一個必然選擇。

5.近半數案件判決賠償損失。53件刑事附帶民事案件中，侵權者全部被追究刑事責任并判處罰金。在此基礎上，判決賠償損失的26件，未判決賠償損失的27件。由于絕大部分為刑事程序，未判決賠償損失但判決沒收違法所得的3件，同時判決沒收違法所得和賠償損失的2件。

二、個人生物識別信息保護的比較研究

（一）域外主要立法傾向

從整體上來講，面對信息技術發展給個人信息與隱私權保護帶來的問題，域外的做法與思路主要是堅持運用既有的法律工具與權利保障工具予以解決。在信息化發展的大潮中，對于個人信息數據的保護立法進行了積極探索。①諸如1973年瑞典《數據法》、1974年美國《隱私法》、1977年德國《聯邦個人數據保護法》、1984年英國《數據保護法》，1980年經合組織（OECD）《隱私保護與個人數據跨境流通指南》、1981年歐洲委員會《關于自動處理個人數據的個人保護公約》、1995年歐洲議會和歐盟理事會《關于涉及個人數據處理中的個人保護以及此類數據自由流動的指令》、2004亞太經合組織《APEC隱私框架》、2013年OECD《隱私框架》、2018年歐洲委員會《修訂自動數據處理個人保護公約議定書》、2005年日本《個人信息保護法》、2006年俄羅斯《個人數據保護法》、2011年韓國《個人信息保護法》、2012年新加坡《個人數據保護法》、2018年巴西《個人數據保護法》，等等。與一般的國內立法不同的是，由于數據流通的國際化，對于個人信息保護的立法呈現出國際化的傾向。立法主要依據是聯合國《世界人權宣言》及《聯合國公民權利與政治權利國際公約》中關于隱私權的保護條款。②參見程雷：《大數據背景下的秘密監控與公民個人信息保護》，載《法學論壇》2021年第3期。這種保護模式在案件裁判中得以充分體現。如2019年5月英國南威爾士公民愛德華·布里斯奇在英國知名人權組織的支持下，以午餐時間被人臉識別攝像頭拍攝并被侵犯人格權利為由，將南威爾士警方告上法庭。2020年8月，上訴法院最終支持原告訴求，認為公共監控中使用人臉識別侵犯公民隱私權。隨后，當地人權組織將人臉識別技術稱為“具有威脅性的危險技術”，并呼吁禁止在公共領域使用該技術。在美國，臉書公司則因未經用戶同意而收集、存儲個人生物識別信息面臨集體訴訟。在最新的動議中，臉書公司除賠償6.5億美元，還應在動議獲批后的180天內關閉當地人臉識別“照片標簽”功能，同時刪除數據庫中存儲的人臉圖像及人臉生物識別符模板信息。③參見石佳友、劉思齊：《人臉識別技術中的個人信息保護——兼論動態同意模式的建構》，載《財經法學》2021年第2期。

對于生物識別信息的內涵，《通用數據保護條例》第4條第14款將“生物識別數據”定義為“對自然人的物理、生物或行為特征進行特定技術處理后所得到的具備識別性的個人數據”，例如人臉圖像或指紋數據。

美國《加利福尼亞州消費者隱私保護法案》將“生物識別信息”定義為個人“生理、生物或行為上的特征”，包括脫氧核糖核酸序列等一切可以單獨或結合其他信息識別特定個體的信息。美國《伊利諾伊州生物信息隱私法案》將“生物識別信息”直接概括定義為具有“個人生物識別標識符”的任何信息。由此可見，美國從生物識別信息的定義上趨于囊括盡可能多的生物特征及相關數據，在實踐中可以幫助執法者快速判斷涉案數據是否屬于生物識別數據，從而援引相關的保護性規定。①參見程雷：《大數據背景下的秘密監控與公民個人信息保護》，載《法學論壇》2021年第3期。

（二）歐盟模式

由于存在二戰時期納粹集團戰爭機器的歷史陰影，歐盟最初的個人信息保護立法的宗旨大多為規范國家行為，在現行立法中也多將公民個人信息作為一項基本權利加以體系化保護。在以往歐盟各國多項立法的基礎上，2018年5月，歐盟各成員國正式實施《通用數據保護條例》（GDPR），立法邏輯起點為人格權保護，在個人信息保護領域實施標準化、一體化的立法和執法措施?！锻ㄓ脭祿Ｗo條例》生效后，Facebook和谷歌等互聯網企業即被指控強迫用戶同意共享個人數據而面臨巨額罰款，并被推上輿論關注的風口浪尖?！锻ㄓ脭祿Ｗo條例》專章規定了數據主體權利，包括信息透明度和信息機制、數據訪問權、數據主體的修正權和刪除權即“被遺忘權”、限制處理權、反對權、拒絕權和自主決定權、知曉黑客入侵權等，建立了個人信息權利保護的公益訴訟制度，規定數據主體為了自身利益，有權委托非營利組織行使救濟權利。同時，歐盟也傾向于通過爭奪數據規則制定的主動權，推動歐盟單一數字市場建設。2020年12月15日，歐盟公布了《數字服務法》和《數字市場法》的草案，旨在加強對數字平臺企業的治理，保護用戶權益，構建安全的網絡空間，遏制大型平臺企業的壟斷，創造公平競爭環境監管。②參見沈紅雨：《大數據流動背景下個人信息保護法律制度的挑戰與對策——基于比較法的視角》，載《中國應用法學》2021年第2期。

（三）美國模式

美國個人信息保護的立法，呈現出對政府權力的一般限制、市場自我規制和特定行業、敏感信息重點保護的立法模式，區分金融、健康、未成年人等不同情形進行保護。③參見美國聯邦《隱私法》《金融服務現代化法》《家庭教育權利與隱私法》《健康保險可攜帶性和責任法案》《兒童在線隱私保護法》《駕駛者隱私保護法》《視頻隱私保護法》等。由于美國聯邦及各州涉及個人信息和隱私保護的法律過于多樣化，因此很難充分概括美國立法的全貌。美國在聯邦層面目前沒有針對個人信息和隱私保護的專門性法律規范。對于個人信息和隱私的保護，美國采用的依靠行業立法、監管和行業自律相結合的行業監管方式。④參見韓晗、林野麗：《十二國/地區個人信息保護與企業數據合規制度概述——美國篇》，載知乎網2020年7月21日，https://zhuanlan.zhihu.com/p/162258086。2020年9月，美國伊利諾伊州斯普林菲爾德市發布市政令，暫停人臉識別在公開政務中的使用。加利福尼亞州、馬薩諸塞州、俄勒岡州等州所屬的10個城市亦相繼發布市政令，直接禁止包括警察部門在內的政府機構在轄區內公共場合使用人臉識別技術。對于消費者個人信息的保護，2020年1月1日，美國加利福尼亞州《消費者隱私法》生效，所有的加州居民均被列為消費者保護的范圍，除小微企業和一般自然人的信息收集與處理活動外，規定了消費者享有的信息披露請求權、信息刪除請求權、禁止企業出售個人信息的權利、賠償訴訟請求權等，提高了美國保護隱私的標準，平臺化精準營銷的互聯網商業模式將受到一定程度的制約。

三、個人生物識別信息保護類型的差別化分析

（一）關于生物識別信息保護與疫情防控

我們正處于新冠疫情防控的重要時期，疫情的發展涉及國家社會和公共安全，涉及人民群眾的生命健康安全，因此，公民生物識別信息的收集、行動軌跡的識別，在適度的范圍內是應當得到允許的。一種觀點認為，因為在我國《民法典》中生命權、健康權、身體權優先，隱私權雖然也很重要，但在隱私權和生命權發生沖突時，比如采取掃“健康碼”、人臉識別這些措施，是為了優先保護生命權不得已付出的代價。①參見王利明：《民法典順應良法善治新期待》，載《網絡傳播》2020年第8期。在此情形下，對于個人信息的收集和處置，應當進行讓渡。另一種觀點認為，即便是疫情防控需要，對個人生物識別信息的保護也應當限于合理的存儲、利用，不應無限度的利用、共享甚至是侵犯。

（二）關于生物識別信息保護與安全

《數據安全法》第35條規定：“公安機關、國家安全機關因依法維護國家安全或者偵查犯罪的需要調取數據，應當按照國家有關規定，經過嚴格的批準手續，依法進行，有關組織、個人應當予以配合?！庇捎谠S多公開獲取公民信息的媒介所儲存的大數據也被應用到刑事司法、情報信息與國家安全領域，由此產生了“用隱私換安全”的現實做法和思維基調，形成了隱私和安全邊界與沖突的考量。一種觀點認為，公民讓渡出部分個人信息由政府加以利用，以獲得更為安全、穩定的生活狀態以及更為正當、文明的刑事司法程序。這種交易理論是個人信息及隱私權的讓渡正當性的一個有力推定。另一種觀點認為，從人類信息保護的發展歷史來看，對公民信息自由與安全的最大威脅莫過于政府，政府對于公民權利的侵犯和濫用曾經導致很多災難性的歷史事件。②參見程雷：《大數據背景下的秘密監控與公民個人信息保護》，載《法學論壇》2021年第3期。因此，所謂的以“隱私換安全”遠遠沒有解讀者的云淡風輕和義正詞嚴。這種讓渡程度如何界定，交易是否應由公民認可，應當屬于公民基本權利的內容。這種讓渡中政府監控如何受正當程序的制約，如何設定監管，公民生物識別信息的公開、保存、利用、處置是否應納入行政訴訟的范疇，值得進一步研究。

（三）關于生物識別信息保護與共享

排除前述兩個問題涵蓋的內容，這里的共享，僅指以經濟發展為目的的信息共享。對于公民個人信息隱私權與共享之間的關系問題，一種觀點認為，大數據時代的顯著特征在于數據的開發與再次利用在很大程度上依賴于數據共享，數據共享能實現數據資源的重復利用，降低數據收集成本，實現同類數據社會效益的最大化。①參見王利明：《數據共享與個人信息保護》，載《現代法學》2019年第1期?？梢哉f沒有數據共享，大數據的優勢就難以體現。因此，為促進我國大數據產業快速發展和趕超，應當盡最大幅度地實現信息的共享，這也是我們大數據產業發展的一個基礎和特色。另一種觀點認為，經營者在收集消費者生物識別信息時，如果侵犯了消費者的知情權，不適當的進行存儲、利用，對于消費者造成的損害是不可估量的。這里需要區分的是，基于公共安全目的的信息收集、保存、利用與商業目的的信息處理盡管存在一定的聯系，但由于信息的持有者和利用者同公權力機關的性質不同，與消費者之間屬于平等主體的民事法律關系，對其通過大數據發展實現的經濟利益應當至少和公民權益在同一緯度上進行衡量，而不宜以大數據發展為名，過分損害公民的合法權益。

（四）關于生物識別信息保護與物業管理

一種觀點認為，對于物業小區設置的個人生物信息識別系統，如進入小區刷臉等，反映了現代化管理的需求，為提高物業管理準確程度和效率，業主應當服從物業安排，提供生物識別信息。另一種觀點認為，即便是小區業主的公共管理也不必然產生要求業主提供個人生物識別信息的權利，物業公司在未經業主許可的情形下處理個人敏感信息，缺乏法律依據。因此，業主有權拒絕提供，同時物業公司應當給予替代識別措施，便于業主實現同等的行動自由。

（五）關于生物識別信息保護與勞動關系

一種觀點認為，對于用人單位在日常管理中收集的個人信息，比如采取人臉識別打卡、門禁等措施，屬于用人單位管理制度的內容，一般情形下勞動者無權拒絕。另一種觀點認為，用人單位收集勞動者生物識別信息應當以適當為原則，且有安全保存該信息的義務，在勞動關系解除時，勞動者享有請求合理處置該信息的權利。用人單位或者其工作人員違法處置個人信息，應當承擔相應法律責任。用人單位處置個人生物識別信息時，應當進行必要的限制，并在雙方簽訂勞動合同中載明，過分侵犯勞動者個人信息權益的條款，應屬無效。

（六）關于生物識別信息保護與醫療

健康醫療大數據是國家重要的基礎性戰略資源，對于身體狀況監測、疾病預防和健康趨勢分析等都具有積極意義。一種觀點認為，理想化的健康醫療大數據是通過能夠穿戴的設備或其他終端，對人體健康數據進行持續收集，并給出診斷或康復建議，真正縮減了醫療服務的人、財、物等成本，實現醫療健康數據的全覆蓋。另一種觀點認為，個人生物識別信息和健康狀況的隱私信息能否得到充分保護，直接影響到公共空間和私人空間的界限。在對健康醫療大數據的監管治理模式上，應當通過落實知情同意、無害利用等原則，探尋一條鼓勵創新和保護個人隱私的允中之道。①參見劉影、管仲軍：《健康醫療大數據共享時代切勿將公眾變成“透明人”》，載《光明日報》2020年12月6日，第6版。

四、消費民事公益訴訟進行生物識別信息保護的可行性探析

我國學者對個人信息權屬性定位有兩種不同的觀點:一種觀點認為個人信息權是人格權，認為個人信息權與權利人的人格尊嚴和人格自由緊密相關，但個人信息與隱私權之間存在諸多差別，②參見王利明：《論個人信息權的法律保護——以個人信息權與隱私權的界分為中心》，載《現代法學》2013年第4期。此種觀點在民法學界比較普遍;另一種觀點認為個人信息權是財產權，個人信息權與權利人的財產利益緊密相關，界定為財產權有利于個人信息權的保護。③參見張融:《個人信息權的私權屬性探析——人格權抑或財產權》，載《北京郵電大學學報（社會科學版）》2017年第2期。在此基礎上，對于個人信息屬于個人所有還是共有，也存在不同認識。有觀點認為，個人信息本質上類似于純公共產品，如陽光、空氣等，帶有一定的共有財產屬性，且具有極大的社會價值。④參見付大學：《個人信息之半公地悲劇與政府監管》，載《首都師范大學學報（社會科學版）》2019年第1期。這種爭議觀點主要是建立在尚未對個人信息進行分類的情況下展開的，在將個人信息與安全、共享進行分析比對的情境下，包括生物識別信息在內的個人信息，很難具有獨立的可深入研究的空間，也將消費者生物識別信息的保護置于困境。因此可以從消費者生物識別信息與一般的個人信息關系和特點進行分析：

（一）消費者生物識別信息將形成社會公共利益新形態

個人信息權不能簡單地定位為人格權或財產權，其人格利益和財產利益同等重要。從財產權角度，個人信息是私有和共有之混合，而且共有涉及多數權利人的共有，完全靠自治難以取得成效。在大數據時代，包括消費者生物信息在內的個人信息只有形成規模才具有價值。在嚴格單一個人權利保護的路徑下，個人信息的處理需要征得個人的同意，此種情形下，并不利于個人信息的利用和共享，可能不完全符合個人信息的半公地的性質及特點。眾多個人信息形成的大數據，并非被每一位消費者獨享，但形成了眾多消費者共同組成的數據利益，正在形成一種新型的社會公共利益，這也是網絡化背景下新類型糾紛，給類似權利保護路徑的完善帶來的新命題。

（二）消費者生物識別信息保護與大數據發展不存在沖突

當前，我國法律對于生物識別信息的保護尚未從公民個人信息保護中作出特別規定，而是同其他個人信息一并進行規定和考量。通過前文所述的公民個人生物識別信息技術的應用場景可知，可以對該類信息的處理包含傳染疾病預防、安全、共享、社區管理等方面，也就產生了公民個人生物識別信息權益與公共衛生安全、社會治安安全、共享、社區自治、勞動制度等方面的沖突和博弈。但是消費者生物識別信息不同，與之相對立的主要是商業利益，而非公共利益和國家利益。這里存在著個人信息的主體與客體的轉換問題，即對于消費者生物識別信息保護領域，公民個人是權利主體而非權利涉及的客體。

（三）個人生物識別信息侵權的不可逆性降低私益訴訟的動因

人格權方面的侵權，損害的結果一旦蔓延之后損害后果無法估計，也不可恢復原狀。①參見王利明：《民法典順應良法善治新期待》，載《網絡傳播》2020年第8期。消費者生物識別信息被收集尤其轉讓后，往往難以盡數刪除并消除影響，由于涉及個人隱私，開展維權行為可能給消費者造成更大的傷害，因此消費者本人往往不具備遏制侵權行為的合理動機。為制止正在進行的侵權行為，遏制侵權行為的蔓延，需要維護公益的國家機關或社會組織代表受侵害人主張權利，才能對消費者生物識別信息進行適當的司法保護，對侵權行為進行有效約束。

（四）對于消費者生物識別信息的處理應當采取相對嚴格的管理模式

現實中往往存在侵害不特定眾多消費者權益的情形，直接影響到廣大人民群眾的合法權益，所以應在消費領域為消費者生物識別信息予以特殊的保護。侵犯消費者個人生物識別信息行為是否損害社會公共利益，是對其違法性判斷的邏輯起點。②參見王輝、韓榮：《消費者個人信息保護檢察民事公益訴訟相關問題探析》，載《中國檢察官》2020年第12期。根據《個人信息保護法》第28條規定，只有在具有特定的目的和充分的必要性，并采取嚴格保護措施的情形下，個人信息處理者方可處理敏感個人信息。為促進消費者個人信息的保護，《消費者權益保護法》《個人信息保護法》《使用人臉識別技術處理個人信息民事案件規定》等法律和司法解釋，均明確了消費民事公益訴訟的功能設置。

從前文所述權利沖突的情景分析，經營者收集、利用、共享等處理消費者生物識別信息的過程，往往在消費者不知情的情況進行。即使征詢消費者的意見，在收集消費者信息時，也采取消費者無法識別、對抗的方式進行，經營者的行為往往針對不特定的消費者進行。經營者對于收集的信息進行處置時，也會針對眾多的消費者。根據我國《民事訴訟法》第55條規定，對侵害眾多消費者合法權益等損害社會公共利益的行為，法律規定的機關和有關組織可以向人民法院提起訴訟。符合《民事訴訟法》規定的公益訴訟提起的條件，可以提起民事公益訴訟。

五、消費民事公益訴訟介入消費者生物識別信息保護的訴訟程序定位

（一）與刑事訴訟

從目前中國裁判文書網上公益訴訟涉及消費者個人信息的案件來看，幾乎全部通過刑事附帶民事案件進行。在刑事案件中對犯罪行為進行認定并作出處罰時，一并通過民事公益訴訟的方式，判決侵權人賠禮道歉、刪除信息、賠償損失，對刑事案件有較強的依附性，同時對刑事責任的追究也起到補充作用，主要功能在于通過對違法獲利的剝奪，起到預防、制止作用。由于刑事責任追究的謙抑性，對于大量的輕微違法行為、侵權行為以及違約行為，不宜進行刑事打擊，所以民事公益訴訟的預防、制止、引導作用存在著較大的發揮空間。

（二）與行政管理及行政公益訴訟

《民法典》第534條規定：“對當事人利用合同實施危害國家利益、社會公共利益行為的，市場監督管理和其他有關行政主管部門依照法律、行政法規的規定負責監督處理?！钡捎趯οM者生物識別信息的保護職責尚待明晰，對于數據信息共享和個人信息保護的認識存在爭議，市場監管局對于消費者權益的生物識別信息的保護，遠遠不如其他消費侵權行為更為主動。從辦案數量上來看，以大數據經濟比較活躍的浙江省為例，2017—2020年全省查辦侵犯消費者個人信息案件分別為24件、48件、106件和142件，共320件，平均每年每市不足8件。個人信息保護公益訴訟既包括行政公益訴訟又包括民事公益訴訟,根據《行政訴訟法》規定,人民檢察院是我國行政公益訴訟的唯一起訴主體,但在《民事訴訟法》的規定中有權提起公益訴訟的主體除了人民檢察院,還包括法律規定的其他機關和有關組織。鑒于涉及公共利益，行政管理部門應當更好地發揮主導作用，行政公益訴訟將對此發揮監督功能。但是，由于行政公益訴訟對于行政行為約束的謙抑性，對于侵權行為的具體應對措施，一般仍由行政機關進行，可能會影響生物識別信息保護的效率，形成難以挽回的侵權后果。消費民事公益訴訟能夠在訴訟中直接申請采取保全措施或者禁令，及時控制侵權行為的蔓延。由于目前法律規定尚待完善，檢察機關傾向于較為靈活的行政公益訴訟方式，督促行政機關加強對個人信息違法行為的監管。

（三）與私益訴訟

第一，對于在生物識別信息保護中公益訴訟和私益訴訟的關系問題。由于訴訟成本高、難以實現預期效果，個人對于信息保護的動力欠缺。如果設置過多激勵方式，過度保護又可能會導致信息利用價值的喪失。由于該種保護與設立消費者保護的懲罰性賠償機制的背景存在差異，加之大數據本身具有的公共屬性，該領域尚不存在職業維權人的問題，相對于私益訴訟而言，公益訴訟發揮作用的空間更為廣闊。第二，基于其他類型消費者權益保護發展之得失和爭議，推動職業打假式的個人信息保護模式不利于權利保護的規范性，不符合個人信息數據化特征，也會影響大數據產業的快速發展。第三，我國實行國家主導的政治經濟體制，私權和社群自治不夠發達，權利意識相對淡漠，因此不宜生搬硬套域外的個人信息保護路徑。消費公益訴訟應當是行政管理的必要補充，是體系化保護中的一個重要路徑。

六、消費民事公益訴訟保護生物識別信息功能發揮之前瞻

（一）明確功能定位

從以上涉及個人信息保護的消費民事公益訴訟所涉及的情況來分析，該類訴訟尚未在保護個人生物識別信息中發揮應有作用。僅從目前案件數量上來看，明顯與侵權行為大量存在的情況不對稱，問題產生的原因是多方面的，但究其原因還是在于，對于消費民事公益訴訟介入個人生物識別信息保護缺乏明確的定位。消費民事公益訴訟的目的應重在制止和預防，訴訟重點針對未被追究刑事責任和行政責任的大規模侵害消費者生物識別信息行為開展，補足目前社會規制的缺位，與刑事訴訟、行政監管、消費私益訴訟相互配合，共同構筑生物識別信息保護社會治理體系。

（二）擴大主體范圍

由于涉及網絡的安全和技術問題，人民檢察院和消費者協會對技術層面缺乏專業背景，也是影響民事公益訴訟深入推進一項重要因素。因此，消費者生物識別信息公益訴訟的主體，應當在具有互聯網管理背景的機構中進行擴大，根據《個人信息保護法》的規定，可由國家網信辦等部門根據實際情況進行確定，在司法實踐中，也可建立相應技術機構支持人民檢察院和消費者協會進行公益訴訟的制度。另外，從消費民事公益訴訟整體開展情況來看，消費者協會訴訟的案件數量非常少，激勵機制需要進一步完善，提起公益訴訟的社會主體還需擴大。

（三）改革證據制度

從目前提起訴訟的案件來分析，55件案件中53件是侵權人被追究刑事責任的情況，侵權行為的認定已經不存在爭議。對于民事案件中侵權行為的證明，是現實影響公益訴訟提起的一個重要因素。大數據背景下，由于自動化技術的廣泛應用，自然人與信息處理者之間訴訟能力差距進一步增大，《民法典》第1165條第1款過錯責任的一般條款和第1194條網絡信息的侵權責任條款以及《民事訴訟法》第64條等規定，已經不足以完成個人生物識別信息侵權救濟的使命。一方面要將《個人信息保護法》第69條中關于“處理個人信息侵害個人信息權益造成損害，個人信息處理者不能證明自己沒有過錯的，應當承擔損害賠償等侵權責任”的規定引入公益訴訟；另一方面立足于賦予檢察機關、消費者協會等公益訴訟主體一定的調查權，增強原告主體的舉證能力。

（四）規范損失賠償

實踐中，對于損失的計算有以下三種模式：一是根據受害人遭受的實際損失進行賠償；二是按照信息處理者侵害個人信息而獲得的不當利益進行賠償；三是當受害人遭受的實際損失和信息處理者的獲益范圍難以確定時，法院綜合各項評價要素酌定損害賠償額。由于個人生物識別信息被侵犯后果的不可確定性，導致此類訴訟維權成本和勝訴利益不均衡，因此建立何種激勵機制促進權益保護值得深入研究。重點在于依托《消費者權益保護法》第55條的相關規定，建立符合司法規律的懲罰性賠償制度。

（五）構建綜合體系

信息技術背景下的“風險社會”中，經營者與消費者之間信息不對稱性進一步加劇。由于消費者生物識別信息兼具個體性和公共性的雙重屬性，其同安全、共享之間的關系，需要區分不同情形，由不同的社會組織進行調整把握，還需要各主體之間、制度之間的協調互補，從而建構一套基礎更穩固、內容更完整、結構更合理的法律體系，以更有利于實現維護公民權利、促進社會進步的功能。