論我國生物識別信息應用的監管路徑*

湖北大學 冉汐，張子卓，張明洋，張雪琴

一、生物識別信息應用監管的必要性

（一）生物識別信息應用侵權現象嚴重

一般認為，生物識別信息是指能識別出個人身份與行為特征的生物信息[1]，包括自然人的指紋、聲音、虹膜、面部識別特征、靜脈等生物信息，屬于個人信息中的敏感信息①，具有不可逆性、唯一性、直接識別性等特征[2]。由于其反映了自然人內部生理屬性，且具有高度、直接識別性，因此，生物識別信息的人身性質極強[3]。亦有學者認為，經過分析處理后的生物識別信息在大數據應用中具有巨大的商業價值，其財產屬性也日漸凸顯。

除此之外，生物識別信息的應用使得“個人身份”在大數據背景下利用互聯網得以匹配、核實，個人身份所攜帶的個人人格、隱私以及萬物互聯下其所具有的經濟價值都有可能因生物識別信息的濫用而受到侵害，甚至對社會利益、國家安全造成損害。因此，無論是從生物識別信息極強的人身屬性與財產屬性的角度出發，還是為了維護社會公共利益和國家安全，對生物識別信息的應用全過程進行監管均十分有必要。我國目前生物識別信息應用侵權現象十分突出，如在中國消費者協會發布的一次APP測評報告中，就有一些應用軟件涉嫌過度收集生物識別信息。“人臉識別第一案”從某種角度上說明了人臉信息作為重要的生物識別信息，十分容易被濫用。生物識別信息應用灰黑產業鏈已然形成，將會對生物識別信息應用監管與保護造成極大的挑戰[4]。

（二）我國生物識別信息應用監管現狀及不足

1.監管立法針對性不強

我國相關法律規定散見于《個人信息保護法》《數據安全法》等法律中。綜觀上述法律條文內容，可見其對生物識別信息的監管規定并無針對性。《個人信息保護法》將生物識別信息列為敏感個人信息，但在監管規定中僅對個人信息保護職責部門及相應監管職責作出較為寬泛的規定，并未具體針對生物識別信息提出特別監管部門及措施。在大數據時代，生物識別信息通常由通過分析后生成的數據發揮價值，鑒于生物識別信息與一般個人信息的敏感程度不同，與生物識別信息相關的數據應當與一般數據相區分，而《數據安全法》僅規定有關部門履行數據安全監管職責，并未提到特殊數據應如何保護、監管。因此，相關立法并沒有突出生物識別信息的特殊性。

2.相關規范性文件對監管的震懾力不強

雖然我國相關立法對于生物識別信息應用監管未作出特別規定，但一些規范性文件卻有較為豐富的規制內容。中國人民銀行頒布的《個人金融信息保護技術規范》將個人信息按照性質不同劃分了敏感程度，并且將生物識別信息歸類為敏感程度最高的個人信息②。此外，該《規范》還設置了專門的個人金融信息保護組織架構，明確了該組織的職責。關于個人信息的規范性文件《信息安全技術 個人信息安全規范》將生物識別信息明確納入個人敏感信息，并規定了生物識別信息專門的存儲規則[5]。這些規范性文件相較于上述立法規定得更為詳細，更具有可操作性和針對性，但其位階相較于法律而言較低，僅能起到指導參考作用，依靠行業自律保障實施，并無強制力。

3.缺乏統一的監管機構

目前我國尚無統一的生物識別信息應用監管機構，而是由各部門對其監管范圍內的個人信息進行監管。然而，生物識別信息作為一種重要的敏感個人信息，從收集到銷毀的各環節中很可能涉及不同的領域，從而造成“九龍治水”的現象，同時還存在監管主體不明的情況，如前所述《數據安全法》中，規定“有關行政部門”作為監管主體，但難以確定具體監管的行政部門。最后，由于生物識別信息與高科技緊密結合，需要有專業知識和技能才能勝任監管職責。然而我國并未規定專職監管生物識別信息的部門，并未配備相應的生物識別信息技術專業化人才，因此我國的生物識別信息應用監管存在專業化不足的情況[6]。

4.監管存在滯后性

現有的生物識別信息應用監管措施多為傳統的監管手段，以強制命令、鼓勵引導和事后懲罰為主要形式，如行政處罰、約談等，并沒有相關準入許可的制度安排。因此，現階段監管的回應性不足，缺乏事前的監管措施，往往在侵害事件發生后才啟動監管，有一定的滯后性，并未做到生物識別信息全環節、全過程覆蓋。而生物識別信息通常與現有的高科技相結合，有著技術上的復雜性和隱蔽性，侵害生物識別信息的行為往往難以預測和察覺[7]，因此在復雜的環境下，監管更應當具有主動性，并針對新事物的出現給予足夠敏感的關注和預防。

二、我國生物識別信息應用監管的優化路徑

針對上述問題，我國應從外部與內部兩個維度完善生物識別信息監管體系。

（一）外部多層次監管體系的構建

1.對生物識別信息應用監管從法律層面進行專項立法

如前所述，我國對生物識別信息應用的監管路徑選擇并不明確，內容豐富，但未形成體系的規范性文件且位階較低、震懾力與強制力較弱。因此，在宏觀監管體系建構上，應由國家中央立法進行規定。從立法技術層面上看，生物識別技術將來的應用具有專業性、隱蔽性、復雜性以及不確定性，相應的監管策略仍待研究與調整，不宜進行詳細規定，因此相關法律法規的制定須以原則性、框架性內容為主，在應對未來突發事件時起到兜底保護的作用。其次，應將生物識別信息立法提升到法律層面，提高其位階與強制力，并借鑒、吸收、整合已有的規范性文件，對生物識別信息加以規制。

在專項立法的引領與協調之下，其他各專門法、單行法應具體設置應對生物識別信息應用監管的法律規則，處理好民法、刑法與行政法等相關法律法規之間的銜接關系，結合公法與私法，從立法層面構建完整的生物識別信息監管體系。

關于是否需要將生物識別信息的具體類別均拿出來專項立法，若將生物識別信息總體專門立法如何保證兼顧各類生物識別信息的特殊性，對此仍需進一步討論。2021年7月27日，《最高人民法院關于審理使用人臉識別技術處理個人信息相關民事案件適用法律若干問題的規定》出臺，并于2021年8月1日正式實施，說明我國已經注意到了生物識別信息中人臉信息的特殊性。因此，其他類型的生物識別信息保護或許可以參照人臉識別信息出臺相應的司法解釋，以回應現實需要，若對每一類生物識別信息均進行單獨立法，則不僅過于具體，無法較好地應對生物識別信息商業應用未來發展狀況，而且立法成本較高。因此，可根據司法實踐情況配套出臺相應的司法解釋，搭配《個人信息保護法》中的框架性規定，對監管進行規制。

將生物識別信息作為一個整體進行單獨立法，在《個人信息保護法》關于敏感信息保護的大框架下進行針對生物識別信息的細化規制有一定可行性。但如前文所述，應進行原則性、框架性立法。生物識別信息發展勢頭迅猛，未來隨著與生物識別信息相關的科學技術日新月異的發展，具有極大的不確定性，生物識別信息侵權樣態亦呈現出多樣化趨勢，其監管亦須在法律框架下因時而變，要求生物識別信息立法應當具備靈活性，適當賦予監管機構一定程度的自由裁量權，以應對生物識別信息未來靈活化的發展態勢。同時，在生物識別信息整體立法的內部，亦須對生物識別信息的類型進行分級、分層規制，出臺有針對性的監管措施。比如，相較于其他生物識別信息，人臉信息因收集的隨意性以及不易察覺性，有更容易被濫用的風險，且信息主體的知情同意權不容易得到保障。指紋等信息需要信息主體配合才可完成收集，信息主體在收集的過程中至少知情[8]。因此，關于人臉識別信息的監管須關注如何規制在信息主體不知情的、被動的情形下被收集信息的行為，而關于指紋等其他生物識別信息的監管，則側重于如何規制收集、處理者在與信息主體約定的范圍內使用生物識別信息，保證其不被濫用。具體應當如何合理對生物識別信息進行評估、分級，有待進一步討論。

2.明確單一的政府監管責任部門

針對前文提到的我國尚無統一的政府生物識別信息應用監管部門的情況，本文建議我國設立獨立的生物識別信息應用監管委員會，統一監管責任部門。因此，應通過立法設置國家層面的生物識別信息應用監管機構，強調“生物識別信息管理”的獨立性和專業性，增強行政監管和救濟的針對性和實效性。同時在地方一級配備相應的生物識別信息監管部門，保證上級生物識別信息監管機構的指令可以得到較好的貫徹執行，形成上下級之間良好的互動。地方一級的生物識別信息監管機構需定期向上級匯報生物識別信息實時監管情況，以及在監管過程中遇到的新問題。

建立統一、專門的監管部門有利于形成監管合力，對生物識別信息監管進行統籌規劃、全局部署，并且能更好地提升生物識別信息監管的專業化水平，凝聚專業技術力量，配備生物識別信息應用監管的專業化人才，提高監管的效率和科學性。現階段我國生物識別信息技術尚在發展中，相應的生物識別信息應用實時監管技術也應隨之開發。當然，各種類型的生物識別信息所需的監管手段和技術可能略有差別，在監管機構內部如何根據生物識別信息類型的不同進行部門與職能的劃分尚待研究。

3.實行行業許可制度

當前我國個人生物識別信息濫用現象嚴重，其中重要的原因之一是我國尚未對參與生物識別信息各環節的企業或平臺設置準入門檻，缺少事前監管環節，導致生物識別信息企業只經過簡單的發布隱私公告程序就可以收集、使用個人生物識別信息，甚至在信息主體不知情的情況下收集生物識別信息，而不論是否具有收集、使用的必要以及是否具有相應的技術能力與信息保護能力等。鑒于國內生物識別信息應用準入門檻低、公民的知情同意權難以保障以及生物識別信息被泄露后難以維權的現狀，該領域亟待國家公權力介入加以規制。國家對個人生物信息處理的規制必須從源頭提高行業準入門檻，加強事前監管，實施行業許可制，改變生物識別信息的濫用現狀。國家必須針對生物識別信息，從收集到利用、銷毀等各環節制定標準，個人生物信息的各環節參與者均須經過考核，達到國家規定的標準后獲得行業許可證，由國家相關部門頒發牌照后才可以從事個人生物信息的全環節處理活動。統一標準、提高準入門檻，不僅有利于國家對生物識別信息應用進行規范化管理，更有利于篩選出真正有技術和能力做好生物識別信息合理應用與保護的企業，凈化生物識別信息應用的市場環境，促進生物識別信息應用產業的良性發展。

（二）生物識別信息企業內部監管體系的構建

增設生物識別信息保護專員崗位。我國《個人信息保護法》已設置了“守門人”條款：“提供重要的互聯網平臺服務、用戶數量巨大、業務類型復雜的個人信息處理者，應成立主要由外部成員組成的獨立機構對個人信息保護情況進行監督。”外部獨立的個人信息監督機構的設置有利于保證監督效果，防止出現“既當裁判員又當運動員”的情況。為了凸顯生物識別信息的特殊性，可以在該規定的基礎上設置專門針對生物識別信息保護的崗位，即生物識別信息保護專員崗位，實時監督企業在生物識別信息全環節的合規情況。生物識別信息保護專員必須具備生物識別信息相關專業知識、具有一定工作經驗，且獨立于生物識別信息企業。此種設置方式有利于將生物識別信息保護的相關規定落到實處，且自成體系，對生物識別信息每一步監管的規定都較完善，理論上可以起到較好的監管效果。因此，我國可以加大生物識別信息技術相關的人才培養力度，以適應增設生物識別信息保護專員崗位的需要。

三、結語

技術的進步使個人生物識別信息得到廣泛應用，在給我們日常生活帶來方便的同時，其可能造成信息泄露的風險亦不容小覷。隨著大數據和人工智能的發展，生物識別信息應用在國內的準入門檻低，不少營利性組織紛紛入局，造成生物識別信息濫用現狀。生物識別信息具有難更改性和損失的不可逆性，一旦泄露便可能對終身造成影響，會給信息主體造成幾乎無法挽救的傷害，因此對生物識別信息應用監管體系的構建已刻不容緩。我國可以從信息企業外部監管和內部監管兩個維度構建生物識別信息應用多層次的監管體系。從外部監管層面而言，首先要對個人生物識別信息應用監管進行專項立法，二是明確單一的監管責任部門，三是實施行業許可制。從信息企業內部監管層面而言，可增設生物識別信息保護專員崗位。如今生物識別信息已引起許多學者的重視，生物識別信息應用監管體系的完善指日可待，但如何通過立法促進培養掌握專業化生物識別信息的人才、提升生物識別信息應用監管專業化水平，仍有待學界繼續研究。

注釋

①GB/T35273-2020.信息安全技術個人信息安全規范[S].

②JR/T0171-2020.個人金融信息保護技術規范[S].