个人生物识别信息民法保护路径探究——以我国“人脸识别第一案”为切入点

李金兴

（沈阳师范大学，辽宁 沈阳 110034）

一、问题的提出

2019年10月28日，杭州市民郭某以某野生动物世界有限公司为被告向杭州市富阳区人民法院提起了诉讼。原因是郭某作为消费者不满某野生动物世界将年卡用户使用指纹入园认证的方式改为人脸识别认证，与某野生动物世界就退还年卡费用发生争议。2020年11月20日，该案在杭州市富阳人民法院做出一审判决：被告须删除郭某办理年卡时提交的面部特征信息，赔偿郭某合同利益损失及交通费共计1038元，并驳回其他诉讼请求。该案被称为国内“人脸识别第一案”，受到广泛关注。

该案具有典型性，随着人工智能的快速发展，以“人脸识别”为代表的生物识别技术被广泛应用到人们的生活之中，企业过度收集用户生物识别信息以及对用户生物识别信息保护不规范极有可能造成用户生物识别信息的滥用或者泄露。作为生物识别技术的客体，自然人的身体、生理及行为特征，反映了自然人独特的人身特征，具有独一无二性的特点，在识别自然人身份上具有极强且迅捷的辨识效果[1]。但是这种特点也导致个人生物识别信息被滥用或者泄露时，自然人无法予以替换，个人生物识别信息遭到泄露，给自然人带来的损害具有不可逆性。

在《中华人民共和国民法典》（以下称《民法典》）实施以及《个人信息保护法》草案公布的背景之下，结合目前企业对个人生物识别信息过度收集与使用的现状，分析当前个人生物识别信息保护存在的问题，在民法上对个人生物识别信息的法律属性进行明确界定，并且探究规范个人生物识别信息收集利用的风险防范以及责任承担等问题显得尤为必要。

二、我国民法对个人生物识别信息的界定和保护

（一）个人生物识别信息的界定

个人生物识别信息，是指采集于人体的指纹、虹膜、声音特征、面部特征、个人基因和个人其他不可改变的生物特征而产生的独特识别性信息，可用于唯一识别个人或者个人财产的个人信息，具有唯一性和不可替换性的特点[2]。《民法典》第一千零三十四条规定自然人的个人信息受法律保护，对公民个人信息的定义中明确了生物识别信息属于个人信息的一种。第一千零三十五条进一步规定了个人信息的收集、处理应当遵循的原则和条件，为个人生物识别信息保护提供了法律依据。《民法典》将生物识别信息规定在人格权编第六章隐私权和个人信息保护中，肯定了个人生物识别信息的高度人格权属性。但是第一千零三十四条第二款个人信息中的私密信息适用有关隐私权的规定的内容，易造成个人信息与隐私两种权益客体的混淆，忽视了个人生物识别信息和一般个人信息保护方式的区别和保护程度的差异，不利于明确个人生物识别信息的特殊保护地位[3]。2020年10月21日公布的《个人信息保护法（草案）》中规定个人生物识别信息属于敏感个人信息，将个人信息分为一般个人信息和敏感个人信息，对于包含人脸识别信息在内的敏感个人信息，承载着人格尊严与个人隐私利益，需要予以严格、充分的保护。这也说明了我国对个人生物识别信息的保护进入了新的阶段。

（二）个人生物识别信息在我国民法中的保护路径

随着《民法典》的实施，我国进入了民法典时代。作为高位阶的立法，它不仅在条文中规定了个人生物识别信息保护的基本原则还进行了细化的列举，为个人生物识别信息保护提供了几种路径。结合“人脸识别第一案”及其判决，我国民法对个人生物识别信息的保护，主要包括以下三个方面：第一，企业收集个人生物识别信息时，如果企业不具有明确、合理的目的，我们可以拒绝企业收集个人生物识别信息，企业违反双方的约定，可以请求企业承担违约责任。第二，企业基于个人的许可而进行的信息收集活动，个人有权撤回其同意，即在符合一定条件的情况下，可以请求删除其个人生物识别信息，终止授权企业进行相关的活动。第三，当企业因保存不当或者非法目的导致个人生物识别信息被滥用或者泄露时，公民个人可以基于民法请求其赔偿损失。具体而言，在郭兵诉杭州野生动物世界案中，我国《民法典》为个人生物识别信息保护提供了法律依据：一是用于人脸识别的自然人面部特征属于肖像，受到肖像权的保护；二是以人脸为代表的生物识别信息属于私密信息的，如果违反《民法典》第一千零三十三条规定的情形，构成侵害隐私权；三是对于个人生物识别信息，如果不属于私密信息的，适用有关个人信息保护的规定。个人生物识别信息在我国的法律适用与司法程序中并无特殊对待，不利于对其规范化保护。

三、个人生物识别信息民法保护路径的合理建议

（一）明确处理个人生物识别信息的合理性原则

民法中规定处理个人生物识别信息应当遵守合理、合法、正当、必要原则，不得过度处理。“人脸识别第一案”暴露出究竟何种情形属于过度处理个人生物识别信息的难题，这在现行法律中并没有具体的法律规定。应当在法律或者司法解释中列举出收集个人生物识别信息的情形，如应用在道路交通领域的用于拍摄违法违规行为的摄像头。除此之外，应当规定处理个人生物识别信息必须是由个人作出具体的、单独的、明确和知情的书面同意，并且该书面同意没有受到任何胁迫、诱骗或者其他不当行为足以造成个人产生误解的。保证个人享有充分的知情权，并且这种书面的知情同意不可以与任何其他文书合并，应当保证其单独性。具体情形包括不得通过任何其他寻求同意或者许可的文书实现，不得与劳动合同合并等。在涉及未成年人时，还必须取得未成年人的父母或监护人的同意。

（二）明确处理个人生物识别信息的特殊标准和要求

个人生物识别信息属于敏感个人信息，应当明确一般个人信息和个人生物识别信息的区分，对于个人生物识别信息的收集、存储、使用等信息处理方式，必须规定更加严格、更加细化的标准和要求。首先，规定可以处理个人生物识别信息的企业类型。这种类型的企业必须符合处理个人生物识别信息的安全标准，并且在有关部门备案的企业。其他企业不得收集、存储、使用以及通过其他方式获取个人或者客户的生物识别信息，其他企业需要个人生物识别信息为客户提供服务时，应当取得有关部门的许可，并且和符合条件的企业合作。其次，规定个人生物识别信息保留期限和销毁准则。任何企业拥有个人生物识别信息，都应当确定永久销毁此种生物识别信息的时间和准则。销毁的时间应当是收集和获取个人生物识别信息最初目的已经达到的日期，并且为保留时间规定最长不超过二十年，超过期限应当重新征得被收集个人生物识别信息的个人的同意。销毁准则应当制定统一的标准，确保企业储存的个人生物识别信息安全、彻底地销毁。最后，规定处理个人生物识别信息的禁止行为。拥有个人生物识别信息的企业不得出售、出租、交易、用于广告目的等使用所储存的个人生物识别信息。拥有个人生物识别信息的企业应当确保储存的个人生物识别信息不被披露。

（三）明确个人生物信息侵权的救济途径

在民事保护机制中，最重要的是明确个人生物识别信息的损害赔偿与救济机制。个人生物识别信息作为一种民事权利，当它被过度收集、滥用或者泄露，受到侵害的个人可在有管辖权的法院对实施这种侵权行为的企业或者个人提起民事诉讼[4]。对于救济的形式，不仅应当赔偿被侵权者遭受的实际损失，应当引入惩罚性赔偿的规则，对于适用惩罚性赔偿的情形不应限于故意，对于企业因过失导致个人生物识别信息泄露的情形也应适用惩罚性赔偿。对于惩罚性赔偿数额的规定，应采用倍额限制的方法，规定具体数额上限，综合考虑故意、过错程度以及受害人的损害和对社会公共利益的影响等方面的因素。侵权者还应当赔偿被侵权者合理的律师费用和成本，包括专家证人费用和其他诉讼费用。推动相关立法进行，使法院可以依照相关法律颁布适当禁令或者要求企业永久销毁储存的个人生物识别信息。