公共行政中人脸信息处理的立法规制

陈 潘

内容提要： 数字时代以来， 行政机关使用人脸识别技术处理人脸信息以履行其职权， 这在赋能行政履职的同时触及了公民身体权、 个人信息权， 且可能因不当处理致损其他人身权、 财产权和平等权， 如何对之进行立法规制就尤为重要。 所触及权利的基本权利性质，要求具有与之匹配的法形式对行政机关的人脸信息处理活动作出规定。 由于法律与行政立法、 地方人大立法在民意基础和制定程序上存在差异， 宜以狭义法律的形式规范行政机关的人脸信息处理活动。 在法的内容上， 应为行政机关设定全过程的义务， 包括对人脸信息的有限收集、 有限使用以及个人参与的保障。

一、 问题的提出

自进入数字时代以来， 数字技术亦被行政机关广泛应用于公共行政管理和服务之中， 其中一项技术就是人脸识别技术。 行政机关通过人脸识别技术收集公民人脸信息， 对其进行存储、 分析、 使用等处理行为。 在识别的精准性和便利性上， 人脸识别无疑具有明显技术优势， 因而， 行政机关使用人脸识别技术处理人脸信息已属常见。 比如， 公安部门将人脸识别系统装入街头巷尾的智能视频监控， 以维护社会治安； 交通管理部门在道路设置人脸识别系统， 以识别违法闯红灯的行人；①《行人闯红灯， 将人脸识别抓拍》， 载绍兴市公安局网， http: //ga.sx.gov.cn/art/2019/5/29/art_1488084_34384604.html。登记部门使用人脸识别技术进行网上不动产登记， 便利公民完成登记；②《广州不动产登记预约率先运用 “人脸识别” 技术 仅需2 分钟》， 载新华网， http: //www.xinhuanet.com/politics/2018-02/12/c_1122405341.htm。海关安装具有人脸识别功能的智能视频监控， 对进出人员进行身份识别。③参见海关总署2021年1月7日修订的 《海关监管作业场所 （场地） 监控摄像头设置规范》。这些常见的人脸信息处理行为④根据 《个人信息保护法》 第四条， 个人信息处理包括个人信息的收集、 存储、 使用、 加工、 传输、 提供、 公开、 删除等。并非简单的事实行为， 而是影响公民重要权益的行政活动。 人脸信息被收集后， 呈现出数字化形式， 可用作任意目的的数据分析， 对公民权益的影响不容忽视。 那么， 应如何规制公共行政中的人脸信息处理行为？

从行政法治的角度看， 行政机关为某些行政行为首先应于法有据。 《中华人民共和国个人信息保护法》 （以下简称 《个人信息保护法》） 对此作出一定程度的回应。 该法第三十四条⑤《个人信息保护法》 第三十四条规定： “国家机关为履行法定职责处理个人信息， 应当依照法律、 行政法规规定的权限、 程序进行， 不得超出履行法定职责所必需的范围和限度。”规定， “国家机关为履行法定职责应依照法律、 行政法规规定的权限、 程序处理个人信息”。 这意味着行政机关处理个人信息的法定， 即行政机关处理个人信息要有法上的依据， 并且依据法的规定处理个人信息。 可以看到， 根据《个人信息保护法》， “法” 并非指向一切法规范， 而是法律和行政法规。

就人脸信息而言， 按照《个人信息保护法》 第三十四条规定， 行政机关为履行法定职责也应依照法律、 行政法规规定的权限、 程序处理人脸信息， 即行政机关处理人脸信息的法定 （以下简称“人脸信息处理法定”）。 可是， 人脸信息毕竟属于敏感个人信息， 不同于一般个人信息， 那么人脸信息处理法定的 “法” 是否当然意指法律和行政法规？ 《个人信息保护法》 虽然对国家机关处理个人信息活动作了专门规定， 但只着眼于一般个人信息的处理， 不能为行政机关处理人脸信息提供足够的规范供给。 此部分规范供给， 是对行政机关处理人脸信息进行规制的关键之处， 需要在个人信息保护基本法的基础上得以满足。 那么， 应以何种法的形式为行政机关处理人脸信息提供规范供给？ 在法的内容上， 又该为行政机关设置哪些义务？ 只有澄清这些问题， 才能为公共行政中人脸信息处理行为提供合理的行为依据。

对于此问题， 现有研究成果大多从宏观层面讨论人脸识别的规制方向和规则原理，⑥有关文献可参见文铭、 刘博： 《人脸识别技术应用中的法律规制研究》， 载 《科技与法律》 2020年第4 期， 第77-85 页； 林凌、 贺小石： 《人脸识别的法律规制路径》， 载 《法学杂志》 2020年第7 期， 第68-75 页； 郭春镇： 《数字人权时代人脸识别技术应用的治理》， 载 《现代法学》 2020年第4 期， 第19-36 页； 邢会强： 《人脸识别的法律规制》， 载 《比较法研究》 2020年第5 期， 第51-63 页； 胡凌： 《刷脸： 身份制度、 个人信息与法律规制》， 载 《法学家》 2021年第2 期， 第41-55 页； 韩旭至： 《刷脸的法律治理： 由身份识别到识别分析》， 载 《东方法学》 2021年第5 期， 第69-79 页； 卢艳玲、 杨震： 《技术与规则： 人脸识别技术应用的风险研判与法律治理进路》， 载 《北方法学》 2023年第2 期， 第15-26 页； 姜野： 《人脸识别技术应用的场景化法律规制》， 载 《法制与社会发展》 2023年第1 期， 第208-244 页； 等等。也有研究成果把人脸信息放入个人生物识别信息中， 讨论个人生物识别信息的立法路径和监管。⑦有关文献可参见于洋： 《论个人生物识别信息应用风险的监管构造》， 载 《行政法学研究》 2021年第6 期， 第101-114 页；冉克平： 《论个人生物识别信息及其法律保护》， 载 《社会科学辑刊》 2020年第6 期， 第111-120 页。虽然已有研究成果提及对政府部门使用人脸识别进行规制的重心、 政府利用个人生物识别信息的限度，⑧刑会强教授提出， 对政府部门使用人脸识别技术应以事前事中规制为主。 参见邢会强： 《人脸识别的法律规制》， 载 《比较法研究》 2020年第5 期， 第51-63 页。 冉克平教授认为， 政府机关或授权机构在收集个人生物识别信息时必须基于公共利益的要求并遵循法定程序， 符合比例原则的要求， 兼顾收集和使用目标的实现和保护信息主体的权益。 参见前引⑦， 冉克平文， 第111-120 页。但是未细致论及行政机关对人脸信息进行处理的法定形式。 虽然亦有成果提出了行政机关处理个人信息活动的合法性分析框架，⑨参见王锡锌： 《行政机关处理个人信息活动的合法性分析框架》， 载 《比较法研究》 2022年第3 期， 第92-108 页。但是人脸信息属于特殊类别个人信息， 一般个人信息层面的合法性分析框架尚不能完全适用于人脸信息处理。 此是讨论数字行政中人脸信息法律保护时无法绕开的问题，对它的探讨， 有助于促进实践中行政机关处理人脸信息的法治化， 保护公民在技术与权力结合下的有关权益。 为此， 本文将在揭示公共行政中人脸信息处理所触及公民权益的基础上， 讨论由哪种法规范行政机关处理人脸信息行为， 在明确了法形式后， 讨论此种法在内容上应为行政机关设置哪些义务。

二、 公共行政中人脸信息处理影响的公民权益

公共行政中人脸信息处理触及的公民权益， 是对人脸信息处理行为进行立法规制的必要性之体现， 同时， 也是选择何种法形式和配置何种法内容的起点。

（一） 权益的内容

正是由于大数据赋能行政， 公共行政中的人脸信息处理行为才成为可能， 不过， 也正是如此，行政机关的人脸信息处理行为亦蕴含着不容忽视的侵益风险。 那么， 行政机关对人脸信息的处理可能影响公民哪些权益？ 总体上， 公共行政中人脸信息处理可能影响的公民权益包括两类。

第一类是该行为直接影响的公民权益， 这类权益包括身体权和个人信息权。⑩参见孙笑侠： 《身体权的法理——从 〈民法典〉 “身体权” 到新技术进逼下的人权》， 载 《中国法律评论》 2020年第6 期， 第67-82 页。身体权之所以是受人脸信息处理行为直接干预的权利， 是因为在收集人脸信息时， 人脸识别技术 “搜查” 了自然人的身体。 这里的“身体” 不是作为身体完整和身体行动自由意义上的身体权， 而是作为身体自主意义上的身体权， 体现的是自然人的身体尊严。⑪前引⑩， 孙笑侠文， 第67-82 页。 身体权是自然人为维护其身体之完整、 自由、 信息、 尊严等与身体相关的权益， 支配其身体的生物构成、 身体尊严、 身体行动和身体信息的物质性人格权。 其权益包括四方面： 一是身体完整权， 二是身体行动权， 三是身体信息权， 四是身体尊严权。人脸识别技术在 “搜查” 自然人身体之后形成自然人的人脸信息， 人脸信息属于个人信息的范畴， 由此， 个人信息权也是受人脸信息收集行为所直接干预的权益。

第二类是人脸信息不当处理行为所引发的可能受侵害之公民权益， 这类权益包括人身权、 财产权和平等权。 需要说明的是， 此处人身权包括了身体权， 但它与人脸信息处理行为所直接影响的身体权不同。 此不同之处在于两者所受侵害的来源不同。 后者的侵害来源是人脸信息处理行为本身，且主要是人脸信息收集行为， 而前者的侵害来源是对形成的人脸信息的不当使用行为， 特别是对泄露的人脸信息的不当使用行为。

人身权和财产权之所以可能受行政机关人脸信息处理行为的影响， 是因为人脸信息形成之后，人脸信息处于信息空间之中， 如果未能加以妥善保管， 很容易受到泄露， 进而危及人身权益和财产权益。 政府数据库并非牢不可破， 反而存在安全漏洞， 这些安全漏洞容易被人用来窃取数据。 这并非危言耸听。 虽然目前尚未出现政府人脸数据库数据大规模泄露事件， 但是人脸数据泄露的风险是存在的。 2019年2月， 人脸识别公司 “深网视界” 泄露了256 万人的个人信息，⑫《人脸识别公司深网视界被指数据泄露， 含256 万人的个人信息》， 载环球网， https: //baijiahao.baidu.com/s?id=1625541790459846029＆wfr=spider＆for=pc。2019年8月，Suprema 公司因安全漏洞泄露数百万用户的指纹、 人脸信息等数据。 既然公司存在数据泄露问题，那么行政机关也面临同样的风险。 人脸信息具有持久的稳定性， 一般不会发生更改， 泄露后若被不法行为人利用， 将会造成个人财产的损失或者人身权益的受损。

平等权也可能成为行政机关人脸信息处理行为所影响的权益。 在技术上， 人脸识别可以与其他个人信息数据库结合， 经由数据挖掘技术描摹出个人的数字足迹， 并预测个人的其他敏感信息。 这已经通过实验得到证明。 为了探索人脸识别与其他个人信息的结合是否可以自动化地重新识别个人且推测出更多个人信息， 2010年三位美国学者进行了实验， 结果表示， 通过数据挖掘技术， 经由人脸信息可以识别个人并且预测个人的其他敏感信息。⑬See Alessandro Acquisti, Ralph Gross ＆ Fred Stutzman, Face Recognition and Privacy in the Age of Augmented Reality, Journal of Privacy and Confidentiality, Vol.6, Issue 2, 2014, p.10-12.我们知道， 人脸识别的背后是算法， 而算法又是用数学工具打包出来的各种观点， 内含着价值偏见。⑭[美] 凯西·奥尼尔： 《算法霸权： 数学杀伤性武器的威胁》， 马青玲译， 中信出版集团2018年版， 第6 页。为了人脸比对而编写的算法， 嵌入了信息处理者等主体的意志。 如果对人脸信息进行不当使用， 比如以性别、 肤色、 性取向、 基因等作为标准对自然人予以分类， 就容易引发歧视， 危及自然人平等权。

（二） 权益的基本权利性质

上文已述， 行政机关所为的人脸信息处理行为触及的权益有身体权、 个人信息权， 以及由此延伸的可能受侵害之人身权、 财产权和平等权。 人身权、 财产权和平等权作为公民的基本权利当无疑义。 《中华人民共和国宪法》 （以下简称 《宪法》） 第十三条、 第三十三条、 第三十七条对此作了规定。⑮参见 《宪法》 （2018） 第十三条、 第三十三条、 第三十七条。那么， 剩下的身体权和个人信息权是否是公民的基本权利？

就身体权而言， 孙笑侠教授从身体权具有人权之基本性和宪法规范的角度证明了身体权的基本权利性质；⑯前引⑩， 孙笑侠文， 第77 页。刘召成教授认为 《宪法》 第三十七条规定的人身自由权推动了身体权积极性权能的发展，⑰参见刘召成： 《身体权的现代变革及其法典化设计》， 载 《当代法学》 2020年第2 期， 第15 页。肯定身体权的基本权利性质。 本文赞成身体权是一项基本权利的观点。 身体权作为一种物质性的权利， 是人存在的基本前提， 没有身体权就没有人的存在。 行政机关的人脸信息处理行为所触及的身体尊严， 作为身体权的一部分， 仍是人之为人的前提之所在。 《宪法》 虽然没有明确规定“身体权”， 但是， 身体权仍受宪法保护， 不可否认其基本权利的性质。

就个人信息权而言， 公法学者一般主张其为基本权利性质的权利。⑱民法学者多主张个人信息权是私权利。 其中， 又主要分为人格权说、 隐私权说、 财产权说和独立的新型民事权利说， 人格权说分为一般人格权说和具体人格权说。 可参见齐爱民主编： 《个人资料保护法原理及其跨国流通法律问题研究》， 武汉大学出版社2004 版， 第1 页； 王利明： 《论个人信息权的法律保护——以个人信息权与隐私权的界分为中心》， 载 《现代法学》 2013年第4 期， 第62-72 页； 李伟民： 《“个人信息权” 性质之辨与立法模式研究——以互联网新型权利为视角》， 载《上海师范大学学报 （哲学社会科学版）》 2018年第3 期， 第66-74 页。为论证个人信息权的基本权利性质， 公法学者从人格尊严、 个人自由、 民主等宪法价值， 我国宪法规范基础， 域外经验， 现实需求等角度进行了可行的论证。⑲参见王秀哲： 《我国隐私权的宪法保护研究》， 法律出版社2011年版， 第38-46 页； 姚岳绒： 《宪法视野中的个人信息保护》， 法律出版社2012年版， 第117-148 页； 孙平： 《系统构筑个人信息保护立法的基本权利模式》， 载 《法学》 2016年第4 期， 第68-69 页。本文亦赞同基本权利观点。 将个人信息权作为私权利进行法律保护， 不能满足个人信息权保护的现实需求。 第一， 无法应对行政机关处理人脸信息时行政机关与公民关系下个人信息的保护需求。 在信息作为一项重要资源的信息社会， 处理人脸信息的不仅限于企业， 还有行政机关。 行政机关与公民之间法律关系亦迫切需要公法调整。

第二， 私权利的保护强度弱于基本权利的保护强度。 在对私权利进行限制时， 对权利限制的程度一般依据的是双方的合意， 不可能都有法上的依据。 另外， 由于双方实力明显不均， 其合意很可能是形式上的合意， 不能体现公民的真实意志。 而在公法中， 对公民权利的限制不能随意为之， 反而有法律保留原则和比例原则的限制。 在双重原则的限制下， 个人信息权的限制受到更多限制， 保护强度更高。

第三， 私权利保护下的个人信息权救济困难。 作为私权利的个人信息权如受到侵害， 权利人需要按照侵权救济规则寻求事后救济， 需要遵守加害行为、 损害结果、 因果关系、 加害人过错的侵权行为构成要件。 然而， 权利人由于并不掌握技术主动权， 无法掌控收集后的信息流向， 可能无法知道谁是侵权人， 侵权人实施了什么加害行为。 另外， 损害结果是否必须是实质性的损害、 因果关系的证明难度， 都在加重救济难度。 在公法下， 作为公法权利的个人信息权， 对人脸信息的处理行为提出了法律依据要求。 公民的个人信息权就转变为政府的法律义务。 不论违反法律义务的政府行为是否对公民造成实际损害， 都可以认定为违法行为， 于是， 个人信息保护执法机构就可以通过执法来发现和制裁违法行为， 维护法律秩序。⑳参见周汉华： 《个人信息保护的法律定位》， 载 《法商研究》 2020年第3 期， 第52 页。同时， 作为公法权利， 国家有义务建立事前事中政府监管和行政执法制度， 通过权利受侵害前的执法发现违法行为并对其予以制裁。 另外， 将个人信息权作为基本权利进行保护， 不排斥民事救济， 两者可以共同应对个人信息权的现实保护需求。

三、 以法律的形式规范人脸信息处理

以何种法的形式为行政机关处理人脸信息提供规范供给， 实为应由哪个位阶上的法来规定的问题。 根据行政法定原则， 至少存在 “人大保留” “可授权的法律保留” “非授权的法规和规章保留”三个层次。㉑参见杨登峰： 《行政法定原则及其法定范围》， 载 《中国法学》 2014年第3 期， 第93 页。“人大保留” 的法的形式是全国人大及其常委会制定的法律， “可授权的法律保留” 的法的形式是全国人大及其常委会授权国务院制定的行政法规， “非授权的法规和规章保留” 的法的形式是国务院根据其职权制定的行政法规、 政府规章以及地方人大制定的地方性法规。 那么， 公共行政中人脸信息处理的保留应位于哪一层次？ 是应该以法律的形式对其予以法定， 还是以授权性行政法规对其予以法定， 抑或以职权性行政法规、 地方性法规、 规章对其予以法定？

要对此进行回答， 可以从两个维度来讨论： 第一个维度是权益维度， 即规范对象、 权益及其所受限制， 也即行政机关对人脸信息的处理行为及其所触及的权益； 第二个维度是立法维度， 人大立法与行政立法在公民权益保护上存在差异。 下文将使用前文讨论的人脸信息处理所触及权益的结论， 先将“非授权的法规和规章保留” 从行政法定的三个层次中予以排除； 通过讨论人大立法与行政立法在权益保护上的差异， 将“可授权的法律保留” 从剩下的两个层次中予以排除， 从而将公共行政领域的人脸信息处理划入“人大保留” 之中， 明定公共行政中人脸信息处理的法定形式。

（一） 非授权的法规和规章的排除

非授权的法规和规章， 在行政机关对人脸信息的处理行为触及的权益和法律本身优势的双重作用下被排除出行政法定的“非授权的法规和规章保留” 层次。

前文已述， 公共行政中人脸信息处理所影响的公民权益具有基本权利的性质。 我们知道， 与基本权利的实现与行使有密切关系的行政活动， 是重要的行政活动， 应当留予由人民代表组成的国会立法者以法律规定之。㉒参见翁岳生编： 《行政法》 （上册）， 中国法制出版社2009年版， 第196 页。行政机关对人脸信息的处理行为， 与身体权和个人信息权的实现有密切关系， 因而应当以法律的形式予以保留。 这里的法律是指狭义的法律， 即全国人民代表大会及其常委会制定的法律，㉓参见王柱国： 《依法行政原则之 “法” 的反思》， 载 《法商研究》 2012年第1 期， 第131-136 页。最多包括授权性行政法规。㉔前引㉑， 杨登峰文， 第94 页。与基本权利的实现与行使有密切关系的行政活动， 之所以由全国人民代表组成的代议机关以法律的形式来规定， 除了行政活动与基本权利的密切关系，还有法律本身具有的相对于其他立法的特点。 这些特点使得法律具有帮助基本权利实现的优势， 以达到形式与内容合比例性的要求。

在我国， 相对于行政立法， 法律具有三个比较优势， 分别是更广泛的民意基础、 制定程序的正式谨慎和公开透明。 第一， 相对于行政立法， 法律具有更广泛的民意基础。 众所周知， 我国法律的制定由全国人民代表大会及其常委会负责， 而全国人民代表大会由民主选举产生。 全国人民代表大会代表全体选民的意志， 制定的法律也具有非常广泛的民意基础。 相对地， 行政立法由行政机关负责， 而行政机关是由人民代表大会产生的权力机关， 其所反映的民意基础较为狭窄。 行政机关制定的法规和规章， 也不是各方代表协商合意的结果， 而是行政机关内部决议的结果。 这从《行政法规制定程序条例》 第二十六条和《规章制定程序条例》 第二十七条即可看出。㉕《行政法规制定程序条例》 第二十六条规定： “行政法规草案由国务院常务会议审议， 或者由国务院审批。” 《规章制定程序条例》 第二十七条规定： “部门规章应当经部务会议或者委员会会议决定。 地方政府规章应当经政府常务会议或者全体会议决定。”

第二， 相对于行政立法， 法律制定程序更正式、 谨慎。 根据 《中华人民共和国立法法》 （以下简称《立法法》）， 全国人大及其常委会制定法律一般要经过法律案的提出、 审议、 表决和公布四个阶段。 每个阶段又有其烦琐的程序。㉖比如在法律审议阶段， 全国人大审议法律案时一般会历经如下程序： 会议前将法律草案发给代表， 大会全体会议听取法律草案说明， 各代表团全体审议法律案， 有关的专门委员会审议法律案， 法律委员会统一审议法律案并提出法律草案修改稿；全国人大审议法律案一般经过一次会议审议后就可以交付表决， 而全国人大常委会审议则一般需经过三次会议审议后才可交付表决， 每次审议都有其不同的审议分工。相较之下， 行政立法作为行政机关进行行政管理的一种方式，一般是为了行政管理而存在， 因此， 行政立法程序更为简便、 灵活， 更注重效率。㉗参见孙波： 《行政立法研究》， 吉林人民出版社2019年版， 第49 页。

第三， 相对于行政立法， 法律制定程序的公开透明度更高。 在法律制定过程中， 应公开的文件有立法规划和年度立法计划，㉘参见 《立法法》 第五十六条。以及法律制定、 修改时的法律草案及其起草、 修改的说明；㉙参见 《立法法》 第四十条。在公开的载体上， 除全国人大常委会公报和在全国范围内发行的报纸， 还有中国人大网这一网络平台， 以便民众查询。 不仅如此， 全国人民代表大会会议议程、日程、 会议情况也要公布。 相比较而言， 行政立法的公开透明度则较低。 在行政立法过程中， 相关条例虽然规定了行政法规、 规章制定项目建议的公开征集， 国务院年度立法工作计划、年度规章制定工作计划、 行政法规和规章草案及其说明的公布，㉚参见 《行政法规制定程序条例》 第八条、 第九条、 第十三条、 第二十条、 第二十七条、 第二十八条、 第三十一条； 《规章制定程序条例》 第十条、 第十二条、 第十五条、 第二十一条、 第二十九条、 第三十一条。但是又比较尊重行政系统的决定， 致使行政立法的公开透明度较低。㉛比如， 在规则制定项目建议的公开征集上， 相关机构 “可以” 公开征集， 那么是否公开征集就取决于相关机构的自我决定；在行政法规的起草阶段， 起草部门应当公布草案及其说明， 但是附加了一个例外， 即经国务院决定不公布的除外， 这就带来对国务院决定是否公布的标准的困惑， 因此， 是否公布也取决于国务院的自我决定。

身体权和个人信息权的实现与行使， 需要与之相匹配的法规范进行保护。 在法律与行政立法的对比中， 可以看到， 越充分的民意基础和越正式、 透明的程序， 越有利于保护公民的重要权益。 身体权关乎人的身体尊严， 个人信息权也关乎人的尊严， 均属公民重要权益， 具有更广泛民意基础和制定程序更正式透明的法律当能承担起保护身体权和个人信息权的任务。

相较于地方性法规的制定， 法律针对的是全国性事务。 全国性事务超越了地方性， 具有全国范围的普遍性， 这是具有地方性特点的地方人大立法所不能涵盖的。 概括地说， 地方人大立法主要有三类， 一是为在本行政区域内执行法律、 行政法规而为的实施性立法， 二是针对地方性事务的创制性立法， 三是就尚未制定法律和行政法规的事项先行先试立法。 这三类地方法规， 无一例外地体现了地方性。 毫无疑问， 公共行政领域人脸信息处理活动属于全国性事务的范围， 因为它不是某地的特殊事务， 而是各地具有共性的全局性事务。 与它相关的地方人大立法是后两类， 即创制性立法和先行先试立法。 就创制性立法而言， 创制性立法是针对地方性事务的。 至于何为地方性事务， 地方性事务的范围为何， 目前尚未确定。㉜有关地方性事务的研究成果， 可参见孙波： 《论地方性事务——我国中央与地方关系法治化的新进展》， 载 《法制与社会发展》 2008年第5 期， 第50-59 页； 叶必丰： 《论地方事务》， 载 《行政法学研究》 2018年第1 期， 第16-27 页； 俞祺： 《 论立法中的 “地方性事务”》， 载 《 法商研究》 2021年第4 期， 第116-129 页。但至少可以明确的一点是， 地方性事务具有地方性特点。 地方性这一点就可将公共行政领域人脸信息的处理活动排除出地方性事务的范围。 再看先行先试立法。 先行先试立法， 作为一种试验立法， 它是为了给全国统一立法积累经验， 是一种与正式立法相对应的立法路径。 这里讨论的是公共行政领域人脸信息的处理活动应该由法律还是地方性法规进行规范， 与“先试验立法后正式立法” 的立法进路是两个问题。 因此， 公共行政领域人脸信息处理活动没有落入地方人大创制性立法的范围， 并且， 与先行先试立法这一立法进路处于不同的问题域。由此可得， 行政机关处理人脸信息的活动， 不应由地方性法规进行规定。

既然行政机关对人脸信息的处理行为落入法律保留的范围， 那么就排除了地方性法规、 地方政府规章、 部门规章和职权性行政法规的保留， 即排除了 “非授权的法规和规章保留”。 在法律保留的层次中， 还有“人大保留” 和“可授权的法律保留” 两个层次。 那么， 公共行政中人脸信息处理应该适用“人大保留”， 还是“可授权的法律保留”？

（二） 授权性行政法规的排除

国务院在制定授权性行政法规时， 其权限并非来自宪法上的固有权限， 而是来自立法权的授权。 国务院先制定授权性行政法规， 全国人大及其常委会后制定法律， 即“先行政机关立法， 后代议机关立法”， 这种立法进路已经得到我国 《立法法》 的确认。㉝《立法法》 第十二条规定： “本法第十一条规定的事项尚未制定法律的， 全国人民代表大会及其常务委员会有权作出决定，授权国务院可以根据实际需要， 对其中的部分事项先制定行政法规， 但是有关犯罪和刑罚、 对公民政治权利的剥夺和限制人身自由的强制措施和处罚、 司法制度等事项除外。”但是， 《立法法》 没有完全明确在什么情况下国务院应得到全国人大及其常委会的立法授权。㉞虽然 《立法法》 第十二条规定， “有关犯罪和刑罚、 对公民政治权利的剥夺和限制人身自由的强制措施和处罚、 司法制度等事项除外”， 但是 “等” 字的表述致使授权的事项不甚明确。根据 《立法法》 第十二条， 行政机关对人脸信息的处理活动是否属于可授权的事项尚不明确。 虽然《立法法》 第十一条和第十二条关于法律保留的规定存在一些不足， 比如防范行政立法越界和保障基本权利免受行政立法侵害的失能，㉟参见刘连泰： 《评我国 〈立法法〉 第八条、 第九条关于 “法律保留” 制度》， 载 《河南省政法管理干部学院学报》 2003年第3 期， 第105-106 页； 康敬奎： 《〈立法法〉 法律保留规则的缺失与完善》， 载 《江海学刊》 2012年第2 期， 第136 页； 罗智敏： 《论行政许可中保证金的设定问题》， 载 《中国法学》 2014年第5 期， 第129-130 页。但是， 这些不足不应该掩盖法律保留本身的价值。 行政机关对人脸信息的处理行为， 究竟应归入法律保留中的 “人大保留” 还是 “可授权的法律保留”， 还是可以回到行政立法和全国人大及其常委会立法的差异这一点上？ 因为行政机关在取得授权之后制定授权性行政法规时， 授权性行政法规在制定主体和制定程序等方面与职权性行政法规并无不同。

由前文可知， 相对于行政立法， 法律制定有更广泛的民意基础， 程序更正式、 谨慎， 也更公开透明。 就民意基础来说， 虽然国务院制定授权性行政法规的权限来自全国人大及其常委会的立法权， 但是， 授权性行政法规的实际制定主体毕竟不是全国人大及其常委会。 国务院在制定行政法规的过程中， 也无法全然排除实际制定主体的意志。 就制定程序而言， 国务院在得到授权后， 制定授权性行政法规的程序与制定职权性行政法规的程序一致， 都适用《行政法规制定程序条例》。 因此，在行政机关处理人脸信息的场景下， 身体权和个人信息权的保障， 还是由法律来承担更为合适。

相对于法律的制定， 行政立法具有专业性和灵活性的优势， 因而行政机关的立法事项也应是与此相匹配的事项， 而行政机关处理人脸信息与行政立法的专业性和灵活性并不匹配。 在自由资本主义时期， 并没有行政立法。 到了19 世纪末20 世纪初， 行政内容日趋专业化、 多样化， 议会没有足够时间和足够专业能力去制定细微缜密的规范， 而行政机关则可以承担起这一任务。 因此， 行政立法兴起的缘由之一就在于行政立法的专业性和灵活性。 时至今日， 专业性和灵活性仍是行政立法的优势。 既然行政立法具有专业性和灵活性， 那么行政机关的立法事项也应是与此相匹配的事项。有学者就主张， 应将全国人大及其常委会无法胜任的专业性事务和短期内无法制定而社会又必需的事务， 作为国务院得到全国人大及其常委会授权的事务。㊱前引㉟， 刘连泰文， 第107 页。从行政立法的专业性和灵活性角度来看，行政机关处理人脸信息行为还是宜由法律来规范。

至此， 对于行政机关处理人脸信息的法定形式， 授权性行政法规被排除。 行政机关处理人脸信息， 只能由全国人大及其常委会制定法律作出规定。

四、 以全过程义务限制人脸信息处理

在讨论了应以法律的形式规范人脸信息处理之后， 还须讨论法律应如何规定才能达到实质合法的要求。 因为法治的实现不仅要求法形式合法， 还要求法作出的规定合法。 具体到人脸信息处理，法律的内容要实质合法， 就须考虑到两点： 一是人脸信息处理的过程性， 二是此过程中行政机关的强势地位。 因此， 自行政机关收集人脸信息开始， 就应为行政机关设置义务， 作为其行为依据。 人脸信息处理的过程可大致划分为收集阶段和之后的利用阶段。 在收集阶段， 法律应侧重设置人脸信息收集的条件， 主要是依据有限之目的进行收集； 在利用阶段中， 行政机关主要需要保持使用目的与收集目的的一致性， 保障人脸信息安全和保障个人程序性参与。 其中， 人脸信息安全保障义务可适用《个人信息保护法》 第五十一条的已有规定， 所以下文主要讨论人脸信息处理全过程中的有限收集义务、 有限使用义务和个人参与保障义务。

（一） 有限收集义务

一般情况下， 法律宜禁止人脸信息收集， 但是为了更重要的公共利益， 可以在特定条件下解禁人脸信息收集。 因此， 行政机关的有限收集义务， 即指面对法律在收集阶段设置的有限条件， 行政机关只有在满足这些条件时方能进行收集， 不得随意收集。 概括地说， 公共利益是行政机关收集的概括条件。 这在Edward Bridges 诉南威尔士警察局局长与英国内政大臣一案㊲参见英国高等法院于2019年9月4日的判决R (Bridges) v CCSWP and SSHD， https: //www.judiciary.uk/wp-content/uploads/2019/09/bridges-swp-judgment-Final03-09-19-1.pdf.得到法院的肯认。

然而， 众所周知， 公共利益是一个模糊性概念， 不要期望给它下一个一劳永逸的定义，㊳参见[英] 迈克·费恩塔克： 《规制中的公共利益》， 戴昕译， 中国人民大学出版社2014年版， 第32 页。因此，人脸信息收集条件就不能止步于此， 而应是明确的、 具体的。 有学者认为， 公共利益的模糊性以及由此产生的广泛适应性正是被需要的。㊴参见梁上上： 《公共利益与利益衡量》， 载 《政法论坛》 2016年第6 期， 第4 页。这在民法上尚且可行， 因为立法不能涵盖所有可能性， 需要使用公共利益条款以适应现实情况的变化。 但是在公法上， 公共利益的模糊性以及由此产生的广泛适应性实际上扩大了政府行为的权限。 所有拥有权力的人都有滥用权力的倾向， 这条经验亘古不变， 有权力的人会使用权力直到遇到有界限的地方才停止。㊵参见[法] 孟德斯鸠： 《论法的精神》 （上册）， 张雁深译， 商务印书馆1959年版， 第87 页。同样， 行政机关收集人脸信息也可能因公共利益这一模糊授权而扩张至权力可触及的所有领域。 现实中行政机关应用人脸识别系统收集人脸信息的领域呈现扩大趋势在一定程度上也说明了此问题。 明确的、 具体的收集条件则会避免模糊目的带来的收集范围广泛问题。 收集条件也是域外个人信息保护立法涉及的内容， 在形式上也是通过立法列举达到了明确和具体的标准。㊶德国 《联邦数据保护法》 就规定了公共机构处理特殊类型个人数据 （包括人脸信息） 的目的。 如为了行使社会保障和社会保护权所产生的权利和履行有关义务， 必须进行处理； 出于公共卫生领域公共利益的考虑， 有必要进行处理； 基于重大公共利益， 迫切需要处理。 类似的还有欧盟 《统一数据保护条例》。

人脸信息收集条件除了形式上的明确和具体， 更为重要的是实质上的标准。 实质上的标准是确定人脸信息具体收集条件的准则， 是人脸信息具体收集条件的内核。 行政机关收集人脸信息， 当然是为了履行其职权， 实现公共利益。 不过， 职权的履行并非都需处理人脸信息才可达成。 实际上，只有符合比例原则， 人脸信息处理才应被允许。 根据比例原则的要求， 处理人脸信息要适于特定职能目标的达成， 与其他适于职权目标达成的手段相比， 处理人脸信息对权益造成的损害要最小， 且处理人脸信息所实现的利益要与其所造成的损害成比例。 因此， 在设置收集条件时， 至少应在满足比例原则的前提下使收集条件达到相对于公共利益概念的明确具体， 也就是说， 具体行政任务的达成与人脸信息处理之间须完成比例原则的检验。

（二） 有限使用义务

在使用阶段， 行政机关负有有限使用的义务， 主要是保持使用目的与收集目的的一致。 行政机关在收集人脸信息之后， 使用人脸信息应受到收集目的的拘束， 确保使用目的与收集目的保持一致。 这是目的拘束原则的要求。 目的拘束原则在个人信息保护上具有重要地位， 有学者称之为个人信息保护法上的帝王原则。㊷参见李惠宗： 《个人资料保护法上的帝王条款——目的拘束原则》， 载 《法令月刊》 2013年第1 期， 第37 页。目的拘束原则的基本意义在于， 只有在合法目的下才允许收集及利用与个人有关的资料， 同时， 也只有在合法情形下才能为目的外之利用。㊸参见洪家殷： 《公务机关资料之收集与个人资料之保护》， 载 《东吴法律学报》 2019年第4 期， 第45 页。人脸信息属于个人信息，必须适用个人信息保护法的目的拘束原则， 在使用时要受收集目的拘束， 在收集目的范围内使用。

一般情况下， 行政机关使用人脸信息之目的应与收集目的保持一致， 但是也存在特殊情况下的例外。 特殊情况下， 在收集目的之外使用人脸信息应被容许， 不过应受到严格的限制。 德国《联邦数据保护法》 允许数据控制者以收集之外的目的利用个人数据， 同时， 也严格设置了限定条件。 该法第23 条规定了公共机构为履行职责， 在特定情况下可以收集目的之外的目的处理特殊类别的个人数据， 对特殊类别个人数据的使用目的进行了限制， 以及对处理的必要性作了要求。㊹德国 《联邦数据保护法》 第23 条规定了收集目的之外的目的之内容。 比如， 符合数据主体的利益且没有理由认为数据主体知情另一目的时会拒绝同意； 有理由相信数据主体提供的信息不正确因而有必要核查； 为了防止对公共利益造成重大损害或对公共安全、 国防或国家安全造成威胁， 或为了确保税收和关税收入， 有必要进行处理。该法第49条规定， “如果个人数据的另一目的是第45 条所列目的之一， 则允许为收集个人数据的目的以外的其他目的处理个人数据， 数据控制者有权为了此目的处理个人数据， 而且处理是必要的， 并与此目的相称。 如果法律允许， 应允许为第45 条未列出的其他目的处理个人数据”， 该条款从处理目的、处理的必要性以及与处理目的相称性对为收集目的之外的目的处理个人数据进行了更严格的限定。具体而言， 处理目的必须是第45 条所列目的或者是法律允许的第45 条未列的其他目的。 第45 条所列目的是预防、 调查、 侦查或起诉刑事犯罪或行政违法或者执行刑事或行政处罚任务， 这些目的关涉社会公共安全、 国家安全等公共利益， 也涉及特定个人的基本权利和自由， 属于重要的目的。这些目的与第23 条所列目的不同， 第23 条所列目的是履行预防、 调查、 侦查或起诉刑事犯罪或行政违法或者执行刑事或行政处罚职责之外的职责。 处理的必要性要求处理个人信息时要对个人权益的侵害最小， 与处理目的的相称性要求处理个人数据对个人权益造成的侵害要与处理个人数据所实现的目的成比例。 人脸信息是个人信息中的生物特征信息和敏感信息， 为收集目的外之目的进行使用， 应该严格限定使用目的， 必须满足必要性原则， 以及所欲实现的利益应该超过人脸信息使用所带来的对权益的侵害。

（三） 个人参与保障义务

由于自然人是人脸信息的产生主体， 行政机关应该保证信息主体参与到信息处理过程之中， 保障个人在人脸信息处理过程中享有并实现个人信息权的具体权利样态。 因为个人信息处理不当会对信息主体造成损害， 为了避免这种损害的发生， 还需要增强个人的自我防御能力， 赋予个人参与处理过程的权利和能力。 个人通过请求行政机关保障其参与， 以维护自己的切身利益。

关于个人信息权的具体权利样态， 在 《个人信息保护法》 出台之前， 学者各有观点；㊺参见齐爱民： 《中华人民共和国个人信息保护法学者建议稿》， 载 《河北法学》 2019年第1 期， 第36 页； 张新宝、 葛鑫：《个人信息保护法 （专家建议稿） 及立法理由书》， 中国人民大学出版社2021年版； 周汉华： 《个人信息保护的法律定位》，载 《法商研究》 2020年第3 期， 第53 页。在其出台之后， 个人信息权包括了知情权、 决定权、 查阅权、 复制权、 更正补充权、 删除权。 从数据处理的全过程来看， 信息主体享有的知情权， 是后续参与的前提， 决定权、 查阅权、 更正补充权、 删除权保障信息主体享有一定的对处理过程的控制能力， 这种控制能力能在一定程度上抑制处理的随意性。 然而， 人脸信息不同于一般个人信息， 具有独一无二性和高度敏感性， 对人脸信息的处理是一般禁止的， 只有在满足法律规定的处理条件下， 行政机关才能为人脸信息的收集、 使用等行为。 那么， 人脸信息处理过程中的个人信息权的具体权利样态就与在一般个人信息处理过程中呈现的样态不完全一致。 在人脸信息处理过程中， 个人信息权的具体权利样态， 就不应包括立基于信息主体自由意志的决定权和删除权。 由此， 行政机关保证信息主体参与数据处理过程， 具体来说， 就是要履行通知义务， 保障信息主体的查阅权、 更正补充权。

行政机关履行通知义务时， 要注意通知的形式、 内容、 期限。 在通知的形式上， 行政机关应通过清晰易懂的语言， 采用简洁明了、 易获得的形式。 通知的内容， 应包括行政机关使用人脸识别的目的， 信息主体如何获得关于人脸识别的附加信息， 包括但不限于告知适用的在线通知、 条款或政策的网站链接， 关于信息主体在何处及如何行使相关权利的信息。 通知的期限是对通知义务履行的时间要求， 也必须加以明确， 防止行政机关怠于履行或不履行通知义务。

行政机关在处理人脸信息的过程中， 个人有权查询自己的人脸信息被收集、 使用的情况， 行政机关要保障个人查询权的行使。 行政机关在保障个人查询权行使时， 要注意查询的费用、 时间、 地点、 内容、 答复的方式和期限。 公民请求查询时， 行政机关应免费为公民提供查询， 除非查询请求明显不合理， 或者行政机关通过合理努力无法确定查询请求是由其本人提出的。 查询的时间、 地点应以方便公民的目的进行合理确定， 不为公民行使查询权设置负担。 就查询的内容而言， 应该包括人脸信息是否被收集、 处理的目的、 传输的第三方的相关情况。 对于公民的查询请求， 答复方式应是简洁明了、 清晰易读的， 方便公民理解所答复的内容。 同时， 答复期限也是必须要予以明确的。

行政机关在处理人脸信息时， 还要保障公民更正补充权的行使。 对于有误的人脸信息， 行政机关要依照个人的更正请求予以更正。

结语

就行政机关处理人脸信息活动的立法规制而言， 一是探讨规范行政机关处理人脸信息的法形式， 二是探讨行政机关处理人脸信息的法内容。 关于行政机关处理公民人脸信息的法形式， 本文主要思路是在行政法定的三个层次中依次排除“非授权的法规和规章保留” “可授权的法律保留”， 将行政机关处理人脸信息的法定形式落入“人大保留” 的范围， 得出宜以法律的形式对行政机关处理人脸信息予以法定化的结论。 在对行政法定的三个层次进行排除时， 先阐明行政机关处理人脸信息触及的公民权益的基本权利性质， 之后再探讨哪种法的形式有助于这些公民权益的实现， 求得法的形式与法所保护的权益相匹配。 明确了适宜以狭义法律形式作出规定之后， 为促进行政机关处理人脸信息活动的合法性控制， 从处理全过程角度， 法律还须为行政机关设定人脸信息的有限收集义务、 有限使用义务以及个人参与保障义务。

对行政机关处理公民人脸信息的立法规制的探讨， 是对科技发展背景下数字行政与公民权益保护的初步回应， 更细致的制度尚需进一步研究， 希望公民权益在科技发展的同时受到同步重视和制度因应。