论生物识别信息界定中的识别标准及我国的建构.pdf

第 卷 第 期总第一八二期 作者简介:褚婧一中国政法大学法学院博士研究生、比利时荷语鲁汶大学访问研究员基金项目:国家留学基金管理委员会建设高水平大学公派研究生项目(留金选 号)国家社会科学基金一般项目“数据要素供给视角下的政府数据开放行政法治研究”()收稿日期:“.”()/()()().“.”.()./.().:/./.:./.论生物识别信息界定中的识别标准及我国的建构褚婧一摘要:识别标准是生物识别信息概念的核心要素也是厘清其与一般个人信息、敏感个人信息关系的重要依据 当下生物隐私立法呈现出界定生物识别信息的两种路径:一种是基于特定信息处理活动产生的生物识别信息另一种则是根据数据来源产生的生物特征信息 从欧盟立法经验看前者以“已识别”为标准存在过于依赖信息处理者主观目的与保护范围较为狭窄的不足后者以“可识别与已识别”为标准虽扩宽了保护范围但易与医疗健康信息和生物技术概念相混淆且存在沦为“笼筐式”概念的风险 鉴于此我国应以“直接识别已识别”构建生物识别信息的识别标准并在规制法中构建“生物特征数据”概念以弥补保护法中较高识别标准所带来的局限性关键词:生物识别信息 生物特征信息 可识别 已识别 唯一性识别中图分类号:文献标识码:文章编号:()一、问题的提出生物识别信息是个人信息保护领域的重要法律概念因关涉个人独特的生物特征而往往被认定为特殊种类的个人信息享有更高程度的保护然而目前立法与学术研究似乎尚未在“何为生物识别信息”这一基础问题上得出统一的答案 纵观各国立法对生物识别信息的界定呈现出两种路径 第一种是目前大多数国家立法所采用的以特定信息处理活动为标准展开的界定 生物识别信息作为与科技紧密相关的法律概念是基于特定处理活动产生的、能够识别或验证自然人身份()的生物信息例如欧盟通用数据保护条例第 条规定生物识别信息为“基于特定技术处理自然人的相关身体、生理或行为特征而得出的个人数据这种个人数据能够帮助或实现对自然人的唯一性识别例如脸部形象或指纹数据”第二种是以数据来源作为界定标准将生物识别信息视为反映身体特征的信息 例如美国得克萨斯州商业法典以“生物标识符”指代“生物特征信息”并在 .()中采用列举的方法提出“生物标识符是指视网膜或虹膜扫描、指纹、声纹、掌纹或面部几何形状的记录”就两种界定方式中的识别标准而言前者以信息“能够帮助或实现对自然人的唯一性识别”为前提这一标准高于一般个人信息的识别标准后者则不再将身份识别视为必要条件在识别标准上没有额外的要求只要满足一般个人信息的可识别性即可 两种识别标准对应当下不同类型的生物信息处理技术或处理活动由此产生对个人信息权益保护的不同范围 年未来隐私论坛发布了人脸识别技术在商业应用中的隐私原则该报告将人脸识别分为以下五种技术类型:第一种检测(社会科学版 )该技术可以辨别视频或图像中的个人或其特定身体部位回答如“图像中一共有多少张人脸”等问题第二种归类()该技术可根据人的身体特征展开类别的归纳如男性与女性、年龄段、表情开心或失落等第三种跟踪()这一技术可以在不识别信息主体具体身份的前提下通过辨别个体的显著特征来展开持续性追踪回答如“有多少顾客多次出入某一商店”“人们排队等待了多久”等问题第四种验证()即一对一()地核验特定主体的身份如常见的上下班打卡系统第五种识别()即一对多()地在群体中将特定的个体挑出如警方追捕逃犯的识别系统 若将五种技术类型代入上述两种界定方式之中那么仅有验证与识别技术具有身份确认的功能能够帮助或实现第一种界定方式中的“唯一性识别”由此产生较窄的个人信息权益保护范围而检测、归类与跟踪技术虽不以身份识别为前提但其涉及的信息仍具有识别信息主体的可能性可作为间接可识别个人信息而受到保护 因此第二种界定方式则可以涵盖五种技术类型产生更为宽泛的个人信息权益保护值得注意的是上述两种界定方式在目前的欧盟立法中均有所体现 通用数据保护条例中“生物识别信息”的法律概念体现了基于特定处理活动的界定思路 年 月欧盟议会颁布的关于的报告草案(以下简称报告草案)提出了“生物特征信息”()的概念这一概念依据第二种界定方式而产生 与生物识别信息不同报告草案中修正意见第 项指出生物特征信息是“能够以及无法()帮助或实现对自然人唯一性识别”的信息 为便于区分本文将基于特定技术处理界定的生物信息称为生物识别信息将基于数据来源界定的生物信息称为生物特征信息二者共同隶属于广义的生物识别信息总之无论是对生物识别信息的两种界定方式还是基于不同界定产生的生物识别信息与生物特征信息的不同分类其最终都归溯至“如何界定生物识别信息中识别标准”的问题 具言之生物识别信息与生物特征信息概念内识别要素的具体内涵是什么二者的识别标准又存在何种差异?不同的识别标准对于生物识别信息与生物特征信息概念本身及其在“一般个人信息敏感个人信息”的层次定位中分别产生了何种影响、反映了哪些局限与不足?鉴于我国尚未在立法与司法中对生物识别信息的内涵予以明确欧盟的相关立法实践与学术探讨可为我国提供经验的借鉴本文由是回应我国应在个人信息保护法体系内对生物识别信息设定何种识别标准以实现对这一特殊种类个人信息的归入与择出伴随对人脸识别法律规制研究的深入生物识别信息逐渐引发我国学者的关注 当下对生物识别信息的研究更多从数据安全的视角展开在微观层面探讨公私法法律保护机制的构建或应用风险之监管在宏观上讨论综合立法或单独立法的模式选择从而达到保障生物识别信息安全、规制生物识别技术发展的目的 若将视角置于生物识别信息法律概念的基础理论研究学者们则达成了如下共识:首先基于自然人的生物特征生物识别信息具有唯一性、不变性与识别性的特点较强的人身属性使之与人的尊严紧密关联其次我国立法在生物识别信息的问题上存在法律概念不清、权利义务不明以及救济机制薄弱的缺陷最后未来在构建我国生物识别信息的法律意涵上学者普遍认同以“反映自然人生物特征”“特定技术处理”与“能够唯一性识别自然人身份”三个要素来厘定其内涵 笔者认为目前的研究虽成果丰硕但也呈现出两方面的不足:一方面生物识别信息是与生物技术相关的法律概念对生物识别信息的研究应以技术的规制法和个人信息权益的保护法为一体两面不应做分割处理另一方面生物识别信息概念之核心与症结均在于“识别”一词“识别”直接决定了其保护范围和在个人信息体系中的定位而目前的研究尚未关注这一点“().”()/.().:/./.曾昌则在上述三个要素的基础上补充了该类信息具有可分离性信息处理者未经信息主体同意而剥离相关生物识别信息应视为侵权从而增强信息主体对于该类信息的控制权 参见:曾昌.分离困境与整合路径:大数据时代下个人生物识别信息保护制度之完善.云南社会科学():.第 卷 第 期总第一八二期 二、生物识别信息中识别标准的释义及其局限性我国个人信息保护法第 条将生物识别信息作为敏感个人信息的一种类型予以保护相关立法尚未就生物识别信息的法律概念给出明确的定义 从欧盟与美国的生物隐私立法来看(表)识别特定个体是生物识别信息界定的关键要素也是其存在的目的要件 鉴于欧盟个人信息保护立法的概念体系较为成熟且对我国立法产生了深远影响本文以欧盟通用数据保护条例中采纳的“帮助或实现对自然人的唯一性识别”标准为例展开具体分析表 欧盟与美国立法对生物识别信息的概念界定法域法律概念欧盟生物识别信息是指基于特定技术处理自然人的相关身体、生理或行为特征而得出的个人数据这种个人数据能够帮助或实现对自然人的唯一性识别例如脸部形象或指纹数据美国伊利诺伊州 生物识别信息是指依据个人生物识别符进行身份识别的任何信息无论其获取、转换、存储或传输的方式如何华盛顿州.生物识别标识符是指通过自动测量个人生物特征生成的数据例如指纹、声纹、眼睛视网膜、虹膜或其他用于识别特定个人的独特生物模式或特征加利福尼亚州 .()生物识别信息是指个人的生理、生物或行为特征包括与 有关的信息这些信息单独、相互结合或与其他识别信息结合使用后可以用于个人的身份识别弗吉尼亚州.生物识别信息是指通过自动测量个人生物特征生成的数据例如指纹、声纹、眼睛视网膜、虹膜或其他用于识别特定个人的独特生物模式或特征 (一)技术释义:经由生物比对的识别或验证生物识别信息是与生物科技紧密相关的法律概念识别标准的阐释也需要从技术概念的厘定而出发 通用数据保护条例第 条第 项将生物识别信息的识别标准界定为“帮助或实现对自然人的唯一性识别”序言第 段为其提供了具体的阐释:“对照片的加工处理不能天然地认为是对生物识别信息这一特殊种类个人信息的加工处理只有在通过特定技术手段开展对自然人的唯一性识别或验证时才能将其认定为处理生物识别信息”由是生物识别信息识别标准的判断则转为对“通过特定技术手段开展对自然人的唯一性识别或验证”的解释 其中经由特定技术处理是生成生物识别信息的前提条件而其处理的目的则在于开展唯一性识别或验证在解释何为“特定技术处理”之前有必要引入如下两个生物技术领域的概念:生物样本信息与生物模型信息 生物样本信息是指对生物特征的模拟或数字化记录该信息是对生物特征的原始处理进而将特征转化为标识如人脸照片 若以特定算法应用于生物样本信息开展重要特征的提取与归类并将结果转译成字符或标签那么这一过程称为特征提取 生物模型信息则是特征提取后的数学建模例如基于人脸照片中的关键点集而形成的面部建模 如序言第 段所述人脸照片是对人面部特征的图像化展示属于生物样本信息不能天然认为是生物识别信息虽然通用数据保护条例并未对何为“特定技术处理”着以更多的笔墨但在法律解释上其可同开展“唯一性识别或验证”结合理解 具言之识别与验证是相互区分的技术手段或信息处理活动 识别是一对多的生物比对通过将测量信息与预先存在的生物数据库信息相比对以识别未知的个体可理解为在群体之中挑出特定的个体验证则是一对一的生物比对从而证实或确认被测量个体与特定信息主体是否同一 由此生物比对是识别与验证的共同流程也是“特定技术处理”的具体指向生物识别技术中的生物比对可归纳为以下七个步骤:()以某种测量技术介入自然人的身体、生理或行为特征()建模在模型()中标识测量结果()将该模型以字符串或代码的形式表示并将其关联至被测量的个体该模型则成为标准模型()()将标准模型存储至生物数据库中()对新的被测量个体就相同的生物特征展开测量并建立实时模型()()将实时模型与标准模型进行比对()应用算法输出比对结果 结合序言第 段照片作为原始的生物样/:./.().:/./:.社会科学版 本信息不能被认定为生物识别信息以特定技术手段从照片中提取出的人脸特征信息或人脸模型信息也并不一定是生物识别信息只有在其用于经由生物比对的识别或验证时才可认定为生物识别信息综上所述生物识别信息中的识别标准为“帮助或实现对自然人的唯一性识别”这一标准的技术释义则为“经由生物比对的识别或验证”生物识别信息以对特定信息主体的识别或验证为目的而存在 与欧盟类似美国生物隐私的专门立法或综合立法中也基本将生物识别信息的范畴限制为以识别或验证为目的的生物信息(二)法律释义:基于生物识别身份的已识别我国个人信息保护法将个人信息分为一般个人信息与敏感个人信息并将生物识别信息作为敏感个人信息的一种类型予以保护 欧盟在通用数据保护条例第 条第 款中同样将生物识别信息作为敏感个人信息的一种类型予以列举但与我国不同的是欧盟定义下的敏感个人信息并未涵盖生物识别信息的完整范围即二者是交叉重合的关系 据此与自然人的身体、生理或行为特征有关的生物信息在欧盟立法中可归纳为“一般个人信息”“生物识别信息”“敏感个人信息”三种类型(表)各自对应的识别标准从左至右依次升高表 通用数据保护条例中生物信息的类型类别一般个人信息生物识别信息敏感个人信息法条序言第 段、第 条第 项第 条第 项第 条定义与自然人的身体、生理或行为特征有关的个人信息基于特定技术处理自然人的相关身体、生理或行为特征而得出的个人数据这种个人数据能够帮助或实现对自然人的唯一性识别以实现唯一性识别特定自然人的生物识别信息识别标准已识别或可识别帮助或实现唯一性识别实现唯一性识别生物技术的识别程度包括但不限于检测、识别、跟踪、验证、归类(存在争议)识别、验证识别保护机制一般个人信息一般个人信息一般个人信息特殊种类个人信息 .“帮帮助助或或实实现现唯唯一一性性识识别别”高高于于“已已识识别别或或可可识识别别”生物识别信息首先归属于个人信息生物信息想要成为生物识别信息则首先应当满足个人信息可识别性的判断 从识别标准的角度看个人信息的可识别性是生物识别信息判断的门槛条件 不可否认个人信息可识别性是一个广受争议的法律概念其内涵具有较大的不确定性尽管如此相关立法文本与学术讨论仍为划定其基本边界提供了指引首先通用数据保护条例第 条第 项对“个人信息”的界定中提出“个人信息指的是任何已识别()或可识别()的自然人相关的信息一个可识别的自然人是一个能够被直接()或间接()识别的个体”第 条工作组()在关于个人信息概念的意见中将“已识别”解释为“在群体中特定个体可以与群体中的其他成员相区分()”“可识别”是指“尽管尚未达到已识别但仍有被识别的可能性”此外序言第 段在判断可识别与否时提到所有能够采用的合理方法都应被考虑在内 由此可见“已识别”与“可识别”最终都指向了对信息主体识别的可能性()所以尽管第 条工作组在解释“识别”一词的内涵时采用了“与群体中其他成员相区分”“在群体中将特定个体挑出”等表述但笔者认为更为准确地表达这一识别可能性的解释则是“放大/聚焦于()一个有血有肉的个体”质言之个人信息的可识别性可理解为在特定环境下依据特定信息聚焦于特定信息主体的可能性 例如在一个班级之中?/.().:/././()/.().:/./.需要说明的是该意见不具有法律强制力仅具有一定的法律解释功能不可否认个人信息的可识别性需要考虑特定的场景()第 条工作组认为“信息关联的信息主体能否被识别依赖于特定的场景”(“”)第 卷 第 期总第一八二期 “男性/女性”这样的性别信息基本不会具有识别的可能性但如果是“女性身高 体重 嘴角有一颗痣”这样的信息则具有聚焦于特定信息主体的可能其次如果说“识别”是一个在人群中拿着放大镜趋近于特定个体的过程那么“已识别”则是实现了对信息主体的聚焦而“可识别”则为无限趋近但尚未聚焦于特定个体尽管聚焦的可能性是极大的鉴于直接与间接识别同样是识别特定个体的两种方式笔者认为在生物信息的范畴内以直接识别和间接识别划分识别方式、已识别和可识别作为识别可能性的分类可以得出如表 所示的四种具体的识别类型表 生物信息的识别类型识别方式识别可能性已识别可识别直接识别依据唯一识别符()将特定信息主体挑出/与其他主体相区别 例如指纹信息、面部识别信息获取的生物信息并非唯一标识符且尚未获取唯一识别符但该唯一识别符的获取是较为容易且合理的 例如在一个班级内开展学生体检体检表中的血压信息为可识别信息 因血压信息虽无法识别到具体的学生但体检表内有学生的姓名或学号而将血压信息与学生的姓名或学号相结合是较为容易的间接识别不需要其他额外信息通过一系列非唯一标识符的特有结合将信息主体特定化 例如在一个班级内通过“血型体型体态”信息可以区别出特定的学生虽然通过一系列非唯一标识符的特有结合尚难以特定化信息主体但结合必要的额外信息则具有特定化信息主体的合理可能例如在一个开展健康检查的班级内通过“血型体型体态”信息往往可以特定化具体学生 但当体态信息缺失时虽然乍看起来识别具体学生不再可能但是在健康检查的环境下获取体态信息这一额外信息是可能的 最后值得注意的是表 为生物信息识别标准的类型化而非生物识别信息中识别标准的类型化如前文所述个人信息的可识别性是一个门槛性的标准即要想成为生物识别信息其首先应当是个人信息 在对个人信息的识别性标准阐述后有必要进一步明确为何生物识别信息的识别标准高于个人信息以及高出部分的具体表现结合上文的技术释义生物识别信息的识别标准体现在经由生物比对的识别与验证两项生物技术上从法律意涵来看识别与验证仅能对应个人信息的已识别标准而将可识别标准排除在外 具言之识别与验证以生物比对为共同流程 生物比对是一种基于测量而探寻被测量数据与先前已记录数据的相似度与匹配度的活动而先前记录的数据则可称为信息主体的生物识别身份()与市民身份()(如父亲、丈夫)和法律身份()(如完全民事行为能力人)不同生物识别身份并不需要识别出信息主体的姓名、职业、社会关系等具体身份信息也不需要追求个性化推荐中详尽的标签化与用户画像而仅指测量样本与先前存储信息来源于同一信息主体 从生物识别身份的角度看“帮助()自然人的唯一性识别”由于是在群体中将特定信息主体挑出的过程故而其是指建立生物识别身份的识别技术“实现()自然人的唯一性识别”由于是验证某信息主体是否是其所主张的信息主体的过程其先前存储的信息往往存储于单一的设备中如身份证、护照属于单一的数据库()因此它指向的是验证生物识别身份的验证技术由此一方面由于识别与验证均需要生物识别身份的存在故这两项信息处理活动均要求信息主体具有已识别的特征即可以清晰地识别出信息主体 而可识别这一逐渐向信息主体走进的标准难以建立明确的生物识别身份所以生物识别信息的识别标准高于一般个人信息的识别标准 另一方面生物识别信息与一般个人信息识别对象的差异表现在生物识别身份上即一般个人信息可能会需要建立市民身份如信息主体的姓名、身份证号等从而将其特定化而旨在对比生物特征是否同一的生物识别身份则并非个人信息所必需.“帮帮助助或或实实现现唯唯一一性性识识别别”低低于于“实实现现唯唯一一性性识识别别”通用数据保护条例第 条将“为了识别特定自然人的生物识别信息”作为特殊类型个人信息纳入敏感个人信息的保护范围而实际上敏感个人信息与生物识别信息是相互交叉的法律概念 敏感个人信息的可识别标准为“唯一性识别”()此为个人信息可识别性体系中的最高标准 学界普遍认为第 条第 款中“以实现唯一性识别特定自然人的生物识别信息”在技术类型上社会科学版 仅包含识别技术不包括验证技术 因此生物识别信息中仅有以识别为目的的部分可以作为敏感个人信息享有更高程度的保护生物识别信息的识别标准低于敏感个人信息的识别标准究其原因相较于验证目的以识别为目的的生物识别信息将对信息主体的基本权利和自由产生更大的风险 一方面从生物识别信息存储的基础数据库来看由于识别是一对多的信息处理活动其需要相较于验证技术更为庞大的基础数据库由此产生更为严重的信息安全风险 加之验证技术往往仅需将基础数据存储于单一的设备之上如身份证、工卡等且验证过程无需其他信息主体的参与因此产生信息安全隐患的风险更小 例如机场登机时通过将人脸信息与身份证面部图像提取出的面部模型相比对来验证登机人与身份证信息主体是否匹配在此过程中基础信息存储于身份证之上且并无其他信息主体参与验证过程仅为一对一的信息对比 另一方面从技术功能的角度看验证的目的是核对信息主体匹配与否而识别技术的目的则更为复杂并在不当利用时可能存在歧视的风险例如基于有色人种的识别等将对被识别对象的基本权利产生威胁(三)概念局限:过于依赖信息处理者的主观目的生物识别信息的识别标准介于一般个人信息与敏感个人信息之间然而这样的识别标准在自身的概念内涵、与一般个人信息与敏感个人信息识别标准的衔接上均存在一定的局限首先“帮助或实现唯一性识别”的识别标准将生物识别信息限定于以识别或验证为目的的范畴内而该目的属于个人信息处理者的主观范畴由此将产生如下三个问题第一个人信息处理者真实的信息处理意图往往是难以知晓的且其主观目的存在变更的可能性当生物识别信息因可能被纳入敏感个人信息而要求信息处理者承担更为严格的信息保护义务时信息处理者可能会对其真实的识别与验证目的有所隐瞒第二依赖信息处理者的主观目的判断生物信息是否属于生物识别信息在具体操作上仍缺乏明确的法律指引 对此可以假设如下三种情形:()信息处理者在采集指纹信息时并没有识别的目的但是伴随信息处理者业务范围的扩展随后在信息处理活动中具备了识别目的那么指纹信息作为生物识别信息的时间点应从何时起算?该情境中假设指纹信息被存储于生物数据库之中在信息处理者具有识别目的后该数据库实则没有发生任何变化生物信息或生物识别信息均处于存储状态之中因此风险性几乎没有变化()信息处理者 在采集、存储生物信息时具有日后用于识别的处理目的但是事实上识别技术的应用将发生在 年之后此时的生物信息属于生物识别信息吗?笔者认为该问题是难以回答的可以参考两个对比情形:其一信息处理者 采集、存储生物识别信息时打算在 个月后将该信息用于识别目的此时该信息应被认定为生物识别信息其二信息处理者 在采集、存储生物信息时没有识别目的但是在 年之后伴随业务的扩展而具有了应用识别技术的意图那么此时对 而言其因处理敏感个人信息而需承担的额外信息保护义务是从 年后起算的 若严格按照信息处理者主观意图的判断标准那么 在此前 年内就需要承担敏感个人信息的保护义务但实际上其与 在对生物数据库的使用上并不存在差异因此对 而言承担该义务可能是不公平的()若信息处理者 对其所存储的生物数据库并没有识别或验证的技术处理目的但其合作者 期望将该信息用于识别那么同一数据库是否对 而言属于一般个人信息、而对 而言属于生物识别信息呢?第三过于依赖信息处理者主观目的将可能在实践中对生物数据库产生存储与使用相割裂的困境 由于识别和验证技术需要经由生物比对属于信息使用的过程而在此之前生物信息的采集与存储则往往难以判断或容易隐藏信息处理者的主观处理意图由此引发存储与使用相割裂的风险即信息处理者积极开展生物信息的采集与存储活动而对生物数据库的使用则保持谨慎的态度 然而作为个人信息的生物信息其采集与存储同样存在严重的风险如信息的过当采集和生物数据库泄露等其次由于生物识别信息的可识别性在技术上要求经由生物比对活动大量的生物样本信息被排除在外该类信息则仅能归属为一般个人信息因此产生了生物识别信息的可识别性标准是否过高而导致其保护范围狭窄?以人脸图像为例依据通用数据保护条例序言第 条不以识别和验证为目的的照片不能被认定为生物识别信息而只有当其应用于如上目的时从照片中提取出的以生物比对为目的的面部模型信息方能成为生物识别信息 这一判断实则引发人们对于照片图库信息保护的隐忧因照第 卷 第 期总第一八二期 片虽作为原始的生物样本信息不直接用于生物比对但其是生物模型信息的来源且照片中往往含有隐私的背景信息所以照片图库仍隐含严重的信息泄露风险 故而即使生物数据库中的信息未用于进一步的信息处理活动该数据库也应采取更高的安全保护措施最后生物识别信息的识别标准客观上导致了同敏感个人信息中其他类型信息衔接的矛盾 通用数据保护条例第 条第 款在列举敏感个人信息项下的具体类型时以对信息主体基本权利的风险作为判断的标准如“显示种族或民族背景、政治观念、宗教或哲学信仰、性生活与性取向”等该标准从信息的属性出发将对个人隐私有较大危害且泄露将可能造成社会歧视、减损人的尊严的数据类型列为特殊种类的个人信息 反观这一条款对生物识别信息的列举即“为了识别特定自然人的生物识别信息”其以信息处理技术或处理目的作为是否归入敏感个人信息的判断条件与其他种类敏感个人信息的判断条件产生冲突三、生物特征信息中识别标准的扩容及其解释困境由于对识别标准的严格限定生物识别信息概念下的个人信息权益的保护范围较为有限 伴随生物科技的发展这一概念愈发受到挑战以数据来源为标准界定生物信息并适当放宽识别标准成为新的讨论方向生物特征信息的概念逐渐被学者提出并讨论 欧盟在 年 月颁布的人工智能法案(草案)中采用了与通用数据保护条例相同的生物识别信息概念但这一概念引起了广泛的争议原因在于其对应的是以识别和身份验证为目的的第一代生物科技已落后于当下人工智能技术的发展随后学界围绕这一概念展开热烈讨论具有代表性的观点为在欧盟公民权利和宪法事务政策司发布的专家报告生物识别与行为探测中克里斯汀温德斯特建议增加“生物特征信息”的概念 这一建议在 年 月发布的人工智能法案(草案)(修正版)中得以体现即新一版立法文本在第 条第 项界定中删除了“能够识别或确定自然人的独特标识”的表述 这一修改得到了学术界的普遍认可同时也引发了是否应在通用数据保护条例中引入“生物特征信息”的讨论 在美国生物隐私保护领域具有代表性的伊利诺伊州生物隐私法案中其以“生物标识符”的概念帮助界定“生物识别信息”在最近的判例法中法院认为即便特定的信息主体并未被识别但只要相关生物信息被用于面部识别软件系统则仍可认定是对生物标识符的信息处理 由此可见在欧美立法中生物识别信息的识别标准仍备受争议且新近立法呈现出降低识别标准的可能性(一)概念扩容:以间接识别为主的可识别与已识别生物特征信息是指“基于特定技术处理自然人的相关身体、生理、行为信号或特征而得出的个人数据例如面部表情、动作、脉搏频率、声音、击键频率或步态能够以及无法()帮助或实现对自然人的唯一性识别(的信息都可以包括在内)”与生物识别信息相比这一概念有两处明显的不同:其一从技术角度看生物特征信息的列举事项与生物识别信息相比增加了“信号”()一词“脉搏频率、步态”等相较于“面部信息、指纹信息”反映了一种动态的生物特征两个概念存在技术范围上的差异其二从法律角度看“帮助或实现对自然人的唯一性识别”前增加了“能够以及无法”这是 .:/.().:/./().()(/()/.().:/./.:/.().:/./.(.)/.().:/./.(.)/.().:/./.()/.().:/./.社会科学版 其与生物识别信息识别标准差异的直观体现也是争议之所在从法律意涵看生物特征信息以已识别与可识别为识别标准不再局限于生物识别身份的构建与核验的已识别标准这一扩容的依据在于概念中“能够以及无法”这一语词的加入 由此在个人信息保护可识别性的最低基准上生物特征信息的识别标准涵盖了()能够“帮助或实现对自然人的唯一性识别”的生物识别信息以及()无法“帮助或实现对自然人的唯一性识别”、但满足一般个人信息可识别性的生物信息 而第()项情形的加入使得生物特征信息并未提出比一般个人信息的识别标准更高的要求所以尽管生物特征信息的概念中突出了生物识别信息的已识别标准但一般个人信息的已识别与可识别标准仍为生物特征信息可识别性的整体标准从技术视角分析批评者认为生物识别信息主要因应了以识别和验证为主要技术表现的第一代生物技术发展的需要而伴随第二代生物技术中不以生物身份识别为前提的探测、归类、追踪技术的发展生物识别信息的高识别标准已难以适应技术发展的需要所以生物特征信息的概念得以出现 因此生物特征信息在技术类型上扩展至探测、归类、追踪技术识别标准相应降低且以表 中具体识别类型中的可识别与间接识别为其主要表现一方面以情感计算为代表的第二代生物技术使得大量生物特征信息以非唯一标识符的形式存在与已识别信息相比生物特征信息内可识别信息将占据更大的比例 从技术的发展来看第一代生物科技以识别与验证技术为主基于对指纹信息、面部信息等强生物信息()的处理构建与核验信息主体的生物识别身份人脸识别便是典型的第一代生物技术 伴随人工智能向情感智能的发展以探测、归类、跟踪为典型表现的第二代生物科技更多基于对弱生物信息()的处理即以动态为表现形式且识别性较弱或难以识别的信息从而对信息主体(既包括个体也包括群体)展开画像处理()情感计算作为第二代生物科技的典型表现是指能够感知、理解、模仿和影响人类情感的智能科技 相较于人脸识别情感计算的特殊之处在于其输入与输出信息都不必具备针对信息主体的可识别性()因此已识别的权重将被削弱可识别成为是否构成生物特征信息的主要判断 例如部分汽车厂商研发了应用情感计算技术的智能安全系统该系统能够实时检测司机的情绪在司机情绪不稳定时自动播放舒缓的音乐以帮助其平复心情提高安全驾驶的可能 在以面部表情测量为依据的智能安全系统内输入端的面部表情信息(如眉毛弯曲弧度、嘴角弯曲程度)与输出端的情绪状况(如紧张、焦虑)并非唯一标识符且难以回溯至特定的信息主体但汽车司机在使用前往往会注册相关个人档案此时上述生物特征信息可能为直接或间接识别的可识别信息另一方面因为第二代生物技术所获取的生物信息往往是动态的、零碎的、片段式的需要一系列生物特征的结合方能达到识别标准因此间接识别的方式将被更多地运用于生物特征信息的判断 这一点在情感计算技术中不难理解这一技术的输入端(如皮肤温度、心跳频率等)和输出端的情感状态信息均为非唯一标识符信息单凭上述信息难以放大或聚焦于特定的信息主体但是若在特定的情景中生成如“肤色为黑色皮肤温度为 情绪激动”的信息则有回溯至特定信息主体的可能(二)解释困境:识别标准的杂糅易引发概念的混同尽管总体上生物特征信息的识别标准与一般个人信息无异但其“能够以及无法帮助或实现对自然人的唯一性识别”的表述实则是对生物识别信息与一般个人信息识别标准的杂糅 当信息“能够帮助或实现对自然人的唯一性识别”时该信息为生物识别信息当信息“无法帮助或实现对自然人的唯一性识别”时该信息为一般个人信息 这种杂糅对生物特征信息概念自身产生了隐患:其一唯一性识别的存在目的实则被删除而新的保护目的尚未言明其二生物识别信息与一般个人信息都被囊括如果将“识别标准”理解为聚焦于特定信息主体的可能性“已识别”为聚焦目的的达成“可识别”则是无限趋近于特定信息主体从而实现聚焦的高度可能性 生物特征信息更加关注“可识别”即趋近的过程而非聚焦的结果 .:/.().:/./()./.().:/./.第 卷 第 期总第一八二期 其中使其可能成为“笼筐式”概念并破坏了“一般个人信息生物识别信息敏感个人信息”这一阶梯式识别标准的结构其三将较高危险性的识别、验证技术与较低危险性的探测、归纳、跟踪技术置于同一位阶还忽视了不同类型生物技术间的风险差异与规制需求 更为严重的是这种杂糅并未带来保护法范围内的功能改进而更具识别梯度差异的生物识别信息与一般个人信息仍能获得同样的功能同时生物特征信息概念还带来了同保护法内医疗健康信息概念的混同 我国个人信息保护法第 条将特定情形下的医疗健康信息作为敏感个人信息予以保护医疗健康信息成为与生物识别信息相并列的法律概念 欧盟通用数据保护条例第 条中将“关于健康的信息”()定义为“与自然人的身体或精神健康相关且显示其健康状态的信息”当生物特征信息不再着眼于生物识别身份的构建与确认数据来源具有较大重合度的医疗健康信息将与其产生的信息范围的重叠尤其在数字化医疗的背景下被收集的患者信息呈指数型增长欧盟学者就原“关于健康的信息”概念提出扩展其概念范围的需要指出“非直接关于健康的信息”也属于健康信息 欧盟数据保护委员会()也认为通过与其他数据的交叉引用从而揭示健康状况或健康风险的信息也应属于健康信息 例如在根据患者一段时间内的血压值数据判断其有无患心脏病风险的情境中血压值数据是患者有无患心脏病风险这一医疗健康信息的基础信息所以其既是生物特征信息也是医疗健康信息此外作为法律概念的生物特征信息也易与生物特征识别技术的相关概念产生混淆 由于不再以唯一性识别为目的生物特征信息概念中的“基于特定技术处理”将不再指向建立在生物识别身份技术上的生物比对所以此处“特定技术处理”的具体内涵尚不可知 倘若“特定技术处理”仅仅指以电子方式记录人的相关身体、生理、行为特征那么生物样本信息与生物模型信息都能够视为生物特征信息在技术领域中生物特征数据则被定义为生物样本数据或生物样本数据的集合作为一个指向生物技术处理过程中所创造的计算机数据的宽泛概念它包括了原始传感器观察数据、生物样本和模型等 但生物特征数据与生物特征信息的区别在于其并不一定指向具体的个人例如匿名化的生物数据也可被视为生物特征数据 当法律领域的生物特征信息扩大识别标准后其范围与作为技术概念的生物特征数据具有较大的重合由此导致法律概念与技术概念之间的混淆综上所述笔者认为保护法范围内不能以生物特征信息取代生物识别信息四、我国生物识别信息中识别标准的建构及其填补(一)规范省思:概念混淆与分类不清的立法困境我国个人信息保护法的立法过程体现了对生物特征信息与生物识别信息的考量如个人信息保护法(草案二次审议稿)第 条敏感个人信息的列举事项中使用了“个人生物特征”的表述而颁布的个人信息保护法第 条列举事项中则改为“生物识别信息”尽管立法机关并未对如此更改的理由展开说明但至少可以看出我国语境中“生物特征”并不等同于“生物识别”然而由于目前立法尚未对生物识别信息的法律概念给出明确的界定因此生物识别信息在现行法中面临着双重尴尬处境亟须构建相应的识别标准.以以生生物物特特征征信信息息的的属属性性界界定定生生物物识识别别信信息息诚如前文所述生物识别信息区别于生物特征信息的关键在于对识别标准的要求二者因共同作用于自然人的身体、生理或行为特征而容易在概念上产生一定的混淆 在最高人民法院发布的典型案例之“郭兵诉杭州野生动物世界有限公司服务合同纠纷案”中法官认为生物识别信息“深度体现自然人的生理和行为特征具备较强的人格属性”另外对于该案中所涉及的指纹信息和面部特征信息法 ./.().:/./.“生物识别信息作为敏感的个人信息深度体现自然人的生理和行为特征具备较强的人格属性一旦被泄露或者非法使用可能导致个人受到歧视或者人身、财产安全受到不测危害故更应谨慎处理和严格保护”参见最高人民法院发布十四起人民法院服务和保障长三角一体化发展典型案例之八:郭兵诉杭州野生动物世界有限公司服务合同纠纷案/.().北大法宝:/./.?.社会科学版 官并未从这两种信息的性质属性出发论述其是否归属于生物识别信息而是直接根据信息安全技术个人信息安全规范中明确的列举事项将其纳入生物识别信息的范畴 笔者认为上述裁判存在以下两个问题:第一无论是生物识别信息还是生物特征信息其针对的对象均为具有人格属性的身体、生理与行为特征 不可否认这是概念界定中的重要因素但不能仅凭数据来源界定生物识别信息否则将与生物特征信息的概念相混淆 第二虽然法官在本案中依据信息安全技术个人信息安全规范展开生物识别信息与否的判断并无问题但值得思考的是这一国家标准是对生物识别信息种类的穷尽式列举吗?鉴于该规范同样未对生物识别信息的概念进行阐述且立法层级较低因此现行法在生物识别信息外延的判断上仍力显不足.将将生生物物识识别别信信息息全全部部归归属属于于敏敏感感个个人人信信息息现行法中生物识别信息面临的另一困境则是其在个人信息体系中的定位即与一般个人信息和敏感个人信息的关系 现行立法不但未将三者的关系予以明确而且立法之间还存在一定的不一致性这种不一致性体现在生物识别信息是应适用一般个人信息保护规则还是应适用敏感个人信息的特殊保护规则?一方面以民法典第 条为代表立法者在界定个人信息时将生物识别信息作为一般个人信息的一种类型予以列举网络安全法第 条采取了同样的表述方式另一方面个人信息保护法及其相关立法和裁判将生物识别信息整体视为敏感个人信息即敏感个人信息包括全部的生物识别信息 个人信息保护法第 条将生物识别信息作为敏感个人信息的一种子类型予以列举信息安全技术个人信息安全规范中提到“个人敏感信息包括身份证件号码、个人生物识别信息等”由是上述的立法规范实则产生了两个命题即“生物识别信息是一般个人信息的子类型”与“生物识别信息是敏感个人信息的子类型”对于“生物识别信息是一般个人信息的子类型”笔者认为这样的判断并无不对 一般个人信息是个人信息保护法体系中最基本的法律概念换句话说某种信息要获得个人信息保护法的保护则其首先应当是个人信息 因此生物识别信息、敏感个人信息都可以理解为一般个人信息的子概念 但是一般个人信息的子类型并不意味着其应受到一般个人信息保护机制的保护而应按照信息属性进一步判断其是否归属于保护力度更高的敏感个人信息 因此针对第一个命题更为科学的表述应当是“生物识别信息是一般个人信息的子类型但是其不一定仅得到一般个人信息保护机制的保护”对于“生物识别信息是敏感个人信息的子类型”笔者则反对将全部的生物识别信息纳入敏感个人信息的范畴 首先我国与欧盟都对敏感个人信息设置了更为严格的信息处理规则即“一般禁止例外”规则如我国原则上禁止敏感个人信息的处理只有在个人信息保护法第 条第二款规定的“具有特定的目的充分的必要性采取严格的保护措施”的情形下方可处理 因此作为受到严格保护的敏感个人信息