生物识别技术的法律边界
生物识别技术是通过计算机、生物传感器和生物统计学等高科技手段密切结合，对人体的生理特性（如指纹、脸像、虹膜等）和行为特征（如笔迹、声音、步态等）进行个人身份的识别和鉴定。近年来，以人脸识别为代表的生物识别技术作为个人身份认定的新方法，改变了传统个人信息收集和处理的方式，自动化的收集和应用越来越普遍，在建设智慧城市、维护社会治安等方面发挥了重要作用。但与此同时，滥用生物识别技术的现象也广泛存在，对于个人信息权益产生严重威胁。
生物识别技术的主要特征。指纹识别、面部识别、虹膜识别、声音识别等生物识别技术相较于传统的身份鉴定方法，更加安全、高效和便捷，应用场景更加丰富多元，因而获得了迅速发展。个人信息的收集处理对人工智能和大数据的发展至关重要，但相较于其他个人信息，生物识别信息的泄露也呈现出高危性的特征。首先，不可变更。银行账号密码、电话号码及其他身份信息允许变更和修改，而其他生物数据，如虹膜、指纹、静脉、基因信息等几乎是不可变更的，生物识别数据能实现对每个个体的精准定义。其次，不可匿名。个人信息可以通过去身份而实现匿名化，匿名之后的信息不再属于个人信息，但生物识别技术获得的信息无法匿名化和去身份。再次，容易采集。传统的信息收集是自然人主动向政府、企业提交材料，手动收入纸质文档或录入电子系统。而生物识别技术利用互联网、大数据、生物传感器、摄像设备等支持，通过简单的“刷脸”或“接触”实现收集，甚至不需要自然人的同意就能够大规模、自动化存储。
生物识别技术带来的法律风险。随着生物识别技术的深度发展，引发社会公众对隐私权、肖像权、名誉权、荣誉权等人格权的担忧。生物识别信息相较于一般个人信息的保护采取更为严格的规制路径，由于生物识别技术具有主体唯一性和不可变更性，一旦信息遭到泄露必然会侵害主体的隐私权益。同时，生物信息所具有的上述特点意味着，在正常情况下，该技术可以帮助我们更迅速、更准确地完成人的身份识别，大幅提升识别效率。但这些特点也同时意味着，不法分子侵害用户生物识别数据的可能性不断增加，一旦相关信息落入不法分子之手，他们就可以以更低的成本伪造身份、假冒身份，威胁到人们的安全。另外，生物识别技术的滥用可能影响国家信息安全。数据是重要的战略资源，数据安全是国家安全的基础。生物识别数据的储存、分析、计算、应用等关键技术的创新发展，也导致数字信息技术领域引入更多的漏洞，数据泄露等信息安全隐患加剧。因此，生物识别技术的大规模应用，必须慎之又慎。
对生物识别技术的法律规制。个人生物识别信息的保护，不仅需要安防技术的不断发展进步，而且需要设立法律的坚固防线。目前，我国在《民法典》《网络安全法》《出境入境管理法》《反恐怖主义法》对个人信息的保护作了一些原则性规定。少数地方的政府规章对公共安全图像采集进行了规定，但整体看来，生物识别信息的法律功能、属性和作用并没有明确规定，相关的法律原则和权利义务也不够细致，事后权利救济尚缺乏相应的规定。在未来立法制度的完善过程中，一是正确处理好生物识别技术的创新与保障组织收益和保存生物数据安全的关系，尽量实现两者之间的平衡。生物识别信息的特殊性决定了高度保护的重要性，相关法律法规应当及时跟进。二是强化企业责任的设置。即便是最先进的立法技术，也无法跟上技术及商业模式的创新速度。现阶段，应当针对生物识别软件的开发商和使用商，强化其各自的安全保障义务和责任：对于提供服务和开发技术的企业，当生物识别软件进入市场时，应当符合国内国际认证标准，并证明内设了维护生物信息安全的保障措施；对于使用该技术收集、处理生物识别信息的企业，应谨慎收集生物特征信息，收集前应征得主体同意，并明确告知信息收集目的、使用范围、处理方式、保存时间、再披露规则等。如果出现盗用、泄露、非法买卖等情形，企业需要承担相应的法律责任。三是制定保护生物识别信息的专门法律，现阶段可以先出台专门的行政性文件，为生物识别技术提供合规依据，待时机成熟再制定正式立法文件。在司法方面，关键是健全生物识别信息权利的民事诉讼救济机制。当前，被侵权人在该类案件中，权利的救济依然面临困境。如果法人、非法人组织、自然人在并未授权和同意的情况下，对个人生物识别信息进行任意泄露、滥用、买卖、盗窃等行为，信息主体通常对于所受侵害并不知情，即使获悉侵权行为已经发生，也难以证明直接造成的实质性损害结果。但按照当前的法律规定，个人提起民事诉讼需要证明确有实质性损害的存在，这严重妨碍了被侵权人获得有效救济。针对这一点，可以考虑通过举证责任倒置或无过错责任原则，完善侵权举证责任制度，明确相关的法律救济形式与赔偿标准。
文章刊载于《学习时报》2020年10月14日第2版
本期编辑：翟月荧