其他
刑事诉讼中从第三方处调取生物识别数据行为的规制作者:郑曦,北京外国语大学法学院教授。来源:原载《中国刑事法杂志》2023年第1期。摘要:刑事诉讼中,公权力机关从商业机构或社会管理部门等第三方处调取生物识别数据已不鲜见。出于预防和打击犯罪、提高诉讼效率的需要,这种行为具有一定的必要性和合理性,也得到了相关判例和成文法的支持。但此种行为也存在风险,主要包括对侦查权力的制约力度减弱、审查证据能力存在困难、个人数据权利易受到损害。为防止调取生物识别数据权力滥用,降低潜在风险,有必要确立实施此种行为的基本理念,秉承目的限制和最小侵害原则,强化权力制约监督;设置从第三方调取生物识别数据前的个案审批与司法审查,逐步完善司法令状制度;加强调取中的酌情告知与数据安全保障;强化调取后的个人数据权利保护。在大数据时代数据海量收集和深度运用的浪潮席卷下,生物识别数据同样被大量地收集和使用。生物识别数据,是以自然人的身体、生理或行为特征为基础,进行技术处理而形成可识别该自然人独特标识的个人数据,包括指纹、掌印、手形、虹膜、视网膜、面部、基因等身体和生理特征数据以及签名方式、按键习惯、行走步态等行为特征数据。这些数据在当下被广泛用于商业和社会管理。然而,这些由商业机构或社会管理部门等与刑事诉讼本无直接关系的“第三方”所收集的生物识别数据,为国家预防和追诉犯罪提供了便利。从第三方处调取的生物识别数据常被侦查机关用于将特定对象与某项犯罪相联系而实现案件侦破,甚至最终被法院用作对被追诉人的定罪量刑依据。如此虽然提升了国家打击犯罪的能力,但不可避免地带来疑虑。例如,这种行为是否会导致侵犯公民个人数据权利,是否会为公权力机关提供规避法律之漏洞?针对这些潜在风险,有必要围绕此种行为的必要性与合理性、可能带来的相关风险,以及规制此种行为以消减相关风险路径等问题展开研究。一、问题的提出由于商业利益和社会管理需求这两大动力的推动,收集生物识别数据的主体主要是商业机构和社会管理部门。但由这些主体收集的生物识别数据会通过刑事诉讼公权力机关的调取行为而向刑事诉讼中传输,从而产生对此种调取行为的依据、风险和规制方式进行研究之必要。(一)从第三方处调取生物识别数据行为的典型意义从刑事诉讼运行,特别是侦查的现实情况看,从第三方处调取各种类型的数据已不鲜见,例如从银行调取资金往来的数据、从移动通信公司调取通信数据或手机定位数据、从房产管理机构调取房产登记数据等。那么为何要专门研究从第三方处调取生物识别数据这一行为呢?这主要是因为作为此种行为之客体的生物识别数据存在显著的特殊性,从而导致从第三方处调取生物识别数据的行为具有典型意义。其一,生物识别数据是敏感个人数据。根据我国《个人信息保护法》第28条的规定,生物识别数据属于敏感个人数据。这是因为生物识别数据一旦被泄露或非法使用,容易导致自然人的人格尊严受到侵害或者人身、财产安全受到危害,因此只有在具有特定的目的和充分的必要性,并采取严格保护措施的情形下方可处理此种数据。在刑事诉讼中,生物识别数据的高度敏感性十分突出,一旦处理不慎可能带来严重后果,因此对其的关注具有代表性。其二,生物识别数据是重要数据。我国《数据安全法》第21条按照数据的重要程度及其被非法处理的危害后果,将数据进行了分级,依次是国家核心数据、重要数据和一般数据。生物识别数据从宏观上看涉及生物安全保障问题、关系国家利益,从微观上看与公民个人核心权利密切相关,因此足以成为需要重点研究的数据类型。在刑事诉讼中,针对此种重要之生物识别数据,同样应当遵循重要数据的一般处理规则,在数据处理的全过程中予以更为严格的程序监督与安全保障,防止其被非法使用。生物识别数据自身的特殊性给刑事诉讼中从第三方调取生物识别数据的行为提出了更高的要求,并由于此种特殊性带来的要求,研究从第三方调取生物识别数据行为具有一定的典型意义。以其为研究对象,在聚焦研究视野的同时,也能为调取其他数据行为相关制度的研究提供有意义的参考。(二)从第三方处调取生物识别数据的前提:生物识别数据的广泛收集在商业领域,生物识别数据被主要用于电子商务、金融支付、员工考勤、门禁安保、智能家居等行业,其中金融支付中对指纹和人脸识别数据的使用最为常见和成熟。例如在我国,支付宝早在2014年即已实现国内首次网络指纹支付技术的运用,而如今支付宝线上支付已基本完成从指纹支付到“刷脸”支付的技术过渡。除了通过指纹、人脸识别而提供电子商务和金融支付服务之外,美国富国银行的客户可以使用手机扫描眼球的方式登录账户、花旗银行可以通过声音验证信用卡用户的身份,我国攀枝花市商业银行还推出了刷“掌静脉”办理存取款的业务。在社会管理中,生物识别数据常在出入境安全管控、人口信息和证件审核、重点区域安保、事故灾害救援、公共卫生管理等场景下被收集和使用,人们对于在机场办理登机和出入境手续时,或是在户籍管理部门办理身份证件时接受指纹录入或人脸扫描已然习以为常。无论在商业领域还是社会管理领域,由相应商业机构或社会管理部门对公民实施的生物识别数据收集行为都具有一定意义上的强制性。收集公民生物识别数据的商业机构往往是金融或互联网“巨头”,它们在某一行业中实际上已经具有相当的控制力,因而其相对于公民个人而言具有显著的力量优势,甚至形成了某种意义上类似于政府公权力的“商业权力”或“资本权力”。在面对这样的商业庞然大物提出的唯有提供生物识别数据方可获得其服务的“或接受或离开(Take