总的来说，就当前社会公众高度关注的个人生物识别信息的保护而言，我国《民法典》提供了多重保护方法：一是对于自然人的脸部特征等在一定载体上所反映的特定自然人可以被识别的外部形象，因其属于肖像，故此受到作为人格权的肖像权的保护（第1018条）。任何组织或者个人不得以丑化、污损，或者利用信息技术手段伪造等方式侵害他人的肖像权，未经肖像权人同意，任何组织或者个人不得非法制作、使用、公开肖像权人的肖像（第1019条）。二是如果对自然人人脸等生物识别信息的采集的是偷拍偷录等方式，则该行为构成侵害隐私权。《民法典》第1033条明确禁止任何组织或者个人在未经权利人的明确同意或者法律另有规定的情形下，拍摄、窥视、窃听、公开他人的私密活动，拍摄、窥视他人身体的私密部位，处理他人的私密信息。三是对自然人的声音，明确规定应参照适用肖像权保护的有关规定给予保护（第1023条第2款）。四是对于生物识别信息，如果属于私密信息的，则适用有关隐私权的规定；没有规定的，适用有关个人信息保护的规定（第1034条第3款）。依据《民法典》第1035条和第1036条，任何组织或者个人处理自然人的个人信息，应当遵循合法、正当、必要原则，做到既合法又合理。所谓合法，就是指要征得该自然人或者其监护人同意，同时要公开处理信息的规则，明示处理信息的目的、方式和范围，且不违反法律、行政法规的规定和双方的约定。所谓合理，就是指即便合法处理个人信息的行为也必须是合理实施的行为，符合比例原则的要求。《民法典》第1035条第2款还明确规定了个人信息处理的涵义，即包括个人信息的收集、存储、使用、加工、传输、提供、公开等。
法律应当严格保护个人生物识别信息
虽然个人生物识别信息属于个人信息，但其又具有不同于其他个人信息的特殊之处，这就决定了法律应当更加严格地保护个人生物识别信息。这个特点就是人脸等生物识别信息具有唯一性，无法或很难更改。自然人的姓名、手机号码、邮箱账号、银行账号等个人信息，比较容易进行更改，但是，个人生物识别信息要更改，则非常困难。比如，要改变一个人的脸部特征，就只能进行整容（即便整容，脸部大部分特征仍会被机器识别）。不仅如此，很多生物识别信息如指纹、掌纹、虹膜、基因信息等，则几乎不可能更改。这就意味着，个人生物识别信息一旦被非法收集、泄露或者被非法买卖之后，不仅对于自然人的人身、财产安全会产生很大的威胁或不可预测的损害，而且自然人也无法像修改手机号码、邮箱或银行账号等那样来预防后续损害的发生。因此，个人生物识别信息的泄露和非法买卖所产生的危险是持续、长久、难以消除的。不仅如此，个人的生物识别信息还涉及到国家安全，如果我国公民的个人生物识别信息被大规模收集并提供给敌对势力，势必会对我国的国家安全产生严重的危害。故此，个人生物识别信息即便是被合法收集的，有关组织或个人对之也要采取高度的注意义务加以保管，以防止被泄露或被非法处理，否则，由此造成的恶果不堪设想。
除了唯一性之外，个人生物识别信息中人脸信息还具有一个特殊性，即不需要经过自然人主动配合就可以被收集。人脸之外的其他生物识别信息必须得到自然人的同意并配合才能收集，而在网络上收集个人信息也需要得到自然人的同意。只要自然人不去下载安装相应的软件或给予同意，其个人信息往往就无法被自行收集。故此，对于这些个人信息加以保护的一个重要方法就是，通过确立告知同意规则，要求信息收集者必须得到被收集个人信息的自然人同意，就可以在很大程度上保护个人信息。例如，要求通过APP收集个人信息的网络服务提供者，必须在软件程序中嵌入收集个人信息的告知同意程序，有关监管机构不定期的抽查、测评相应的APP，就能够相当程度上预防个人信息被非法收集，从源头上遏制违法收集、处理个人信息的行为。然而，对于人脸这一生物识别信息的收集而言，遍布大街小巷、商场、银行等机关企事业单位的各式各样、大大小小的摄像头，完全可以不经过自然人的同意对之进行录像拍摄。这种收集还具有极大的隐秘性，自然人可能完全不知道其人脸信息在何时何地被何种主体所收集。现代社会中，一个自然人只要出门，这些信息就可能会被不断地收集。
既然不需要自然人的配合，人脸信息就能够被收集，因此《民法典》《中华人民共和国网络安全法》等法律规定的告知同意原则实际上就无法落实。此时，势必要求法律对于哪些组织或者个人，在哪些场合可以收集人脸等生物识别信息作出明确的规定，并明确禁止任何单位或个人随意收集个人生物识别信息。令人遗憾的是，我国目前并无专门的法律对此作出规定。只有北京、山西等少数地方的政府规章就公共安全图像信息采集的问题作出了规定。例如，北京市人民政府颁布的《北京市公共安全图像信息系统管理办法》规定了党政机关等重要单位，人员聚集的公共场所，重要交通枢纽，重要城市基础设施以及国家法律、法规规定的其他地点和区域等五类单位和区域应当安装公共安全图像信息系统。该办法还规定，设置公共安全图像信息系统，不得侵犯公民个人隐私；对涉及公民个人隐私的图像信息，应当采取保密措施。正是由于缺乏明确的法律规定，实践中各种收集处理人脸等生物识别信息的行为屡见不鲜。例如，有些高校在建设所谓“智慧校园”“智慧课堂”的时候，引入人脸识别、大数据采集，不仅校门、图书馆等安装了新的人脸识别门禁，教室内也装上了用于考勤的人脸识别系统，学生发呆、玩手机都能被感知到。这也引发了不少质疑。
综上所述，在当前我国加强对个人信息保护的背景下，无论从立法、执法还是司法的角度，都应当高度重视对个人生物识别信息的规范与保护。当前我国正在抓紧制定个人信息保护法、数据安全法，故此，非常有必要在这些法律以及将来配套的法规规章中对个人生物识别信息的收集、处理作出非常严格的规范。否则，不仅无法保证数字经济的健康发展，还会对广大人民群众人身、财产安全乃至国家安全产生巨大的危害。
（作者为清华大学法学院副院长、教授、博导，教育部长江学者青年学者）
【注：本文系国家社科基金重大项目“大数据时代个人数据保护与数据权利体系研究”（项目批准号：18ZDA146）的阶段性成果】
责编/于洪清 美编/杨玲玲
声明：本文为人民论坛杂志社原创内容，任何单位或个人转载请回复本微信号获得授权，转载时务必标明来源及作者，否则追究法律责任。
