查找:                      转第 显示法宝之窗 隐藏相关资料 下载下载 收藏收藏 打印打印 转发转发 小字 小字 大字 大字
【期刊名称】 《华东政法大学学报》
个人生物识别信息的法律保护模式与中国选择
【作者】 付微明【作者单位】 中国政法大学刑事司法学院{博士研究生}
【分类】 科技法学
【中文关键词】 生物识别信息;身份识别;信息保护立法模式;法律保护机制
【期刊年份】 2019年【期号】 6
【页码】 78
【摘要】

生物识别产生的“生物识别信息”可作为识别个人的“唯一标识”,是确认个人身份的新型方法。而生物识别技术应用一旦失控,则可能威胁个人权利、自由、安全。因此,亟需在保障个人权利与技术进步、经济发展、数字化管理相互平衡的原则下,采取积极可靠的保护策略。目前世界范围内的个人生物识别信息法律保护存在着“两种立法模式”和“三大机制”,我国的个人生物识别信息保护宜采取专门立法保护模式,积极构建行政、民事、刑事相结合的法律保护机制,从而为个人生物识别信息权利提供有效的法治化保护。

【全文】法宝引证码CLI.A.1282672    
  
  

目次

一、个人生物识别信息法律保护的两种立法模式

二、个人生物识别信息法律保护的三大机制

三、我国个人生物识别信息法律保护的路径与对策

四、结语

“生物识别”是个人身份识别的新方法,相较姓名、身份证等传统方式,具有方便、快捷、高效、准确等优势;“生物识别信息”是个人数字身份的重要组成部分,与个人权利密切相关。在生物识别技术带来极大便捷的同时,滥用个人生物识别技术的事件频频发生,个人生物识别信息权利受侵害的现象也广泛存在。因此,世界各国纷纷加快保护个人生物识别信息立法的步伐,个人生物识别信息保护的法治化正在成为个人信息法律保护的新趋势。对这一问题进行理论探讨,也显得重要而紧迫。

一、个人生物识别信息法律保护的两种立法模式

目前各国主要有两种立法模式:一种是专门立法保护模式,一种是综合立法保护模式。它们展现出在立法背景、立法目的、法律规则、保护机制等方面的复杂动因和不同设计。

(一)专门立法保护模式

通过专项立法对个人生物识别信息权利进行法律保护的模式,以美国一些州的生物识别信息隐私法案为典型。这一立法模式的出现,与美国特有的政治体制、立法传统、法律体系、隐私权观念以及本世纪以来生物识别技术在美国的迅速发展有关。

隐私权在美国是一项基本而重要的权利。[1]本世纪初,生物识别技术在美国开始规模化应用于反恐、国家安全和刑事侦查等领域。2006年起,生物识别技术进一步民用化,2008年,一些公司以芝加哥、伊利诺伊州为试点推进生物识别技术的商用化,同年,伊利诺伊州议会通过《生物识别信息隐私法案》。2019年,美国出台一系列法案,包括佛罗里达州的《生物识别信息隐私法案》,要求企业在使用生物识别信息时获得数据主体的同意,并妥善保存该类数据;华盛顿州的《华盛顿隐私法案》,其中有限制公司和执法机构使用面部识别技术的规定;联邦参议院提出的《商业面部识别隐私法案》,规定未经用户明示同意,使用面部识别技术的商业公司不得收集或共享用户的面部识别信息;[2]加利福尼亚州旧金山市颁布的禁止在公共场所使用人脸识别软件的法令;[3]以及马萨诸塞州萨默维尔市颁布的《暂停面部识别或其它远程生物识别监控系统的法案》。[4]

伊利诺伊州《生物识别信息隐私法案》(BIPA)[5]是专门立法保护的典型,其基本框架由立法宗旨,立法目的,法律概念,生物识别信息主体和“私人实体”之间的权利义务关系,司法救济方式与救济途径,监管机构的组织、职能、权力等部分组成。BIPA对立法宗旨与目的的阐述表明,通过专门立法规范“私人实体”对个人生物识别信息的处理行为,是因为并不能完全预测生物识别技术的应用可能带来的后果,而生物识别信息作为唯一身份识别标识,一旦泄露,身份盗窃的风险更高,个人难以追索,并且可能被迫退出由生物识别促成的交易,因此需要通过立法规范“私人实体”对个人生物识别信息的收集、使用、保管、处理、储存、披露和销毁行为,保护个人权利,促进公共福利和安全。BIPA的基本内容包括:

第一,五大专属法律概念。“生物标识”(Biometric Identifier)指视网膜或虹膜扫描,指纹,声纹,或手或脸的几何扫描;“生物识别信息”(Biometric Information)指基于个人生物标识而生成的任何信息,无论其如何被取得、转换、存储或共享“;私人实体”(Private Entity)指任何个人、合伙企业、公司、有限责任公司、协会或其他组织,不包括政府机构和司法机关及其职务人员;“机密敏感信息”(Confidential and sensitive information)指可用于唯一标识个人或个人的账户或财产的信息“;书面发布”(Written Release)指知情的书面同意书,或在雇佣的情况下由雇员执行的作为雇佣条件的同意书。这些概念明确了法律意义上的生物识别信息必须经过特定的技术处理才能生成,明确了国家机关、公共机关之外的“私人实体”与生物识别信息主体之间的权利义务关系;明确了生物识别信息作为可以“唯一标识”个人的机密敏感信息,与个人身份、财产具有密切关系,需要得到特别的法律保护;明确了民用、商用中保护个人生物识别信息的基本点在于充分尊重信息主体的信息“自决权”,“书面同意”意味着信息主体对生物识别信息的使用具有选择权、拒绝权等基本问题。

第二,三大相对权责。根据BIPA, “生物识别信息主体”(Information Subject)即接受生物识别信息处理的自然人,“生物识别数据处理”即数据控制方、管理方对个人生物识别数据的采集、储存、使用、保管、披露、传输以及销毁等行为。该法赋予生物识别信息主体以知情权、同意权、信息自决权三大权利;要求“私人实体”履行告知通知义务、安全保障义务、合法合规处理三大义务和责任。其主要原因,一是生物识别信息的处理必须通过一系列自动化的计算机程序,而一般个人信息的处理并不必须通过这种程序;二是生物识别信息属个人机密敏感信息,与一般个人信息的用途不同,还与个人身份、账户或财产安全紧密关联。因此,BIPA原则上禁止任何“私人实体”采集、存储、使用个人生物识别信息,同时通过强化信息主体的知情权、同意权,充分保障信息主体的信息自决权,强化“私人实体”的告知义务、安全保障义务、合法合规处理义务等方式实现社会经济利益与个人权利之间的平衡。

第三,三大禁止规范和三个豁免条款。三大禁止规范即:禁止购买、通过贸易接收、出售、租赁、交易个人生物标识或信息;禁止从个人或客户的生物标识或信息中获利;禁止未经生物识别信息主体同意而收集、储存、使用、披露或以其它方式传播个人或客户的生物标识或信息。三个豁免条款即可以披露个人生物识别信息的三种法定必需条件:经生物识别信息主体或主体合法授权的代表请求或授权的金融交易的披露或再披露;州或联邦法律或市政条例要求披露或重新披露;根据有管辖权的法院签发的有效的令状或传票的披露或再披露。这些禁止与豁免条款体现了信息自决、个人利益与公共利益、法定必需的相互平衡。土豪我们做朋友好不好

第四,私人诉讼权、诉讼管辖及违约赔偿标准。BIPA所规定的权利救济形式为违约赔偿的民事诉讼救济,任何个人可向州巡回法庭或联邦地区法院提出损害赔偿诉讼;赔偿标准为最低1000美元,最高5000美元,诉讼费用由违约一方承担;以及禁制令等其它救济措施。

第五,监管机构及其职能。BIPA规定设置“生物识别信息隐私调查委员会”作为监管机构。委员会的职责包括调查州和地方保护个人生物识别信息的原则、程序、惯例;防止政府机构要求将个人生物识别信息提供给国家官员或机构时未经授权的披露;检查生物标识或生物识别信息的收藏、销毁相关的问题,以及生物识别技术后果和安全性相关的问题;检查由州和地方政府为统一生物识别保障措施而执行和合理执行的必需的技术和程序的变更。

由此可见,专门保护模式具有特定的立法宗旨,专属的法律概念,清晰的权利义务相对方,明确的保护规则以及解决具体问题的特定方法,针对性和操作性较强。

(二)综合立法保护模式

综合立法保护模式,是将不同种类、级别、性质的个人信息纳入统一的个人信息保护法之下,将行政、民事以及刑事法律的保护措施集为一法的立法模式。

20世纪70至90年代,欧洲国家普遍呈现出强化公共部门行政职权的趋势,出于对公共机关使用数字化手段处理个人信息可能侵犯个人隐私和人权等问题的担忧,以及对保障人权与保证数据自由流动以维护欧洲共同体的经济发展和社会利益之间的平衡的考量,欧盟出台了保护个人信息的共同协定,欧洲各国纷纷制定个人数据保护法,形成欧盟成员国个人信息法律保护的两层法律结构。亚洲国家对个人信息的立法保护起步较晚,大多借鉴欧盟立法。

2018年,欧盟《一般数据保护条例》(GDPR)生效,英国通过在GDPR的基础上修订的《数据保护法案》;日本修订《个人信息保护法》;印度公布《个人数据保护法(草案)》。这些立法在具体的结构和内容上虽存在较大差异,但在法律保护模式上具有共同性,表现为以下四点。

第一,明确“生物识别信息”的法律属性、功能、作用及特定生成过程。以上立法均以“已识别”和“可识别”定义“个人数据”,但又在传统的个人数据之外,加入身体、生理、物理、定位数据、在线身份识别数据等新型数据。[6]同时,专款定义“生物识别数据”,阐明“生物识别数据”可单独用于确认个人身份,必须通过计算机自动化程序的特定技术处理,对个人的身体、生理或行为特征进行扫描、计算才能形成,是“确认该个人的身份”或“使该个人身份得以确认”的“唯一标识”等法律内涵。[7]由此明确“生物识别数据”的法律属性、功能、作用及特定生成过程。

第二,明确“生物识别数据”属于“特殊敏感类数据”。在欧美国家的个人信息保护理论及保护法律中,早有基于敏感度对个人信息进行分级。欧盟保护个人数据的“108协定”、95/46/EC以及匈牙利、冰岛、保加利亚、德国的个人数据保护法中均明确禁止对特殊敏感类数据的处理。“个人数据的特殊敏感类型”通常包括个人的种族和民族起源、政治观点、宗教或哲学信仰、工会会员身份、健康或性生活以及刑事定罪等信息,属于个人隐私中最私密的部分,因此成为各国个人信息保护法重点关切的内容。欧盟GDPR及英国、日本的个人信息保护法均将“生物识别数据”列入“特殊种类的个人数据”,原则上禁止对“仅以识别自然人为目的”的生物识别数据进行处理。印度2018年《个人数据保护法(草案)》甚至专章对个人敏感类数据处理作出规定,对个人“生物识别数据”的处理适用“特殊种类的个人数据处理”标准,明确个人生物识别信息保护对个人隐私、权利、自由、安全的重要意义。

第三,明确“禁止处理”“明示同意”“法定必需”三大特定法律原则。综合立法模式的个人信息保护法以上述三大原则为个人特殊敏感类型数据处理的特定法律原则,由于个人“生物识别数据”被列入特殊敏感类型数据,因此这些特定法律原则也成为“生物识别数据”法律保护的原则。“禁止处理”即包括自然人、法人、公共机构、行政机关或其他非法人组织在内的“控制者”“处理人”“第三方”在通常情况下无权“仅以识别自然人为目的”处理个人生物识别信息;“明示同意”即经信息主体明确表示同意,上述“控制者”“处理人”等方可在法定的范围内处理个人生物识别数据;“法定必需”即可以不经生物识别信息主体同意而处理其生物识别信息的法定事由,通常包括为工作职责、社会重大利益、公共利益的必需,为法律原因的必需,为数据主体和第三人的重大利益的必需和特定协会、组织、非营利组织内部在适当的安全保障措施之下进行的数据处理。[8]特定法律原则的设立,体现了个人生物识别信息权利法律保护与数据自由流动对于保证经济和社会进步的作用的相互平衡。

第四,个人生物识别信息法律保护的一般法律原则及权利义务规定。欧亚各国最新个人信息保护法规,普遍将合法、公平、透明、目的限制、数据最小化、精确、存储限制、完整性、机密性、安全性、问责制规定为个人信息法律保护的基本原则。随着个人生物识别信息保护的入法,这些原则也成为个人生物识别信息保护的一般法律原则。欧盟条例及欧亚各国最新个人信息保护法通常规定了信息主体的同意权、知情权、访问权、自决权、拒绝权、获取权、修改权、删除权、数据可移植权等“个人数据保护权”,与之相对应的是数据控制者、管理者、处理者的告知、通知义务,对个人访问、自决、获取、修改、删除(遗忘)、移植数据权利的请求的积极回应义务,在法定期限内履行义务以及安全、保密等责任。个人生物识别信息保护的法律化,意味着以上权利义务的一般规定,同样适用于对个人生物识别信息权利的法律保护。但上述权利义务的规定并不是绝对的,在尊重基本权利、自由的同时,出于国家安全、防卫、刑事犯罪调查、公共利益、司法、财政利益等需要,对以上个人权利的行使或信息控制者、处理者对义务的履行,通常另立法律条款或设置附则加以限定,条款复杂,这些限定性条款同样适用于个人生物识别信息处理的权利义务关系。[9]

(三)两种立法保护模式的比较

两种立法保护模式在立法背景、思想基础、法律定义、特别保护原则等方面存在一定的共同点,在保护重点、保护方法、保护措施、保护效果方面存在一定的差异。

第一,两种模式的立法背景均是因为生物识别技术的快速发展所带来的对个人身份的新型识别方式,及以生物识别信息为主要内容的个人数字身份与个人权利、自由、身份安全的重大关联性的考虑;均明确了生物识别信息作为“确认”或“使个人身份得到确认”的“唯一标识”的法律属性及经特定技术处理的生成过程;均明确生物识别信息作为个人特殊敏感种类信息的法定层级及生物识别信息保护的“禁止处理”“明示同意”“法定必需”三大特别原则。由此可见世界范围内对个人生物识别信息之于个人权利、自由、安全的独特地位及保障个人生物识别信息权利的立法价值的共同认识。

第二,专门模式立法侧重对特定信息处理者的法律规制,明确信息主体与私人实体之间特定的权利义务关系及法律所保护的主要权利;专门立法模式有专门的法律概念群及对概念内涵的详细阐释、分解以及对特定主体,特定保护原则和限定条款与保护措施的规定等,都为综合立法保护模式所不具备。但专项立法保护模式在保护方法、保护措施上较为单一,如美国BIPA多以民事违约赔偿以及民事诉讼救济为保护方法及措施,具有一定的局限性。而欧亚综合模式的保护立法以行政法律保护方法与保护措施为主,同时结合民事诉讼救济以及刑事罪行与罚则规定,方法、措施更为全面。从保护效果而言,专门立法针对性较强,诉讼保护更为方便;综合立法保护层级清晰,具有系统化的保护效果。

总之,对个人生物识别信息的法律保护选择何种模式是由诸多复杂因素所决定的。在国家层面的个人信息保护法律体系尚未全面而完整建立的情况下,为解决个人生物识别信息处理的合法性、合规性问题,为保护个人相关权利,宜采取专门立法保护模式;而在国家层面的个人信息保护法律体系已经建立并较为完备的情况下,宜将对个人生物识别信息的法律保护作为个人信息法律保护的一个分支。长远来看,无论专门性的个人生物识别信息保护立法或综合性的个人信息保护立法,在保护个人生物识别信息的法律原则、权责规定、禁止性和限定性规范以及保护机制上都将趋向一致。

二、个人生物识别信息法律保护的三大机制

现有两种立法保护模式所构建的法律保护机制,可归纳为行政法律保护、民事法律保护及刑事法律保护三种。目前,对个人生物识别信息的法律保护主要由此三大机制共同构成。

(一)个人生物识别信息的行政法律保护机制

个人生物识别信息的行政法律保护机制,即通过法定的行政指导、行政监管、行政控诉以及行政诉讼等方式,规制信息控制者、管理者、处理者对个人信息的处理行为,保护信息处理关系中各方当事人的权利,进而保证在合法、公平、透明、目的限制、数据最小化、精确、存储限制、完整性、机密性、安全性等法律原则下合法合规处理个人生物识别信息。

第一,设立独立的数据保护行政监管机构,明确监管机构的法定职责与权限。欧盟协定、指南、条例及欧亚各国个人信息保护法和美国个人生物识别信息隐私法案,均普遍规定设置个人数据或个人生物识别数据保护的行政监管机构,明确监管机构的名称、组织、工作原则、职能、权限。监管机构一般具有法定的审查、许可、检查、调查、通知、指示、命令等职权;有责任接受数据主体对数据处理违法行为的投诉并处理投诉。

第二,明确监管机构对个人生物识别信息处理行为的监管重心以及监管要素。随着生物识别技术的广泛应用,对生物识别数据处理的行政监管已经成为当务之急。依据数据保护工作组(Data Protection Working Party)于2003年提出的工作意见,在收集个人生物识别数据时,不仅需要确定目标,还需要从保护个人基本权利和自由的角度考虑生物识别数据处理的适当性和法律基础,尤其是能否以一种侵入性较小的方式达到目的;尽可能地避免不必要的生物识别信息存储或集中存储;生物识别数据只能在充分、相关、且不过度的情况下使用。一些国家制定关于生物识别数据处理的行政监管标准,可以为生物识别数据处理指明方向,使得生物识别信息处理有法可依。例如,挪威的“数据检查员”以及数据保护法庭(PVN)在对Tasvaer Municipality、Esso Norge、

  ······谁敢欺负我的人

法宝用户,请登录后查看全部内容。
还不是用户?点击单篇购买;单位用户可在线填写“申请试用表”申请试用或直接致电400-810-8266成为法宝付费用户。
【注释】                                                                                                     
©北大法宝:(www.pkulaw.cn)专业提供法律信息、法学知识和法律软件领域各类解决方案。北大法宝为您提供丰富的参考资料,正式引用法规条文时请与标准文本核对
欢迎查看所有产品和服务。法宝快讯:如何快速找到您需要的检索结果?    法宝V5有何新特色?
扫码阅读
本篇【法宝引证码CLI.A.1282672      关注法宝动态:  

法宝联想
【相似文献】
【作者其他文献】

热门视频更多