个人生物识别信息商业化应用规制:路径对比与规则补正.pdf
《个人生物识别信息商业化应用规制:路径对比与规则补正.pdf》由会员分享,可在线阅读,更多相关《个人生物识别信息商业化应用规制:路径对比与规则补正.pdf(10页珍藏版)》请在文库网上搜索。
1、科技与法律(中英文)SCIENCE TECHNOLOGY AND LAW(CHINESE-ENGLISH VERSION)2023年 第5期 总第17期于若兰个人生物识别信息商业化应用规制:路径对比与规则补正于若兰(暨南大学 法学院,广州 510632)摘 要:“私密信息”边界存疑,使个人生物识别信息商业化应用究竟应当以隐私权路径,还是个人信息保护路径进行规制产生了争议。对比两条路径的规则文本、现实实践,隐私权路径信息性质不确定性强、事后控制为主、风险扑朔等特点碍于商业创新,而个人信息保护路径特点相反,利于在保护个体信息权益时,为商业应用提供稳定的风险预判。但现有个人信息保护规则在面对具体类别
2、个人生物识别信息时,规则似为原则。对此,应当嵌入场景理论以细化规则,从场景划分、“技术嵌入”、程序规则三个层次梳理嵌入逻辑,并通过场景化“信息自决权”、信息处理者义务、侵权救济等规则,补正个人信息保护路径中具体规则之阙谬,实现个体控制价值与商业流动价值间的平衡。关键词:个人生物识别信息;个人信息保护;隐私权;场景化;商业化中图分类号:D 913 文献标志码:A 文章编号:20969783(2023)05012810一、问题的提出党的二十大强调“加快发展数字经济,促进数字经济和实体经济深度融合”,以实体经济为根基,促进“数实融合”,将是当前以及今后经济发展的重要任务。在“数实融合”过程中,人体指
3、纹、掌纹、面容、虹膜、基因等个人生物识别信息常作为实体与虚拟间的“密钥”,应用在主体识别、物联网等场景中。有数据测算,目前个人生物识别信息商业应用处于高速发展期,中国生物识别产业市场将保持18.5%的年复合增长率,2025年市场规模将达930.5亿元1。商业化应用高速扩张必然伴随着风险扩张,在采集、储存、传输愈发便利的同时,信息采集未授权、储存高风险、传输不透明、处理不合规等问题也越为凸显。例如,众多售楼处未经客户授权,却直接拍摄客户形象识别客户身份,用作中介佣金分配依据2-3;家用智能锁等物联网设备使用日益普遍,却大多缺乏专用安全储存设计,所储存指纹信息甚至可通过Wi-Fi被窃取4;声纹合成
4、、人脸合成等深度合成技术在为用户带来新奇娱乐体验的同时,却隐含着声纹信息、面部信息被第三方私自合成用作他途的风险;基因识别用于为主体预测患病风险以达到“早知早治”目的时,却可能被用人单位作为员工筛选条件,造成就业歧视5。而且,相比于一般个人信息,个人生物识别信息因其唯一性与难以变更性,可牵引出更多其他隐秘信息,被滥用后,无论是对财产、人身,还是对伦理、尊严都有着难以量化的、隐秘且长远的风险。但是,存在风险不能等同于屏蔽应用。个人信息的保护取决于在信息保护与信息流动这两种利益之间如何实现恰当的平衡6。当前对个人生物识别信息的保护主要依据 中华人民共和国民法典(以下简称 民法典)与 中华人民共和国
5、个人信息保护法(以下简称 个人信息保护法),可二者在应用过程中却存在张力与背驰。民法典“隐私权与个人信息保护”专章确立了我国“隐私权”与“个人信息保护”平行的二元法律架构,其第一千零三十二条中“隐私是私密信息”与第一千零三十四条中“个人信息中的私密信息,适用有关隐私权的规定”的表述,又使隐私与个人信息之间出现了“私密信息”这一交叉区域。然而,个人信息保护法 中并未回应何种类别信息属于“私密信息”,更未回应个人生物识别信息是否属于“私密信息”。由此,有学者认为应当将个人生物识别信息认定为敏感信息,以个人信息保护路径来规制7;也有学者认为应当进一步将其确认为“私密信息”,以 民法典 隐私权路径进行
6、规制8-9。因而,横基金项目:国家重点研发计划重点专项“跨部门跨地域社会信用治理关键技术研究与应用示范”(2022YFC3303200)作者简介:于若兰(1995),女,山西大同人,博士研究生,研究方向:个人信息保护,商法。DOI:10.19685/112922/n.2023.05.013-128个人生物识别信息商业化应用规制:路径对比与规则补正于若兰贯在个人生物识别信息商业化应用规制路径中的首要问题是:个人生物识别信息究竟应当归属于私密信息踏入隐私权路径,还是仅作为个人信息遵循“特定目的+充分必要”条款走个人信息保护路径?在这种争论之上,同时需要注意的是,个人生物识别信息本身类别丰富、应用场
7、景复杂,且难以变更,有着比普通敏感信息更高的风险性,当前两条路径对该等特点的回应是匮乏的。如此,对于个人生物识别信息商业应用的规制,需要逐步分解:个人生物识别信息究竟属性如何,是否切实具有区别于现有路径的独特规制需求,如何在信息主体、信息处理者的权利义务框架中修正规则以回应规制需求?二、规制路径:隐私权抑或个人信息保护?(一)文本层面:信息性质客观性存在差异个人信息保护路径相对于隐私权路径,更注重信息处理者与自然人在信息处理能力上的实质不对等,且权利保护范围更确定、广泛。具体而言,隐私权的核心关切是私密性与公开性的关系,而个人信息权益的核心关切是个人信息保护与社会利用。隐私权规则属于纯粹私法规
8、则,保护框架为侵权责任进路,规则设定视角为平等民事主体之间,主体实质能力平等与否在所不论;个人信息保护中有大量公法性质规则,其以信息处理方与自然人之间在信息处理能力上的实质不对等为规则构建原点,规则设定侧重事先调整,通过为个人信息处理行为设定合目的性、必要性等事先限制,来控制好个人信息处理这一“闸口”,以弥补不对等所隐含的巨大风险。回归至个人生物识别信息,若以隐私权路径规制之,会面临两方面诘难:一是某信息是否为隐私属于主观判断范畴,而信息是否为个人生物识别信息实为客观标准,属事实判断,也即个人生物识别信息被侵害后,能否以隐私权主张之,还需法官在案件中予以自由裁量;二是隐私权客体是处于私密状态中
9、的信息,可个人生物识别信息中的人脸、步态、声纹等日常暴露在外,难言私密性。但若以个人信息保护路径规制之,即便人脸、步态、声纹等长期暴露,个人生物识别信息必须经过“技术处理”这一客观过程是无法更改的,也即信息处理者未经法定程序收集、利用该等信息时,行为一经形成便具备了可诉性。因而,个人信息保护路径对个人生物识别信息的保护更为确定、广泛。(二)实践层面:信息流动价值及风险发生存在差异隐私权路径相对于个人信息保护路径,有如下三方面的劣势:一是隐私权以“事后控制”为主,隐私性质的判断高度依赖于裁判者认知,此时,再叠加个人尊严利益的开放性与抽象性,会使企业权衡信息主体控制价值与信息流动价值时陷于高度的合
10、规不确定性中,难以预判商业模式的风险,降低商业应用创新之欲望10。相对而言,个人信息保护一般为“事前控制”,企业在进行商业化应用时只要符合法律规定的告知、知情同意、安全保障等义务,行为后果便具有较高的风险可预判性。二是个人信息保护路径侧重于信息积极控制,隐私权路径则以消极防御为重心11。对于个人生物识别信息这种高敏感性高风险性的信息,若仅以消极防御为主,缺乏对风险预判、风险隔离等控制性权利的配置,会增加信息主体遭遇风险的可能性。三是作为具体人格权的隐私权受到侵害时,主要救济为精神损害赔偿,若应用至个人生物识别信息场景中,个人生物识别信息不正当处理所引发的或者可能引发的财产性损失将难以得到补偿。
11、(三)个人信息保护路径的相对适当性与阙谬规则设定一方面应当保障个人尊严与自由,另一方面也应当权衡人类发展利益与个人权利保障的边界。当前,生物识别产业市场依然处于生长阶段,对生物识别产业规范化引导比封锁更利于探索人类生活新方式、拓展人类生活新空间。两条路径相较,个人信息保护路径因注重信息相关主体力量对比、更侧重“事前控制”的特点,将比隐私权路径更适宜在保护个人权利的同时激励信息技术发展。然而,个人信息保护路径亦有其适用困境。当前,个人信息保护法 采用统一立法模式,将所有个人信息处理商业化行为均纳入管辖范围,且兼具公法与私法属性,既包括国家对信息处理者的监管规制,也包括个体与商业化信息处理者之间的
12、民事关系调整,也因此 个人信息保护法 整部法律74个条文在-129科技与法律(中英文)SCIENCE TECHNOLOGY AND LAW(CHINESE-ENGLISH VERSION)2023年 第5期 总第17期规则与原则的“比重”分配上,体现出了更强的“非纯粹规则性”12。尽管第二章至第四章均以“规则”命名,但因信息分类具体化不足,很多类别的信息难寻安身之处,“规则”在具体适用时又成为“原则”。个人生物识别信息在 个人信息保护法 中亦未进行具体区分,面部识别特征、虹膜、指纹、基因、声纹等均作为敏感个人信息适用同样的规则。事实上,不同个人生物识别信息商业化应用所隐含的风险并不一致,例如,
13、商业保险中收集面部信息与收集基因信息会产生不同的结果,面部信息多被用来核实被保险人身份,但基因信息却可能被用来检测被保险人健康信息、疾病信息,使被保险人陷入基因歧视13。虽然以个人信息保护路径出发强调“事前控制”利于在自然人个体与商业组织之间寻求到平衡点,推动商业化发展进程,但“事前控制”的有效性依赖于规则构建的完善性,规则体系不进一步分层化、具体化,反而会纵容商业组织发展出严重悖于个体人格利益的商业模式。三、嵌入场景理论支撑个人信息保护路径对于 个人信息保护法 内容层次、类别划分过于原则化,难以兼顾各类具体风险的问题,场景理论可作为有效补充,为规制个人生物识别信息商业化应用提供更为明确的规则
14、指引。(一)场景理论的基本逻辑场景理论由美国学者 Helen Nissenbaum(2004)提出,其反对将信息简单“公私二分”,倡导以“场景完整性(Contextual Integrity)”来对信息内涵与边界进行动态控制,核心原则是个人信息收集、流转应当与具体场景相契合,即当某一信息从一个信息处理者流向其他信息处理者时,信息所处场景变化,信息风险随之变化,规制需求也产生变化,所以信息收集时的场景应当得到尊重,后续信息传播与利用不得超出该场景14。Nissenbaum的场景理论提出后,成为数据、信息、隐私保护领域的重要观点。我国学者就个人信息与“场景”之间的关系也展开了广泛讨论,凸显不同场景
15、下信息流转对规则需求的差异15-23。关于信息性质界定,依据场景理论,应当摆脱“全有或全无”的思路,根据信息处理行为所处场景,对该场景中各类元素,尤其是信息主体身份、信息处理者身份、处理目的、处理情景、处理后果等进行综合评价22。关于信息传输规则,一般个人信息可采用“相对同意”之方式,但对于个人生物识别信息、儿童个人信息等敏感信息,必须坚持“绝对同意”为前提20。关于权利救济,个人信息权益是否被侵犯需要在具体场景中加以确定,个人信息保护应当考虑场景、行为人、信息类型、传输原则等不同要素,针对不同场景适用不同规则16。场景理论在立法中也得到诸多认可,如美国 消费者隐私权利法案(2015)(Con
16、sumer Privacy Bill of Rights Act of 2015,CPBR)提出“尊重场景原则”,要求企业收集、使用和披露个人信息的场景应当与向消费者收集数据时场景相一致;欧盟 一般数据保护条例(General Data Protection Regulation,GDPR)规定信息处理必须限定在与初始收集目的一致的范围内,关于信息进一步处理是否与初始目的相一致,需考虑数据收集时的场景,尤其是信息主体与信息控制者之间的关系;我国 个人信息保护法 中亦有类似“尊重场景原则”之条款,第十四条规定当个人信息处理目的、处理方式和处理种类发生变更时,应当重新取得个人同意。可见,立法中“尊
17、重场景原则”着重体现在对信息主体“合理预期”的尊重上,无论是“信息进一步处理是否与初始目的相一致”,还是“信息处理方式发生变更时应当重新取得个人同意”,都以信息处理突破原始场景有可能违背用户“合理预期”为逻辑起点。因而,对于个人生物识别信息商业化应用规制路径中的场景理论可作如下理解:根据个人生物识别信息应用场景中所体现出的信息技术特征、信息性质、信息风险,结合信息主体的“合理预期”,采取契合场景的、具有针对性的法律规制手段,并要求信息处理者对个人生物识别信息的应用不得超过“合理预期”。应当明确,场景理论并非指仅依据场景来匹配侵权的事后救济方式,更强调围绕对场景的尊重,事先制定 “绝对同意”是指
18、要求一切个人或组织在处理个人信息之前须征得信息主体明确的知情同意,否则信息主体有权反对和采取必要措施对抗未经同意的信息处理行为。“相对同意”则为不反对即同意。相关论述可参见赵龙:个人信息权法益确证及其场景化实践规则,载 北京理工大学学报(社会科学版),2021年第5期。-130个人生物识别信息商业化应用规制:路径对比与规则补正于若兰出不同场景下具体化的特殊规则。(二)场景理论嵌入个人信息保护路径的策略个人信息保护路径对于个人生物识别信息的规制缺憾,主要在于将面部识别特征、虹膜、指纹、基因、声纹等均作为敏感个人信息适用同样的规则,个人信息保护法 中名为“规则”的内容在具体适用时沦为“原则”。将场
19、景理论嵌入进个人信息保护路径,就是将场景理论嵌入个人信息保护以“事前控制”为主,兼具公法规则与私法规则的规制路径中。关于场景理论嵌入个人信息保护路径的策略,结合场景理论基本框架,可从以下三个层次的逻辑递进中进行建构。第一,以个人生物识别信息的类别及应用阶段来划分“场景”。合理划分场景对于法律规则场景化制定具有基础性意义。关于场景划分方法,学术界与实务界有多种观点。场景理论创始人Nissenbaum提出了四种分类方式:以技术平台或系统划分场景;以行业划分场景;以商业模式划分场景;以社会领域划分场景,并认为以社会领域划分场景在政策制定领域有着更为积极的作用24。我国有学者从行业领域视角区分出电子商
20、务、智慧政务、自动驾驶、精准医疗等场景18。亦有学者认为应当依据信息来源、参与主体和传输原则的不同,将场景区分为单一场景与复合场景23。在现有技术标准中,则主要以技术类别及信息处理阶段为场景划分标准,如现行国家标准分别发布了指纹、人脸识别、虹膜、声纹、指静脉、基因等信息技术标准,又在每类标准中依据信息处理阶段区分采集、比对、存储等场景。以上分类方式均有其合理之处,但对于个人生物识别信息来讲,其敏感性与危险性主要体现在信息类别上,如指纹、声纹信息很难关联到就业歧视,基因信息、面部信息却很可能使信息主体被拒于就业机会之外。这种因类别而产生的差异自然需要差异性的规则。若以商业模式或行业领域来划分,区
21、分为电子商务、自动驾驶、精准医疗等,一方面很难兼顾不同类别信息的风险差异,如将类别场景与之相乘,易使规则因复杂性高而产生规则混乱,另一方面也会因数据时代新型商业模式层出不穷而陷入规则永远滞后的问题中。因而,此时相对于外延不确定的划分模式,个人生物识别信息的类型更具有稳定性,采用类似国家技术标准以“信息的类别及应用阶段”来划分场景的方式更为合理。第二,通过“技术嵌入”将场景化的信息处理者义务内化为商业应用逻辑。个人生物识别信息在收集、储存、利用阶段风险存在差异,依据场景理论,应当为信息处理者配置场景化的义务。但多元场景与相应规则相乘,无疑会产生大量相似却又不同的规则,如此,仅文本披露便有着高度复
22、杂性,会大量增加信息处理者学习成本,也会增加规则适用错误的风险。通过技术方式将场景化规则在信息系统设计、开发时嵌入系统结构中,是解决复杂法律规则难以让人知晓、理解和执行的有效措施。这种嵌入可以有两方面的体现:一是类似隐私保护设计(Privacy by design,PbD)技术,在产品开发时,适配产品应用场景将个人生物识别信息保护规则嵌入进产品全生命周期的业务流程及基础架构中,以便该产品自动执行相应的信息保护义务。二是在商业网络平台上嵌入各类“合规提示”,因为互联网平台上进行的各类互动行为都可以被识别、记录与分析,此时法律规则可以通过可计算的法律系统自动适用于这些具体的业务场景25。第三,完善
23、程序性规则以防止场景理论将个人生物识别信息带入法律适用的不确定性与恣意性窠臼之中。以个人信息保护路径为基础路径的重要缘由之一是该路径具有较强的可预见性,利于商业主体预测行为风险,激励商业模式与技术的创新。但场景理论基于信息处理具体场景进行综合判断的特征,可能使得个人信息权益在救济阶段落入法律适用的高度不确定性之中。因而,为了避免场景理论引发恣意性质疑,场景化应当建立在明确的程序规则基础上,一方面,当事先制定出的不同场景下具体化特殊规则已经较为完备时,应当明确若商业主体可证明信息处理行为合规,便认可其处理行为的合法性;另一方面,应当制定适应个人生物识别信息场景中个人与企业实 GB/T 37036
24、.22019信息技术 移动设备生物特征识别 第2部分:指纹;GB/T 37036.32019信息技术 移动设备生物特征识别 第3部分:人脸;GB/T 37036.42021信息技术 移动设备生物特征识别 第4部分:虹膜;20201566-T-469 信息技术 移动设备生物特征识别 第5部分:声纹;GB/T 37036.62022信息技术 移动设备生物特征识别 第6部分:指静脉;GB/T 418062022信息安全技术 基因识别数据安全要求 等。-131科技与法律(中英文)SCIENCE TECHNOLOGY AND LAW(CHINESE-ENGLISH VERSION)2023年 第5期 总
25、第17期质不平等的证明规则,且针对个人生物识别信息高风险性厘清纠纷当事人的证明标准。四、个人生物识别信息商业化应用规制规则补正为使以场景理论完善个人信息保护路径的策略落实于具体规则,下文从信息主体权利、信息处理者义务、信息纠纷解决三个向度进行分解,以期得到更具实践性的个人生物识别信息商业化应用规则。(一)强化个人生物识别信息主体“信息自决权”信息自决权在我国学术界得到众多肯定,认为信息自决乃是个人信息权益的本质。但亦招致不少反对,有学者认为如此无异于保护一种漫无边际的自由意志,忽视了个人社会活动开展所依赖的信息交流前提,其产生的效果不仅是个体对个人信息的支配,更相当于是对他人行为的支配26;或
- 配套讲稿:
如PPT文件的首页显示word图标,表示该PPT已包含配套word讲稿。双击word图标可打开word文档。
- 特殊限制:
部分文档作品中含有的国旗、国徽等图片,仅作为作品整体效果示例展示,禁止商用。设计者仅对作品中独创性部分享有著作权。
- 关 键 词:
- 个人 生物 识别 信息 商业化 应用 规制 路径 对比 规则 补正