【摘要】個人生物識別信息包括自然人的身體、生理及行為特征三個層面，直接反映自然人獨一無二與不可替代性的身體本質特征，具有唯一性、不可替代性以及損害后果的不可補救性。個人生物識別信息的收集和利用可以分為基于公共利益目的與非基于公共利益目的兩種類型，前者限于政府機關或授權機構，后者主要是商業公司及特定機構。在《中華人民共和國民法典》實施的背景之下，應盡快完善個人生物識別信息的管理、規制及法律救濟，以促進和完善個人生物識別信息的保護。
【關鍵詞】個人生物識別信息 個人信息 民法典 【中圖分類號】D92 【文獻標識碼】A
近年發生在浙江省杭州市的“人臉識別第一案”成為輿論關注的焦點。浙江某大學教授因為不滿進動物園也要“刷臉”，將“杭州野生動物世界”告上法庭。該案引發人們從法律層面思考個人生物識別信息的保護和監管問題。
個人生物識別信息是指通過運用科學技術手段對人的身體特征進行數字化處理后得到的信息。我國《信息安全技術 個人信息安全規范》規定的個人生物識別信息包括自然人的身體、生理特征的相關信息，如指紋、聲紋、掌紋、耳廓、虹膜、面部特征、個人基因等。個人生物識別信息是現代科技的產物，其已成為大數據時代個人身份信息的新形態。隨著人工智能、區塊鏈等技術和相關產業的飛速發展，個人生物識別信息的獲取、收集、存儲和應用技術越發成熟，通過數據形式表現出來的個人生物識別信息在通訊、交通、醫學、金融、商業交易等領域備受青睞，極大地滿足了社會發展的需求并促進了交易的便捷。但是另一方面，生物識別信息的泄露可能使個人處在潛在的高度危險之中，具有重大的安全隱患。個人生物識別信息一旦被信息控制者泄露、非法提供或者濫用，極易導致信息主體的個人名譽、身份健康受到損害或遭受歧視性待遇，從而危害個人的財產與人身安全。在《中華人民共和國民法典》（以下簡稱《民法典》）頒布的背景之下，探討如何加強個人生物識別信息的保護與監管顯得尤為必要。
個人生物識別信息在《民法典》上的定位
《民法典》第1034條規定，自然人的個人信息受法律保護。個人生物識別信息屬于個人信息的范疇。個人生物識別信息可以分別表達為個人生物身體和生理識別信息與個人生物行為特征識別信息，它們直接反映自然人獨一無二與不可替代性的身體、生理或行為特征，具有強烈的人身屬性。個人的身體、生理特征包括指紋、掌紋信息以及臉部信息等。例如，指紋和掌紋信息是由人的指紋、掌紋因遺傳與環境共同作用產生的信息；聲紋信息是由電聲學儀器顯示的自然人言語信息的聲波頻譜；耳廓、虹膜和面部信息分別是對自然人耳朵、眼睛與臉部特征進行數字化處理的個人信息；人體行為識別信息系通過計算機對人體的運動進行檢測、提取，并對相關特征進行分類和行為識別，其在智能監控、機器人、人機交互、虛擬現實、智能家居、智能安防、運動員輔助訓練等方面極具應用價值。個人生物識別信息與個人一般信息，例如電話號碼、電子郵件、身份證號碼等相比具有顯著差異，后者以信息主體的社會性特征為基礎，它們外在于人本身；而前者直接反映信息主體內在的身體、生理和行為本質屬性，不僅具有更高程度的可識別性，而且與自然人的人身不可分割，屬于高度敏感的個人信息。個人生物識別信息作為高度敏感信息，相較其他個人信息具有更強的人格屬性。個人生物識別信息一旦被泄露或者被盜竊，會造成不可彌補的損害，無法像證件、密碼等一般個人信息被盜后可以進行更換、補辦或者索回，信息主體將被迫永久退出與個人生物識別信息認證相關的所有活動。
由于個人生物識別信息具有高度的人格屬性，因此與隱私權具有密切聯系。《民法典》第1034條第2款規定：“個人信息中的私密信息，適用有關隱私權的規定；沒有規定的，適用有關個人信息保護的規定。”個人信息與隱私權存在重疊之處：兩者的關系可以表達為純粹的個人隱私、隱私性信息與純粹的個人信息。隱私性信息意指通過數據形式表達的個人隱私，是隱私與純粹的個人信息交叉的部分。個人生物識別信息包含的身體、生理及行為特征，均屬于隱私性信息。相比個人生物行為特征識別信息，個人生物身體與生理識別信息的隱私屬性更強。個人生物識別信息具有非常高的身體指向性和高度私密性，與信息主體的人格尊嚴密切相關，對其予以公開或非法利用將會給信息主體造成重大影響。個人生物識別信息不同于純粹的隱私（如自然人的私生活安寧和不愿為他人知曉的私密空間、私密活動等）。依據《民法典》第1032條的規定，后者是隱私權保護的主要對象，直接涉及到個人人格尊嚴與自由的部分。盡管個人生物識別信息屬于個人信息與隱私權交叉的范疇，但是個人生物識別信息的法律結構顯然遠遠超出了傳統隱私權所形成的權利主體（自然人）-權利客體（隱私）-義務人的模式。這是因為，單個信息的財產價值非常有限，即使是個人生物識別信息，信息主體除對其享有使用價值的期待之外，更為重要的是隱私期待。但是，個人生物識別信息的主體不限于信息本身的主體，個人生物識別信息主體可以自主控制或允許數據控制者利用，從而發揮該信息的經濟與社會價值，這是傳統的隱私權觀念所不具備的。因此，單個個人生物識別信息的保護可以適用于隱私權規范，但是一旦涉及個人生物識別信息的數據控制者，則應當適用個人信息相關規范。
