人臉識別信息自決權的證立與法律保護

　　摘 要：當前人臉識別信息存在非法采集、秘密比對、信息泄露等問題，嚴重侵犯公民基本權利。針對生物識別信息引發的法律問題，美國采取隱私權保護模式，歐盟采取數據權保護模式，二者都強調個人對自己生物識別信息的決定權。人臉識別信息自決權在內容上具有人身專屬性和唯一性特點，在法律屬性上強調權利人知情同意。我國《個人信息保護法》也尊重權利人的自我決定權，故人臉識別信息的權利屬性是信息自決權這一新型權利。為加強對人臉識別信息自決權的保護，法律應通過保護權利人真實自由的同意，根據場景理論限制二次同意的范圍，以及明確豁免例外，以保障人臉信息自決權的行使;同時將未經權利人同意收集人臉信息的行為擴大解釋為無形損害，通過懲罰性賠償的方式進行有效規制。

　　關鍵詞：人臉識別信息;自決權;無形損害;《個人信息保護法》

　　李婕， 南通大學學報(社會科學版) 發表時間：2021-09-15

　　人臉識別技術廣泛應用于政務辦理、交通出行、網絡消費等各個領域，同時引發了個人權利保護的擔憂。隨著“ZAO”換臉技術的應用，非法采集他人人臉信息、冒用他人人臉進行房屋過戶等事件層出不窮，對個人信息、財產安全等重要權利造成嚴重威脅。2021 年 4 月 9 日，郭兵訴杭州野生動物世界有限公司二審判決明確提出“生物識別信息應當更加謹慎處理和嚴格保護”，并判決杭州野生動物世界有限公司刪除郭兵的指紋識別信息。相較之下，當前我國法學界主要就人臉識別的技術特征[1]75、法律風險[2]106、國外人臉識別法律規定[3]52 等問題進行碎片化研究，尚未關注我國法律實踐中人臉識別信息的權利屬性與法律救濟問題，如何立足中國國情探索生物信息自決權這一新型權利的構造與保護路徑，既是理論突破，也是實踐所需。

　　一、人臉識別技術對個人權利保護的挑戰

　　大數據時代，人臉識別在圖像收集、信息比對、信息流通等方面悄無聲息地侵犯公民的個人權利， “個人畫像”、背景調查的危害甚至相當于未經批準的刑事搜查。雖然我國《網絡安全法》第四章規定了網絡運營者收集信息的行為規范，但由于這些條款過于概括，根本無力阻止越演越烈的非法信息收集、流通等亂象，人臉識別技術濫用的后果也越加嚴重。具體而言，人臉識別對公民個人權利的挑戰主要表現在以下方面。

　　1.非法采集，侵犯公民知情權

　　人臉識別技術的普及使得不法分子非法采集公民的人臉信息，自行建立數據庫進行比對。例如，某商家在網絡商城中公開出售 17 萬條“人臉數據”，最終以“該商品已被下架”而不了了之;①售樓處偷偷采集看房者的人臉信息，用于確定客戶傭金分配等事件層出不窮。司法實踐中，很多 APP 在注冊時強制對用戶進行人臉信息采集，否則無法使用APP 功能——此時用戶“同意”APP 軟件收集自己的人臉信息實屬無奈，這種變相非法采集公民人臉信息的行為同樣侵犯了公民知情權。

　　2.秘密比對，侵犯公民隱私權

　　智能手機用戶隨便抓拍一張匿名人臉的照片上傳到 Facebook 網站，網站將自動識別并提供最相近似照片的信息 (即 Facebook 的“標簽建議”功能)，而被拍照的人可能根本不知道她是被誰自動識別的。谷歌的 Project Glass 技術能夠將手機拍攝照片的比對效果直接顯示在鏡片上，頭戴“智能鏡片” 者即便身處陌生人群，仍然能夠隨時了解他人的個人信息，此時被拍照者的職業、性格、教育背景、郵件地址等信息完全曝光在他人眼前。

　　3.信息泄露引發安全威脅

　　增強現實技術(Augmented Reality 簡稱“AR”)的發展促進數據聯姻，特定的人臉信息與地理定位相結合很可能泄露身份者的信息，引發人身安全擔憂。如 2011 年美國安全研究人員發現 iPad 和 iPhone 存儲了用戶“精確的地理位置”②，使得蘋果公司能夠時刻監控用戶的行蹤軌跡。其次，人臉信息泄露或偽造導致身份盜竊。個人的面部信息是作為算法存儲的，這就導致了在特定數據庫中更改算法的可能性，或信息可能會被泄露或從系統中被竊取，進而導致誤認、冒充或身份盜竊。最后，人臉識別信息很可能被用于其他用途，即出現功能蠕變。美國曾出現個人同意提供照片以獲得護照，但其人臉圖像中的生物特征信息被用于執法、安全或情報目的的現象。[4]127 日常生活中，招聘單位告知應聘者采集人臉信息為了登記，卻將人臉信息出賣給電信詐騙團伙，此時面試者的財產權將處于詐騙風險中。

　　二、國外人臉識別信息保護的經驗分析

　　(一)歐美人臉識別信息保護模式考察

　　1.美國隱私權保護模式

　　美國伊利諾伊州 2008 年頒布《生物信息隱私法》(The Biometric Information Privacy Act，下文簡稱BIPA)明確提出，人臉識別具備“生物識別符”(bio- metric identifiers)和“生物信息”(biometric informa- tion)的雙重特征;私人機構在收集個人生物信息之前應進行書面通知，并獲得個人的同意，禁止私人機構對自己掌握的生物識別符或生物信息出售、租賃、交易等方式獲利。隨著網絡技術的發展，美國參議院于 2019 年 3 月提出 《商業面部識別隱私法案》(Commercial Facial Recognition Privacy Act，下文簡稱 CFRPA)擬從聯邦層面加以規定，禁止企業在未經個人允許的情況下向其使用人臉識別技術。《加利福尼亞 消 費 者 隱 私 法》(The California Consumer Privacy Act，下文簡稱 CCPA)也規定“個體的生理、生物學或行為特征……可單獨或組合或與其他識別信息一起，以識別出某個特定的個人。生物信息包括但不限于虹膜、視網膜……和臉部的圖像，從中可以提取一個識別符，例如臉紋(faceprint)……”“德懷爾訴美國運通公司案”中，法院明確提出未經同意使用他人肖像屬于隱私侵權范疇。③美國對生物識別信息采取隱私權保護模式，主要根據憲法第四修正案中保護個人隱私權條款，強調個人對隱私信息的控制和使用，進而根據美國憲法第四修正案中保障的人身自由防止權利被侵犯。

　　2.歐盟數據權保護模式

　　歐盟頒布《通用數據條例》(General Data Pro- tection Regulation，下文簡稱 GDPR)將生物識別數據定性為個人敏感數據，要求人面部特征信息的收集需遵循“禁止處理”“明示同意”和“法定必要”原則，突出保護個人對自己數據的控制權。GDPR 還規定，對個人面部特征信息進行處理時，要遵守合法性、合理性、透明性原則以及目的限制等原則。針對人臉信息應用風險，2019 年歐盟基本權利局(European U- nion Agency for Fundamental Right 簡稱“FRA”)發布《人臉識別技術：執法中的基本權利考量》報告，強調人臉識別技術的開發和應用會對《歐盟基本權利憲章》第八條規定的“個人信息權”和《歐洲人權公約》第八條規定的“尊重私人生活自由”造成威脅，須遵循 GDPR 對個人敏感數據的保護條款，防止人臉識別信息濫用。具體而言，GDPR 要求“數據控制者收集信息和獲取個人數據時應當履行事前通知義務”，賦予個人對數據使用、訪問權，最后在第 35 條確立了數據保護影響評估制度以加強數據控制者的隱私風險管理責任意識。

　　(二)歐美生物識別信息保護之共同點

　　1.認可生物識別信息的“需保護性”。美國對生物識別信息采取隱私權保護模式，注重生物識別信息“不愿為他人知悉”的特點，歐盟將生物識別數據納入敏感數據范疇，通過規制信息控制者和權利人兩方面的行為對其進行保護，表明二者都意識到生物識別信息泄露可能引發的巨大風險，而這種巨大風險與個人的人身自由、財產安全密不可分，因此需要特別保護。Facebook 案件的判決指出，用戶對其生物特征數據的隱私有合理的期望，因為用于收集數據的技術不僅僅是簡單的增強，而是對個人隱私細節的侵犯。①

　　2.尊重生物識別信息權利人的主觀意愿。生物識別信息具有強烈的人格特征，是個人身份的標識。除了國家強制要求出示個人身份的場合，個人有權決定是否公開身份、是否通過生物識別信息驗證個人身份。美國《商業面部識別隱私法案》明確禁止私人機構在未經個人同意的情況下收集個人生物識別信息，歐盟 GDPR 第 13 條、14 條要求數據控制者履行收集個人敏感信息的通知義務以保障個人知情權，第 15 條規定“數據主體有權向控制者確認與其相關的個人數據是否正在被處理，以及有權要求訪問與其相關的個人數據并獲知詳細信息”賦予個人訪問權等都是尊重個人對自己生物識別信息收集、使用等主觀意愿的體現。

　　(三)歐美生物識別信息保護之差異

　　1.生物識別信息權的權利屬性與內容不同。美國將生物識別信息納入隱私權保護范圍，但隱私權無法對已經公開的生物識別信息全面保護。由于隱私權內容的不確定性，美國司法判例根據“場景理論”判斷具體案件中權利人對個人信息的需保護性和期待，以平衡人身自由和國家權力。與之相對， GDPR 不區分公開與否通過數據權對生物識別信息進行全面保護，但無法對非數據形態的生物識別信息如個人肖像、虹膜素描等進行保護。因此，美國判例法傳統能夠結合具體案情對個案中生物識別信息是否屬于隱私權保護的對象進行擴大解釋，但歐盟奉行成文法主義無法對非數據形態的個人生物信息全面保護。

　　2.權利人對生物識別信息的控制程度不同。美國對生物識別信息采取隱私權保護模式，只能從消極防御的模式保護個人的生物識別信息不被侵害，并未賦予個人積極主動維護自己的生物識別信息的權利。歐盟 GDPR 強調個人對自己生物數據的控制權，通過規定個人對自己數據的知情權、訪問權、查閱權、刪除權等權利賦予個人積極主動維護自己數據的權利。因此，只有他人侵犯了個人的生物識別信息時，權利人才能在事后依據隱私權保護條款提起法律救濟;但是在歐盟，只要個人發現自己的生物識別數據可能被非法利用，就有權在侵害發生前采取查閱、訪問等方式維護個人的信息權利。

　　3.個人同意適用的領域不同。美國《生物信息隱私法》《商業面部識別隱私法案》都強調私人機構收集生物識別信息需權利人同意，而政府機構在維護公共利益時無需個人同意即可收集人臉信息;當個人發現生物識別信息被政府濫用時，可通過訴訟的方式請求法院保護自己的隱私權。歐盟 GDPR 則要求所有信息控制者在收集個人敏感信息時都必須履行告知義務，取得個人同意。除此之外，GDPR 還對不同成員國之間數據跨境流動做出規制，實際上限制了政府以概括的“公共利益”為由濫用公民個人數據的權力，對個人權利的保護更進一步。

　　三、人臉識別信息的權利屬性之證成

　　人臉識別信息濫用引發了個人權利保護危機，生物識別信息如何根據自身特點進行有效的法律保護，首先需要厘清人臉識別信息的權利屬性。從司法實踐看，人臉識別過程包括采集個人人臉信息，信息存儲、對比、得出結論的一系列過程，既包括原始的照片辨認類型，也包括人臉自動識別類型。人臉識別信息不同于普通隱私權、數據權、人格權，應定性為個人自決權這一新型權利。

　　(一)人臉識別信息權利屬性的觀點評述

　　1.隱私權說之不足。我國《民法典》明確規定了公民享有隱私權，屬于人格權的范疇。隱私權是為了保護個人不愿為他人知悉的自己的隱秘事項，而人臉信息是個人呈現于外部的特征，本身不具有“保密性”特征，不符合隱私權的定義。此外，隱私權的目的是為了保護公民自由，我國法律并不認可非法使用生物識別信息侵犯公民個人自由。例如，陳某訴杭州市公安局西湖分局案中，陳某提出杭州市公安局西湖分局及其工作人員強制采集自己人體生物信息包括人臉頭像三面照、十指指紋、雙手掌紋、口腔唾液等行為屬于限制人身自由的行政強制措施，要求確認無效并撤銷。一審和二審法院均未支持陳某觀點，認為采集人臉信息不屬于限制自由的行政強制措施。①我國《民法典》第 1034 條明確規定“個人信息中的私密信息，適用有關隱私權的規定;沒有規定的，適用有關個人信息保護的規定”，也表明隱私權無法全面保護個人私密信息。傳統隱私權的重心在于防范個人的私密信息被非法披露，并非強調主體對個人信息的控制、支配。《民法典》明確將個人信息與隱私權并列規定，表明個人信息是與隱私權不同的人格權類型，不能以隱私權指代人臉識別信息權。

　　2.數據權說之否定。人臉識別信息可能表現為照片、素描等非數據形式，數據說無法對這類形式表現的人臉識別信息進行保護，背離法律保護的初衷。其次，我國并未像歐盟那樣通過個人數據立法對個人信息進行保護，因此，數據權說難以在我國法律規范中找到依據。最后，我國法律規范對人臉、指紋、 DNA 等采用“生物信息”進行表述，2017 年最高人民法院最高人民檢察院《關于辦理侵犯公民個人信息刑事案件適用法律若干問題的解釋》第 5 條第四項明確規定“健康生理信息”屬于侵犯個人信息罪的保護范疇。《個人信息保護法》第 28 條明確規定“個人生物特征”屬于敏感信息，故數據權說并不符合我國立法和實踐的要求。

　　3.信息自決權之肯定。個人信息自決權說認為人臉識別信息具有人身專屬性，個人有權決定自己的人臉信息使用情況，人臉識別信息等生物識別信息與個人的人身安全、財產權利息息相關，由于個人對自己的人身權益、財產權益具有處分權，因此尊重個人意愿是保障生物識別信息的關鍵。個人決定是否提供人臉識別信息、如何使用自己的人臉識別信息是他人利用人臉識別信息合法與否的重要標準。因此，王利明教授將個人信息權界定為一項獨立的人格權——“信息自決權”[5]68。從法律依據看，個人信息自決權屬于憲法上人格尊嚴的內容，也是《民法典》中一般人格權的體現之一。將人臉識別信息定性為個人自決權這一新型權利能夠克服隱私權說和數據權說的不足，更加全面地保護個人權利。

　　(二)人臉信息自決權之新型權利證成

　　1.權利特點之新類型

　　(1)人臉識別信息具有強烈的個人身份屬性、直接呈現性和高識別性特征。首先，個人身份屬性強調生物識別信息特定環境下可以直接識別個人身份，有的可從呈現于體表的生物識別信息進行判斷，如指紋、虹膜、面容;有的可根據自然存在于身體中的血液、DNA 等進行鑒定。直接呈現于體表的生物識別信息如人臉圖像很容易通過被動式采樣被秘密收集，從而其盜取難度在同類生物特征識別信息中較低。其次，個人專屬性還表現為生物識別信息權的高識別性，即無需附加信息或與公共領域內其他信息進行比對，即可在特定環境中單獨識別出特定個人。[6]139 因此，需根據適用環境判斷生物信息自決權的行使。人臉識別是運用人工智能技術對人臉、指紋、虹膜等人體生物信息分析、對比、記錄、形成模板，進而通過“一對一”或者“一對 N”比對，以解決實踐中身份證、信用卡等可能存在的人證不統一的問題。由此可見，人臉信息只有在“用于識別自然人”的身份時，才屬于《民法典》《個人信息保護法》保護的個人特殊敏感信息。去識別化的數據、雖屬于被采集的個人基因信息但不用于識別特定自然人身份的信息，都不是“生物識別信息”。

　　(2)人臉信息等生物識別信息具有惟一性、不可變更性。每個人的面部特征都與其它自然人完全不同，具有惟一性和不可替換性。相對于手機號碼、銀行賬號等傳統個人信息，人臉信息具有不可變更性。盡管當前醫學技術能夠對個人的臉部、虹膜和指紋通過徹底整容、更換眼球和植皮等非常復雜和不可逆的方式進行變換，但變換后的生物特征仍可以由新的生物識別技術進行識別。正是由于這種不可變更性，一旦生物識別信息遭到泄露、盜竊或冒用等不法侵害，對信息主體可能會造成難以彌補的永久性的傷害和損失。因此，生物識別信息不可變更，不可補辦。正是基于這一考慮，“百度公司與朱某隱私權糾紛案”的判決書指出，cookie“關鍵搜索詞”不是個人信息，不屬于個人信息保護的范圍。①

　　(3)易受侵犯性。人臉不同于指紋、虹膜等生物特征需要專業設備才能進行收集，人臉是裸露于外部的個人形象，很容易被微型攝像機秘密收集，進而被用于非法目的。司法實踐中，個人秘密偷拍他人肖像的行為、企業在工作場所安裝攝像頭偷拍客戶肖像的現象屢禁不絕，個人常常不知道自己何時何處就置身于人臉識別技術的應用場景下。其次，由于國家對智能 APP 程序的規范并不健全，智能 APP 掌握的人臉信息很可能未經權利人同意被用于非法交易，埋下人臉信息被泄露或濫用的風險。

　　因此，人臉識別信息是人工智能時代具有高度易受侵犯性的“用于識別自然人身份的”新型個人信息權利，與歐美強調生物識別信息“需保護性”的特征相互印證。

　　2.權利法律屬性之新類型

　　我國多部法律規定了個人信息權，剛剛頒布的《個人信息保護法》明確強調了“個人同意”才能收集、處理個人信息，即肯定了個人自決權這一個人信息權利的新類型。人臉信息自決權相較于傳統信息權利，具有以下特點。

　　(1)人格權的新類型。《民法典》的人格權編將個人信息權與隱私權并列規定，表明個人信息權是一項獨立的人格權。《個人信息保護法》規定一般個人信息權條款后，在第二節“敏感信息”第 29 條規定 “基于個人同意處理敏感個人信息的，個人信息處理者應當取得個人的單獨同意”，提供了人臉信息自決權的法律依據。“人臉信息自決權是指權利主體自行決定是否以及在何種范圍內披露、使他人知悉并利用自己人臉信息的權利，本質上是個體對自己信息的控制和支配權”[7]56，目的在于劃定信息主體與其他主體之間的權利邊界，賦予主體不受他人干涉而自主決定利用其信息的能力。根據《個人信息保護法》，人臉信息自決權這一新型人格權的法律內容包括同意權、撤回同意權、要求說明權、拒絕自動化決策權、查閱復制權、更正補充權、要求刪除權等，目的都是為了“保護個人信息權益”。郭兵訴杭州野生動物園案件的判決書認為，野生動物世界的店堂告示以醒目的文字告知購卡人需要提供包括指紋在內的部分個人信息，郭兵自行決定提供該信息成為年卡客戶。該店堂告示內容保障了郭兵的消費知情權和對個人信息的自主決定權。②

　　(2)以知情同意為核心的自決特征。人臉識別信息是個人人格尊嚴的重要體現，個人有權決定該信息的使用，這與歐美生物識別信息尊重權利人主觀意愿的理念殊途同歸。《個人信息保護法》第 26 條明確規定，公共場所收集個人圖像、身份識別信息應取得個人單獨同意，法律、行政法規另有規定的除外。我國《網絡安全法》也明確規定在收集、使用或利用個人信息時原則上需經個人的同意。人臉信息自決權的個人決定性意味著個人一旦做出收集、處理人臉信息行為就要承擔由此帶來的風險。例如，智能 APP 程序在收集人臉信息前會詢問“個人是否同意提供人臉信息”，在該程序沒有提供替代身份驗證選項的情況下，個人自決權名存實亡。此時個人若不同意 APP 收集自己的人臉信息就無法享有服務，這種被動同意提供人臉信息的設計是對個人決定自由的嚴重限制。Facebook 被指控在未經書面許可的情況下，從上傳的照片中收集、使用和存儲他們的生物特征識別碼，就是對個人同意權利的侵犯。因此，個人信息自決權說認可人臉識別信息以圖像、計算機數據、個人信息為存在形式，這一新型人格權的核心在于知情同意。

　　(3)調整非對等信息關系主體。現實中侵犯人臉識別信息權的往往是具有專業信息收集能力的商業主體或政府機構，個人很難與之對抗。德國個人信息自決權最初在“人口普查案”和“小普查案”中提出，針對國家對個人信息的威脅進行限制;[8]24 美國《加州消費者隱私法案》將適用企業限制在年收入 2500 萬美元的公司，都表明個人信息自決權針對的是形成持續性不平等信息關系的收集者與處理者。由于傳統民事關系調整平等主體之間的權利義務關系，傳統憲法權利主要針對國家，而個人信息自決權中的知情同意、糾正權、刪除權的行使既不屬于平等民事主體之間的法律關系，也不同于個人與國家公權力之間的關系，而是屬于特定信息關系中的新型權利義務關系。

　　四、我國人臉識別信息自決權法律保護之完善

　　從實踐層面來看，我國對人臉識別信息自決權采取新型人格權保護模式，這種權宜之計無法有效保護個人生物識別信息自決權。根據《民法典》人格權編第 1036 條，行為人處理“自然人自然公開或其他已經合法公開的信息”不承擔民事責任，除非該自然人明確拒絕或者處理該信息侵害其重大利益。人臉識別信息是個人裸露在外部的公開信息，但該信息涉及個人的人身自由、財產安全等重大利益，信息處理者應取得權利人同意后才能自行處置。司法實踐中，非法收集、濫用人臉識別信息的現象屢禁不絕，主要原因在于其難以救濟。

　　(一)法律保護人臉識別信息自決權的難點

　　1.違反“同意”難以認定損害。《個人信息保護法》并未規定未經同意收集他人敏感信息的損害后果。信息收集者將合法收集的個人身份信息用于其他目的而未再次告知時，權利人“知情權”“同意權” 等程序性權利違反無法認定為損害。這種情況下權利人的機會成本、精神損害是客觀存在的，司法實踐卻無法將這種“預期利益損害”，甚至權利人難以證明的精神損害認定為損害。其次，違反權利人“同意” 收集人臉信息的行為會進一步侵害個人對自己人臉信息查閱復制、要求補正、刪除等權利。例如，人臉識別技術在深度學習中不斷改進，法律無法審查輸入信息如何得出輸出結論，利害關系人即便提出異議，也難以審查偏差結果和輸出行為之間的因果關系，無法認定賠償責任。《個人信息保護法》第 46 條規定了個人請求對信息進行補正的權利，但歐美的司法實踐表明，人臉識別的對比結論在某些方面并不準確[9]1389，可見人臉識別信息對比出錯的情況并非罕見。個人根本不知曉信息出錯的情況下如何請求補正，導致其請求信息補正權名存實亡。

　　2.個案損害難以賠償。首先，《民法典》第 995 條關于侵害人格權的民事責任承擔方式包括停止侵害、排除妨礙、消除危險、消除影響、恢復名譽、賠禮道歉，人臉識別信息受害人無法據此主張損害賠償。其次，侵害個人知情權、同意權的程序性違法行為難以根據《個人信息保護法》第 69 條“個人因此受到的損失和個人信息處理者因此獲得的利益難以確定的，根據實際情況確定賠償數額”主張賠償。郭兵訴杭州野生動物園案件中，判決認為“原告因不同意人臉識別而無法入園導致年卡費 1360 元作廢的損失賠償請求沒有事實和法律依據”①。與之相對，歐盟成員國對個人信息保護時規定了“舉證責任倒置”，即信息處理方能證明自己無過錯時才可以不承擔民事責任。如德國專門規定了公共機關對個人信息處理的“無過錯責任”原則，即公共機關在規模化處理個人信息的過程中，即使無過錯，但實際上給信息主體造成物質損害或非物質損害的，也需要承擔損害賠償責任。[10]173 如何根據人臉識別信息自決權的特征，探索并續造出中國特色的權利保護路徑，是保障生物安全、維護個人權利的必要之舉。

　　(二)我國人臉識別信息自決權法律保護之完善

　　人臉識別信息自決權的法律保護需貫穿信息收集、利用、救濟的全過程，只有從源頭上對“不履行告知義務”“非法收集”等程序性違法行為有效懲處，才能防止人臉信息泄露、非法利用亂象，確保權利主體自我決定權的實現。

　　1.有效同意之保障

　　為充分保障個人信息自決權，《信息安全技術個人信息安全規范》(以下簡稱《規范》)明確規定“收集個人敏感信息時的明示同意”②。針對人臉識別信息被秘密收集、非法轉賣等現象，應通過保護權利人自由、真實的意愿確認同意的有效性，個人敏感信息再次利用時則需根據“場景理論”判斷是否需要再次取得權利人同意。

　　(1)根據“真實”意愿排除“一攬子同意”

　　首先，收集人臉信息時提供多元替代選項。《規范》強調“不得欺詐、誘騙、強迫個人信息主體提供其個人信息”，這就要求收集人臉識別信息時應提供多元替代選項，以尊重個人意愿。無論政府部門為了 “維護公共安全”收集人臉識別信息，還是私人機構經個人同意收集人臉識別信息，都應提供身份驗證的替代選項，以保障個人提供人臉信息的自我決定權。由于人臉信息具有易偽造等風險，并非身份驗證的最佳、唯一選項。人臉識別信息很容易被偽造，人臉對比算法也會出現偏差，因此人臉信息提供便捷身份驗證的同時也潛藏著出錯風險，提供多元替代選項是保障信息安全的內在要求。而且身份驗證的多元選項應具有可操作性，不能變相迫使個人進行人臉身份驗證。例如，郭兵訴杭州野生動物園案件中，法院認為“野生動物世界要求年卡用戶提供指紋識別、人臉識別等生物識別技術的行為符合‘合法、正當、必要’三原則的要求”，司法實踐中，身份證、短信驗證碼、戶籍證明等都是個人身份驗證的方式，不得采用程序繁瑣、不具操作實踐性的替代選項，迫使權利人提供人臉信息。

　　其次，排除格式合同條款。排除格式合同條款是確保權利人對個人生物識別信息有效同意的必要之舉。明示、有效的同意指同意需要針對特定目的，泛化的同意不是有效的同意。因此，信息收集者應當以容易理解的方式，使用清晰和平白的語言要求權利人對自己的生物識別信息做出書面同意;考慮到信息收集者相對于個人的優勢地位，應排除信息收集者免責聲明的法律效力。當前很多 APP 的網絡服務條款或隱私協議對收集個人信息的目的多采取概括加列舉的方式——往往僅列舉出主要的使用范圍，但在其后臺仍對收集的個人信息進行額外處理。 Facebook 案中，《用戶協議》規定用戶通過創建賬戶并登錄 Facebook 賬戶，就已經同意了該公司的隱私政策——不但這種字體狹小、內容繁瑣的協議難以引起用戶閱讀的興趣，而且這一通知只出現在用戶的首次登錄，之后主登錄界面不再顯示披露信息。① 這種使用格式條款告知用戶收集人臉識別信息的風險從而間接轉嫁責任的現象意味著不合理條款通常被隱藏在細節和法律術語中，實質上是利用優勢地位“單方面”誘導對方同意合同條款，嚴重侵害了用戶的知情權，阻止用戶自由決定是否提供人臉信息進行身份驗證。為充分保障個人的自我決定權，應杜絕以格式條款的方式告知權利人人臉信息采集的風險而規避責任的行為。

　　(2)根據“場景理論”限制“二次同意”的適用范圍

　　司法實踐中，個人敏感信息再次利用時是否需權利人“同意”的問題上，主要的爭議問題在于信息收集使用的目的是否一致，可參考“場景理論”限制 “二次同意”的適用范圍。

　　場景理論(又稱“情境脈絡完整性”理論)，最初由美國學者尼森鮑姆(Helen Nissenbaum)教授提出[11]119，指個人信息原始收集時的具體語境應得到尊重，其后續傳播及利用不得超出原初的情境脈絡。《個人信息保護法》第 14 條規定“個人信息的處理目的、處理方式和處理的個人信息種類發生變更的，應當重新取得個人同意”。當個人已授權將自己的信息公布于網絡后，第三人利用網絡上公開的信息是否侵權，應當結合具體場景的多種因素具體判斷。

　　人臉信息公開的對象和場景是判斷信息“處理目的”是否變更的主要因素。“新浪微博訴脈脈抓取微博用戶數據案”中，脈脈軟件利用與新浪微博的合作關系，非法抓取、展示新浪微博用戶信息(包括頭像、名稱、職業信息、教育信息、用戶自定義標簽及用戶發布的微博內容)的行為是否違法，判決認為“新浪微博用戶選擇對公眾公開個人信息，并不意味著可以未經新浪微博用戶同意，獲取用戶頭像信息、標簽信息、職業信息、教育信息并展示在脈脈軟件的人脈詳情中”②，進而判決脈脈公司非法抓取用戶個人信息的行為違法。“劍橋分析公司案”的判決也根據 “情境脈絡完整性理論”認為，個人在網絡上已公開的個人信息具有特定的對象(其他用戶和好友)和場景(社交網絡)。劍橋分析公司在未獲得用戶同意、且在完全不同的場景下利用這些信息，構成了對用戶權利的侵犯。[12]71 與之相對，“人人網收購案”③中，人人網與作為收購方的多牛傳媒同屬社交網絡平臺，兩者對于用戶數據的使用場景相同、目的一致，用戶個人信息從人人網流入多牛傳媒符合“場景式”判斷規則中“目的一致”的要求。

　　(3)豁免例外不違法。生物識別信息屬于個人敏感信息，個人對其使用、處分具有決定權;但生物識別信息作為生物多樣性的體現同時肩負社會責任，因此個人信息自決權的行使需要受到公共利益限制。《個人信息保護法》第 27 條規定“在公共場所安裝圖像采集、個人身份識別設備，應當為維護公共安全所必需，遵守國家有關規定，并設置顯著的提示標識”。《民法典》第 999 條規定“為公共利益實施新聞報道、輿論監督等行為的，可以合理使用民事主體的姓名、名稱、肖像、個人信息等”;《民法典》第 1020 條規定“為維護公共利益或者肖像權人合法權益，制作、使用、公開肖像權人的肖像的其他行為”可以不經肖像權人同意;《規范》第 5.4 條也規定“征得授權同意的例外”，規定與國家安全、公共利益、個體生命、財產等重大權益相關，或屬于主體履行合同所必需，或為新聞報道、學術研究等目的收集使用個人信息不需要同意。最高人民法院《關于審理使用人臉識別技術處理個人信息相關民事案件適用法律若干問題的規定》第五條規定，有下列情形之一，信息處理者主張其不承擔民事責任的，人民法院依法予以支持：(一)為應對突發公共衛生事件，或者緊急情況下為保護自然人的生命健康和財產安全所必需而處理人臉信息的;(二)為維護公共安全，依據國家有關規定在公共場所使用人臉識別技術的;(三)為公共利益實施新聞報道、輿論監督等行為在合理的范圍內處理人臉信息的;(四)在自然人或者其監護人同意的范圍內合理處理人臉信息的;(五)符合法律、行政法規規定的其他情形。

　　(二)無形損害之擴大解釋

　　未履行告知義務、未經權利人同意收集人臉信息的行為雖是程序性違法行為，但往往使權利人損失機會成本、導致期望落空等，這種違反法律的行為如何對人臉信息自決權造成實質損害，怎么進行法律救濟，需要根據法學理論進行探索和闡釋。

　　1.損害法律保護人格權的目的

　　正如《個人信息保護法》第 29 條指出的，敏感個人信息一旦泄露或非法使用將導致難以挽回的后果，因此重新審視人臉識別信息非法利用的權利侵害風險是保護個人信息自決權的必要之舉。Face- book 案中的原告認為，當 Facebook 在未經他們同意的情況下生成、存儲和使用他們的面部幾何圖形時，他們受到了具體的傷害。違反法律規定的“同意”而非法獲取他人敏感信息這種程序性違法行為，如何造成權利的實質損害?

　　在違法收集、利用人臉信息行為的認定上， Spokeo，Inc.v.Robins①案明確指出“個人信息非法收集的程序性違法行為會導致無形損害，這種具體的損害違反了 BIPA 保護個人隱私的目的”。法院在無形損害的認定上分兩個步驟：一是程序性違法行為是否違反了法律保護個人具體權益的目的，二是案件中具體的程序違法行為是否產生實際損害或存在損害這些利益的重大風險。②Van Patten v.Vertical Fitness Group 案③中，法院也確立了程序上的違反是對實體權利的侵犯，因為這種違反構成了事實上的傷害。未經權利人同意而擅自收集其敏感信息的行為違反了 BIPA 的意圖和法規的具體要求——正如 Facebook 在沒有通知用戶和獲得他們的書面許可的情況下創建了伊利諾伊州用戶的面部生物識別模板那樣——BIPA 的任何程序要素都服務于保護伊利諾伊州人的實質性隱私權的最終目的，因此違反 BIPA 的行為實際上是一種具體的損害。

　　2.侵害了個人對自己敏感信息的決定權、控制權

　　人臉信息自我決定權即“個人對有關其個人信息的控制”，未經權利人同意而收集其人臉信息的行為否定了權利人的自我決定權。Carpenter v.United States 案④的判決指出，面部識別技術能夠收集高度詳細的信息并用來解鎖手機、支付賬單，甚至這些詳細的信息可以被用來上傳到 Facebook 的數百萬張照片中確定一個人的身份，并確定此人的位置—— 這都侵犯了權利人的自我決定權。Rosenbach v.Six Flags Entertainment Corp.案⑤中，母親給孩子(未成年人) 買了一張去伊利諾伊州古爾尼市六旗游樂園的季票，公園要求未成年人必須掃描指紋才能進入公園并使用季票。但公園在未經原告或其父母書面許可的情況下收集了其生物特征數據，更沒有透露他們將如何使用這些生物特征信息，也沒有透露他們將存儲這些信息多長時間。原告以公園違反 BIPA 第 15 節“私營公司以書面形式通知生物特征信息的所有者其信息正在被收集或存儲、收集、存儲或使用的目的，并獲得所有者的書面許可”為由起訴。法院從法律、大眾和歷史的角度將本案中的受害者理解為“被否定自我決定權而被侵犯或剝奪合法權利”的人。因此，Rosenbach 案的未成年人在“沒有知情的書面同意的情況下被收集了他的生物特征信息，剝奪了其對個人信息的控制權，讓他受到了傷害”。這一案件的核心要義在于，未經個人同意收集其生物識別信息的行為，侵犯了其自我決定的自由和人格尊嚴，構成實質的權利侵犯。

　　3.基于權利侵害的緊迫性請求停止侵害禁令

　　未經權利人同意收集、使用其人臉識別信息的行為符合侵權責任要件，因為這一違法行為構成個人權益侵害重大的、緊迫的風險。由于人臉信息具有唯一性和不可補辦性，“敏感個人信息一旦泄露或者非法使用，可能導致個人受到歧視或者人身、財產安全受到嚴重危害”，因此應根據《民法典》第 997 條 “民事主體有證據證明行為人正在實施或者即將實施侵害其人格權的違法行為，不及時制止將使其合法權益受到難以彌補的損害的，有權依法向人民法院申請采取責令行為人停止有關行為的措施”，要求他人停止侵害。美國 Beck v.McDonald 案①，以及 Bassett v.ABM Parking Services，Inc.案②都認可“處罰造成緊迫的法益侵害風險的行為”，但同時強調 “黑客入侵行為如果沒有導致信息被違法使用，沒有使用錯誤的或被盜的信息，身份被盜的風險是不存在的”“本案中被告僅僅是在程序上違反了打印信用卡賬單收據的規定，并沒有造成迫在眉睫的身份盜竊或欺詐風險”。人臉識別信息泄露具有不可挽回性，將導致個人的財產、自由處于未知他人利用的即時危險中，當個人喪失對人臉信息的控制權后，其查閱復制權、更正補充權、要求刪除權等權利都因無法向相對人主張而難以實現。此時權利人應立即向法院起訴請求停止侵害，并要求已經收集自己人臉信息的機構刪除人臉信息，以保護個人的人身權和財產權。

　　4.增設懲罰性賠償條款以遏制商業不法行為

　　商業使用是非法收集人臉識別信息行為的重要原因，剝奪再犯資本是控制此類行為的有效措施。國外學者曾提出“數據財產權”的概念，認為對個人權利保護僅規定責任規則是不夠的，還需要以財產規則進行保護。[13]2055 人臉識別信息泄露會致使個人的人身安全、財產安全陷入風險，如果法律僅從事后救濟的方面進行懲罰，則無法未雨綢繆、遏制人臉識別信息非法收集行為。而遏制非法商業行為最有效的手段就是金錢處罰，才能從根源上剝奪再犯的資本和動機。

　　最高人民法院《關于審理使用人臉識別技術處理個人信息相關民事案件適用法律若干問題的規定》第八條規定“信息處理者處理人臉信息侵害自然人人格權益造成財產損失，該自然人依據民法典第 1182 條主張財產損害賠償的，人民法院依法予以支持”。我國《個人信息保護法》第 66 條對違反本法規定處理個人信息者高額的行政罰款數額(拒不改正的，并處一百萬元以下罰款;情節嚴重的，沒收違法所得，并處五千萬元以下或者上一年度營業額百分之五以下罰款);我國《消費者權利保護法》第 50 條規定“消費者在接受服務時，其合法權益受到損害的，可以向服務者要求賠償”。非法收集、利用個人人臉信息的行為侵犯了權利人的信息自決權，無異于 “偷走”其人臉信息，對這種行為進行懲罰性罰款以從根本上消除、減輕犯罪源頭。人臉信息適用的相關領域如《民法典》《消費者權利保護法》《反不正當競爭法》等法律也應增設懲罰性賠償條款以遏制非法收集人臉信息的商業行為。

　　五、結語

　　數字中國建設進程中，人臉識別信息等生物敏感信息的適用范圍日益擴大，法律應與時俱進地提供保障與救濟以增強個人信息保護的實踐效果。“個人信息權是含有隱私內容但又超越隱私權的權利。”[14]2021 年 8 月 1 日施行的《最高人民法院關于審理使用人臉識別技術處理個人信息相關民事案件適用法律若干問題的規定》將侵害人臉信息的行為認定為侵害人格權的行為，但如何對人臉識別信息這一“個人敏感生物信息”進行強化保護、如何有效制止尚未造成物質損害的秘密抓拍等非法采集、利用人臉識別信息的行為，本文進行初步探索和論述。顯然，《民法典》在個人敏感信息保護上尚有不足。[15] 隨著《個人信息保護法》的實施，侵害人臉識別信息的問題會更加突出，如何銜接《個人信息保護法》《數據安全法》和《民法典》在個人敏感信息保護上的適用，仍需理論界不斷關注。