人脸信息立法保护的规范体系建构

周 行(中国政法大学 国际法学院，北京 100080)

近年，人脸识别技术被广泛运用于社会生活的各个方面，发挥着举足轻重的作用。例如，许多小区采用人脸识别技术作为门禁，只有刷脸才能进入小区[1]；人脸识别被学校作为日常管理的技术工具[2]。这一技术在给社会治理带来许多便利的同时，也引发了人们的担忧。相比于一般个人信息，人脸信息具有直接识别性、不可更改性、易获取等特征。一旦发生信息泄露，或被非法利用，极易导致公民的名誉、健康受到损害或遭受歧视性待遇，其造成的损害往往难以弥补。因此，对于人脸信息的收集和使用，无论是出于公共管理目的还是商业目的，都应当高度谨慎。而我国在法律规范上尚未给予人脸信息保护足够关注。笔者从人脸信息与人格尊严的关系出发，探讨人脸信息保护的宪法保护基础，并对部门法的立法进行约束和指引，在法律层面为人脸信息保护搭建三重相互配合、协调发展的法律保护体系，并确立个人信息安全的政府标准和市场标准，形成标准和法律相互配合、相互依赖的多元规范保护体系。

一、人脸信息保护的宪法基础——人格尊严

(一)人脸信息保护与人格尊严保障关系密切

我国宪法第38条规定：“中华人民共和国公民的人格尊严不受侵犯”。在这一表述中，能够确立起人脸信息保护的规范基础。

首先，人脸在社会文化中的意义和功能，使其内在蕴含着人的尊严[3]。在社会交际中，常从一个人的脸上发现一些非语言信息以判定其情感、观点、态度等，也就是说“脸”不仅有生理的面向，更有社会的面向，包括一个人在社会中的身份、地位、受尊敬的程度等，即俗话所说的“面子”[4]。因此，人脸技术的不正当利用会贬损人格尊严，如“深伪技术”的恶意利用使得犯罪分子能够在淫秽色情等视频中换脸，最新的深伪技术还能实现对声音和口型的编辑，进行极其精准的操控，也就是说，能让任何人在镜头前，按照其他人写的剧本来讲话，完全可以以假乱真[5〗。这种技术的不当利用会对当事人的人格尊严造成严重的伤害。

其次，政府对公民生活的过度监控在无形中会对公民人格尊严造成伤害。在大数据时代，国家会运用各种监控工具进行风险监测、预防和应对，但是当这些监控技术被广泛用于公共场所的安保，大到机场、火车站，小到小区门禁、地铁安检都安装了人脸识别设备的时候，就会造成对公民生活的过度干预，会让公民产生犯罪嫌疑人般被监督并时刻需要提防的心理，感受到社会对自己极大的不信任感，这也是对公民人格尊严的贬损。

再次，人脸信息收集的知情同意原则的泛化与失灵，会对人格尊严与自由意志造成侵犯。在我国法律制度上,现有的个人信息保护专门规定或条款的核心内容均为“个人知情同意”,但“同意”的真实性值得怀疑：有的是“被迫同意”，例如我国的“人脸识别第一案”中，郭兵被短信告知动物园将启用人脸识别系统。根据短信中的内容，若不参与升级则无法入园[6]。还有的是“无意同意”。每一个人的理性是有限的，由于信息的不对称、较低的自我安全保护意识，可能并不知道“同意”的真正意义，并不愿意承担“同意”所可能产生的后果。无论哪一种情况，都是对知情同意原则的削弱，更是对当事人自由意志和人格尊严的侵犯。

最后，算法偏差带来的算法歧视危及到个人自由平等和人格尊严。在国外，警察在侦查活动中广泛运用由算法模型系统主导的预测警务系统引发了社会民众对种族歧视的担忧。据麻省理工的研究表明，以防控犯罪为例，运用于警情控制的人脸识别技术，将非白人误认为犯罪的概率远大于白人[7]；在国内，近年来,“大数据杀熟”引发社会广泛关注和争论。这些关注与争论，从不同侧面反映出算法歧视问题的严重性和紧迫性[8]。一旦人工智能的算法存在设计漏洞，就可能导致其对数据分析解读产生歪曲和错乱，进而产生不合理的歧视结果[9]。

由此可见，每个人的人脸信息与人格尊严关系密切，如果对人脸信息不加节制地使用甚至是滥用，将会损害公民的自我决定权，抑制公民在监视空间内的表达权，加深现有的歧视甚至造成新的歧视[10]。

(二)人格尊严进路对人脸信息保护的意义

首先，强调国家对公民人脸信息的保护义务。在平台经济时代，每个独立的自然人面对的都是拥有技术霸权的信息掌控者，普通公众基本无从知道自己在多大程度、有多少数量的个人数据和信息已被他人掌控。这就意味着，当下日益加剧的巨大“信息垄断”和“信息鸿沟”，明显危及到个人隐私、自由平等和人格尊严[11]。因此，面对个人与信息处理者之间存在的持续性不平等关系，需要国家转变消极的“守夜人”角色，通过强有力的规制手段保护处于弱势地位的个人，因此明确人脸信息保护的宪法理论依据有助于促进国家履行其在个人信息问题上的保护义务，避免国家权力消极不作为[12]。

其次，防止公权力对公民人脸信息造成侵害。国家权力的参与虽然有保护人脸信息的作用，但同时也意味着国家对个人生活的干预，因此需要防止国家以保护为名侵害公民的基本权利。在公共安全事件期间，身份码技术在灾情防控、风险研判和复工复产等方面的创新应用，其运行应当要经得起正当性检验：一方面，公共利益构成对个人信息权的正当限制，政府为了保护公众生命健康可以对个人信息进行干预与限制；另一方面，需要通过比例原则限定信息收集和使用的范围，通过法律保留原则限定信息收集主体，以将身份码引发的个人信息安全风险控制在合理范围内。

最后，对部门法的立法进行约束和指引。宪法作为一种“框架秩序”，通过“人格尊严”条款明确了宪法对部门法领域对人脸信息保护问题的价值和规范设定，并通过更为具体的法律规范将人脸信息保护落实为部门法秩序[13]。立法者制定有关人脸信息保护的法律规范，要以保护人格尊严为出发点和落脚点，在对各种利益进行权衡比较时，最不能放弃的价值就是公民的人格尊严。

综上所述，人脸信息保护具有宪法上的理论依据，在明确国家目标的同时，留给立法者判断和裁量空间，通过部门法对人脸信息的采集和处理方式进行具体化的制度落实,即“通过立法发展宪法”[14]。由此，人脸信息的保障就能在宪法和具体部门法的张力与平衡中逐渐发展完善。

二、人脸信息保护的法律体系建构

(一)《民法典》为人脸信息提供一般性法律保护

《民法典》第1034条第二款规定：“个人信息是以电子或者其他方式记录的能够单独或者与其他信息结合识别特定自然人的各种信息，包括自然人的姓名、出生日期、身份证件号码、生物识别信息、住址、电话号码、电子邮箱、健康信息、行踪信息等。”

其中，“生物识别信息”是指与自然人的身体、生理或行为特征有关的基于特定技术处理产生的个人数据，这些数据可以确认该自然人的独特身份(1)GDPR, Art.4(14); Regulation (EU) 2018/1725, Art.3(18).。总体上可以分为身体信息和行为信息。身体信息是个人先天的生理信息，包括面部图像、指纹、手掌静脉、视网膜、虹膜和DNA样本等;行为信息是个人后天形成的行为信息，包括笔迹、打字节奏、步态和声音等[15]。人脸信息作为个人信息中生物识别信息的一种，《民法典》能够为其提供统一的一般性保护。

《民法典》对个人信息的保护与隐私权保护有着密不可分的联系(2)如给人格权编第六章取名为“隐私权与个人信息保护”，又如在第1034条中规定：“个人信息中的私密信息，适用有关隐私权的规定；没有规定的，适用有关个人信息保护的规定。”。一方面，在大数据技术的广泛运用之下，出现人脸信息隐私化的趋势。在传统社会，纵使个人身处公共场所，人脸会被其他人看到，但是并不意味着会被别人辨识出身份，因此本不属于隐私的范畴。但是，在信息社会，人脸如果被设备捕捉记录，经过数据和算法加工，就可以识别出身份。美国学者Ruth Gavison认为，隐藏身份是隐私的重要组成部分，其指出隐私是由三个各自独立但又相互关联的要素组合而成，分别为保持秘密、隐藏身份和离群独处。其中，他认为“隐藏身份”是指个体在多大程度上成为他人关注的对象，一个人一旦成为众人关注的对象便会失去隐私[16]，因此，人脸识别技术的身份识别功能会对公民隐私权造成挑战。另一方面，隐私信息化使得隐私的范围与概念需要重塑。在信息社会，公民的隐私也经常以信息化的方式呈现，其蕴含的巨大商业价值，导致许多人企图凭借技术手段从中牟利。美国圣地亚哥的一家人工智能公司Kneron团队用一个特制的3D面具，成功欺骗了支付宝和微信的人脸识别支付系统，完成了购物支付程序[16]。因此，当人脸等原本社会公开的信息可用于流通牟利，隐私的范围也需重新考虑[17]。即使人脸信息与隐私权有着密切联系，但是隐私权进路尚不能完全满足人脸信息保护的要求。首先，隐私权保护与人脸信息保护的法律结构不同。人脸信息的主体不限于信息本身的主体，还涉及人脸信息的数据控制者，人脸信息主体可以自主控制或允许数据控制者利用，从而发挥该信息的经济与社会价值，这是传统的隐私权观念所不具备的。因此，单个个人生物识别信息的保护可以适用于隐私权规范，但是一旦涉及个人生物识别信息的数据控制者，则应当适用个人信息相关规范[18]。其次，隐私权保护逻辑无法满足人脸信息的双重属性的要求。隐私权具有强烈的排他性和防御性，而人脸信息兼具个体属性与公共流通属性。简单地强调人脸信息的某一种属性均不足以阐述人脸信息的本质特征，也不足以为人脸信息保护搭建合理的法律框架[19]。因此，若仅将视角限于通过私法语境下的排他性隐私权以保护人脸信息，不利于信息时代下在商业和公务领域对于人脸数据的合理开发和有效利用[20]。

综上，《民法典》将人脸信息作为个人信息的下位概念，能够针对人脸信息和个人信息的共性问题提供一般性的法律保护，但是缺陷在于不能针对人脸信息的特殊性进行具体法律保护，因而亟需制定一部能够保护人脸信息的特殊性法律。

(二)《个人信息保护法》为人脸信息提供特殊法律保护

1.《个人信息保护法》的法律定位。在分析具体内容之前，需要明确《个人信息保护法(草案)》(以下简称《草案》)的性质，以协调其与《民法典》的适用关系。《草案》不是《民法典》的下位法，而是保护个人信息的专门性法律、综合性法律。从调整的法律关系看，《草案》同时处理三重关系：私人主体之间、国家与个人之间以及不平等的私法主体，即用户与互联网平台之间[21]。因此，《草案》不必被《民法典》中的规则和思路所约束，而应针对现有立法对个人信息保护的不足之处，基于《草案》本身的性质和宗旨进行补充完善。

随着个人信息领域问题的专业化、复杂化，将来即将出台的《个人信息保护法》必将成为保护个人信息的基础法律，针对《民法典》的不足之处，对个人信息进行进一步的细化分类，为以人脸信息为代表的生物特征识别信息提供特殊法律保护。

2.人脸信息属于敏感个人信息。我国《民法典》未对个人信息进行进一步分类，《草案》对个人信息做出了敏感个人信息和一般个人信息的区分，如第29条第2款规定：“敏感个人信息是一旦泄露或者非法使用，可能导致个人受到歧视或者人身、财产安全受到严重危害的个人信息，包括种族、民族、宗教信仰、个人生物特征、医疗健康、金融账户、个人行踪等信息”。

人脸信息作为上述个人生物特征信息的一种，有着相比于其他一般个人信息，甚至是其他生物特征识别信息的特殊性。

一是人脸信息具有不可更改性，一旦泄露很难救济。虽然从理论上讲，任何数据都有泄露的风险，但与其他数据相比，电话号码、银行账号及其他身份信息可以更改，而更改人脸信息的代价和成本过高，在人脸数据泄漏后选择用整容的方式来救济权利的方式并不可取，因此从某种程度上来说，人脸信息具有不可更改性。

二是人脸信息的收集具有不易察觉性。即使同属生物识别信息，人脸信息也与指纹、基因等生物信息之间存在着重要区别。指纹、基因信息的获取一般需要经过刻意的方式，被获取信息者往往知道有人正在获取或者比对自己的个人信息。而人脸经常在当事人不自知的情况下被摄像头捕捉，人脸信息更容易被收集利用。

三是人脸信息在大数据背景下有着勾连一切的属性。通过人工智能的计算，人脸不仅能准确地识别到信息主体，包括种族、肤色、健康状况甚至情绪等情况[22]，而且能够关联出每个个体的重要信息。从更广义的角度来说，“智慧城市”本身就是扩大版的人脸识别技术，因为它指向无数摄像头、大数据技术、二维码扫描，人们不仅被识别脸，也栖居在人脸识别之中[23]。

基于人脸信息的上述特性，人脸信息与公民的隐私权、名誉权、财产权等多种权益关系紧密，对人脸信息的不正当使用对公民造成的侵害是长久的、持续的、难以弥补的。因此，有必要将人脸信息纳入敏感个人信息的范畴，为其提供更高标准的严格保护，同时更好地协调个人信息保护和利用的关系。

(三)行政、刑事法律为人脸信息提供多元法律保护

从行政法角度，一方面，在人脸信息的公共利用场景下，收集人脸信息必须基于公共利益的要求并遵循法定程序， 符合比例原则的要求，人脸信息作为个人敏感信息，就应当仅在追求“极为重要的公益目的”，且所采取者系与目的之达成具有“直接密切关联之手段”时，始能通过比例原则审查的检验[24]。另一方面，在人脸信息的商业利用场景下，发挥行政法在规制私人主体采集人脸信息中的重要作用。具体而言，可以建立生物识别技术与工具交易管理的行政许可制度[25]，明确规定具备何种资质的私人主体才能收集公民人脸信息，出台有关人脸识别设备安装申请和人脸识别技术的安全检验规则，避免企业或其他部门滥用职权。例如在公共安全防控实践中，派出所、街道办事处以及各居委会、村委会都对相关人员的通勤信息、个人家庭住址、身体状况等个人信息进行了收集和分析[26]，甚至对于人脸信息这种个人敏感信息均被作为企业性质的小区物业收集，其实,这些主体尚无法律授权。

从刑法角度，刑法保护人脸信息有着独特的优势。刑法保护是以被告人为中心、以实施犯罪的行为人的行为为基本依据，按照法定的标准，符合标准就构成犯罪，就可以按照构成犯罪的事实和情节追究其刑事责任[27]。但是，我国现行刑事立法对人脸信息的保护存在缺陷，从我国刑法历次修正案到《解释》，立法者对公民个人信息的种类进行列举时，从来未提及人脸信息的上位概念“生物识别信息”一词，这降低了该种类在公民个人信息中的特殊重要性。现在可能的突破口在于最高人民法院、最高人民检察院出台的《关于办理侵犯公民个人信息刑事案件适用法律若干问题的解释》中第5条第1款第10项的“兜底条款”，用“其他情节严重的情形”将侵犯一定数量的公民生物识别信息作为法定刑升格，这就能从刑法解释的角度实现对生物识别信息的特殊保护[28]，从而发挥刑法具有明确性、威慑性等优势，对人脸信息保护构筑最后法律防线。

(四)三重法律保护之间的配合协调

人脸信息保护法益的复合性、多元化，决定了仅靠私法保护模式或是公法保护模式均无法有效保障其安全，因而有必要对我国人脸信息的法律保护作出系统性的制度安排[29]，使不同的法律在对人脸识别的规制上有着不同的规制对象和保护手段。若能实现三重法律之间的相互配合、协调发展，便能为人脸信息保护架构起全面而有效的法律保护体系。

一方面，基于人脸信息的不同应用场景，由不同法律对不同主体作出有所侧重的规制，提供不同的救济方式。人脸信息的应用场景可以分为基于政务价值的公共利用和基于商业价值的市场利用[30]，由此对应的主体分别是政府机关和商业主体。从公共利用角度，国家实际上已经成为了个人生物识别信息最大的收集、处理、储存和利用者，此时《民法典》这样规制私人主体之间关系的法律已无用武之地。为了避免政府机关对人脸信息造成侵害，则应当由行政法发挥事前规制作用，如限制人脸信息的收集主体、收集范围和收集方式，遵循法律保留原则、比例原则、法定程序原则。但是若政府机关已经对人脸信息造成侵害，则主要采用国家赔偿或达到一定程度由刑法进行制裁单位犯罪。从商业利用角度，对侵害人脸信息的救济主要采事后的民事救济手段，此时由《民法典》和《个人信息保护法》配合起来对人脸信息提供法律保护，在《个人信息保护法》正式出台之后，应当做好二者之间的衔接。由于只有《个人信息保护法》作出了个人敏感信息和个人一般信息的区分，则对于人脸信息的保护优先适用个人信息保护法，个人信息保护法没有规定的，再适用民法典。只有违反《个人信息保护法》的行为造成民事权益损害的，《民法典》才从民事责任追究方面进行衔接[31]。涉及事中和事后的政府监管时则由《个人信息保护法》和行政法中的有关规定发挥作用。

另一方面，建立三重法律统一适用的规则制度，即不做主体或法律关系区分，只要违背就是违法收集人脸信息。例如“知情同意”制度的贯彻与落实，无论是谁使用人脸识别技术，人们均有权拒绝“刷脸”。如果是在无竞争性的服务领域(如民航、铁路、学校、社区等)使用人脸识别技术，当人们拒绝“刷脸”时，应提供其他替代性的验证机制，而不能规定不“刷脸”就不能使用或进入[32]。

综上，三重法律保护虽然有各自不同的规制对象和规制特点，但是我们不能将每种法律保护方式孤立看待，需要将三重法律保护方式统一协调起来，以为人脸信息保护构建全方面、多场景的法律保护体系。

三、个人信息安全标准为人脸信息提供支撑性保护

标准虽然不是《立法法》规定的正式法源，不具有形式上的拘束力，但是标准的规范性特征使得其作为“软法”的组成部分，是“没有法律拘束力但有实际效力的行为规则”[33]。在法治的背景之下，特别是在环境保护、产品质量、科学技术等领域，标准发挥着不可或缺的重要作用，与法律一起，构成相互联系、相互配合、密不可分的规范体系。因此，完善个人信息安全标准将对人脸信息保护提供重要的支撑性作用。

(一)政府标准：充分发挥行政机关的预先规制作用

行政法中的行政处罚等措施更多强调事后的救济，而一旦人脸信息遭到泄漏，其危害是不可逆、难以救济的，因此仅仅运用传统的行政手段还不足以有效的保护人脸信息。通过政府标准的制定和实施，有助于充分发挥行政机关的预先规制作用，把人脸信息的保护时间提前，做好风险预防和控制工作。

2020年由中国电子技术标准化研究院组织修订的《信息安全技术个人信息安全规范》(以下简称《个人信息安全规范》)是我国个人信息安全领域重要的国家标准。行政机关可以直接依据《个人信息安全规范》采取非正式监管措施，如警示约谈、行政检查、劝导示范、行政指导、行政奖励等。这些措施虽然没有强制效力且不存在制裁结果，但是企业出于政府政策优惠和企业信誉的考量通常会予以遵守，从而发挥政府标准对企业利用个人信息合规化的行为规范和事前引领作用。

(二)市场标准：充分发挥市场主体的自我规制作用

在互联网时代，由于人脸信息被广泛商业利用，大量分散的个体和小型企业能够借助数字平台参与经济活动，仅靠自上而下的监管式保护会力不从心，此时通过制定市场标准提高企业对用户信息保护的意识，推动自下而上的自发式保护尤为重要。同时，我国现有的有关个人信息保护的法律规定存在过于抽象和滞后的特征，而市场主体在协商一致的基础上制定的市场标准能够即时总结实践中的经验教训，通过标准本身相对灵活、简便的制修订活动，事实上领先于法律规范实现了对现实变迁的回应。

2020年11月27日，在阿里巴巴、华为、字节跳动等多家互联网企业的共同起草下，工信部组织发布了《APP收集使用个人信息最小必要评估规范 人脸信息》团体标准，规定了移动应用软件对人脸信息的收集、使用、存储、销毁等活动中的最小必要规范和评估方法，并通过个人信息处理活动中的典型应用场景来说明如何落实最小必要原则。这一市场标准的制定体现了我国移动互联网行业已经具备一定的自律性，能够自发进行自我规制，主动弥补法律保护人脸信息过于抽象的不足，成为人脸信息保护规范体系的有机组成部分。

人脸信息保护是数字经济、人工智能时代的核心命题，从规范层面为人脸信息提供前瞻性保护有着重要意义。在全面依法治国、建设法治国家的背景下，一方面，随着科技的不断发展，人脸信息保护的法律体系建构将是法治体系中不可或缺的一环，另一方面，通过制定高水平的人脸信息保护的标准，为法律关于权利义务的配置提供科学技术上合理化的支持，将标准纳入法治视野，从而进一步提高法治水平，实现良法善治。