【摘要】个人生物识别信息包括自然人的身体、生理及行为特征三个层面，直接反映自然人独一无二与不可替代性的身体本质特征，具有唯一性、不可替代性以及损害后果的不可补救性。个人生物识别信息的收集和利用可以分为基于公共利益目的与非基于公共利益目的两种类型，前者限于政府机关或授权机构，后者主要是商业公司及特定机构。在《中华人民共和国民法典》实施的背景之下，应尽快完善个人生物识别信息的管理、规制及法律救济，以促进和完善个人生物识别信息的保护。
【关键词】个人生物识别信息 个人信息 民法典 【中图分类号】D92 【文献标识码】A
近年发生在浙江省杭州市的“人脸识别第一案”成为舆论关注的焦点。浙江某大学教授因为不满进动物园也要“刷脸”，将“杭州野生动物世界”告上法庭。该案引发人们从法律层面思考个人生物识别信息的保护和监管问题。
个人生物识别信息是指通过运用科学技术手段对人的身体特征进行数字化处理后得到的信息。我国《信息安全技术 个人信息安全规范》规定的个人生物识别信息包括自然人的身体、生理特征的相关信息，如指纹、声纹、掌纹、耳廓、虹膜、面部特征、个人基因等。个人生物识别信息是现代科技的产物，其已成为大数据时代个人身份信息的新形态。随着人工智能、区块链等技术和相关产业的飞速发展，个人生物识别信息的获取、收集、存储和应用技术越发成熟，通过数据形式表现出来的个人生物识别信息在通讯、交通、医学、金融、商业交易等领域备受青睐，极大地满足了社会发展的需求并促进了交易的便捷。但是另一方面，生物识别信息的泄露可能使个人处在潜在的高度危险之中，具有重大的安全隐患。个人生物识别信息一旦被信息控制者泄露、非法提供或者滥用，极易导致信息主体的个人名誉、身份健康受到损害或遭受歧视性待遇，从而危害个人的财产与人身安全。在《中华人民共和国民法典》（以下简称《民法典》）颁布的背景之下，探讨如何加强个人生物识别信息的保护与监管显得尤为必要。
个人生物识别信息在《民法典》上的定位
《民法典》第1034条规定，自然人的个人信息受法律保护。个人生物识别信息属于个人信息的范畴。个人生物识别信息可以分别表达为个人生物身体和生理识别信息与个人生物行为特征识别信息，它们直接反映自然人独一无二与不可替代性的身体、生理或行为特征，具有强烈的人身属性。个人的身体、生理特征包括指纹、掌纹信息以及脸部信息等。例如，指纹和掌纹信息是由人的指纹、掌纹因遗传与环境共同作用产生的信息；声纹信息是由电声学仪器显示的自然人言语信息的声波频谱；耳廓、虹膜和面部信息分别是对自然人耳朵、眼睛与脸部特征进行数字化处理的个人信息；人体行为识别信息系通过计算机对人体的运动进行检测、提取，并对相关特征进行分类和行为识别，其在智能监控、机器人、人机交互、虚拟现实、智能家居、智能安防、运动员辅助训练等方面极具应用价值。个人生物识别信息与个人一般信息，例如电话号码、电子邮件、身份证号码等相比具有显著差异，后者以信息主体的社会性特征为基础，它们外在于人本身；而前者直接反映信息主体内在的身体、生理和行为本质属性，不仅具有更高程度的可识别性，而且与自然人的人身不可分割，属于高度敏感的个人信息。个人生物识别信息作为高度敏感信息，相较其他个人信息具有更强的人格属性。个人生物识别信息一旦被泄露或者被盗窃，会造成不可弥补的损害，无法像证件、密码等一般个人信息被盗后可以进行更换、补办或者索回，信息主体将被迫永久退出与个人生物识别信息认证相关的所有活动。
由于个人生物识别信息具有高度的人格属性，因此与隐私权具有密切联系。《民法典》第1034条第2款规定：“个人信息中的私密信息，适用有关隐私权的规定；没有规定的，适用有关个人信息保护的规定。”个人信息与隐私权存在重叠之处：两者的关系可以表达为纯粹的个人隐私、隐私性信息与纯粹的个人信息。隐私性信息意指通过数据形式表达的个人隐私，是隐私与纯粹的个人信息交叉的部分。个人生物识别信息包含的身体、生理及行为特征，均属于隐私性信息。相比个人生物行为特征识别信息，个人生物身体与生理识别信息的隐私属性更强。个人生物识别信息具有非常高的身体指向性和高度私密性，与信息主体的人格尊严密切相关，对其予以公开或非法利用将会给信息主体造成重大影响。个人生物识别信息不同于纯粹的隐私（如自然人的私生活安宁和不愿为他人知晓的私密空间、私密活动等）。依据《民法典》第1032条的规定，后者是隐私权保护的主要对象，直接涉及到个人人格尊严与自由的部分。尽管个人生物识别信息属于个人信息与隐私权交叉的范畴，但是个人生物识别信息的法律结构显然远远超出了传统隐私权所形成的权利主体（自然人）-权利客体（隐私）-义务人的模式。这是因为，单个信息的财产价值非常有限，即使是个人生物识别信息，信息主体除对其享有使用价值的期待之外，更为重要的是隐私期待。但是，个人生物识别信息的主体不限于信息本身的主体，个人生物识别信息主体可以自主控制或允许数据控制者利用，从而发挥该信息的经济与社会价值，这是传统的隐私权观念所不具备的。因此，单个个人生物识别信息的保护可以适用于隐私权规范，但是一旦涉及个人生物识别信息的数据控制者，则应当适用个人信息相关规范。
