前言：随着信息技术的发展，传统的个人识别技术已经无法满足现实生活的需要，以人的“生物特征”来区分彼此的生物识别技术应运而生。通过生物识别技术获取的个人生物识别信息是一种特殊的个人信息，其本质上仍属个人信息。《中华人民共和国网络安全法》第67条第5项规定，个人信息，是指以电子或者其他方式记录的能够单独或者与其他信息结合识别自然人个人身份的各种信息，包括但不限于自然人的姓名、出生日期、身份证件号码、个人生物识别信息、住址、电话号码等。其特殊性体现在这些信息与我们的联系更加紧密，其具有专属性和唯一性，这些信息泄漏的危害后果更加严重。尤其是伴随着刷脸支付、门禁、面部（指纹）解锁等金融、安防行业对生物识别技术的广泛应用，如何更好的保护公民个人生物识别信息已经是亟待解决的问题。
时事热点：谁偷走了你的脸？
刚刚过去的中央电视台315晚会上，科勒卫浴、宝马、MaxMara等让人脸识别技术又火了一把。就拿来科勒卫浴来说，其在门店中安装了具有人脸识别功能的摄像头，一旦消费者进入门店，摄像头就会自动识别、采集其面部信息，并自动生成编号。以后顾客去了其哪几家门店、去了几次，科勒卫浴都会知道。而这一切既没有提醒顾客，更不会征得顾客的同意。此外此次央视晚会点名了雅量科技、瑞为信息、万店掌等人脸识别企业。
这里的人脸识别技术是基于人的脸部特征信息进行身份识别的一种生物识别技术。具体而言，人脸识别的过程就是一个收集、存储、比对面部信息的过程，基于人脸识别技术产生的人的面部信息属于个人生物识别信息，此外还有人的指纹、虹膜、基因等。在这样一个大数据时代，我们不能否认的是这些技术的应用给我们的生活带来了诸多看得见的便利，比如和我们财产有关的微信指纹支付、支付宝指纹（刷脸）支付、掌上银行等，和我们安全有关的指纹锁等。此外，众多app都推出实名认证功能，其中指纹认证、人脸认证环节就是实名认证的一部分。
以上这些过程中必然涉及到对公民个人生物信息的采集与存储，如何规范的采集和存储公民个人生物信息成为我们当下面临的巨大挑战。因为诸如科勒卫浴这样未经用户同意的采集其生物信息的企业不在少数，中国信息通信研究院安全研究所在其2020年发布的《人脸识别技术在App应用中的隐私安全研究报告》中称，大部分App在采集人脸数据时并未依据《信息安全技术个人信息安全规范》单独明确告知并征得用户同意，甚至未在隐私政策中说明使用人脸识别技术的目的、范围和方式，使得人脸数据被动收集、使用成为常态。更甚一些企业将自己存储的信息进行交换、贩卖，带来了不少的法律问题。2021年《最高人民法院工作报告》中指出，促进数字经济健康发展，审理手机软件侵害用户个人信息、人脸识别纠纷等案件，加强个人信息保护，维护数据安全。
有法可依：我国对于人生物识别信息保护的法律有那些？
1、《民法典》第一千零三十四条规定：“自然人的个人信息受法律保护。个人信息是以电子或者其他方式记录的能够单独或者与其他信息结合识别特定自然人的各种信息，包括自然人的姓名、出生日期、身份证件号码、生物识别信息、住址、电话号码、电子邮箱、健康信息、行踪信息等。”从《民法总则》到《民法典》我们可以看出立法者对隐私权和个人信息保护的重视，其中“生物识别信息”被以法典的形式确定下来。
2、《网络安全法》第四十四条、四十五条、四十七条分别对组织和个人、依法负有网络安全监督管理职责的部门及其工作人员、网络运营者提出了义务性要求，明确了各类主体的责任，形成了从个人信息获取到传播全过程监管的保护手段。
3、《中华人民共和国居民身份证法》第三条、第六条规定，公民申请领取、换领、补领居民身份证，应当登记指纹信息。公安机关及其人民警察对因制作、发放、查验、扣押居民身份证而知悉的公民的个人信息，应当予以保密。
4、《征信业管理条例》第十四条规定，禁止征信机构采集个人的宗教信仰、基因、指纹、血型、疾病和病史信息以及法律、行政法规规定禁止采集的其他个人信息。其中基因、指纹、血型都是典型的生物识别信息。
5、《信息安全技术个人信息安全规范》第3.1条对个人信息内涵的解读为：个人信息包括姓名、出生日期、身份证件号码、个人生物识别信息、住址、通信通讯联系方式、通信记录和内容、账号密码、财产信息、征信信息、行踪轨迹、住宿信息、健康生理信息、交易信息等。第3.2对个人敏感信息的解释中亦包含个人生物识别信息。
6、《中华人民共和国个人信息保护法》(草案)第二十九条规定，敏感个人信息是一旦泄露或者非法使用,可能导致个人受到歧视或者人身、财产安全受到严重危害的个人信息,包括种族、民族、宗教信仰、个人生物特征、医疗健康、金融账户、个人行踪等信息。草案着重将个人生物信息列为敏感个人信息，在处理的过程中须谨慎。
此外，《刑事诉讼法》、《公安机关指纹信息工作规定》均有提及公民个人生物信息。
违法必究：侵害公民个人生物信息的法律责任？
民事责任
《民法典》第九百九十九条规定，不合理的使用公民个人信息导致侵害民事主体人格权的，应当依法承担民事责任。根据第一百七十九条规定，受害人可以要求侵权人承担停止侵害、赔偿损失、消除影响、恢复名誉等民事责任。
刑事责任
《刑法》第二百五十三规定，违反国家有关规定，向他人出售或者提供公民个人信息，情节严重的，处三年以下有期徒刑或者拘役，并处或者单处罚金；情节特别严重的，处三年以上七年以下有期徒刑，并处罚金。违反国家有关规定，将在履行职责或者提供服务过程中获得的公民个人信息，出售或者提供给他人的，依照前款的规定从重处罚。窃取或者以其他方法非法获取公民个人信息的，依照第一款的规定处罚。单位犯前三款罪的，对单位判处罚金，并对其直接负责的主管人员和其他直接责任人员，依照各该款的规定处罚。
结语：个人生物识别信息保护关系着用户的隐私安全、财产安全。但是生物识别技术属于新兴事物，还未有统一的行业标准，以至于监管也是无从下手，加上公民对个人生物信息保护意识不强，给了不法分子有机可乘。此次315晚会曝光的不仅是企业不法收集公民生物信息的行为，更是大数据时代下对个人生物信息保护的现实困境。
作者简介：
►刘超超，中南大学学士，北京德和衡（郑州）律师事务所实习律师。
►业务领域：房地产建设工程，公司诉讼，物业服务，业委会设立筹划。
►电话：15538338930，邮箱:467451200@qq.com。
豫公网安备 41010702003033号