批 准 号：21BXW039

项目类别：国家社科基金一般项目

项目名称：生物识别信息传播风险及法律规制研究

负 责 人：林凌

责任单位：上海财经大学

随着生物技术、计算机技术和通讯技术的日益成熟，人脸、指纹等生物识别信息越来越广泛地应用于公共管理、工业生产和商业服务等领域，方便人员交流和贸易往来，产生了巨大的经济效益和社会价值。与此同时，生物识别技术的快速迭代不断丰富生物识别信息应用场景，降低应用门槛，技术外溢产生并加剧生物识别信息传播风险。构建有效的法律保护机制，是防范生物识别信息传播风险的基石。

生物识别信息

数字经济时代，生物识别信息已经成为数字经济发展的“石油”，平衡个人信息保护和数据企业财产权冲突，是信息化社会建设给生物识别信息应用提出的时代课题。

生物识别可分为生物识别程序与生物识别系统，生物识别程序是一种识别机制，通过使用特定识别算法，根据个人生物特征对其进行身份验证；生物识别系统为使用生物识别技术提供完整的技术框架，它们通过对身体特征（Physiological Characteristics，静态物理模板）和行为特征（Behavioral Characteristics，动态行为模板）比对进行身份认证。目前，生物识别在智能安防、金融支付、军事生物识别等系统级市场应用领域，以及个人智能终端、智能家居、虚拟现实游戏等个人电子消费市场应用领域都有成熟、规模化应用；未来，更为智能的身体密码应用，元宇宙应用、面向心灵的生物识别等新生代生物识别应用将出现在人们的生活和工作领域。

生物识别信息是通过采用自动技术测量获取和分析个体的身体特征或行为特征，并将这些特征进行数字化处理后所形成的数字表达。生物识别信息反映每个人独一无二的生物特征，具有采集和使用的便捷性、广泛性特征。从技术角度看，生物识别信息是随着生物技术、计算机技术和通信技术发展而出现的科学集成信息，它既有别于知觉信息的技术信息，又有别于审美信息的科学信息，因此，无论采用2D识别技术还是采用3D识别技术，生物特征与生物识别信息之间都存在识别误差。生物识别信息映射人体生物特征，而生物特征是人体的固有特征，与人体相伴而生，具有随身性；它反映个人隐私、涉及人身安全和财产安全，具有敏感性；与其他信息结合能够关联个人隐私。

生物识别信息：技术、社会人文和制度一体化风险

生物识别信息传播风险是由技术、社会、伦理和法律等各种风险共同组成的综合传播风险，它呈现为技术、社会人文和制度一体化风险形态。生物识别需要数据库支持，又需要识别数据对识别系统的训练，使数据库不断处于迭代过程中。数据库迭代既可能蕴含技术风险，比如被植入偏见的算法风险、因算力不足而处理庞大数据库的算法崩溃风险等，也可能是挑战社会公平正义的社会风险和伦理风险，还可能挑战现有保护个人信息和隐私的法律制度。比如，对于弱势群体和少数群体而言，在社会中获得平等对待是一项重要的基本权利，但是生物识别信息的收集和使用不仅对这种权利造成了威胁，而且导致他们的某些机会被剥夺的风险大大增加。

第一、生物识别技术是生物技术、计算机技术、通讯技术及照相技术、医学技术等多种现代技术组成的技术群，各种技术自身缺陷及技术之间的适配性，使得综合使用这些技术有可能放大技术的某些缺陷，也有可能因技术不适配造成生物识别风险，如错识别、漏识别以及深度伪造指纹、人脸、声音等将导致巨大的综合性风险。

第二、生物识别信息传播风险还突出地表现为一因多果风险和互为因果风险。（一）一因多果风险。生物识别信息场景应用所改变的人们生活生产方式，改变了长期以来社会对人们的文化定义，将被识别者置于技术、社会、伦理和法律风险中。（二）互为因果风险。生物识别风险可分为技术风险、社会人文风险和制度风险，生物识别技术挑战社会人文的软性规范和制度的刚性制约，技术风险引发社会人文风险和制度风险；如果社会人文的软性规范和制度的刚性制约不足以规制生物识别技术所造成的各种挑战，又势必默许和纵容生物识别技术产生更大的风险。

第三、生物识别信息传播风险损害具有不可逆转的特征。生物识别信息采集、处理和使用完全不同于传统的个人信息使用和隐私侵害方式，客体的“技术性”和义务主体的多元性，致使其突破传统个人信息保护的基本规则，如突破“告知同意”规则损害个人信息自决权、突破“目的限制”规则损害个人知情权、“N次使用”生物识别信息侵犯个人人格权益和财产权益等。

生物识别信息“公用-商用”“人格权-用益权”二元法律保护机制

面对由技术、社会、伦理和法律等各种风险共同组成的生物识别信息综合传播风险，需要构建生物识别信息二元保护机制。生物识别信息表现为一个客体多种权益，一方是个人享有生物识别信息权益，另一方是政府拥有为社会安全和公共利益使用个人生物识别信息的权力，或者数据企业享有收集和处理个人生物识别信息的信息数据权利；对个人而言，生物识别信息又表现为人格权和财产权。实践中，既要保护个人生物识别信息合法权益，也要保护政府为社会安全和公共利益使用个人生物识别信息的权力，尤其是数据企业收集和处理个人生物识别信息的信息数据权利。因此，协调各利益主体的合法权益，最大限度保护个人生物识别信息权益、规范政府合法使用个人生物识别信息、释放生物识别信息对数字经济发展的能量。

要区分生物识别信息政府“公用”和企业“商用”，法律直接授权是生物识别信息公用的规则基础，告知同意是生物识别信息商用的规则基础。对个人而言，告知同意是保护生物识别信息人格权的基本规则，同时保护生物识别信息新型财产权；对企业而言，保护生物识别信息数据个人所有权与处理者用益权。从本质上说，生物识别信息保护与数据企业开发使用之间并不存在实质性冲突，生物识别信息保护不能阻碍数字经济发展，数据企业开发利用也不能以牺牲生物识别信息保护为代价。借助传统用益物权理论构建生物识别信息用益权保护制度，不仅有利于加强个人对生物识别信息的主动控制，还有利于规范数据企业有序处理和使用生物识别信息。

对生物识别信息综合传播风险，单一的风险治理方法难以机制性地解决生物识别应用所面临的问题和困境，更难以防范生物识别技术及应用迭代所造成的新问题和新风险。必须前瞻性地构建合理、有效、完整的生物识别信息传播法律规制体系，基于场景规范与比例原则，严格规制公权力机构、信息处理者和信息主体的权力（权利）与义务，进一步完善技术审查、平台审查、内容审查和司法救济等规制路径，建设完备、具有可操作性的侵权处罚与问责机制、风险分担机制和多渠道维权机制，才能确保生物识别信息安全传播、健康传播，助力数字经济发展和信息化社会建设。