近年来，生物识别技术因其准确性和便捷性现得到广泛使用，随着生物识别技术的快速发展已超越监管范围，自然人的生物特征识别数据在采集、保存使用及流转的过程中无不存在风险。实际上，有关酒店人脸识别、销售中心购置人脸识别设备，以及利用人脸识别技术衍生的贩卖公民信息数据等新闻屡屡引起社会关注。数据是形成新质生产力的优质要素，在数字经济下，生物特征识别数据安全显示出前所未有的重要性。

一、生物特征识别数据保护的紧迫性

随着数字化、数据化产业迅速成熟发展，打破传统生产要素概念和生产形式，近二十年来，数据已经成为新质生产力的优质生产要素，而对生物特征识别数据的深入应用正在不断加速生产方式的创新和变革。通过摄像头、录音设备、传感器、医学检测等设备利用生物识别技术即可用于采集大量信息，对涉及自然人的物理、生理或行为特征，通过技术处理形成的个人数据可成为确认自然人的唯一标识，正广泛应用于图像识别、人脸识别、自动驾驶、基因检测、语音识别等技术，通过大数据、深度学习算法等方式，将生物特征识别数据的价值持续释放，促进产业升级、经济发展。这些生物特征识别数据（包括人脸、指纹、皮下静脉、虹膜、体态、步态等生物特征数据）具有唯一性、稳定性和持久性等特征，通过生物特征识别技术，能够被快速采集、分析、存储与识别。我国这样一个人口众多的国家，对生物特征识别数据的保护已成为一个重要的问题，数据安全显示出前所未有的重要性。在享受生物识别技术给我们带来便捷的同时如何保护好生物特征识别数据，这既是对个人数据安全的保护的需要，也是落实总体国家安全观下数据安全的要求，对驱动新质生产力发展也至关重要。

二、有关生物特征识别数据法律保护现状

很长一段时间以来，我国并未对个人数据与个人信息作出明确的区分，这就导致了我国对个人数据的法律保护不足，尤其是关于生物特征识别数据有很大漏洞。目前我国有关法律对生物特征识别数据进行保护的主要依据是民法典、刑法、居民身份证法、个人信息保护法、数据安全法、网络安全法等。但与这一新兴产物给社会带来巨大便利和隐藏着巨大的风险相比，法律上并未对生物特征识别数据的收集、处理、流通、开放、共享等过程作出明确规定，国内对生物特征识别数据的保护极不充分。

虽然民法典确立了个人信息保护规则，首次从民法范畴提出个人信息权益，并明确个人信息保护的基本规范，但信息与数据并不相同，数据是构成信息的基础，而非个人信息权益的客体。网络安全法对个人信息进行了较为详细的法律定义，并采用列举的方式将“生物特征信息”作为个人信息之一进行保护。我国现行法律中对生物特征识别数据的保护仍然在个人信息的框架之下，虽然数据安全法开始将个人数据与个人信息相分离，但由于立法分散，相应的支持和保护还未达到体系化系统保护，相比较于欧盟《通用数据保护条例》（GDPR），有关生物特征数据保护的具体措施和惩戒制度尚不完善。

三、完善生物特征识别数据体系化法律保护

人工智能、大数据、物联网发展与个人数据安全的关系引发广泛关注，尤其是前述生物识别技术引发的一系列问题，都表明需要从权益构造、知情同意收集、数据应用监管、公民救济权利等方面加强对生物特征识别数据安全的保护。

一是明确生物特征识别数据的权益构造。在现行法律规范中，可以将生物特征识别数据作为个人信息权益的衍生权益，同时，认为数据权利是一种新型的财产权利的观点也越来越获得更多的支持。因此，就生物特征识别数据而言，其兼具人身与财产的双重属性。因此，有必要以生物特征识别数据的有用性与有益性为基础，将其所承载的自然人信息以及背后隐含的对个人、企业和国家的利益内容作为法律保护的对象。生物特征识别数据权益还涉及与人权的关系问题，主要是数据运用过程中与隐私保护的关系。生物特征识别数据的运用以数据的收集为基础，以数据的应用为目的，不可避免的是个人信息在收集者与使用者之间的流动传播，互联网时代使得隐私侵权更加多元、更加隐蔽，影响也更大，传统的个人隐私“私域”被打破，随着数据开放共享向“公域”延伸，需要细化多层次的生物特征识别数据保护的技术法规，保持个体隐私与公益利用之间的平衡。

二是坚持更加审慎的生物特征识别数据知情同意收集原则。知情同意原则是收集生物特征识别数据的首要规则，无论相关收集条款如何设计，知情同意都是不可被默认的规则。但实际中往往被长篇累牍的格式条款所淹没，作出知情同意的决策往往是非理性的、流于形式的。第一，应当强化收集主体的告知义务，如何确保被收集主体是基于充分认知与合理预期作出同意决策是必须解决的问题。在知情同意的规范设计上应当对同意收集的合法性授权与其他格式条款分类授权，对同意类型和确认授权的有效形式也应当更加审慎。第二，需要禁止由知情同意派生其他权利，生物特征识别数据的权益属于公民的绝对权（益），是反映公民参与社会生活时个人社会属性，对生物特征识别数据收集的知情同意决策不产生对数据使用、开放共享的授权或间接授权。第三，收集者提出收集生物特征识别数据，应当默认其承担对相应数据的安全保管义务。无论是政务数据、公共数据、企业数据，保障相关数据安全需要从法律、政策、科技、伦理多方面共同发挥作用。

三是在促进数据交换流通的基础上，通过多种途径的数据应用监管加强数据保护。第一，建设强力行政监管模式，完善多层分类别的数据标准，加强对数据获取、数据共享和数据流动的监管，加强对生物特征识别数据的行政监管。监管上可以考虑增加有关数据垄断和反不正当竞争条款，探索建立与反垄断局或者网信办合署办公的专门监管机构，对违反数据管理或者侵犯生物特征识别数据的行为，探索适用分类处理且有限制的高额罚款，或者追究相应的刑事责任，通过提高处罚的严厉程度，提高对生物特征识别数据保护的重要性认识。第二，坚持引导与监管并重，鼓励企业、行业将技术法规与企业标准、行业标准融合，鼓励企业设置数据安全审查部门或者设立数据专员，主动进行业务合规处理。第三，加强对数据第三方跟踪行业的监管。对应用技术企业背后的第三方跟踪企业，对其在应用过程中造成的后果，根据风险分担原则认定责任和承担责任的范围，对其出现的垄断数据交易、不正当竞争问题进行严厉打击。

四是更加注重公民的救济权利。第一，应当认真考虑公民的不同意见或者疑义。当涉及大型机构或者公共服务项目时，个体的数据安全往往被反复提及，对于处理敏感数据的项目和技术，应在项目的早期阶段同步进行数据保护的影响评估，以查明潜在的安全隐患，并根据保护数据安全的技术要求调整分析方法。第二，赋予公民申请执法机构调取证据的权利。对于侵犯公民生物特征识别数据安全的行为，应当降低权益人在维权过程中的难度，在查证方面可以允许公民向执法机构申请调取证据，在诉讼中也可以向法院申请向有关机构调取证据。

四、结语

生物特征识别数据的价值在大数据时代日益凸显，而自然人的天然弱势地位导致其难以掌控自身数据。在社会不断发展的过程中，如何准确识别一个人的身份是一个关键的社会性问题，生物特征识别技术相比传统识别拥有无可比拟的优越性。生物特征识别作为一个新兴的技术和产业，迫切需要法律及行业标准加以引导，注意加强对生物特征识别数据的同步保护，在发展生物识别领域的同时保障生物特征识别数据的安全。目前，中国已经建立了较为完整的生物特征识别产业链，国内企业已经较有规模，在移动互联网领域，与生物特征识别相关的应用和产品将成为发展的潮流。随着中国的生物特征数据相关保护措施的不断探索，逐步找出适合我国国情的、可行的自然人生物特征识别数据保护模式，使生物特征识别数据这一优质生产资源持续作用于新质生产力，适应大数据时代的新浪潮，促进我国经济的发展。

来源：法制日报

编辑：高琳琳

初审：曾淑平

终审：夏志明