刘宪权
华东政法大学教授，法学博士，上海市法学会刑法学研究会会长
陆一敏
华东政法大学刑事法学院博士研究生
要目
一、生物识别信息的特征及安全风险
二、生物识别信息刑法保护的现状及存在的问题
三、生物识别信息刑法保护的立场和角度
四、生物识别信息刑法保护相关规定的完善
五、结语
生物识别信息是用于自动身份鉴别、状态分析与属性估计的人体生理和行为特征信息，具有唯一性、稳定性、易收集性与公利性的特征。非法获取、提供与使用生物识别信息可能构成对他人人格权益、财产权益、公共秩序甚至国家利益的侵害。现行刑法与司法解释从个人信息犯罪“产业链”的源头与尾端对个人信息提供了相对完整的刑法保护，但无法实现对生物识别信息的特别保护。应当坚持以人格权益为中心、以预防为导向的立场完善对生物识别信息的刑法特别保护。在个人信息犯罪“产业链”的源头，将生物识别信息在个人信息分类分级中明确定位为“敏感个人信息”，并将相关侵犯行为的起刑点设定为50条；在个人信息犯罪“产业链”的尾端，将非法使用生物识别信息行为纳入侵犯公民个人信息罪的规制范围；在个人信息犯罪“产业链”的中间环节，将对生物识别信息的非法“持有”行为纳入侵犯公民个人信息罪的规制范围，以实现对非法留存行为的有效规制。
近年来，随着我国数字化与智能化建设的推进，以人脸识别为代表的生物识别技术得到了迅猛发展，并被广泛应用于商业交易、治安防控、医疗卫生、政府治理等领域。应该看到，生物识别技术的出现，在给人们生活和社会的管理带来极大便利的同时，也确实引发或带来了较多的违法犯罪现象，实践中非法收集、交易和滥用生物识别信息的行为层出不穷、屡见不鲜。相关的违法犯罪行为不仅严重侵犯公民的信息数据权利，还会造成社会管理秩序的混乱，甚至威胁到国家安全。尽管《刑法修正案（七）》将侵犯公民个人信息情节严重的行为纳入刑事打击范围，《刑法修正案（九）》进一步扩大了打击范围，但现行刑法对于生物识别信息仍然没有给予特别的保护。在当前信息网络普及的背景下，如何有针对性地完善对生物识别信息的刑法特别保护，应该成为我们必须直面且亟待解决的问题。基于此，本文将从侵害个人生物识别信息行为引发的风险入手，详细分析现行刑法有关规定及其存在的问题，并在确定刑法保护应然立场的基础上，在个人信息犯罪“产业链”的源头、中间以及尾端各环节对现行刑法保护规定予以完善与加强，以覆盖生物识别信息安全的全生命周期，从而实现刑法对生物识别信息的特别保护。
一、生物识别信息的特征及安全风险
生物识别信息的内涵及特征
现有法律规范或国家标准中尚未对生物识别信息作出明确的定义。尽管在年施行的《网络安全法》、年施行的《民法典》与年最高人民法院《关于审理使用人脸识别技术处理个人信息相关民事案件适用法律若干问题的规定》均提及了生物识别信息，但上述法律规范或规定个人信息包括生物识别信息，或明确人脸信息属于生物识别信息，却并未对生物识别信息的概念作出描述或界定。国家标准化管理委员会年发布的国家标准《信息安全技术个人信息安全规范》对生物识别信息进行了列举，包括“个人基因、指纹、声纹、掌纹、耳廓、虹膜、面部识别特征等”，但也未说明何谓生物识别信息。实际上，顾名思义，相关法律规范与国家标准中提到的生物识别信息指的就是通过生物识别技术所分析获取的特定个人信息。根据年发布的《生物特征识别学科发展报告》，生物（特征）识别是指“智能机器通过获取和分析人体的生理和行为特征，实现自动身份鉴别（‘你是谁？’）、状态分析（‘姿态/喜怒哀乐？’）、属性估计（‘性别/年龄/人种？’）的科学和技术”由此可知，我们可以对生物识别信息作如此定义：用于自动身份鉴别、状态分析与属性估计的人体生理和行为特征信息。
值得注意的是，除“个人信息”与“生物识别信息”之外，相关法律规范与国家标准中还出现了“敏感个人信息”的概念，因此有必要厘清前述几个概念之间的关系。早在年发布的我国首个个人信息保护国家标准《信息安全技术公共及商用服务信息系统个人信息保护指南》中，已经明确将“个人信息”分为“个人一般信息”和“个人敏感信息”。而在年8月20日全国人大常委会发布的《个人信息保护法》中又有规定，“敏感个人信息”包括“生物识别信息”。从中我们不难看出，“个人信息”“敏感个人信息”与“生物识别信息”之间呈包容关系，“个人信息”的外延范围最大，包括“敏感个人信息”，而“敏感个人信息”又囊括“生物识别信息”。
相较于其他个人信息，生物识别信息具有以下四个方面的显著特征：其一，唯一性。每个人都是一个独立的生物体，对应一套独一无二的生物识别信息。以虹膜信息为例，虹膜图像存在许多随机分布的细节特征，而这些细节特征的形成主要取决于胚胎发育环境的随机因素。因此，即使是双胞胎、克隆人乃至同一个人的左右眼，虹膜图像之间也有显著差异，这也就决定了虹膜信息的唯一性。相较于其他个人信息，生物识别信息的唯一性为高精度的身份识别奠定了基础，因而得以在公共安检、商业支付、刑事侦查等领域广泛运用。其二，稳定性。以姓名、身份证号码、账号密码为代表的其他个人信息可以随时修改，但生物识别信息是个人的生理或行为特征，一旦形成便很难改变。例如，虹膜从婴儿胚胎期的第3个月起开始发育，到第8个月主要纹理结构成形。在角膜的保护下，发育完全的虹膜很难受到外界的伤害，除非经历危及眼睛的外科手术，此后几乎终身不变。因此，生物识别信息一旦泄露就会给信息主体造成不可逆转的损害，而无法通过修改的方式加以弥补。其三，易采集性。在生物识别技术迅速发展的今天，生物识别信息的采集往往不需要紧密接触，甚至可以做到，在信息主体毫不知情的情况下，采集其个人生物识别信息。无论是人脸、虹膜，还是笔迹、步态或声纹等信息，都不可避免地在日常生活中展现出来。例如，在“晒自拍”的过程中对自己的照片不加处理，直接发布在社交媒体上，就极易被他人收集人脸信息。而只要拥有生物识别的智能装置，就能在信息主体毫无意识的情况下收集其生物识别信息。从这个角度而言，生物识别信息相较于其他个人信息更加容易受到侵害。其四，公利性。生物识别信息除了具有其他个人信息所具备的人格利益与财产利益之外，还体现了极强的公共利益属性。当前我国公共领域中生物识别信息运用广泛，例如新冠肺炎疫情期间通过人脸识别追踪患者行踪与密切接触者；机场、高铁站等公共场所通过人脸识别安全检查等。通过采集生物识别信息，政府得以提升管理水平、强化社会治理。此外，生物识别信息还被用于反恐等活动，对国家安全与国际合作都具有重要意义。
侵害生物识别信息行为引发的风险
正如前述，随着生物识别在我国相关领域的广泛运用，侵害生物识别信息行为引发的风险也相应产生，主要表现在以下几个方面。
其一，非法获取、提供与使用生物识别信息可能构成对人格权益的侵犯。对公民个人而言，人格权益是基于人身自由、人格尊严而产生的姓名权、肖像权、名誉权和隐私权等权益。生物识别信息源于公民个人的生理或行为特征，承载了最为隐私的个人数据。透过个人基因、声纹、虹膜、步态等生物识别信息，能够分析出一个人的身份、性别、年龄、人种、情绪状态、身体缺陷等内容，这些内容集中体现了强烈的人身专属性。因此，侵犯公民个人生物识别信息可能直接导致姓名权、肖像权、名誉权乃至隐私权受到侵害，进而导致以人身自由、人格尊严为基础的人格权益被侵犯。例如，印度女记者拉娜·阿尤布（ranaayyub）因为发表一篇关于腐败现象的报告，被不法分子利用她的人脸信息，伪造以她为主角的色情视频，并放在社交媒体上广泛传播。不法分子非法利用拉娜·阿尤布生物识别信息的行为严重侵犯了她的肖像权、名誉权以及隐私权等人格权益，给她的身心健康造成严重创伤。
其二，非法获取、提供与使用生物识别信息可能构成对财产权益的侵犯。随着信息化建设的推进，生物识别信息成为重要的生产资料和社会财富，本身具有一定的财产价值。正因为如此，商业科技公司在收集人脸信息的时候通常都会给予信息主体一定的对价。例如，支付宝和
