網絡平臺治理中的生物識別信息保護
摘 要
個人數據和隱私保護成為關注焦點的當下，網絡平臺中的生物識別信息過度采集、保存不當、權限濫用和非法交易的問題不斷引發熱議，生物識別信息保護刻不容緩。需厘清生物識別信息的內涵與特殊性和平臺視角下生物識別信息風險的類型，繼而通過分析網絡平臺在基礎設施、產業生態和企業三種屬性下形成的結構性障礙，倡導樹立以平臺為中心的治理理念和思想，并提出規范政府授權讓渡邊界、實現平臺權責統一、完善技術和主體的準入逐出標準、明確交易限制和嚴格授權等對策，從而為網絡平臺治理中的生物識別信息保護提出行之有效的建議。
內容目錄：
0 引 言
1 生物識別信息的內涵與特性
1.1 生物識別信息概念
1.2 生物識別信息的特殊性
1.3 生物識別信息的發展動因
1.4 生物識別信息的潛在風險
2 平臺視角下的生物識別信息風險
2.1 過度采集
2.2 保存不當
2.3 權限濫用
2.4 非法交易
3 生物識別信息平臺治理的必要性
3.1 互聯網平臺的基礎設施屬性
3.2 互聯網平臺的產業生態屬性
3.3 互聯網平臺的企業屬性
4 破局：以平臺為中心的治理理念和思想
4.1 規范政府授權讓渡邊界，實現平臺治理權責統一
4.2 完善行業準入與逐出標準，實現技術、制度和人員達標
4.3 明確交易限制，嚴格遵守生物識別信息單次授權、定向授權
5 結 語
0 引 言
2020年12月，一則名為“為保護個人信息，戴著頭盔去看房”的短視頻出現于各大平臺。男子在視頻中稱，戴頭盔是為了避免在售樓大廳被人臉識別系統“無感抓拍”后被房地產公司按購房類型、購房資質“看人下菜”，受到區別對待。在日常生活中采取這種極端手段保護個人權益的案例只是個案，生物識別信息的主體——公民在實際面臨采集和授權的時候往往并沒有選擇權。在個人隱私和數據保護成為焦點的當下，以《中華人民共和國網絡安全法》為代表的法律法規及政府配套措施相繼出臺，行業自律和平臺自治行動也紛紛展開，網絡技術向準確性、安全性和合法性方向不斷邁進。然而，生物識別信息中出現的過度采集、保存不當、權限濫用和非法交易等問題仍十分嚴重，生物識別信息治理仍處于空白局面，亟待加強保護與管理措施。
當前，生物信息識別技術在產業應用和技術水平上不斷發展，網絡平臺憑借其便捷性和高效性，成為了新的公共基礎設施。全方位、全時段、全屬性的生物識別技術為網絡平臺提供了巨大的利益空間，公民在使用公共服務中隱私權、財產權等遭受威脅，政府的公共權力讓渡邊界也同時變得模糊。平臺在這一問題中難辭其咎，不論是搭載生物識別信息相關功能的平臺運營者，還是進行生物識別信息后臺處理、授權存儲或轉移的第三方機構平臺，都需要彌補管理漏洞，樹立治理意識，明確治理責任。
既有研究中，對于網絡平臺的生物識別信息保護內容呈現出三大特征。一是集中論述其現象及危害，二是討論其適用的法律及其邊界，三是集中關注生物識別信息中的人臉識別信息，整體缺乏對于生物識別信息的系統性、規范性研究以及從平臺視角研究發展動因與治理措施的論述。本文從厘清生物識別信息的概念、風險和發展動因出發，分析平臺在生物識別信息保護問題中擁有的功能和屬性，進而提出相應的對策。
1 生物識別信息的內涵與特性
1.1 生物識別信息概念
生物識別信息常被簡稱為生物信息，歐盟將其定義為“通過對自然人的身體、生理或行為特征有關的特定技術處理產生的能夠識別該自然人的唯一特征的個人數據”，美國則將其定義為“個人生理、生物或行為上的特征”和“具有個人生物識別標識符的信息”。一般而言，生物識別信息包含但不限于面部圖像、指紋數據、聲紋信息、虹膜信息、步態信息、基因信息等。分類方面，按照生物特征，生物識別信息可被分為生理特征信息（如指紋、人臉、虹膜等）和行為特征信息（步態、聲音等）；按照使用場景，可被分為公共服務類（如證件簽發錄入指紋）、刑事訴訟類（如犯罪嫌疑人人臉信息）和商業應用類（如金融業務使用虹膜解鎖）信息。
目前，我國對生物識別信息從屬的個人信息保護領域較為關注，但暫時對生物識別信息沒有單獨、統一的權威定義。《中華人民共和國民法總則》規定了自然人的個人信息受法律保護，《中華人民共和國民法典》將“個人信息”與“隱私權”并列作為“人格權編”的內容并在個人信息范圍列舉中提及了“生物識別信息”。《信息安全技術個人信息安全規范》將生物信息稱為“生物識別信息”，認為其具有天然性、永久性和不可更改性的特點。在行業規范中，我國對于個人生物特征識別領域暫時沒有明確的相關文件，但對個人信息安全的應用給出了保護指南，如《互聯網個人信息安全保護指南》等。
1.2 生物識別信息的特殊性
生物識別信息具有極強的特殊屬性。首先，生物識別信息是活體數據，是自然人存在時體現出的原始生物特性，其本身具有可識別性、主體唯一性、高度穩定性、不可變更性和不可替代性的特點。
不同于需要自然人進行意愿填報的身份、住址等個人隱私信息，生物識別信息具有“無感識別”的隱蔽性特點。由于生物識別信息與特定自然人的相關屬性相關聯，極易影響與特定自然人相關的社會評價、身份名譽等人格權益，一旦被替換、冒用或濫用，將對自然人本身造成不可逆轉的影響。此外，生物識別信息不同于一般字符串信息，在識別程序上需要通過生物識別測算程序，具有識別鑒定特殊性。
1.3 生物識別信息的發展動因
其一是技術動因。生物識別技術在安全性能上的優點使其在國家安全和軍事需求下不斷發展。生物識別技術經歷了結構特征識別階段、統計特征識別階段和大數據復雜模型識別階段，逐漸在圖像和聲音采集、形態檢測、精確匹配、特征提取、識別認證、識別輸出等領域取得進步。21世紀后，生物識別技術在增強現實技術（AR）的發展下有了進一步突破。通過對接在線數據庫，自然人的生物特性與其在網絡空間的行動軌跡緊密關聯，可以實現動態捕捉、識別、輸出等功能，敏感信息在數據矩陣助力下規模積累，使“識別生物識別信息”飛躍為“預測個人可預測信息”成為可能。
其二是商業動因。生物信息識別技術使身份認證變得規模化、高效率，為商業應用打下基礎。網絡平臺本身對用戶數據天然具有收集需求，通過與生物識別技術的有效結合，商業平臺的信息共享、智能算法推薦、定向識別等目標得以實現。當前國內幾大互聯網公司均已在自身平臺上搭載了生物識別技術，與生物識別技術相關的產品的市場份額也逐年遞增，醫療、金融、教育、消費等領域都開始運用生物識別技術進行身份認定和指令操作。硬件設備（如攝像頭等）的普及也使得用戶在線下消費時成為被辨識捕捉驗證的對象，人機直接接觸的方法為商業營銷節省了許多人工成本。
1.4 生物識別信息的潛在風險
由于生物識別信息屬于個人隱私信息，其泄露、濫用和非法交易會導致公民隱私權、平等權和財產權受到侵害。由于自然人的生物特性具有不可更改的特質，這種信息一旦被盜用將無法更改或注銷，對自然人的侵害也將伴隨一生。
從國家層面來看，生物識別信息安全在國家安全中占有核心地位，生物識別信息被用于政治競爭將對社會穩定和國家戰略安全形成巨大威脅。在疫情持續存在的形勢下，生物識別信息亦面臨著耦合風險——基因信息可能被用于生物戰武器的開發。
此外，個人生物識別信息在技術上并未完全成熟，存在應用風險。生物識別信息可能通過復刻生物動作破解系統，造成財產損失；生物信息通常同步關聯其他個人信息數據，如若使用不合理，在未來可能產生影響主體理性判斷、消解社會公共信任的不良后果。
2 平臺視角下的生物識別信息風險
在網絡平臺成為基礎設施和提供公共服務的當下，網絡平臺利用政府讓渡的公權力在生物識別信息的各個環節中產生了過度采集、保存不當、權限濫用和違法交易等問題。
2.1 過度采集
生物識別信息采集需要符合合法公開原則、目的限制原則、最小數據原則和數據安全原則，尊重用戶的隱私權和知情權。但在實現過程中，平臺軟件往往會對生物識別信息進行過度采集。
一是公共場合的非法無感識別。生物識別信息可以在人機之間直接交互，這種無須主體主觀意識授權、非接觸性的特點極大地增加了自然人在公共場合時的生物安全風險。目前，生物識別信息的收集在多數情況下成為一種“非法的必然”。2020年央視“3·15”晚會曝光個別商家在消費場景中使用人臉識別攝像頭，通過拍攝用戶的人臉照片、進行人臉識別，收集顧客的訪問時間和路徑，并與消費金額進行匹配，以便后續擬定針對不同客戶的接待標準及報價基準。生物信息的無感采集存在“出現即采集，采集即授權，授權即合理”的強盜邏輯，不符合維護公共安全的價值利益。
二是平臺協議強迫性采集同意。收集個人信息必須滿足“單獨告知”及“取得明示同意”的雙重要求。但是，在收集過程中，平臺往往通過注冊協議等形式對用戶信息進行先期采集，再進行強迫性修改或變更。據調查顯示，微信平臺上的16款健康碼小程序存在未設置用戶協議和隱私政策直接進入信息填報注冊頁面的問題。平臺協議強迫性采集同意的問題在于，若信息主體不同意生物識別信息被收集，就無法享有公共服務。一些平臺甚至在服務協議中使用“向第三方傳輸生物識別信息以進行身份認證”等條款，但第三方的資質、數量、傳輸過程均是未知。
2.2 保存不當
盡管《中華人民共和國網絡安全法》要求關鍵信息基礎設施的運營者在中國境內的個人信息和重要數據應當在境內存儲，其他配套法律也對數據保存做出明確規定，但當前生物識別信息仍然存在保存不當問題。
一是保存安全級別混亂。信息安全保護等級分為用戶自主保護級、系統審計保護級、安全標記保護級、結構化保護級和訪問驗證保護級五級，不同等級的網絡運營者負有不同安全保護義務。但現行生物識別信息保存種類體制中，并沒有按照網絡安全等級保護、網絡產品和服務管理等層次執行，存在管理漏洞。2020年12月，成都一位“新冠”確診病例孫女的活動軌跡圖、人臉照片等信息在網絡上瘋傳，并遭到網友人身攻擊和謾罵。由于平臺缺乏對生物識別信息的分級保護，缺乏硬件和軟件的分級建設，導致公民個人權利受到侵害。
二是保存周期和保存量不明，銷毀和作廢保護制度缺失。個人信息主體具有刪除、撤回授權、注銷賬戶、獲取個人信息副本的權利，但這無法遏制生物識別信息保存周期不明確甚至被非法存儲占有的問題。2019年，換臉應用程序 ZAO由于其協議中存在存儲個人面部生物識別特征信息，以及用戶無法刪除信息或注銷賬號等高風險條款，而被叫停整改。由于授權主體在生物識別信息存儲和銷毀上存在制度缺陷、缺乏資質保障的問題，生物識別信息的原始數據可能未被刪除，其相關分析成果亦有可能被用于非法用途。
2.3 權限濫用
生物識別信息的使用應建立在明確特定使用目的這一基礎上，并同時符合目的限制、誠實信用和公開透明的要求。當前，生物識別信息仍存在權限濫用問題。
超越目的限制的權限授用。2018年中國消費者協會發布《100款App個人信息收集與隱私政策測評報告》，報告顯示10款App對可識別生物信息的使用權限未能向用戶明確告知，涉嫌濫用個人生物識別信息。以拍照軟件為例，用戶的攝像鏡頭拍攝到的指紋可通過照片被識別提取還原，利用光學技術和人工智能畫質增強技術實現指紋細節刻畫，使生物識別信息在用戶登陸時授權后被隨意濫用。
權限關聯和共享使用。單一平臺的數據使用權限往往會超過協議內容，依托平臺背后的產品體系，生物識別信息向整個產品系統和產業鏈擴散。以互聯網金融平臺為例，由于這些平臺多使用生物識別信息進行支付操作，平臺可以定向識別并在支付消費場景中營銷金融產品，如第三方支付公司對網絡購物附加投資理財功能等，對資本管理市場帶來沖擊。
2.4 非法交易
我國的數據信息交易平臺在設計、運營、定價、準入等體制機制上尚未完善，也未出臺針對數據交易和應用的專門性法律法規。這與數據產業商業化的加速擴張形成了張力。近年來，中國生物識別市場規模從2016年的127億元增長至2019年的224億元，年均復合增長率為20.6%，預計2021年將達326億元。與此同時，地下非法交易也發展壯大起來。
當前生物識別信息的非法交易的主要形式為批量售賣。有調查發現5000張人臉照片僅售價10元，賣家甚至可提供同一人臉部各角度的多張照片。這種以技術手段幫助無資質人群完成實名認證以獲取利益的模式催生了大量的“人臉產業”。在實際執法過程中，由于人工智能應用范圍的限制和生物識別信息非法收集的力度較小等原因，難以做到違法必究。這些違法或灰色行為受到的懲罰和代價常常較小，國內的平臺在強大的利益驅動下往往更易知法犯法。
3 生物識別信息平臺治理的必要性
治理生物識別信息在采集、保存和開發利用過程中出現的亂象，必須牢牢把握住平臺這一中心。這既是由平臺在生物識別信息利用過程中的多重角色決定的，也是由平臺自身的基本特性形成的。平臺是生物識別技術的推動者、利益的獲得者和信息轉存的中介者，這就決定了治理生物識別信息問題必須以平臺作為抓手。然而，互聯網平臺在治理問題上并非天然向善。平臺在發展過程中形成的基本特性成為了生物識別信息平臺治理的結構性障礙。
3.1 互聯網平臺的基礎設施屬性
生物識別信息平臺治理難點首先在于平臺的基礎設施屬性。網絡平臺將資本和技術優勢轉化為用戶和數據優勢，使其在本質上具備能力并開始承擔公共服務，繼而對傳統政府提供的公共服務領域滲透擴張。究其原因，除了互聯網平臺的主動“圈地”，還在于政府和公共部門為了提高公共服務的便利性和效率的目的下將部分公權力讓渡給了網絡平臺。
然而，生物識別信息的市場化運作存在著巨大的社會風險和權力瑕疵。互聯網平臺的基礎設施屬性使其更易隱蔽地獲取數據，但公民接受生物識別信息的采集并不意味著公民個體喪失了數據所有權和數據使用知情權，更不意味著公共部門能夠隨意地將其轉授權給網絡平臺或者商業部門。在權力讓渡成為必然時，政府部門也需要扮演好監管者的角色。
3.2 互聯網平臺的產業生態屬性
生物識別信息平臺治理難點還在于平臺的產業生態屬性。《關于構建更加完善的要素市場化配置體制機制的意見》強調“加快培育數據要素市場”，凸顯數據信息在產業發展、經濟轉型和社會治理中的重要地位。互聯網平臺在數據信息的市場利用方面具有得天獨厚的優勢，但這種便利也為互聯網平臺的數據治理帶來隱憂。為了在產業鏈中占據主導地位，處于同一互聯網生態系或者產業上下游的平臺往往將其獲得的數據作為資源開放共享甚至進行數據交易。谷歌推出的Buzz服務與Gmail郵箱信息高度綁定，Facebook用戶信息向第三方平臺開放都曾引發過關于數據共享和隱私權保護問題的法律糾紛。
互聯網平臺為實現產業存續發展，往往將授權過程前置到用戶使用協議或者隱私政策條款中，后續進行二次使用時不會再次征詢用戶的授權或提供取消授權、刪除相關信息的選項，規避責任。平臺通常會通過集成海量大數據資源的方式進行交易，但當前法律判定存在的技術和制度困難又使用戶在維權時很難獲得有效的司法救濟。
3.3 互聯網平臺的企業屬性
生物識別信息平臺治理難點還在于平臺的企業屬性成為生物識別信息利用的原生動力。企業在逐利本質下必然充分利用手中的各項生產要素，這就成為互聯網平臺對于用戶數據“物盡其用”的原生動力。臉書曾因非法對用戶上傳的圖像和照片進行人臉識別而面臨集體訴訟，該案件以臉書關閉該項功能并刪除大量用戶數據告終。亞馬遜、谷歌、IBM和微軟等公司都自主研發了人臉識別軟件，并將其廣泛應用于金融服務，根據用戶的生物特征信息，推測其投資狀況并推送個性化金融廣告。
對生物識別信息商業化的治理不能僅僅依靠行業的自律，建立健全治理體系更為重要。實現生物數據的有效治理，關鍵是要創造一個良好、公平的治理生態，為數據收集、保存、交換和使用過程中的“最小限度”建立公平、規范的保護措施。
4 破局：以平臺為中心的治理理念和思想
平臺在生物識別信息的發展過程中扮演的重要角色和平臺自身屬性所造成的結構性問題，都決定了平臺在生物識別信息治理中的關鍵地位。平臺作為貫通生物識別信息采集、存儲、使用等各個環節的重要抓手，管住它就是管住數據，平臺的有效治理才是生物識別信息的安全保障。
4.1 規范政府授權讓渡邊界，實現平臺治理權責統一
圖1 平臺、政府和公民之間的關系模式
如圖1所示，生物識別信息的不可變更性和唯一識別性共同決定了其在數據信息中的特殊地位。對于生物識別信息必須加以高度保護，減少政府對于平臺的賦權，采取“原則禁止，例外允許”的原則，嚴格規范生物識別信息采集、保存和利用的場景與條件，加強平臺監控、落實平臺責任，確保平臺治理的權責統一，避免公共權力的尋租與濫用。權力讓渡需要注意社會福利和公民權利的平衡，注意政府治理能力和治理權力的對稱。
從公民維度看，公民對平臺有剛性需求，公民要想享受政府的治理成效、享受公共服務，就必須遵守平臺服務提供者設定的規則。不同于政府，網絡平臺同時兼具私有性和公共性。一旦網絡平臺在事實層面主導公共服務的具體形態，其在網絡空間實質上成為了“第二政府”但由于網絡平臺具有私有性質和產業鏈性質，平臺設計、數據運營等重要環節實際上以經濟利益和用戶流量為轉移，缺乏對于公共價值的思考和維護，公民個人和國家的權益難以保障。
因此，必須規范政府讓渡賦權邊界的尺度。而對于已授權的部分，則要完善平臺問責制度，實現權利與義務的統一。作為賦權主體，國家公權力和強制力是確保平臺承認責任的基礎與保障。平臺作為權力的繼受者代理政府承擔公共服務，獲得公民授權的政府部門應當承擔起監管平臺的義務；對于公民個體，應當建立配套措施保障其在生物識別信息遭到泄露時獲得救濟的權利；在社會層面，應當事先對平臺進行社會監督。社會對于平臺的監督能夠一定程度上敦促平臺維護社會聲譽，進而提升安全意識，激發其管理和自律的生動力。
4.2 完善行業準入與逐出標準，實現技術、制度和人員達標
應當完善生物識別信息行業的準入標準，從行業主體角度進行規范。建議采用技術準入與主體準入雙達標的標準，對行業主體進行審查與規范。當前我國采用的是多機構混合分散監管模式，容易造成監管上的交叉與空白，建議成立專門機構對行業主體的權力授予、過程監管和服務支持全過程進行宏觀把控與統一管理。
行業主體必須資質達標。一是技術達標：行業主體必須具有符合國內或者國際標準的技術資質和足夠安全保密的算法來確保生物識別信息采集、存儲和使用全過程的安全，避免信息遭到攻擊和泄露，行業主體應確保算法的透明度以實現對技術的合理審查，避免技術黑箱下的技術濫用；二是制度達標：行業主體必須經過專門機構評估，只有具備相應的風險管理能力和充分的應急預案才能獲得相應資質和許可。同時，“嚴入”還應與“嚴出”結合。除了準入機制的審查之外，還應完善行業的逐出機制，提高違法成本；三是人員達標：無論是平臺還是個體從業人員，一旦曾經參與生物識別信息的違法犯罪活動，便應永久排除其參與相關行業的資質。在此基礎上，加大數據執法力度，充分落實平臺責任，采用有關主管部門責令改正、警告、沒收違法所得、罰款、責令暫停相關業務、停業整頓、關閉網站、吊銷相關業務許可證或者吊銷營業執照等綜合性治理手段，多管齊下，營造清朗的網絡空間。
4.3 明確交易限制，嚴格遵守生物識別信息單次授權、定向授權
對于生物識別信息應當嚴格采取知情同意標準，落實單次授權、定向授權的授權方式，明確禁止平臺利用生物識別信息進行交易。
我國應當結合平臺實踐，對當前授權制度進行完善。平臺對于用戶信息的采集，必須清晰、完整地告知用戶且獲得用戶的明確許可。更為重要的是，每次對于用戶生物識別信息的使用都應當單獨重新進行授權，不得對于生物識別信息進行轉授權，防止同一生態系、同一企業內部數據“串聯”并攫取經濟利益。
此外，由于市場主體的逐利的“先天不足”，行業還應逐步實現“去平臺化”，擺脫對于市場主體的依賴。一方面，建議加大網絡平臺完善在生物識別信息采集、使用、保存和交易等方面的相關建設，加快網絡數據體系性制度設計、流程控制、監管制度和責權制衡機制；另一方面，去平臺化并不表示取締平臺，而是強調多主體多平臺參與，加大公有資本在網絡平臺的構建和運營中的占比和權重，強化國有企業在網絡信息平臺的產業鏈條中的關鍵作用，呼喚政府這一治理主體的重新回歸。
5 結 語
生物識別信息嵌套于日常生活的當下，平臺對公民私人權利的侵害和平臺與政府間不當權力讓渡的問題必須引起重視。作為社會信息系統的重要組成部分，平臺對生物識別信息的采集、保存、使用和交易必須設定紅線，以切實保障國家和公民的切身利益。因此，需要理順公民、政府和平臺三者之間的責權關系，樹立以平臺為中心的治理理念和思想，完善行業標準、明確規則限制，不斷建立健全網絡綜合治理體系，為我國互聯網的長足發展樹立起一把“信息安全保護傘”。
引用本文：田麗,畢昆.網絡平臺治理中的生物識別信息保護[J].信息安全與通信保密,2021(7):28-36.
田 麗（1982—），女，博士，北京大學新媒體研究院副院長、北京大學互聯網發展研究中心主任，主要研究方向為新媒體與網絡傳播、媒體經營管理、編輯出版等。
畢 昆（1994—），女，碩士，北京大學互聯網發展研究中心助理研究員，主要研究方向為網絡空間治理。
選自《信息安全與通信保密》2021年第7期（為便于排版，已省去原文參考文獻）
