习近平总书记强调，国家网络安全工作要坚持网络安全为人民、网络安全靠人民，保障个人信息安全，维护公民在网络空间的合法权益。大数据时代，个人生物识别技术突飞猛进，对人脸、指纹、虹膜、声纹等识别技术的广泛应用，产生了很多新型法律问题，需要立法、执法、司法等方面及时回应，以充分保障个人信息权益。

《信息安全技术个人信息安全规范》规定个人生物识别信息属于个人敏感信息，包括个人基因、指纹、声纹、掌纹、耳郭、虹膜、面部识别特征等。人脸识别技术是最为广泛的应用技术之一，应用场景日益丰富，不断刷新人们的想象力。例如通过大数据精准研判，将身负七条人命、潜逃20年的劳荣枝抓获归案，就运用了人脸识别技术，最终通过DNA识别确证了身份。现如今，刷脸开机、刷脸打卡、指纹考勤……应用场景的丰富和行业需求的高涨，进一步推动了生物识别技术的发展，带来生活方式的变革和生产效益的提升，但也带来一系列安全风险，凸显个人信息保护问题的严峻。

由于人脸识别效率高、系统成本低，在商场、景区、小区等场所存在不同程度的人脸识别技术滥用现象。例如，济南“戴头盔看房”事件引发热议，售楼处的“无感式”刷脸，导致购房者人脸信息泄露与购房价格“杀熟”；大量App没有明确的人脸识别使用协议，在人脸识别功能中没有单独征得用户同意；有些卖家在网络售卖人脸、声纹等个人生物识别信息，导致“被贷款”“被诈骗”等案件时有发生。个人生物识别信息的泄露将导致人身、财产面临风险。2020年9月，广西南宁某中介公司工作人员诓骗十几名业主进行刷脸操作，受骗总额超1000万元。近日，安徽省首例利用生物识别信息犯罪的案件成功破获，该犯罪团伙大量收购声纹、人脸等信息，为电信网络诈骗、网络赌博等多类违法犯罪活动提供条件。

我国立法积极应对个人生物识别信息保护的新情况、新问题。民法典在人格权编规定了生物识别信息受法律保护。数据安全法明确规定国家保护个人数据权益，建立数据分级分类保护制度。酝酿多年的个人信息保护法于今年11月1日起实施，确定了敏感个人信息的特殊处理规则，明确处理生物识别信息应取得个人的单独同意。规定在公共场所安装图像采集、个人身份识别设备，应当为维护公共安全所必需，遵守国家有关规定，并设置显著的提示标识。个人信息保护法是中国智慧和世界经验的结晶，需要司法和执法的后续接力，真正成为保障个人信息权益的基本法。

今年4月9日，浙江杭州中院对“国内人脸识别第一案”作出二审宣判，判决杭州野生动物世界将指纹识别变更为人脸识别入园构成违约，并判决删除上诉人的指纹识别信息。7月28日，最高人民法院发布规范人脸识别技术的司法解释，强化人脸信息的司法保护。个人信息保护法将个人信息保护纳入检察公益诉讼领域。最高人民检察院下发通知，明确各级检察机关在履行公益诉讼检察职责时对生物识别等敏感个人信息加以严格保护。人民法院和人民检察院一同筑起保卫个人生物识别信息的坚强司法屏障。

在行政执法方面，今年“人脸识别行政处罚”案件多发生在房屋销售行业。此外，不少地方纷纷出台新规保护个人生物识别信息——天津禁止市场信用信息提供单位采集人脸、指纹、声音等生物识别信息，北京、杭州等地也拟限制物业管理对人脸识别的应用。

由于个人生物识别信息开发的巨大价值及其数据安全风险，多个国家和地区纷纷立法对个人生物识别信息予以保护。如欧盟《通用数据保护条例》（GDPR）以及美国伊利诺伊州《生物信息隐私法》、华盛顿特区《生物识别信息法》等。相关立法模式有两种，一是综合立法保护模式，如GDPR、英国的《数据保护法案》等；二是专门立法保护模式，以美国伊利诺伊州、华盛顿特区为代表。我国可以汲取有关经验，制订专门的个人生物识别信息保护法，规定生物识别信息采集、利用的特殊规则，对生物识别信息权益内容与数据控制者的责任义务等作出明确规定。

为全面保护个人生物识别信息，应构建行政、民事、刑事等多元共治的法律体系。在行政法律保护方面，建议设置独立的数据保护监管机构；进一步完善个人生物识别信息的行政控诉制度。在民事法律保护方面，建议推动个人生物识别信息权利化的进程，奠定侵权损害赔偿的请求权基础，完善相应的民事救济机制。在刑事法律保护方面，建议设置侵害个人生物识别信息的相关新罪名，打击非法使用和交易指纹、声纹、虹膜、DNA等生物识别信息的违法犯罪行为。

公众也要加强保护个人生物识别信息的意识，如改变比“剪刀手”拍照的习惯，不使用“面相测试”等小程序，不轻易尝试基因检测，采用替代方案避免以“刷脸”“指纹识别”“声纹识别”等换取便利的做法。遇有侵害个人生物识别信息的违法行为，及时依法投诉、举报、提起诉讼，运用法律武器保护自身合法权益。

文/吴文嫔（北京市习近平新时代中国特色社会主义思想研究中心特约研究员、北京交通大学法学院教授）

图源/视觉中国

编辑/姬源