全國人大常委會委員建議通過立法實(shí)現(xiàn)收集個人信息最小化
如何平衡公共安全與個人信息保護(hù)
□ 本報(bào)記者 朱寧寧
一個“看臉”的時代似乎悄然來臨。伴隨技術(shù)的進(jìn)步，人臉識別的應(yīng)用場所越發(fā)廣泛。尤其是新冠肺炎疫情防控期間，除了商場、超市、火車站、醫(yī)院等場所，一些居民小區(qū)也開始對出入人員進(jìn)行人臉識別。
而技術(shù)帶來方便快捷高效的同時，也帶來了越來越多的有關(guān)個人信息安全的擔(dān)憂。近日，#2元錢就能買上千張涉隱私人臉照#的話題沖上熱搜，再次觸動社會神經(jīng)。幾乎同一時間，一則“杭州擬立法明確物業(yè)不得強(qiáng)制業(yè)主人臉識別進(jìn)小區(qū)”的消息也引發(fā)廣泛關(guān)注。
究竟該如何平衡個人信息保護(hù)和維護(hù)公共安全的關(guān)系？就在上個月，備受關(guān)注的個人信息保護(hù)法草案提請十三屆全國人大常委會第二十二次會議審議。草案將應(yīng)對突發(fā)公共衛(wèi)生事件或者緊急情況下保護(hù)自然人的生命健康，作為處理個人信息的合法情形之一。
該如何協(xié)調(diào)好防疫等公共利益的需要和信息收集處理之間的關(guān)系，該怎樣通過立法手段實(shí)現(xiàn)收集個人信息最小化并符合比例原則，究竟在什么情況下應(yīng)當(dāng)收集人臉等重要信息、收集后又該如何保存保管，一旦泄露誰去追究法律責(zé)任、怎么追究……在一些業(yè)內(nèi)專家看來，草案目前的規(guī)定仍需進(jìn)一步完善，一系列問題仍有待于研究。
明確突發(fā)公共衛(wèi)生事件等情況下豁免性規(guī)定
應(yīng)當(dāng)看到，隨著大數(shù)據(jù)、云計(jì)算、物聯(lián)網(wǎng)以及人工智能等新一代信息技術(shù)的普及應(yīng)用，我國整體數(shù)字化轉(zhuǎn)型顯著提速，經(jīng)濟(jì)社會發(fā)展日益呈現(xiàn)數(shù)據(jù)驅(qū)動的新態(tài)勢，各類個人信息的處理活動不斷拓展。
尤其值得一提的是，收集個人信息并進(jìn)行大數(shù)據(jù)分析成為世界范圍內(nèi)高效社會管理的有效途徑。在此次應(yīng)對新冠肺炎疫情中，大數(shù)據(jù)應(yīng)用在重點(diǎn)人群監(jiān)測預(yù)警和統(tǒng)計(jì)分析方面發(fā)揮了十分重要的作用，為聯(lián)防聯(lián)控和復(fù)工復(fù)產(chǎn)提供了有力支持。
目前，世界不少國家在突發(fā)公共衛(wèi)生事件下均采用公共利益優(yōu)先原則，有限地突破個人信息保護(hù)屏障，跟蹤和披露疫情信息已成為慣例。
草案第二十七條規(guī)定，在公共場合安裝圖像采集、個人身份識別設(shè)備，應(yīng)當(dāng)為維護(hù)公共安全所必需，遵守國家有關(guān)規(guī)定，并設(shè)置顯著的提示標(biāo)識。所收集的個人圖像、個人身份特征信息只能用于維護(hù)公共安全的目的，不得公開或者向他人提供；取得個人單獨(dú)同意或者法律、行政法規(guī)另有規(guī)定的除外。
與此同時，考慮到實(shí)踐中也出現(xiàn)了一些個人信息無序傳播的現(xiàn)象，甚至發(fā)生了患者、密切接觸者和外地返鄉(xiāng)人員的姓名、身份證號碼、居住地址、聯(lián)系方式等個人信息被非法傳播的案例，草案說明中特別指出，在上述情形下處理個人信息，也必須嚴(yán)格遵守本法規(guī)定的處理規(guī)則，履行個人信息保護(hù)義務(wù)。
強(qiáng)化采集主體個人信息保護(hù)意識和保護(hù)義務(wù)
草案中關(guān)于應(yīng)對突發(fā)公共衛(wèi)生事件等情況下對個人信息保護(hù)的豁免性規(guī)定，成為了分組審議時不少全國人大常委會委員的關(guān)注點(diǎn)。
“應(yīng)為非公共安全領(lǐng)域個人身份識別設(shè)備的正常使用預(yù)留足夠空間，同時要給予規(guī)范和約束。”呂薇委員認(rèn)為，要界定圖像采集、個人身份識別設(shè)備、監(jiān)管規(guī)則適用范圍，建議明確在公共場所安裝圖像采集設(shè)備等需要的程序。此外，呂薇認(rèn)為，對于公共場所攝像設(shè)施所采集的信息什么情況下可以用于非公共領(lǐng)域、如何充分利用現(xiàn)有的信息資源，草案中也應(yīng)有所規(guī)定。
在劉修文委員看來，這一規(guī)定并不意味著“公共衛(wèi)生”“公共安全”可以直接成為個人信息保護(hù)豁免的萬能理由?！靶鹿诜窝滓咔榉揽毓ぷ髦?，流動人員同時面對流出地和流入地街道、社區(qū)、公安、所在單位等多層級、多部門的信息采集，既造成了行政和社會管理資源的浪費(fèi)，也加大了個人信息管理的風(fēng)險?！眲⑿尬恼J(rèn)為，通過細(xì)化個人信息共享操作規(guī)范，才能減少重復(fù)采集，提高應(yīng)對效率，防范個人信息保護(hù)豁免情況下的信息泄露。
劉修文建議，根據(jù)比例原則將個人信息的損害限定在最小范圍。具體包括：盡可能明確突發(fā)公共衛(wèi)生事件或者緊急情況下有權(quán)采集個人信息的主體；強(qiáng)化采集主體的個人信息安全保護(hù)意識和保護(hù)義務(wù)，以降低信息暴露風(fēng)險；明確突發(fā)公共衛(wèi)生事件或者緊急情況下個人信息數(shù)據(jù)共享規(guī)范和后續(xù)個人信息處理機(jī)制。
立法要平衡公共安全與個人隱私之間關(guān)系
人臉識別系統(tǒng)對于多數(shù)沒有需求的人，覺得會侵犯隱私，但是對于極少數(shù)需要幫助的人，比如走失的老人、兒童來講，就會覺得非常必要。顯然，如何進(jìn)行平衡是必須要進(jìn)行考慮的問題。
“必須要認(rèn)識到包括指紋、人臉等在內(nèi)的生物識別信息的特殊性?！敝袊嗣翊髮W(xué)法學(xué)院教授、民商事法律科學(xué)研究中心執(zhí)行主任石佳友指出，生物識別信息不但具有敏感性，與個人的基本權(quán)利和自由密切相關(guān)，還具有永久性和無法更換性?！斑@就意味著，這些個人信息一旦被泄露或者被非法竊取，將對個人的人身和財(cái)產(chǎn)安全造成重大傷害。”
在石佳友看來，目前草案中規(guī)定的“公共場所”“公共安全”還比較原則和寬泛，建議在“為維護(hù)公共安全所必需”之前增加規(guī)定“基于預(yù)防、調(diào)查違法、犯罪行為等目的”，這樣就可以防止物業(yè)管理企業(yè)任意設(shè)置人臉識別要求。
石佳友同時指出，對于個人信息的收集處理，網(wǎng)絡(luò)安全法中明確提出了合法、正當(dāng)和必要三個原則?！皞€人信息保護(hù)法立法在處理公共安全與個人隱私之間的邊界時，也要從這三點(diǎn)出發(fā)去考慮?！?/p>
值得關(guān)注的是，草案第三十二條規(guī)定，法律、行政法規(guī)規(guī)定處理敏感個人信息應(yīng)當(dāng)取得相關(guān)行政許可或者作出更嚴(yán)格限制的，從其規(guī)定。
“目前問題可能更多地還是集中在執(zhí)法機(jī)構(gòu)怎么去執(zhí)法的問題。換言之，到底應(yīng)當(dāng)由誰來監(jiān)管。”石佳友說，一直以來執(zhí)法格局比較分散，這也是個老問題。多頭執(zhí)法不但會導(dǎo)致“主體虛化”，甚至還會形成監(jiān)管的“真空地帶”，使得執(zhí)法無法有效到位。
“總之，在全面依法治國的大背景下，無論是公權(quán)力還是私權(quán)利，都應(yīng)有各自的邊界，這個邊界怎么劃？只能靠法律，這是現(xiàn)代社會治理最基本的經(jīng)驗(yàn)。”石佳友說。
進(jìn)一步構(gòu)筑生物識別個人信息保護(hù)機(jī)制
北京師范大學(xué)網(wǎng)絡(luò)法治國際中心執(zhí)行主任、中國互聯(lián)網(wǎng)協(xié)會研究中心秘書長吳沈括指出，一方面，包括人臉識別信息在內(nèi)的個人生物信息收集處理具有顯著的社會性益處，包括補(bǔ)充識別源，提高各種數(shù)字驗(yàn)證方式的準(zhǔn)確度與可靠性，助力疫情防控等社會公共治理以及產(chǎn)業(yè)研發(fā)拓展新業(yè)務(wù)新應(yīng)用；另一方面，個人生物信息被違法收集、惡意使用以及非法買賣等安全事件頻頻發(fā)生，與之伴生的電信網(wǎng)絡(luò)詐騙甚至人身傷害惡性案件屢見不鮮，使得社會公眾廣泛期待更有力的法律保護(hù)。
目前，大量被采集的包括人臉在內(nèi)的個人信息儲存尚沒有統(tǒng)一標(biāo)準(zhǔn)，法律法規(guī)對這些數(shù)據(jù)的使用也未作出明確規(guī)定。談及該如何進(jìn)一步構(gòu)筑生物識別個人信息保護(hù)機(jī)制，吳沈括認(rèn)為可以從多方面進(jìn)行完善。
吳沈括解釋說，首先是通過執(zhí)法規(guī)則的細(xì)化來完善和強(qiáng)化監(jiān)管執(zhí)法力度，提升各職能機(jī)關(guān)的協(xié)調(diào)聯(lián)動水平，實(shí)現(xiàn)信息收集處理各個環(huán)節(jié)全覆蓋監(jiān)管。其次，推動出臺針對人臉識別信息具體應(yīng)用場景的行政辦案指南與司法解釋，最大限度實(shí)現(xiàn)司法裁判與行政監(jiān)管的有序。再次，鼓勵研發(fā)升級個人生物信息保護(hù)應(yīng)用技術(shù)，豐富專門技術(shù)支撐。最后，建設(shè)針對特殊高風(fēng)險場景的風(fēng)險預(yù)警與安全響應(yīng)特別機(jī)制設(shè)計(jì)，有效應(yīng)對人臉識別信息泄露等嚴(yán)重安全實(shí)踐。此外，還應(yīng)當(dāng)注意提升第三方社會監(jiān)督介入水平，促進(jìn)涵蓋投訴、舉報(bào)、公益訴訟等社會多方參與治理生態(tài)的形成。