福建农林大学 唐云羿

一、前言

生物识别信息的保护日益严峻，大数据对个人信息的收集乃至侵犯层出不穷。传统以知情同意为表征的财产规则显得力不从心。为此，如何有效进行生物识别信息的法律保护日益紧迫。

二、责任规则构建的可行性

法律经济学的“卡-梅框架”提出了三种法益保护的理论模型，分别是禁易规则、财产规则和责任规则。禁易规则禁止权益的转移，财产规则类似于我国的知情同意规则，而责任规则是指无论权利人是否同意，只要相对方愿意支付确定的价格，即可发生权益的转移。通过构建责任规则，完成对知情同意规则的扬弃。这里所谓的“扬弃”不是抛弃，而是在否定生物识别信息的同意权的同时，肯定其收益权，也就是保有的权能。责任规则在否定作为财产规则的知情同意规则的同时，当然也就直接走出了知情同意规则的虚置困境。

依据卡梅框架的理论，法律制度的确立有赖于分配偏好、经济效率和正义考量，但基于分配偏好的区域差异以及正义考量的主观模糊等统计缺陷，学者们将目光投向了经济效率。基于生物识别信息的独特属性，其在规则的构建上应当走上一条与普通个人信息保护的不同道路。在估算经济效率时候，科斯提出了交易成本为学者提供较大启发，即“市场上发生的每一笔交易的谈判和签约的费用”，该计算方式也是财产规则的体现。同时，为了找到责任规则的计算方式，学者又提出了“估价成本”，即“当损害能够被精确的计算时，责任规则优于财产规则”。

学者同样意识到，当交易成本和估价成本大致一致或者均较高时，单一评价交易成本和估价成本的事后效率将会陷入循环论证。为此，必须将事前效率的衡量纳入考察范围，即社会规则对主体的激励将会主导个体的行为逻辑，这种主导作用主要体现在产业刺激、反向选择和道德导向。因此，在评价责任规则在多大程度上优于财产规则，我们不仅应当将普通个人信息和生物识别信息严格地区分开，同样也应从事前效率和事后效率两个层面上进行分析。

三、事后效率的衡量

如前所述，若是交易成本较低，选用财产规则有利于保障个人生物识别信息权；若是估价成本较低，选用责任规则有利于保障个人生物识别信息权。交易成本和估价成本的高低，大致取决于生物识别信息的具体属性。

从财产规则而言，市场上的每一笔交易的成本会依据交易内容的不同上下浮动，财产规则内置知情同意权，将交易价格赋权个体决定，人为抬高交易门槛，无法适应聚合性、社会性个人信息即生物识别信息的需要。换言之，其交易成本明显偏高。个体由于环境、心理等诸多因素的塑造，其生物识别信息的价值多依据其主观判断，坐地起价也是可能的。尽管市场的反作用会从总体上将生物识别信息的价格稳定在其固有价值附近，但对每一个个体交易成本而言，这一不公正的价格波动却增加了一部分的个体的交易成本，而另一部分个体，却从这种交易中获利了。此外，个体对自我生物识别信息的价值预判掺杂了过多的感性因素，更使得其交易价格难以琢磨。如果说，普通的个人信息如个人姓名、年龄可以在房产中介商之间依据市场的交易规则辗转的话，那么生物识别信息则由于其前瞻性、更为私人的性质而从价格表上要远远高过前者。可是高出的这部分究竟是多少呢？奥地利学派拥趸者肯定会说“高出的这一部分交给市场决定”。那么，无论是由市场决定还是由某个权威决定，生物识别信息的交易成本都一定要高于普通个人信息的成本，因为它总是需要有一个“市场决定”的过程，且这一过程的复杂性远超过普通个人信息。

从责任规则而言，估价成本的决定权落在了法院手上，法院需要从错案预期效应、规则选择示范、他案沉没成本、当事人诉讼成本以及律师代理成本等方面综合考量。若法院要评估一户居民的房产价格，遭遇“钉子户”所付出的估价成本明显会高于愿意与政府协商的居民的估价成本。从国内法律实践而言，个人信息侵权案件中基于精神性赔偿微乎其微，且个人信息案的诉讼大多打着隐私权和名誉权的幌子。个人信息的财产性收益的估价较低也间接论证了生物识别信息的财产价值并不显著且个人难以主张。这里的估价成本并不意味着生物识别信息本身的价值，而是意味着法院在通向生物识别信息价值的过程中所应付出的成本，这样，就意味着责任规则必然有一个临界点，越过这一临界点，那么责任规则就会被其他规则尤其是财产规则所取代。在这一临界点上，估价成本等于法院判决赔偿的最终价格，至于法院最终确定的该价格是否合理，则属于估价成本的具体情境考量。

综上，从财产规则一方而言是“不能主张”，个人生物识别信息泄露而不自觉；也是“不可主张”，因为信息时代的大势将会碾压一切阻挡的个体，每个人都在被逼进步。从责任规则一方而言，生物识别信息又具有极低的估价成本。前者预示着生物识别信息的交易成本过高，后者彰显着生物识比信息的估价成本较低，因此，仅就事后效率而言，适用责任规则无疑更为优越。

四、事前效率的比较

事前效率主要体现在产业刺激、反向选择和道德导向三个方面，三个方面都指向个体在处理生物识别信息中的行为模式。但从我国立法实践来看，并未将个人信息与生物识别信息区分开，以至于让个人的生物识别信息适用普通个人信息的行为模式。方式的错置导致在事前效率的评估上，简单的选用了一种契合财产规则的行为模式，最终导致上述三个方面在目的上均落空。

从产业刺激而言，责任规则较之财产规则更为契合生物识别信息的聚合属性。生物识别信息相对于普通个人信息的特殊之处，在于其更为强调数据的聚合性，聚合性体现在横向和纵向两个方向，从这两个方向出发，会使得数据边际成本逐渐降低，边际效益逐渐增大。而在我国2020年出台的《个人信息安全规范》中，其文本中所体现的目的拘束原则却难以保障数据的聚合性。目的拘束原则从传统出发，诚然可以契合普通个人信息保护的需要，但该原则对控制者的行为所提出了诸多要求，贯穿了数据的收集、使用、传输、存储等多个阶段，无疑是对生物识别信息利用的遏制或者是破坏。在前大数据时代，信息以孤立的方式存在，对信息的利用往往通过对数据的抽样完成。因此，在那个时代，严格谨慎的要求限制有其合理性。但在大数据时代，该原则限制了数据的横向扩展。现代社会的信息的价值在于其聚合性，只有聚合在一起的信息才能发挥较大的使用价值。

从反向选择而言，责任规则较之财产规则更能提高个体的生活质量。从互联网的发展来看，通过对聚合性信息进行新的数据演算，不仅有利于刺激产业投资，突出个性化的产品服务，同时也重塑了个人的生活方式。但我国于2020年通过的《个人信息安全规范》其最小必要原则限制了数据的纵向深挖。所谓的“最小必要”是指直接关联、最低频率、最小数量。从《个人信息安全规范》来看，这里存在立法重叠，即该原则下的“直接关联”的要求本身也是目的拘束原则的要求。从立法的本意来推测，最小必要原则强调的是控制者对生物识别信息在时间跨度上的处理。如果说目的拘束原则强调对生物识别信息控制者的横向限制，那么最小必要原则则强调对生物识别信息控制者的纵向限制。例如有学者提出应当为生物识别信息设置“生命周期”，避免数字记忆化问题。诚然，限期储存的方式符合“必要性”的要求，但在大数据时代，个人信息的数据恰恰就在于方便进行二次挖掘，通过反复的挖掘沉淀的个人信息，将表层信息和内部信息互相链接，从纵向上勾勒出一个人的偏好。因此，若忽视生物识别信息的特殊性质，将其错置于财产规则之下，则海量的个人信息难以汇聚，相关的大数据的产品服务无法推出，契合用户需求和市场的市场增长点无法形成。

从道德导向而言，责任规则较之财产规则更能免于道德危机。责任规则的批评者往往将“个人信息滥用”作为指责责任信息的罪名，但在笔者看来，恰恰相反，明目张胆的“滥用个人信息”更能免于道德危及，更能达到保护个人生物识别信息的效果。试想，若在财产规则之下，交易成本畸高，个人短期内无法通过有效市场的途径进行信息交易，势必会形成“信息黑市”，而且这一黑市是在合法的帷幕下运作的。而若在责任规则下，适用“强买强卖”的法律规则，表面上看，只有拥有主动权的一方而非名义所有权人获利了，但从最终的社会效果看，较低的估价成本使得名义所有权人也能从中分一杯羹。况且，责任规则也不存在二次转售的可能，因为在此种模式下，个人和企业不在议价的空间，议价权转移到法院手中。因此，无论是财产规则还是责任规则，都免不了存在“个人信息滥用”这一现象，但在财产规则下，那些被合法交易包裹着的弊端得不到彰显，最终使得走上合法途径的信息交易达不成利用和保护的双重目的。

五、结语

通过事前效率和事后效率两个方面进行财产规则和责任规则的比较，笔者认为责任规则单纯从效率上而言是占优的。但鉴于生物识别信息兼具人格性和财产性，如何在维护其人格利益的一面充分发挥其社会效益价值，则有赖于今后的实践的探索。