◇商希雪

引 言

2020年10月21日，全国人大法工委发布的《个人信息保护法（征求意见稿）》第27条专门针对公共场所采集个人图像和个人身份特征信息做出了规定，要求识别设备的安装目的以及获取信息后的使用目的仅可服务于维护公共安全的目标，由此间接禁止了公共场所收集或使用生物识别信息进行商业营利。从当前的立法态度来看，立法明确地将人脸等生物识别信息排除于个人信息可公开范围，并严格限制在未经主体单独同意情形下公共场所收集与使用人脸信息的范围及目的。由此，预示着立法对于生物识别信息的特殊制度安排，以及对于公共与商业使用目的的严格界分态度。比较视野下，对于公民生物识别信息的使用，欧盟第29条工作组（ARTICLE 29 Data Protection Working Party）认为，①GDPR生效之前，欧盟各国的数据监管机构在第29条工作组（现被European Data Protection Board取代）指导框架下工作。必须严格区分出于法律义务（基于公共目的，如边界管制等）收集和储存的生物特征数据与为合同目的（基于主体同意）收集和储存的生物特征数据。①ARTICLE 29 Data Protection Working Party, Opinion on Implementing the Council Regulation (EC) No.2252/2004 of 13 December 2004 on standards for security features and biometrics in passports and travel documents issued by Member States, Official Journal L 385 , 29/12/2004 p.1- 6, Adopted on 30 September 2005.本文认可该思路，公共使用方式是公民私权自治范畴外的除外规定，宜适用强制性法律规范，当局政府机关履行的是国家义务和社会责任。而商业应用方式，则需要消费者与商家形成合意的使用规则，个人在生物识别信息的交付、处理与使用上享有充分的自决权，同时商业应用也需要强制性规范作出原则性的禁止规定，以防范重大的社会风险。……