刷脸问题治理逻辑的一般规则转向——以技术透明度为基本立场

人脸识别技术滥用导致的信息安全风险饱受社会关注,学者们基于生物识别信息保护、算法治理、技术应用场景限制等视角提出了人脸识别信息保护的专门立法方案。尽管人脸识别信息具有唯一指向性、不易更改性等特征,但这些同样存在于其他生物识别信息,并不足以成为专门规定和单行立法保护的必要事由。在审视和反思现有学说有关人脸信息与人脸识别信息的客体范围混同和场景化理论的解释误区的基础上,我国刷脸问题的治理逻辑不应当陷入"新型信息技术引发社会风险有必要专门规制"的僵化理念,而是应当以增强自然人与信息处理者之间有关刷脸技术应用的透明度为基本立场,基于场景一致性理论和人脸特征识别比对数据库的标准化来限定刷脸技术的必要性情形。     

刷脸的法律治理:由身份识别到识别分析

当前,刷脸的属性已发生了转变.刷脸不再限于"把人认出来"的身份识别过程,而是重在人脸验证/人脸辨析基础上所进行的人脸分析或其他关联分析,已从纯粹的身份识别机制转换为识别分析机制.识别分析机制的应用正是刷脸引起社会普遍忧虑的核心问题所在.此时,刷脸的安全风险被重新放大,监视权力进一步扩张,为基本权利保护带来了更为严峻的挑战.为应对风险变迁,刷脸的规制机制适用亦出现了转向的需求,即在生物识别信息保护机制中限制告知同意的适用;在公共监控信息保护机制中引入自动化决策及风险影响评估的框架;在规制理念上向数字人权保护与场景化规制转向.对此,构建适应识别分析机制的法律治理路径要求:应以比例原则作"最小必要"检验,适用自动化决策框架进行场景化规制,通过优化架构设计以进一步降低识别分析的风险.     

人脸识别技术应用的风险与法律规制

人脸识别技术是社会治理智能化转型过程中广泛应用的技术之一.人脸识别技术的身份认证和识别功能在虚拟空间实现了个人信息的自动化集合.人脸识别技术本身存在着技术风险,一旦被滥用将会侵犯公民权利、危害社会秩序、消弭共同体信任.当下,现有对人脸识别技术的法律规制呈现分散性和碎片化特征,法律本身的事后规制逻辑更是难以有效规制技术应用、防止技术滥用.应把握国家综合性立法的契机,根据场景理论对人脸识别技术进行细化规制,既发挥其强大的社会功用,又预防化解其潜在危害,实现法治化社会化协同治理的目标.     

人脸识别技术应用的风险与法律规制

人脸识别技术是社会治理智能化转型过程中广泛应用的技术之一.人脸识别技术的身份认证和识别功能在虚拟空间实现了个人信息的自动化集合.人脸识别技术本身存在着技术风险,一旦被滥用将会侵犯公民权利、危害社会秩序、消弭共同体信任.当下,现有对人脸识别技术的法律规制呈现分散性和碎片化特征,法律本身的事后规制逻辑更是难以有效规制技术应用、防止技术滥用.应把握国家综合性立法的契机,根据场景理论对人脸识别技术进行细化规制,既发挥其强大的社会功用,又预防化解其潜在危害,实现法治化社会化协同治理的目标.     

论个人信息保护中的人格保护与经济激励机制

个人信息保护制度中的"知情—同意"框架偏向于通过信息主体自治以保护个人信息,这一路径选择对信息的合理流通和利用构成了严苛的限制,实践中也存在形式化问题。从理论基础和经验逻辑看,"知情—同意"规则需要考虑更为具体的场景;而在具体场景中,对信息主体的经济激励机制可以引导和促成信息主体的"同意"。因此可以将经济激励作为同意的促成机制,这有助于在不偏离"知情—同意"规则的前提下,为个人信息保护与数据合理利用双重目标的实现提供一种平衡方案。通过经济激励机制,信息处理者可与信息主体共享数据利用产生的经济收益,由此适当突破"必要性原则",获得超出为信息主体提供服务之目的的数据处理权限。但经济激励机制亦需受到内容和形式上的限制,避免被泛化为普遍适用的数据处理后门。在当前我国个人信息保护法的制定中,可以考虑引入经济激励制度,构建人格保护与利益激励相结合的"二元机制",在坚持人格保护的原则下,通过经济激励机制有效平衡个人信息保护与信息的合理流通和利用。     

技术与规则：人脸识别技术应用的风险研判与法律治理进路

人脸识别技术应用的风险体现为“形式的非预期性”“影响的系统性”和“演化的动态性”,基于人脸识别技术广泛应用所产生的多元化风险,确保技术应用风险的正确治理有其紧迫性和必要性。人脸识别技术应用风险的治理逻辑包括价值逻辑、外部逻辑和技术逻辑三个层面,“以人民为中心”的价值逻辑是技术治理的基本理念和根本目的,“法治框架”的外部逻辑和“技术规则”的内部逻辑是技术治理的制度性和规范性保障。基于上述治理逻辑,人脸识别技术应用风险的治理应从法治层面明确技术规制的基本原则,并通过“多方利益相关者共同规制的软法治理模式”“‘差别化规制+全阶段规制’的成文法规制”以及“‘行政监管+司法监督’的综合保护模式”的路径得以实现。     

人工智能时代生物识别信息刑法保护的国际视野与中国立场——从“人脸识别技术”应用下滥用信息问题切入

人脸识别技术作为人工智能学科中发展最为迅捷的一个分支,被广泛地被运用于社会生活的各个领域,生物识别信息因其所具备的专属性和唯一性的特征在大量身份核验的场景被采集,在审慎借鉴欧美先进立法经验和对我国实践困境的反思基础上,我国应当构建完善生物识别信息刑法保护制度,优化生物识别技术的刑事规制界限,完善生物识别信息层次特殊保护体系,将滥用生物识别信息行为入罪,实现生物识别信息合理开发利用与公民个人有序生活不受侵扰的基本价值诉求之平衡。     

数据主体的“弱同意”及其规范结构

数据主体同意关乎数据保护强度与数据利用效率,对个人信息保护具有重要意义。我国《网络安全法》规定的同意原则属于强控制模式,因赋予数据主体绝对化的信息自决权而导致信息流通效率降低与数据利用价值减损。在数据控制与数据利用的张力间建立“弱同意”的概念体系与规范结构,可以通过同意体系地位的降低与规范结构的削弱,对信息自决权产生相当程度的限制,有效解决此问题。“弱同意”的规范结构为“情境合理+拟制同意=合法处理”,其中拟制同意化解了“强同意”因僵硬适用和过高标准所带来的有效性困境,情境合理测试则充分吸收了场景理念和风险认知,使同意架构从封闭走向开放,由此个人数据保护从一刀切的权利分割迈向了激励相容的合作治理。     

论个人信息概念的不确定性及其法律应对

个人信息概念是个人信息保护制度的基础。但个人信息概念面临范围不确定、去标识化信息性质不明、匿名化信息是否受保护等难题。个人信息概念之所以不确定,是因为个人信息高度依赖场景,因个人信息识别目标、识别主体、识别概率、识别风险的不同而不同。在技术与产品飞速发展的今天,更难找到确定不变的个人信息界定规则。应放弃个人信息与非个人信息的绝对化区分,将个人信息视为规制信息关系的制度工具,根据具体场景与制度功能确定个人信息的范围及其规制方式。在监管层面,可以采取个人信息、可识别个人信息、非个人信息的三分法而进行功能性的分类规制;在司法层面,可以进一步进行场景化规制,利用自下而上的案例确定个人信息的范围和保护制度。通过规制三分法与司法案例法,可以建立模块化的个人信息分类保护制度。     

人脸识别信息保护的规范建构

人脸识别是人工智能的重要应用。运用人脸识别技术应加强人脸信息保护。我国人脸识别信息保护缺乏专门的法律规范，《个人信息保护法》第62条特别强调对“人脸识别”制定专门的保护规范。我国应在系统总结现有立法、执法和司法经验的基础上，树立尊重数字人权、适当限制公权、注重利益平衡的理念，构建人脸识别信息保护的实体性规范、优化人脸识别信息保护的程序性设计，以《个人信息保护法》等法律法规为依据，由国家网信部门统筹协调有关部门，围绕人脸识别的收集、存储、使用、加工、传输、提供、公开、删除等行为制定《人脸识别信息保护规范》。     

个人信息商业利用同意要件研究——以个人信息类型化为视角

《民法总则》第111条顺应信息时代的需求,规定个人信息在信息利用中受到法律保护,但规定得较为概括。信息主体同意是信息商业利用行为的合法要件之一,但绝对的同意要件会阻碍信息的充分利用。为实现人格尊严保护与信息利用平衡的法律理念,并结合个人信息的性质,应当将个人信息分为人格紧密型个人信息和人格疏远型个人信息。人格紧密型个人信息与人格尊严密切相关,同意要件应为积极同意;而人格疏远型个人信息与人格尊严相对较疏远,同意要件应为消极同意。基于个人信息类型化研究,建议司法裁判者区分适用个人信息商业利用的同意要件,以实现个人信息保护与信息利用的平衡。     

论人脸识别刑法规制的限度与适用——以侵犯公民个人信息罪指导案例为切入

如果国家无意用刑法手段规制公权力组织滥用人脸识别的现象，那么从刑法面前人人平等的原则出发，对于个人滥用人脸识别的行为就必须慎用刑事制裁措施。法秩序统一性原理主要强调的是刑法的补充性，它必须受制于刑法的独立性。侵犯公民个人信息罪是通过保护公民的个人信息来捍卫信息所承载的人身、财产权利。它是一种具体危险犯，只有对人脸等个人信息的侵犯足以危及人身、财产权利，才可以发动刑罚权。单独的人脸信息如果没有姓名等其他信息，很难对自然人的人身、财产权利造成实质损害。在涉及人脸识别的相关犯罪中，侵犯公民个人信息罪与计算机犯罪、网络犯罪、财产犯罪都不能进行数罪并罚。通过人脸识别骗取财物，机器不能被骗的理论应当被扬弃。法治必须对数据利维坦保持足够的警惕，对人脸识别的规制主要依赖于其他法律体系的治理，刑法应该保持必要的谦抑与节制。     

人脸识别技术应用的分层治理理论与制度进路

随着技术发展和模式演进,人脸识别技术应用具备了实现“全场景监控”和“全维度监控”的能力,因此在为人们生产生活带来红利的同时,在保护人格尊严、个人自主、信息安全以及财产安全等方面也存在潜在风险,对个人基本权利和社会公共利益造成一定程度的威胁。基于此,只有从应用层、系统层、技术层、信息层四个方面进行类别化、体系化、明确化的路径分析,才能真正廓清人脸识别技术在不同层面隐藏的风险或危害,并有针对性地提出控制措施。     

公共空间应用人脸识别的法理逻辑与制度建构

风险社会下,为应对空前激发的安全保障诉求,公共空间开始普及人脸识别应用,产生了个人身份建构权侵犯等风险。公共安全保障不得以牺牲个人利益为代价,人脸识别在公共空间的大规模运用应以公共安全保障与个人身份保护并重作为价值目标,体现从个人信息有序共享向个人身份保护的理念转换。为平衡公共安全与个人身份保护,应构建法律、技术、伦理"三位一体"的系统规制体系。具体而言,我国应强化公共场所管控者的"守门人"义务,明确开发者基于信息身份保护的设计义务,同时培育公众的"数字理性"素养。     

可穿戴设备中的个人健康信息保护——以同意为核心的研究

可穿戴设备中个人健康信息保护问题的核心是同意。阻碍用户同意的因素包括未区分不同类型的信息设置不同级别的保护、同意异化为规避法律风险的工具和同意的边界不清。对于可穿戴设备中个人健康信息的静态保护，要求构建分级同意模式，以风险预防为导向将可穿戴设备中的个人识别信息、生理信息、观察信息类型化为敏感信息、一般信息、公开信息，敏感信息适用特别同意的强保护模式，一般信息适用概括同意的弱保护模式，公开信息适用选择退出的次弱保护模式。对于可穿戴设备中个人健康信息的动态保护，要求构建过程化的同意制度，从信息生命周期着手，面向健康管理、运动指导、线上问诊、医学研究和公共卫生监测五大场景，全面、动态地考察同意制度。可穿戴设备中个人健康信息的强制处理情形包括，紧急情况下为保护自然人的生命健康所必需，和为应对突发公共卫生事件情形下的信息二次利用。     

刑事诉讼中人脸识别证据探究

伴随科技发展和人类认识水平的提升,人脸识别证据已被运用于刑事审判当中。人脸识别证据可以在提高证明效率、降低证明难度和强化指控体系方面发挥重要作用,但实践中,人脸识别证据的运用仍存在法律资格不明、运用方式混乱、不规范等问题。集中体现在：将人脸识别证据作为涉案线索使用,弱化了其证明价值,抑制了辩方质证;将人脸识别证据归入现有法定证据种类之中,掩盖了其特殊性,证据审查规则亦难以兼容;将人脸识别证据列为其他证据材料,导致其法律地位被质疑和法庭信赖偏向。人脸识别证据具备实质性和证明性因而当属证据,由于其并非自始不具备证据可接受性,因而可享有证据资格以进入法庭使用。为消解其法律地位疑惑、保障其规范合理适用、弥合技术与司法冲突,一方面应在规范层面修改法定证据种类的表述方式以破解于法无据问题;另一方面应从法庭准入资格审查、定案根据资格审查以及辩方质证机制构建层面保障其使用规范。     

数字人身同一认定的技术力量与规制

历史上曾经仅以神示法和决斗法方能实现的人身同一认定,经技术迭代演进为诸如人脸识别等数字人身同一认定,具有了高效、高能的“助力面向”。但在场景效应下,数字人身同一认定还隐含着侵害隐私和个人信息的“权力面向”。当前,数字人身同一认定的法律规制存在“授权不全面,限权不充分”的问题。为此,数字人身同一认定的规制完善需以生物识别数据为中心,并在价值论和方法论层面分别采取“两头强化”和“法技协同”原则;且应从赋权与限权两方面出发,对数据收集、使用、存储和删除等环节及其适用场域进行体系化完善。     

论法律保留原则在行政法上的适用

法律保留是一项积极意义上的依法行政原则,是通过对公权力的规制以此来来保护私权利。近年来,随着社会上出现的一些公权力与私权利相冲突的影响较大的事件,也使得合理规制公权力的呼声越来越大。因此,合理、适度的适用法律保留原则,既是对于完善行政立法,依法行政的促进,也是为了更好的推进我国法治建设的完善。本文将着重介绍我国行政法上法律保留原则的适用状况,分析其存在的不足,并就完善该原则的适用提出若干建议。     

雇员生物识别信息法律保护的主体性视角重构

雇员生物识别信息具有敏感性、专属可辨识性、滥用危害性大、需弱势保护等特征,对雇员生物识别信息保护是保护雇员劳动权的应有之义,具有保护雇员人格、财产、就业平等的价值.雇员生物识别信息保护面临风险,包括合理期待与劳资协商的矛盾,雇员生物识别信息收集滥用,域外出现雇员生物识别信息损害认定差别化.通过比较法研究,雇员生物识别信息规范缺乏特殊性,专门立法缺乏具体适用的可操作性,雇主行为的规制法律供给不足,法律责任的严格性有待提升.本文基于共同体时代的权利义务冲突与主体性视角,建构雇员生物识别信息保护的制度规范和治理机制.雇员生物识别信息保护需要明确遵循知情同意、告知、协商保密、最小必要的指导原则,完善立法方式和标准立法化,引入劳动监察的行政监管治理机制.     

风险与控制：论生成式人工智能应用的个人信息保护

生成式人工智能的技术跃进架空了个人信息处理的告知同意规制和最小必要原则，引发了虚假信息生成和个人信息泄漏的广泛风险迭代问题。传统个人信息的权利保护路径面临认知和结构困境，无法应对生成式人工智能给个人信息保护带来极大挑战。以风险控制为导向的个人信息保护机制不强调信息主体对个人信息的绝对控制，旨在通过识别、评估、分配和管理将风险控制在最小范围内，可以灵活和实用地平衡生成式人工智能应用中的信息利用和风险控制，提供有效的解决方案。在风险控制理念下，对告知同意规则和最小必要原则进行风险化解释与调试，并建立从预防到识别再到控制的虚假信息生成风险的全过程应对机制，以及基于风险的个人信息保护合规管理体系，是当前的最优选择。