已公开生物特征信息保护中单独同意规则的功能转向及实现

生物特征信息是兼具人格属性和财产“基因”的敏感个人信息,涉及识别和分析两个不同的处理行为及信息权益。生物特征信息一旦公开,受保护的权益重心就由识别利益转化为分析利益,法律风险已经由识别风险转化到分析风险。《个人信息保护法》中的单独同意规则注重收集时的识别利益,忽视了后续处理中的分析利益,因而面临失灵的风险。单独同意规则的功能应以信息安全生命周期为基础实现其由控制到防范的功能转换,从而契合已公开生物特征信息的复杂特性及人格自由发展的动态化保护需求。     

个人生物信息安全的法律保护——以人脸识别为例

随着人脸识别等生物识别技术的广泛应用,个人生物识别信息作为一种特殊的个人敏感信息,所蕴含的个人信息权利应受到法律保护.在此基础上,应当确立风险预防及利益平衡原则以保障个人生物信息安全.在生物信息安全法律领域,我国现有的私法和公法保护模式都难以实现体系化保护.我国应以网络安全法、生物安全法、个人信息保护法、数据安全法等综合性立法为契机,通过相关行政法与刑法的衔接协调,构建个人生物信息安全的法律法规体系.     

个人生物识别信息保护的立法模式与制度构建

个人生物识别信息具有唯一性及不可更改性的特质,一旦被非法处理,将造成不可逆的损害,由此催生出个人生物识别信息特殊保护的现实需求。对此,应当制定个人生物识别信息专门法律保护规范,以明确个人生物识别信息的保护指向及救济措施,构建系统完备的保护体系。同时,应在敏感个人信息基础上强化个人生物识别信息的保护力度,以回应对生物识别信息产业严格规制的现实需求。综合来看,我国应构建相对独立于敏感个人信息的专门立法保护模式,并在此基础上细化个人生物识别信息保护规则。具体包括：明确个人生物识别信息保护核心概念及宗旨、构建个人生物识别信息处理的特殊规则、完善非法处理个人生物识别信息的权利救济机制。     

基于公私利益衡量：论我国法定数字货币的个人信息保护

我国法定数字货币具备可控匿名功能、采用双层型发行模式,其在技术层面的匿名不足以有效保护个人信息,需要基于公私利益衡量的视角重思保护路径。数字货币的较强匿名性未改变基于“告知-同意”原则的基本法律框架,但其形成了私人信息权益、传统公共利益以及推动货币普遍接受这一新公共利益之间的衡量机制,并强化了央行获得个人信息处理职权的需求和厘清货币发行公私混合属性的必要。我国法定数字货币仍面临物理设备中的个人信息被他人非法获取,以及个人信息权益受公权力侵害等利益失衡风险。对此,我国应当直接赋予央行处理数字货币个人信息的法定职权、建立相应的内控管理和外部监督制度,基于行政授权关系对商业银行设立更严格的个人信息保护义务,并为强匿名的数字钱包设置反洗钱与网络安全的例外规定。     

生物特征识别信息商业应用的中国立场与制度进路——鉴于欧美法律模式的比较评价

针对生物特征识别信息的唯一识别作用及其经济价值,法律应合理平衡公民数据安全与生物技术产业发展、公共管理效益、个人生活便利之间的多方利益冲突,并同时促进生物识别技术的创新发展。由此,在个人信息分级分类保护制度建设中,生物特征识别信息有其专门的规则构建路径,包括规范文件形式、文本整体框架、具体规制对象、技术保护要求、技术工具监管等方面。关于生物特征识别信息的收集与应用的具体规则设计,我国制度建构进路应围绕四个维度探讨:一是法律规范体系的结构化安排;二是规制框架的样本参照方案;三是立法内容的多维规制层面,涉及企业安全责任、市场交易规范、信息主体权利等方面;四是提前的司法救济模式。     

个人信息侵权的理论反思与规范构建

个人信息侵权规则体系对于发挥私法在个人信息利益保护中的作用、确保法律规范的准确适用具有重要意义。“可识别规则”将可能识别个人身份的信息均纳入规制范围,体现了公法对信息处理全过程的关注,与公法全面保障信息安全、经济安全和国家安全的功能相匹配。但私法对“可识别规则”的借鉴则造成了保护的信息范围过广,与私法关注个人信息人格利益的定位不符。故而需要对侵权责任法保护的个人信息范围进行限缩,在具体侵权样态中进行具体化判定。个人信息侵害造成的实际损害并不明确,差额说在适用上存在一定的障碍,而风险损害说则面临风险不确定与风险多样等问题,亦难被采纳。较为妥适的办法是采取规范损害说,将个人信息侵权损害认定为法律保护的利益状态之变化以及给个人造成的精神损害两方面。而在归责原则方面,应当将《个人信息保护法》第69条确立的过错推定原则的适用范围限制在采用自动化处理技术的场合,对于普通公民之间的个人信息侵权则应回归一般过错原则。     

个人生物识别信息的民法保护构想

目前，我国没有对公民个人生物识别信息进行专门性立法，在民事法律法规中也没有对个人生物识别信息的内涵和外延作出明文规定。在我国现有法律规范中，涉及个人生物识别信息这一范畴，多是直接反映在对个人信息概念的界定中；在司法实践中，对于个人生物识别信息中存在的问题，一般采取将其纳入个人信息法律保护中加以规范。我国这种个人生物识别信息的立法保护模式，与欧盟等国家和地区有关立法规定很相似，是把个人生物识别信息视作个人信息的特有类别加以保障。但随着现代生物识别信息技术的日益发达，把个人生物识别信息从个人信息中划分出来，已成为未来的立法趋势。应当构建和完善个人生物识别信息权利保障体系，构建和完善个人生物识别信息义务规范体系，完善个人生物识别信息民事救济路径，以进一步规范我国个人生物识别信息法律保护体系。     

公民生物识别信息的刑法保护

人脸识别的广泛应用在推动社会发展的同时产生了公民个人信息被非法收集、人脸识别黑产泛滥等问题.生物识别信息具有直接识别性、不可更改性、易采集性、法益特殊性以及不可匿名性等特征.现行刑法在生物识别信息保护方面存在侵犯公民个人信息罪立法及司法解释滞后、无法有效规制非法使用公民生物识别信息行为等问题.可通过完善侵犯公民个人信息...     

安全价值优先:大数据时代个人信息保护的法律路径

安全价值优先是指在个人信息处理的全周期中,法律的制定及其实施应当优先考虑并维护个人信息安全.从我国个人信息保护的个案反思、实践问题及未来挑战三个维度考量,将安全价值优先确立为我国个人信息保护的法律路径,具有必要性与紧迫性;个人信息保护或利用的根本目的 均是为了维护个人尊严与自由,我国立法实践中已经构建起了体现安全价值的总体性法律框架,将安全价值优先确立为我国个人信息保护的法律路径,在理论与实践上具有可能性与可行性.唯此,在保障个人信息安全的前提下,个人信息的数据流通价值方可充分发挥,进而保障并促进人的尊严与自由.     

数据匿名化处理的法律规制

在大数据的时代背景下,大数据交易已成现实,但是个人信息的不可交易性使大数据交易缺乏了合法性基础.对原始数据的匿名化处理,可以在数据利用和个人信息保护之间达到平衡.但是我国现行法和大数据交易平台指定的交易规则中关于匿名化只有简略的规定,远远不能满足当下大数据交易的市场要求.应当借鉴英国法的规定,建立匿名化数据再识别风险等级分类,根据再识别风险高低区分匿名化数据被披露的对象范围,同时对再识别风险较高的匿名化数据控制者课以额外的义务,最终通过个人信息侵权的事后救济来兜底匿名化数据的法律规制.     

数字经济时代个人信息的识别标准及规范续造

个人信息的内涵范围及其类型化问题是个人信息保护理论研究的原问题,也是个人信息保护立法的基础性问题。从域外法来看,个人信息界定模式发生了重大改变,即从“识别标准”发展到“识别+关联标准”。我国立法关于个人信息的界定尚未统一,理论上也尚未完全形成对个人信息内涵与标准的共识。在数字经济时代,传统个人信息的“可识别性标准”存在操作难题,难以满足数字经济发展的迫切需要。分级分类是有针对性、差别化保护个人信息的重要进路,但整体而言,我国现有个人信息分类分级制度仍相对粗陋,个人信息收集知情同意规则、敏感个人信息处理规则、相关主体权利义务规则等仍有优化空间,特别是个人信息识别标准制度仍亟待改进。寻求个人信息范围之理论突破,可以识别标准为突破口,从单一“可识别”标准转向多元场景“可识别”标准,注重个人信息界定的情景化、弹性化、本土化。从制度创新角度,应当进一步创新我国个人信息内涵规则、外延规则、分类规则和分级规则等规则体系,实现个人信息保护的法律规范续造。     

大数据时代的个人信息权及其法律保护

互联网时代每个人都能参与信息的发布与传递,云计算和社会化媒体等技术促进数据融通与共享,有必要完善相关法律规定来保护个人信息权。个人信息权与在其基础上产生的财产权不同,人格属性仍然是其本质特征。我国个人信息保护宜采用"基本法+特殊法"的立法保护机制,在立法上应当确立个人信息权及其权利与义务的内容;明确个人信息的保护范围及其界定标准,针对不同类型个人信息进行分层保护;采取有效救济措施,切实保障个人信息权;建立行业自律机制,完善配套制度。     

公开个人信息处理中的企业合规

《个人信息保护法》对公开的个人信息呈现出弱化保护态势，但这并不意味着无需保护。公开个人信息承载了自然人的人格尊严和自由权益，企业处理公开个人信息仍需遵守《个人信息保护法》等法律法规。公开个人信息处理的合法性依据是以法定许可为原则，以个人同意为例外。公开的个人信息，并不是泛指任何处于公开状态的个人信息，它仅限于合法、绝对公开的个人信息。公开个人信息处理应限于合理范围之内，且应尊重信息权人的拒绝权。公开个人信息处理，虽然通常会因其公开性具有阻却违法、阻却责任的法律效果，但若违法处理也会让企业面临行政处罚和刑事追诉的合规风险。这主要包括欠缺合法性根据的合规风险，处理对象不适格的合规风险，处理方式不合理的合规风险三类。为防范公开个人信息处理中的合规风险，企业有必要建立公开个人信息处理中的合规方案，将其纳入数据保护专项合规计划之中，在数据业务中正确识别个人信息类型和公开个人信息类型，建立公开个人信息处理的影响评估机制。     

论网络定向广告的法律规制——以个人信息保护为视角

网络定向广告建立在信息交互与融合的基础之上。广告业者利用定向广告未经消费者同意而秘密收集其信息,并利用大数据精准识别至特定消费者个人,存在侵害隐私权与信息权的嫌疑。我国目前在网络定向广告个人信息保护方面的法律规制效力层级低,而司法实践对于网络广告“定向”侵权的判断标准也存在局限性。规制标准不明确、规制权力不集中、规制手段单一滞后等因素也不利于对网络定向广告个人信息进行保护。鉴于此,我国网络定向广告中的个人信息保护需要加强对业者收集、处理与利用个人信息行为的规制,且应从强化业者透明义务与通知义务的履行,规范化网络行为定向广告行业标准,简化“同意选择”机制等方面来进行。     

个人信息处理“同意”行为解析及规则完善

目前我国多将"同意"定性为合同承诺或信息权益处分行为,产生了各种实践困局。信息处理者对个人享有事实上的私权力,"同意"这一法律行为定性与意思自治精神发生背离。从制度逻辑看,"同意"实现的是合作性组织秩序,个人没有设权意愿也不设定权利义务规则,与合同权益变动规律有罅隙;从法律技术看,个人信息人格价值不得处分,财产价值处分权不由个人享有,"同意"不构成处分性的抽象法律行为。"同意"是准法律行为,行为意思与表示意思保护个人"同意"自主性及其对"同意"法律意义的认识,效果法定是对权力失衡的纠偏,避免了主体客体化。作为正当基础,"同意"是信息处理加入权的行使,法定效果是处理者既获得了限制个人信息人格价值和生产保有个人信息财产价值的双重正当性,又产生了法定的个人信息保护义务。《个人信息保护法》规定的动态"同意",是对信息处理决策权和退出权的行使。"同意"这一准法律行为定性,使个人信息保护的公法性强制规范与私法性自由规范形成链接,在定纷止争的基础上,给个人提供更加完整的权利救济。     

App隐私协议中个人信息安全的规制与保护

大数据时代,互联网经济发展迅速,形形色色的App应用软件不断更新迭代。为获取经济利益,网络经营者强制同意、概括授权、违规收集,造成用户的个人信息受到侵害。为了规范网络经营者对用户个人信息的收集和利用行为,必须不断优化隐私协议,平衡个人利益与社会利益之间的关系。用户也应密切关注相关法律法规,掌握保护个人信息的方法,利用法律武器保护个人信息。     

信息处理者侵害个人信息权益的民法救济

我国《个人信息保护法》以实现个人信息处理中信息权益保护与合理利用之平衡为规范意旨,并赋予自然人对自我信息的决定、查阅、复制、更正、删除等权能,构成法律保护个人信息权益的前提基础,成为相对人处理个人信息与自动化决策的合法性依据。立法设计以“知情同意-同意例外”规则为个人信息合规处理的架构基础。当个人信息权益被侵害时,法官应充分运用动态系统论厘清信息权益损害的要素层次,适用过错推定原则认定信息处理者损害赔偿责任。为实现充分有效救济,权利人可考量行使人格权请求权和侵权请求权二元救济路径,明确损害赔偿具体范围,保障其人格权益和人格尊严不受侵犯。     

大数据背景下个人信息保护的公私法衔接

当前立法规范所呈现的个人信息权利化路径面临着过度保护与保护不足的双重困境,同时也难以回应大数据时代系统性的信息安全风险.个人信息本质上是由一些具体人格权权利内容和其他人格性利益糅杂而成的综合体.内容上的复杂性要求私法采取"权利"与"法益"相区分的保护路径.属于"法益"部分的个人信息,承载了更多的社会公共利益,无法由具体人格权所覆盖,但可通过"违反保护他人的法律的侵权责任"进行保护,从解释论的角度以《侵权责任法》第6条第1款作为转介条款,将公法域的个人信息保护性规定引入私法体系,增强法律适用的确定性,实现公私法保护的有效衔接.     

身联网时代人身自由理论的数字法革新

身联网智能设备的社会化应用，改变了“人身自由”理论的传统认知，也推动了个人信息保护路径的规范性反思。而对宪法“人身自由”条款的规范性分析业已证明，以技术手段控制身份信息，既符合“搜查人身”的特征，也能够在一定程度上造成减损人身自由的效果。即便身联网企业可以凭借“知情同意”规则来规避“减损人身自由”的合法性难题，但在个人信息保护路径下依然难以区分“减损人身自由”的法律对象和适用范围。因此，身联网时代“人身自由”理论的革新，应当明晰“人身安全先于信息自由”的权利位阶理念，实现个人信息由“渠道治理”向“源头保护”的路径转向；明确国家、企业与个人的安全互惠关系，增设“责任减免条件”，补充“强制人身保险”与“信息保障基金”等侵权救济机制；围绕“强制许可”设定人身自由的“法律底线”，围绕“知情同意”明确减损人身自由的“上线”。     

人脸识别在智能手机安全保护中的应用

智能手机个人隐私保护越来越受到人们的重视,用生物特征识别进行数据的安全访问控制是实现隐私信息保护的重要手段之一.文章探讨了人脸识别技术在智能手机数据保护中的应用,并基于Android系统开发一个人脸识别系统,将其与Android系统的文件保护结合,可有效地提升手机隐私安全保护水平.