非法获取个人面部信息行为的刑法规制研究

肖 怡,田 颖

(首都师范大学 政法学院,北京 100089)

近年来,飞速发展的大数据与人脸识别技术,优化了人们的生活方式,促进了生产的智能化转型,也变革了企业的运营战略,客观上推动了社会整体的进步。然而,这些新兴技术在给人们带来益处的同时,也无可避免地给社会带来了一些负面影响。其中,非法获取公民个人面部信息的行为,直接或潜在地威胁到了公民的个人信息权。刑法如何积极回应此问题,成为当今刑事政策领域的重要课题,本文从刑法教义学角度对此问题展开探索。

一、个人面部信息法律保护的研究现状

2019年10月,在“人脸识别第一案”中,郭某在与某公司沟通协商不注册人脸识别的问题时,发现该公司在未经过其同意时就已收集了他们的面部特征信息。该案件的发生引发了国内学者对于个人面部信息法律保护的热烈讨论。

一些学者从入罪角度对面部信息和侵犯公民个人信息罪进行了分析。刘宪权等通过分析生物识别信息的内涵及安全风险,论述刑法保护生物识别信息的现状及存在的问题,主张调整刑法中公民个人信息的分类,侵犯生物识别信息行为的起刑点设定为50条[1]。李振林提出,因为人脸识别信息未被最高人民法院、最高人民检察院2017年5月8日发布的《关于办理侵犯公民个人信息刑事案件适用法律若干问题的解释》(以下简称《解释》)明确纳入公民个人信息范畴,所以导致刑法对于非法取得人脸识别信息行为不能直接进行规制,主张将人脸识别信息解释为《解释》所规定的“其他可能影响人身、财产安全的公民个人信息”[2]。周光权主张在获取已公开的个人信息之后,改变其公开用途或目的的,有可能成立侵犯公民个人信息罪,并主张刑法中的个人信息应具有可识别性、有效性,且与个人行动自由、人身安危及财产安全紧密相连[3]。

另有一些学者从出罪角度对侵犯公民个人信息罪进行了分析。杨楠通过分析侵犯公民个人信息罪“违反国家有关规定”的机能之争,主张“违反国家有关规定”具有提示违法阻却事由的功能,法令行为、行政许可行为、业务行为、被害人同意等都可以作为出罪事由[4]。肖雅菁、郭旨龙通过分析《民法典》中的免责事由,主张结合《民法典》的规定,将“知情同意”和“情景合理”作为出罪事由[5]。于冲在分析了个人信息的多元化属性之后,主张将在适用侵犯公民个人信息罪时,应关注出罪路径,并提出正当目的、被收集信息者同意、法令行为等可以成为豁免事由[6]。

本文的非法获取个人面部信息行为，是指采取秘密窃取或者其他方法，非法取得公民个人面部信息数据的行为。对该行为的研究是信息技术发展下不容忽视的一个问题。围绕如何规制非法获取个人面部信息行为,学者们从入罪和出罪角度作了详细的分析。但是,由于法律规定模糊,理论界对于是否需要动用刑法保护个人面部信息仍是众说纷纭。从现实情况看,现行刑法对于非法获取个人面部信息行为的规制似乎呈现出捉襟见肘之像。主要表现是:目前，对于个人面部信息是否属于刑法中的公民个人信息缺乏明确的认识,对于非法获取个人面部信息行为的侵害的法益尚不明确,对于非法获取个人面部信息行为的出罪路径也没有统一的看法，等等。这些均是刑法规制非法获取个人面部信息行为过程中需要解决的问题。

二、刑法介入保护个人面部信息的合理性分析

(一)刑法保护个人面部信息符合以人为本理念

以人为本的核心是人民利益至上,以保护个体自由为目的。以人为本是在人类自我意识与自然状态和社会群体相分离的过程中生成的。人类自我意识与自然状态相分离是指人脱离了以动物的自然状态为主导的位置,与社会群体相分离能够使人获得思维和性格上的独立。特别是人与社会群体的分离,表明了人在一个更高层次上迈向独立、自主、自由,强化和增强了人的主体性。个人面部信息承载了一个人最基本的个人价值和个体尊严。通过个人面部信息,社会成员能够相互识别对方,同时在头脑中反映出与对方有关的社会网络信息。保障个体自由是治安秩序存在的正当性基础[7]。刑法对个人面部信息给予强力保护,是维护个人价值和尊严的体现,也是保护个体自由的呈现。

(二)个人面部信息保护具有宪法基础

我国宪法第38条规定:“中华人民共和国公民的人格尊严不容侵犯。”这为刑法保护个人面部信息提供了宪法基础。人格尊严是人权保障的基础,它的获取源于个体的独特性。 “法的命令是,成为一个人,并尊重他人为人。”[8]人脸在社会生活中的重要性和作用,使其内在蕴含着人的尊严[9]。“脸”在个人的身体部位中,是最为突出的。其作为个人在社会生活交往中的“活名片”,包含着充裕的非语言情感信息,反映出个人的观点态度、社会评价以及人格尊严等多重维度。人们在想到一个人时,大脑里首先显现的是个人的脸[10]。不同个体的面部信息具有各自的独特性。正是个体的独特性和不可重复性,才决定了每个个体拥有一种实质性的尊严[11]。故而,个人面部信息不仅具有生理功能,而且具有社会功能,体现着人的尊严价值。

(三)现行法律规范对保护个人面部信息仍有不足

在我国现行的法律体系中,民法、行政法等对个人面部信息均有不同的保护。“个人信息”在《民法典》第1034条中被定义为能够识别出特定自然人的各种信息。个人面部信息,作为人脸识别技术的产物,属于生物识别信息,可以被用来确认该特定自然人的特有身份,其属于该条所讲的“个人信息”。《个人信息保护法》也明确指出,生物识别信息是敏感个人信息。在行政法层面,《网络安全法》明确将人脸信息这种个人生物识别信息纳入个人信息的范围加以保护[12]。《数据安全法》对于数据以及数据处理的定义,使得收集人脸识别信息的行为落入处理数据的范畴。虽然这些前置法对个人面部信息都有一定的保护,但是各部门法受其自身调整对象和调整手段所限,仍难以有效应对严重的违规获取个人面部信息的问题。举例来说,民法是救济私人权利,因而责任人承担的民事责任对人身不具有惩罚性,不需要侵害人付出更多额外的代价。行政法使责任人承担的惩罚只是罚款、行政拘留等一般制裁手段。这对于侵权行为人没有足够的威慑作用,对于受害者也没有足够的补偿作用,造成对于个人面部信息的保护效果不尽如人意。因此,动用刑法加强其保护力度是必要的。

三、非法获取个人面部信息行为符合刑法规制的犯罪行为类型

刑法对公民个人信息的保护主要体现在第253条侵犯公民个人信息罪。侵犯公民个人信息罪的主体是一般主体,主观方面是故意,在此不做赘述。按照《刑法》第253条第3款的规定,侵犯公民个人信息罪的客观行为包括窃取或者以其他方法非法获取公民个人信息,情节严重的行为。本文将仅从犯罪对象和侵害法益方面,对非法获取个人面部信息行为是否符合侵犯公民个人信息罪的客观要件进行探究。

(一)个人面部信息与侵犯公民个人信息罪的犯罪对象的一致性

2017年,最高人民法院、最高人民检察院联合出台了与适用侵犯公民个人信息罪有关的《解释》。该司法解释在合理解释侵犯公民个人信息罪的犯罪对象即公民个人信息的范围时,从始至终贯彻罪刑法定原则,使用了广义“可识别性”标准用直接认定的方法对公民个人信息加以界定,又附加列举了“活动情况”信息[13]。

1.公民个人信息与个人面部信息都具有可识别性

可识别性判断是判别信息是否属于公民个人信息的必经环节。个人面部信息是通过人脸图像及其处理得到的面部生物数据,不需要其他信息的结合、辅助,就可以直接映射到某一特定自然人。在现代社会中,单独看年龄或者住址都难以识别判断到特定的自然人,但是通过个人面部信息这独一无二的生物识别信息就能更精准地识别到特定个人身份的实质[14]。在此,需要注意的是,人脸面部照片与个人面部信息虽然都具有可识别性,但仍具有差别。当我们在保护公民个人信息的语境下讨论面部照片的性质认定时,探究的并非只触及肖像权、名誉权等人格权的那个照片,而是在人脸识别技术进步发展的背景下所产生出来的一项新型的生物识别信息——面部信息。那种将人脸面部照片定义为人脸信息的观点忽视了普通照片展示的只是自然人的外部形象,只能从视觉特征上识别特定的自然人。视觉特征不像生物特征具有唯一性,其对个人的映射可能会出现差错。故而,承载人脸图像的照片在性质上并不能被理所当然认为是需要受到更高标准保护的个人面部信息。

2.公民个人信息包括非秘密性的个人面部信息

理论界有学者主张，公民的个人信息可以和个人隐私等同,只有体现出个人隐私的才是法律所保障的信息[15]。但是,法律是活生生的,其本身是具有生命力、适应力的。语词的客观含义是多种多样的,它还可能随着时代的发展而发展,这使得刑法能适应时代的变化[16]。公民个人信息不应该被困于个人隐私,其包括非秘密性的公开信息。若是将公民个人信息的含义限定在个人隐私,那么刑法所保护的范围就会被限缩,只能维护和保护私生活的安宁。只有既保持谦抑性,又踊跃发挥作用,才能用不变的刑法规定来应对千变万化的信息犯罪的形势变化,使刑法更能有效地遏制犯罪[17]。此外,个人信息更多强调的是可识别的结果,而个人隐私则看重隐秘的形式特征个人隐私是隐秘的,一旦在形式上被公开就不再属于隐私,而公民个人信息无论是否公开,其本质仍然是具有识别性的公民个人信息。故而,虽然自然人的面部是公开在外的,但其面部所承载的信息仍受刑法保护。

3.公民个人信息与个人面部信息都具有一定的载体

“记录”是公民个人信息的形式要素。换言之,公民个人信息必须是有载体的、固定的。对于司法解释中的“记录”应作以下理解:第一,没有被物化的信息虽然在现实生活中大量存在,但是其只是公民个人信息的来源,本身并不构成个人信息。在被记录之前,自然人的面部仅属于自然人身体的一部分。只有当其上承载信息内容被以数据的形式记录下来,才是个人面部信息。第二,“记录”已经与“处理”相互融合,“记录”已经成为“处理”的必要条件[18]。纯粹的人脸面部没有经过技术的处理,不属于个人信息的范畴。但是,个人面部信息是信息处理者使用人脸识别技术处理原始图像之后,所采集的生物识别信息[19]。刑法保护公民个人信息的目的之一是防止信息技术的威胁,故而,其规制的对象也应是能被技术处理的信息。

4.公民个人信息与个人面部信息都和个人权益紧密相连

个人面部信息和公民个人信息都与公民个人人身、财产权利相关联。个人面部信息一旦被非法获取,可能会衍生出恶意人格侮辱、电信网络诈骗等犯罪案件。这是它和基因信息的不同之处。基因信息存在于人体之中,是生物技术研究的关键,也是生物特征信息的一种特定形式,主要指从有关自然人及其家庭成员的器官、组织、细胞等遗传材料中所获得的一切信息[20]。它不单属于个人的信息,不只是与个人权益相关联,而是属于人类遗传资源信息,反映生物的个体生命密码和群体物种密码。谁掌握了基因信息,谁就在实质上掌握了改写生命的能力。基因信息可能会被非法获取用来制作针对特定物种的生化武器,进而对公众健康造成难以挽回的危害；而个人面部信息被非法获取不会造成生物技术研究开发活动的滥用或者悖逆社会伦理的严重后果。侵犯公民个人信息罪在面对非法获得他人基因信息行为时,会显得“力有未逮”。

(二)非法获取个人面部信息与侵犯公民个人信息罪的危害法益的一致性

1.侵犯公民个人信息罪的法益是公民个人的信息自由和安全

法益作为刑法学体系中的核心概念,不仅是刑法学体系解释内的基本原则,也是节制刑事立法的应罚基准[21]。它是那些本存在于人类社会生活的核心利益,不是被刑事法律创造出来的产物[22]。我们在理解某一罪名保护的法益时,不应该将这一罪名单一地、孤立地看待,而应该思量其在整个刑法体系中所处的位置及其与相关条款的内在逻辑关系。

侵犯公民个人信息罪被设置在刑法分则第4章当中。对该具体罪的法益内容的确定,不得超出同类法益的范围[23]。本章主要保护公民的人身权利和民主权利,因此处于本章的侵犯公民个人信息罪的保护法益应归属于个人合法权益。虽然公民个人信息关乎公民个人的人格尊严,但是需要注意的是,侵犯公民个人信息罪首要保护的主要客体,并不是个人信息人格权中的尊严,而是公民的个人信息权。这是因为,人格尊严是一个较为抽象和上层的法益,而个人信息权是一个更为具体和基础的法益。

公民的个人信息权是指公民的个人信息能够被其本人自由的支配、控制的权利。个人信息的自由支配、控制表现在公民在切合规范的基础下,有权支配、控制自己的个人信息并决定他人能否获取或者利用其个人信息的权利。刑法保护个人信息的自由支配、控制权的价值体现在个体能够通过对自己信息的自主使用以实现人格自由发展的价值[24]。刑法保护个人信息安全的价值体现在满足个体对社会稳定性的需要,并为个体人格创造稳定的发展环境。社会稳定的关键就是安全。自然人的个人信息获得安全保护能够在一定程度上维护自然人的生命健康和财产安全,使自然人在社会生活中产生安全感。

2.非法获取个人面部信息的行为侵犯了公民个人的信息自由和安全

在对非法获取个人面部信息行为进行刑事违法性判断时,必须厘清其是否真实危害到了侵犯公民个人信息罪保护的法益,即与侵犯公民个人信息行为的危害法益是否具有一致性[25]。本文认为,利用非法渠道获取他人面部信息行为,会在社会生活中产生超出权利人本人估计的后果,并且给权利人本人的信息自由和安全带来难以预计的影响,阻碍个体人格的自主、安全发展。

行为人利用不当路径获取他人面部信息,是对面部信息权利人决定自由的限制和侵犯。决定自由是人格获得尊重和人格自由发展的先决条件。所谓人格自由发展,不仅强调公民个人有发展自己人格的资格,而且强调这种人格发展是公民依据自己的独立意志自主决定的,是不受他人非法干预的。除此以外,非法获取个人面部信息的行为也会危害到公民个人的信息安全[26]。面部信息具有唯一性和不可更改性,一旦被非法获取,将使得权利人的面部信息安全性处于一种不稳定的状态。个人面部信息安全是经济效率价值的有力推动者,只有个体的面部信息安全利益得到充分的保障,个体才能无顾虑地积极参与社会生产生活,创造更多的经济利益和精神文化利益。当今社会,个人面部信息与本人各类账户等紧密相连,若个人面部信息被非法获取,那么公民个人的财产权将处在极易遭受侵害的风险之中。

动用刑法打击非法获取公民个人面部信息的行为,实现保护个人面部信息自由的直接目的和预防性保护不特定公民财产权的间接目的,这符合在信息风险社会的时代背景下,立法者制定侵犯公民个人信息罪的目的以及预防性刑法理论支配下法益保护前置化的要求。假若不动用刑法规制非法获取个人面部信息的行为,那么个人面部信息面临的风险将进一步攀升,导致社会大众长期处于一种不安全的状态。放任这种状态发展下去,将会给公民自身和整个信息社会的发展带来不利影响。

四、非法获取个人面部信息行为的出罪事由

刑罚是以限制或剥夺犯罪人特定权益为内容的最严厉的制裁手段。为避免侵犯公民个人信息罪犯罪圈的贸然扩大,有必要在对非法获取个人面部信息行为犯罪化的同时,明确相应的出罪事由。

(一)未达到“情节严重”

侵犯公民个人信息罪是情节犯,如果非法获取个人面部信息行为仅符合该罪行为要件,未到达“情节严重”的标准,那么就不构成该罪。2017年出台的《解释》虽然在第5条第3、4、5款分别对非法获取三类个人信息行为的“情节严重”标准进行了解释,但是并没有对非法获取个人面部信息行为规定明确的“情节严重”标准。这不利于将情节显著轻微、危害不大的非法获取个人面部信息行为排除在犯罪圈之外,可能造成刑罚范围的不当扩大。本文认为,可以将“个人面部信息”纳入《解释》第5条第4款规定的“其他可能影响人身、财产安全的公民个人信息”,完成对非法获取个人面部信息行为“情节严重”的规定。原因在于以下两方面:一方面,《解释》第5条第3款明确罗列了三种信息,没有后缀“等”字作为兜底,且无法通过解释将个人面部信息归纳入所列信息,因此,个人面部信息不能被纳入该款中进行规制;另一方面,个人面部信息是比住宿信息、交易信息等更为重要的个人信息,如果将“个人面部信息”纳入《解释》第5条第5款规定的其他信息,那么将会导致行为人非法获取个人面部信息数量达5000条以上,才能达到入罪门槛,这不利于发挥刑罚的威慑功能,可能会放纵犯罪[27]。因此,本文认为,行为人实施非法获取个人面部信息行为,信息数量未达500条以上的,没有达到“情节严重”的标准,不构成侵犯公民个人信息罪。

(二)合理使用个人面部信息

在与合法批量获取个人面部信息相关的运行机制尚未健全的情况下,如果科研机构出于研发人脸识别技术和研究学术的需要,通过非法渠道购买个人面部信息数据,且非法获取的面部信息数量达到了情节严重的标准,那么其行为是否能够出罪?本文认为,在这种情况下,合理使用可以成为非法获取个人面部信息的出罪事由,原因在于以下两点:

1.不具有期待可能性

期待可能性属于责任阻却事由。所谓期待可能性,是指根据行为时的具体情况,能够期待行为人不实施犯罪行为而实施合法行为的可能性[28]。缺乏期待可能性的行为,不具有有责性,也就不构成犯罪。科研机构之所以实施非法获取个人面部信息的行为,原因在于:无法通过合法途径批量获得个人面部信息数据。因为我国尚未建立起完备的个人面部信息收集、管理制度,所以无论是国家有关机关还是市场中正规的第三方平台都无权向他人提供公民个人的面部信息数据。科研机构作为私权利主体,也就无法通过申请或合法购买方式获得公民个人的面部信息数据。为了完成人脸识别技术研发工作和学术研究任务,研究机构就只能通过非法渠道获得公民个人的面部信息数据。

2.不具有实质违法性

在刑法理论上,德国学者李斯特将违法性区分为形式违法性与实质违法性,指出“对行为的法律评价可能有两个考察方法:形式违法是指违反国家法规、违反法制的要求或禁止规定的行为;实质违法是指危害社会的(反社会的)行为”[29]。行为只在形式上具有违法性,而在实质上不具有违法性的,不能被认定为是犯罪行为。简单地说,就是“形式入罪,实质出罪”。科研机构获得个人面部信息数据,是为了利用真实的个人面部信息,改进、提升人脸识别技术精度,减少识别误差,是技术研发和学术研究的合理需要。从形式上看,科研机构的非法获取行为符合侵犯公民个人信息罪的构成要件,但是在实质上,科研机构的行为并不会使面部信息所涉及的个人权益陷入危险状态,反而会推动我国信息技术的进步和学术的发展。

(三)面部信息主体知情同意

在刑法理论上,当行为人实施的行为欠缺法益侵害时,行为也就不存在违法性。典型的理论就是被害人同意。被害人同意是指法益主体对行为人侵害自己能够支配的权益表示允诺或同意,其在犯罪论体系上具有阻却违法性的出罪功能[30]。具体到个人面部信息保护问题上,信息主体的知情同意能使侵犯个人面部信息行为被正当化。本文认为,构建面部信息主体知情同意制度,需要厘清同意的有效条件。

1.面部信息主体具有同意能力,对同意的内容、后果有明确的认识

在面部信息保护问题上,未成年被害人的同意有些特殊,这涉及被害人承诺的一个有效要件:同意能力。对于未成年面部信息权利人而言,一方面,他们不具有足够成熟的理性,对自己承诺舍弃的法益的内容、后果等缺乏认识能力和判断能力;另一方面,面部信息被非法获取对他们而言,可能会造成更严重的人身危害后果,所以,刑法有必要限制他们的同意效果。因此,本文认为,当面部信息主体是不满14周岁的人时,行为人只有获得其监护人的同意,才能阻却行为的违法性;对于已满14周岁的面部信息主体,行为人获得其本人的同意,就可阻却行为的违法性。

2.面部信息主体必须明示同意行为人的告知内容

一方面,行为人必须履行明示告知义务。如果行为人不履行或怠于履行明示告知义务,那么面部信息主体对于自己的面部信息的获取使用情况并不充分知情,其做出的同意当然是无效的。另一方面,面部信息主体必须明示同意。明示同意需要被害人做出肯定、明确的行动,而默示同意与其相反。由于个人面部信息与一般的个人信息不同,具有高度的人身专属性,因此,个人面部信息的获取应适用更加严格的被害人同意。行为人在获取他人面部信息之前,必须获得面部信息主体的明示同意,包括但不限于书面形式。行为人未履行告知义务,未获得面部信息主体的明示同意,将会导致同意的无效。

3.面部信息主体基于内心真实意思做出同意表示

被害人同意错误是指被害人做出的同意具有意思表示上的瑕疵，缺乏有效的被害人同意的要件即意思表示的真挚性[31]。当被害人的同意出现“错误”时，行为人的行为是否还可以出罪？这在理论上主要存在两种对立的观点，分别是“全面无效说”和“法益关系错误说”。“全面无效说”又称“主观真意说”，该说主张，刑法上的有效同意，必须是被害人真实意思的表示。被害人因被强迫或陷入错误认识做出的同意是无效的，不具有出罪的功能[32]。“法益关系错误说”，从结果无价值论出发，认为只有当被害人对其承诺放弃的法益的性质、内容及程度等产生误解时，才能导致同意无效[33]。本文认为，在非法获取个人面部信息的场合，应适用“全面无效说”来认定被害人同意错误的效力。原因在于以下两个方面：一方面，在预防信息犯罪为导向的背景下，以彻底保护受害人自由意志为价值导向的全面无效说有利于实现预防面部信息犯罪的目的。无论是哪种错误，只要面部信息权利人做出的同意不是基于意志自由，就应当否认其出罪的效力。另一方面，“全面有效说”更加契合侵犯公民个人信息罪的保护法益。“全面无效说”的理论前提是受害人对个人法益的自由支配。侵犯公民个人信息罪的保护法益包含面部信息权利人对其本人面部信息的支配自由。这二者具有一致性。

五、结语

个人面部信息属于公民个人信息的范畴。非法获取个人面部信息行为，侵犯公民个人信息权益。刑法是保护个人面部信息最为强有力的手段。在用侵犯公民个人信息罪规制非法获取个人面部信息行为时，应当严格把握其入罪逻辑和出罪路径，合理确定非法获取个人面部信息行为刑事规制的边界。