数字人身同一认定的技术力量与规制|周延_新浪财经

转自：法治日报

□ 李学军　　“人身同一认定”虽然是依据某些与人身密不可分的特征来判断人身是否同一的活动，普遍用于侦查学、物证技术学、司法鉴定学等领域，但因其最终目的是确定人的身份或者判定某行为的施行者究竟是谁，故而在实践中更广泛服务或运用于包括但不限于诉讼在内的各种场域。笔者将经技术迭代升级为诸如人脸识别等的人身同一认定概括为“数字人身同一认定”，进而剖析数字人身同一认定在技术加持下的“助力面向”与“权力面向”，并就其隐患和规制展开系统的理论探析。

人身同一认定的技术化演进

　　从司法证明发展史的视角来看，人身同一认定的技术化演进经历了从无到有的三个历程：第一，人身同一认定的初始样态。神示法和决斗法，以神灵旨意或武力结果为据。随着人类认识能力的提高，神示法和决斗法逐渐退出历史舞台；言辞法，以当事人陈述及证人证言为据。其有明显问题：既有主动撒谎也可能被逼供而成。若要同时达到准确认定案件行为人并保障人权的双重目标，人身同一认定的具体方法仍有大力变革的需求。第二，人身同一认定的技术介入。随着自然科学的发展，人类开始深入、全面认识并运用“人”的特征；人的相貌、骨骼、指纹、书写动作习惯、血液等生物特征逐渐成为用于人身同一认定的可靠依据。而被赋予物证一词的生物特征更被认真对待，成为人身同一认定的重要且极为可靠的依据。人，由此成为丰富的证据源；物证时代亦得以建成。第三，数字人身同一认定的启航。生物识别数据的汇聚及有效应用，使得人身同一认定变得高效且高能——于是，基于数据及其相关技术的数字人身同一认定得以诞生。

数字人身同一认定的理论构造

　　尽管对数字人身同一认定的源流进行了梳理，但相关认识尚停留在感性阶段，故有必要从组成要素切入，明晰数字人身同一认定的内部构造，为其提供坚实的本体论基础。　　（一）数字人身同一认定承袭的传统要素　　传统人身同一认定理论主要针对鉴定和辨认而展开，其结构在主体、客体、比对依据和比对方法四个要素方面。数字人身同一认定承袭了这四个要素：并未脱离人的介入，特别是最后的结论还需由人来确定；指向的对象仍然是被寻找的人和受审查的人，仍需倚赖源于人的特征反映并以比较方法展开，否则数字人身同一认定无法运行。　　（二）数字人身同一认定的特别构造　　数字人身同一认定的创新之处在于，极大丰富了三个特别构造要素：第一，以人与机器的有机结合为认识“主体”；第二，以特征反映体及其衍生数据为认识“依据”；第三，以算法比较法为主要的认识“方法”。进而区别于传统人身同一认定。　　因此，以生物识别数据为中心而展开的数字人身同一认定，可解读为以人与机器有机结合的“合伙人”为主体，以“被寻找的人”与“受审查的人”为客体，以算法比较法为主要研判方法，以特征反映体及其衍生数据为比对依据，进而判断先后出现过的人是否为同一个人（即对某人予以身份识别）的新范式认识活动。该新范式较好地反映并阐释当前数字人身同一认定在能效上的提升，同时也明确了其法律规制的重心——生物识别数据的规范运用。

数字人身同一认定的权力面向

　　数字人身同一认定的“技术力量”有两个不同视角的理论评价：一是“助力”，即人身同一认定经数字算法技术的渗透变得高效且高能，拥有快速认定或者否定某个人的力量；二是“权力”，即数字人身同一认定因高度依赖生物识别数据，故极易被异化运用进而对公民的隐私权及个人信息权形成威胁，这使得该认识活动在定位上有了较大扩容。　　（一）数字人身同一认定的异化机理　　数字人身同一认定离不开对生物识别数据的应用。从横向来看，数字人身同一认定技术结合特定时间、场所信息或结合其他情况下合法收集的信息，可能导致系统所获信息超出个人同意披露的个人信息范围，继而侵犯个人隐私。从纵向而言，持续进行的数字人身同一认定可能揭示公民的私密信息或私密活动。此外，即便特定场景的数字人身同一认定没有侵犯隐私，但若其所依据的生物识别数据被不当收集、使用、存储，也会侵犯公民的个人信息权。　　（二）数字人身同一认定的定位扩容　　数字人身同一认定所蕴含的权力属性，不仅关系到实践层面的异化应用，更挑战理论层面的基本定位。人身同一认定作为一种认识活动，原本鲜与权力及其运作有关。然而，内嵌于数字人身同一认定的算法，却将其权力辐射至该种认识活动，并赋予展开数字人身同一认定的平台企业或者国家机关以相关的控制力和影响力。这自然证成了数字人身同一认定的理论定位应扩容至权力面向。而不论是民事主体还是公权力机关，其对数字人身同一认定有意或无意地异化应用，均可能造成对公民尊严的贬损和对其自主决定的削弱。　　综上所述，在特定场景下，数字人身同一认定的“权力面向”实际已对个人隐私权和信息权构成威胁，有可能削弱个人的尊严及自主决定自由。因此，对数字人身同一认定予以法律规制势在必行。

　　数字人身同一认定的规制现状及其检视

　　我国现有法律法规虽对指纹鉴定等传统人身同一认定进行了一定规制，但就以个人的生物识别数据为中心、覆盖生物识别数据处理全过程的数字人身同一认定而言，相关法律规制尚处于起步阶段。因此，可从民事主体间的数字人身同一认定、公权力机关的数字人身同一认定两个视角展开检视。　　在平等民事主体之间，个人信息的收集和使用应遵循“知情—同意”规则。对于生物识别数据等敏感个人信息的处理，则应有更严格的程序限制。作为“知情—同意”规则的例外适用，公权力机关运用生物识别数据进行数字人身同一认定的场景更丰富，对公民隐私、个人信息权等正当权益的威胁更大，更应有相关法律约束。

　　数字人身同一认定规制的体系化完善

　　鉴于数字人身同一认定的现有规定在私法及公法领域的不足，应从算法权力的视角找寻一体化完善的底层逻辑：通过以法律为主的手段，围绕拥有算法技术运用权的主体，在“赋权”与“限权”间找到新平衡。为此，有必要在提炼数字人身同一认定的规制原则基础上，细化、完善相关的法律规定。　　（一）数字人身同一认定的规制原则　　考虑到数字人身同一认定的核心依据（即生物识别数据）往往关涉敏感个人信息，故除了坚持个人信息保护的正当目的、知情同意、数据最小化等原则外，还需在规制对象、价值和手段方面着重遵循以生物识别数据为中心、“两头强化”和“法技协同”三个原则，以便织牢严密法网、筑牢保护屏障。　　（二）数字人身同一认定的规制完善　　1.赋权：周延收集、使用生物识别数据的相关规定　　明确收集生物识别数据的合法性。依据法律保留原则，应从整体出发，在相应法律中对生物识别数据的收集明确授权，为其奠定合法性基础。　　周延生物识别数据的适用场域。第一，只有针对重大犯罪，且在仅用于身份识别或人身同一认定之目的时，我国刑事诉讼法方可授权侦查机关经相对人同意后，收集并处理与案件相关第三人的生物识别数据。第二，不能为了犯罪预防之目的，收集、使用身为第三人的普通民众的生物识别数据。　　2.限权：谨防数字人身同一认定的异化应用　　从“知情—同意”到“知情—选择”。不仅在于“同意”的灵活度，更在于个人拒绝生物识别信息的收集后，是否有功能等同的其他措施供其选择使用。应以司法解释或行政法规明示该规则，并明确对应的监督机关，方能发挥限制个人信息处理主体之算法权力的效用。　　持续型数字人身同一认定的限制。相较非持续比对的数字人身同一认定而言，持续型人身同一认定如人脸识别对于公民隐私权及个人信息权的侵犯更为持久且深远，亟须重点规制。　　生物识别数据的存储和删除。需要明确如何安全、合法地存储生物识别数据以及在何种条件下应删除相关数据。关于前者，采用去标识化技术、加密技术、个人生物识别数据与个人身份信息分别存储等措施存储个人生物识别数据。关于后者，应以及时删除为原则、以延长保留为例外。（原文刊载于《中国法学》2024年第1期）