文/权哥（高校民法教师、博士）

个人信息及其保护问题，日渐成为科技社会里人们关注的焦点。2021年，中央电视台3·15晚会曝光的第一宗案件即与此相关。据央视记者报道，科勒卫浴在全国上千家门店安装了人脸识别系统，顾客一进门就会被摄像头无感抓取人脸信息，并生成单独编号。顾客再去哪家店，甚至心情如何，都可以被后台精准识别，而顾客自己毫不知情。不仅门口并无征集人脸信息的相关告示，店内工作人员更不会告知。此外，苏州万店掌、广州雅量智能科技公司、深圳瑞为技术公司等为不少商家也安装人脸识别系统，用于顾客人数统计、业绩管理等经营行为。消息一出，众皆哗然。如何保护公民个人信息，规范信息处理者义务，并通过信息处理等大数据利用，推进社会治理体系和治理能力现代化，已刻不容缓。

公民个人信息保护首先需要解决法律依据的问题。同样是通过录音摄像设备抓取、采集公民图像，但已于2021年元旦生效的《民法典》人格权编却将肖像权保护和个人信息保护进行了严格区分。一方面，《民法典》禁止非法使用他人肖像。比如，未经肖像权人同意，肖像作品人不得制作、使用、公开或复制他人的肖像权（第1019条）。另一方面，将个人信息规则区别于肖像权。立法者不仅将个人信息规则和隐私权辟为专章“隐私权和个人信息保护”，还在第1034条特别规定个人信息的定义。整体而言，《民法典》通过6个条文分别规定个人信息处理原则，即“合法、正当、必要”（第1035条）、免责事由（第1036条）、个人信息处理者的技术安全保障义务（第1038条）等。

与此同时，《民法典》关于个人信息保护稍显原则性的有关规定，需要借助其他法律切实发挥效力，正在制定当中的《个人信息法》将扮演这一关键角色。今年3月的“两会”期间，全国政协十三届四次会议发言人郭卫民表示，《个人信息保护法（草案）》已经提请立法机关审议。在这之前，国家市场监管总局2020年3月发布的《信息安全技术 个人信息安全规程》（GB/T 35273-2020）第3条对“个人信息（personal information）”（第1款）和“个人敏感信息”（第2款）进行了详细描述。和人类的DNA或指纹一样，公民人脸信息客观上属于个人独有的“生物识别信息”，《民法典》关于个人信息的界定即以此为基础。

事实上，对于“人脸”信息等个人信息，在法律层面应当重点解决如何利用和保护的问题。全国人大常委会法工委2020年12月底透露，《个人信息保护法（草案）》确立了个人信息处理应遵循的原则，强调处理个人信息应当采用合法、正当方式，具有明确、合理目的，并限于实现处理目的最小范围。一方面，个人信息处理者应采取必要措施保障个人信息的安全（第9条），并应有公民个人“自愿、明确作出”同意的意思表示（第14条），信息处理者还应当将处理者的相关信息、信息处理目的和方式、个人信息的保存期限等重要事项以显著方式预先告知公民个人（第18条第1款）。

另一方面，《个人信息保护法（草案）》还专章规定信息所有者在个人信息处理活动中享有的权利（第44-49条），而《民法典》第1038条的信息处理者义务，在《个人信息保护法（草案）》中则具体细化为六个内容庞大的条文。比如，处理者必须采取必要措施防止个人信息泄露或被窃取（第50条）、定期对个人信息处理活动进行审计以及对个人信息处理进行实现风险评估并详细记录（第53、54条）。个人信息处理者违法进行个人信息处理，或未依法采取必要安全措施，则可被处以责令改正、没收、警告、罚款（第61条），还可能被记入信用档案（第61条），并确立起对公民个人的严格赔偿责任（第65条）。

综上可知，《草案》主要侧重于个人信息处理者具有的法定义务，特别是事先告知义务和采取必要安全措施以保障个人信息安全的义务，并主要从行政法（经济法）角度对其违法行为进行多种行政处罚。当然，公民个人仍可以根据《民法典》侵权责任编有关规定，要求信息处理者赔偿损失。在这种意义上，个人信息的保护更多地通过公法规范发挥其服务社会治理的作用。随着科技水平突飞猛进，大数据利用给民众生活带来便捷，但公民个人信息若被滥用，将危及公民人身财产安全，造成严重社会问题。比如警方近年来破获的一些精准诈骗案件，就牵扯出非法海量盗用个人信息的线索。

按照上述思路，可以从以下几个方面推进我国公民个人信息保护。一是加快推进《个人信息保护法》立法。明确组织或个人合法使用公民个人信息的原则，并实现与《民法典》既有规则的衔接。二是政府部门严格执法活动，如工业和信息化部、国家网信部门等及时开展APP违法违规处理个人信息的专项治理行动，对公共安全视频监控、人脸识别等手段的使用加强监管。三是加强对个人信息的民事司法保护。四是强化落实企业的主体责任。企业或公司等单位应当通过公司章程等建立个人信息处理的全流程规则体系。五是加强个人信息保护的法制宣传。一般民众可能对于个人信息保护制度并不了解，但法律专家有所不同。

虽然科勒（中国）投资有限公司3月16日7点40分就门店非法采集人脸信息致歉，并表示正在安排拆除摄像设备。但这样的做法显然无法令人满意。既不能掩盖粗暴、肆意侵犯公民个人人脸信息等问题的严重性，也不能掩盖公司及其实际控制人违法违规的野蛮经营盈利行为，而普通老百姓在震惊之余，仍不免心生恐惧、如临深渊。不久前，温州还发生了通过侵犯个人信息造谣一女士出轨的事件，所幸当地检察机关已在跟进。所有公司应当依法经营、诚实守信、承担社会责任，这是我国《公司法》第5条明确规定的公司经营活动的基本原则。而个人信息权利的彰显和妥当保护，反过来也能促使法人等组织、机构依法依规经营，构建良好的社会-生产秩序，推进国家治理能力建设。人们永远不要忘记，康德在19世纪中叶就说过，人本身不是手段，而是目的。