当前位置： 首页 >  首页图片 > 个人生物识别信息作为验证手段的法律因应

个人生物识别信息作为验证手段的法律因应
作者：姜川     时间：2025-06-03

个人生物识别信息的广泛使用

随着生物识别技术的快速发展，个人生物识别信息（如指纹、声纹、虹膜和面部特征）已被广泛应用于各类身份验证场景，如日常生活中的指纹打卡、智能锁，商业和金融活动中的支付验证、电子签约、身份核验等，显著提升了便利性和可靠性，呈现出逐渐取代传统的密码和物理证件验证方式的趋势。这一趋势在诸多法规当中亦有体现，例如原银保监会在《理财公司内部控制管理办法》中明确要求理财产品销售机构应采用生物识别等有效措施，对投资者身份进行核验，确保身份信息的真实性和有效性；又如人民银行在《非银行支付机构网络支付业务管理办法》中将“客户本人生理特征要素，如指纹等”作为一种强验证方式，指纹和人脸识别也成为在移动支付场景下验证用户身份的重要手段。

然而，随着技术的普及，生物识别信息的获取渠道也越加普遍且有泛化的趋势。如软件开发者以“颜值检测”软件的名义收集用户的人脸信息；售楼处未经客户授权拍摄客户的面部图像以识别身份，用作中介佣金分配的依据；一些智能设备，如家用智能锁和物联网设备，在缺乏安全储存设计的情况下，用户指纹信息可能被他人窃取……种种现象表明了生物识别信息在收集、使用方面存在潜在的风险。

个人生物识别信息的受攻击风险

生物识别信息因其独特性和难以篡改性，长期以来被认为是最安全的身份验证方式。然而，这种信息的公开性和不可更改性也导致了其容易受到攻击。以人脸识别验证为例，对于生物识别信息的攻击有以下五种类型。

伪造人脸图像。人脸识别技术的主要功能依赖于对人脸特征的提取与比对。攻击者可以从公开照片中提取目标的面部特征，以图片或3D打印方式制造出与目标相似的人脸图像欺骗系统，进而通过验证。

攻击训练数据集。人脸识别系统的性能依赖于其训练数据集的规模与质量。如果数据集中存在偏差或不足，系统识别的准确性将显著下降。攻击者通过向训练集注入恶意样本、删除关键样本或注入误导性的低质量图像，导致系统在实际操作中无法正确区分合法用户和攻击者，削弱算法模型的稳定性，增加系统的错误验证概率。

破解算法模型。人脸识别系统依赖复杂的算法模型进行身份验证。如果攻击者成功破解模型，不仅可以访问系统存储的所有生物识别特征，还能通过伪造数据冒充他人身份、注入恶意代码、篡改系统的决策过程来影响验证结果。

欺骗生物识别软硬件。人脸识别软硬件负责捕捉和处理用户的生物特征。硬件方面，干扰可以导致系统误判，攻击者可以利用光学技术制造虚假图像或电磁波干扰硬件传感器，使得设备在捕捉人脸特征时无法准确工作。软件方面，深度伪造技术的兴起，更加剧了这种威胁，以人脸数据伪造生成复合验证需要的人脸图像或视频，再以手机的内录功能替代摄像头的实时图像捕捉，不仅能通过静态验证，甚至能通过动态验证。

利用系统漏洞。任何技术系统都存在漏洞，攻击者利用系统的身份认证或信息处理漏洞，通过或绕过安全防护，黑入系统内部，访问敏感数据或执行恶意操作。

错误验证的法律责任困境

无论是因系统内生还是系统受攻击产生的个人生物识别信息验证错误都需要有相应的法律规则予以调整、规制。在电子合同中采用个人生物识别信息验证方式通常是为了验证两个要素以使合同能够成立生效：一是验证电子合同签订时合同当事人为本人，二是合同的签订属于本人的意愿。依据《中华人民共和国民法典》关于合同效力的判定规则，当电子合同签订过程中出现错误验证时：如错误地将非合同当事人验证为本人，此时合同将依照无权代理规则认定为效力待定；如错误地将非本人意志验证为本人意志，此时合同的效力将按照错误的类型划分为欺诈或胁迫或重大误解等情形而认定为无效或者可撤销。理论上这一法律责任的形成是完善的，但由于传统的合同效力认定模式与生物识别信息作为一种本人身份/意愿的验证手段并未做到完美对接，致使其在法律责任承担的适用方面存在一系列问题。

以刷脸支付为例。在法律规范方面，《最高人民法院关于审理银行卡民事纠纷案件若干问题的规定》（以下简称《银行卡规定》）第七条规定，“发生伪卡盗刷交易或者网络盗刷交易，借记卡持卡人基于借记卡合同法律关系请求发卡行支付被盗刷存款本息并赔偿损失的，人民法院依法予以支持……持卡人对银行卡、密码、验证码等身份识别信息、交易验证信息未尽妥善保管义务具有过错，发卡行主张持卡人承担相应责任的，人民法院应予支持。持卡人未及时采取挂失等措施防止损失扩大，发卡行主张持卡人自行承担扩大损失责任的，人民法院应予支持”。为因通过持卡人验证而形成的伪卡盗刷提供了规则体系，但现行的规则体系对于错误验证的认定至少存在以下三个方面的问题。

第一，银行原则上承担错误验证导致的盗刷的前提假设是银行卡、密码、验证码等身份识别信息、交易验证信息只有银行和持卡人知晓。发生盗刷意味因一方的原因导致信息泄露而通过验证，基于激励和保护持卡人的角度，在此前提下法律规定采用无过错归责原则认定违约责任。但人脸、指纹、声纹等个人生物识别信息收集、使用具有广泛性与任意性，此时泄露责任承担的判定可能并不是在双方之间权衡，因此无过错责任认定的原因来源并不契合。

第二，“银行证明持卡人未尽保管义务方能免责”作为人脸、指纹等生物特征识别的免责条款缺乏说服力。从《关于审理使用人脸识别技术处理个人信息相关民事案件适用法律若干问题的规定》第二条第（五）款来看，只有当“信息处理者”未采取应有的技术措施或者其他必要措施确保其收集、存储的人脸信息安全，致使人脸信息泄露、篡改、丢失才能认定为侵权，而《银行卡规定》对于金融机构的要求明显更高。从生物识别信息与密码识别的本质来看，人脸与密码的差别在于人脸是公开且不可变更的，这也导致银行通常因难以证明个人生物识别信息的泄露主体而承担伪卡盗刷的举证不能后果，可以说该规则是变相加重了银行的举证责任。

第三，“持卡人需要对因自身过错导致损失扩大承担责任”不合理地扩大持卡人的赔偿范围。银行卡等支付工具可以做到每个的密码不同，实现“一把钥匙开一把锁”；但当使用指纹、声纹、人脸等生物识别信息验证时，是“一把钥匙开所有锁”。持卡人在接到金融机构通知或意识到发生盗刷情况后，此时若需更改验证方式，则需要同时修改完成所有的支付工具的验证方式，在此漫长的过程中，持卡人可能将会被认定存在过错而对此承担不必要的赔偿风险。

错误验证的责任分配改进

应用范围层面。个人生物识别信息的应用应当严格限制在必要且安全的场景中，如边境控制、公共安全、金融交易等高风险领域，以充分发挥其安全保障作用。在商业营销、娱乐活动等非必要场合，应尽量避免使用个人生物识别信息作为主要验证手段或采用生物识别信息与其他验证方式相结合的多重验证机制，降低单一验证方式带来的风险。

技术安全层面。信息获得时应采用具备防干扰、防伪造能力的生物识别硬件设备，防止因硬件漏洞或干扰导致的误判；信息存储时应采用加密技术，避免以原始数据形式存储；信息的传输时应使用安全的通信协议，防止信息在传输过程中被截获或篡改。在验证中生物识别软件应定期更新，修复潜在漏洞，采用先进的算法模型以提高识别的准确性和抗攻击能力，软件供应商应提供详细的错误率（如 FAR 和 FRR）数据，根据应用场景的需求调整参数，确保验证结果的可靠性。

法律规则层面。对责任主体认定时，应根据信息的收集、存储、使用等环节明确责任主体。例如，信息收集方需证明其收集行为的合法性与安全性；信息存储方需证明其采取了合理的安全措施防止信息泄露；信息使用方需证明其验证过程符合技术标准和安全要求。对于因技术漏洞或攻击导致的错误验证，应由使用方承担主要举证责任，证明其已尽到合理的技术防范义务。在举证责任的分担中，可根据具体案件的情节和证据情况动态调整举证责任分配。例如，当存在明显的技术攻击痕迹时，应加重使用方的举证责任；当用户能够提供初步证据证明其生物识别信息被非法获取或使用时，应适当减轻用户的举证负担。

（本文作者系南昌大学立法研究中心研究员、法学博士）