最后,就个人信息的私密性而言,人脸图像信息与人脸识别信息的二分保护也存在类似问题。个人信息的私密性常常被用于判断其是否受隐私权保护的依据。从直觉上看,人脸图像信息具有公开性,应当属于非私密信息,仅受个人信息或公开个人信息的法律保护;而人脸识别信息则较为隐蔽,可以归入私密信息范畴,受到隐私权保护。但正如上文所言,人脸图像信息并非完全公开,人脸识别信息也越来越容易公开获取。从原理层面看,个人信息的私密性与公开性并非非黑即白,而是一个连续性光谱,取决于具体场景。例如,互联网公共论坛上的个人信息可能公开性很强,微信朋友圈的个人信息具有半公开性;而线下公共场所、商业街的个人信息公开性较强,各种餐厅、咖啡馆、街角的个人信息公开性则相对较弱。当某人出现在某些私密场所,其人脸信息就具有私密性。相反,一些获取人脸识别信息的行为,在某些国家和地区也被认为并不侵犯个人的隐私权。例如,美国Clearview AI公司从Facebook、YouTube、Venmo和其他网站“抓取”了海量人脸图像,创建了一个30多亿张人脸识别数据库供人工智能企业训练之用,这一行为也被认为符合美国法律规定。 (三)粤港澳区际行政协议的性质证立 规则类协议与规划类协议在多个方面具有显著差异,对于二者的性质显然不能一概而论,应当依照两类协议各自的特征分别认定其性质。 1.规则类协议属于行政契约 契约最初只适用于私法领域,随着法国最先开创行政契约法理,行政契约逐渐得到广泛应用。行政契约的实质是在行政法领域形成的发生行政法律效力的双方合意,这种合意不仅存在于行政主体与行政相对人之间,也存在于行政主体之间。如何判断行政主体之间达成的协议是否属于行政契约,各国采取了不同的做法。德国依据契约标的进行判断,认为以行政法律关系为客体,设立、变更或者消灭行政法权利义务的协议属于行政契约。法国通过行政法院的判例提出了识别行政契约的标准:一是当事人中有一方是行政主体,二是契约用以直接执行公务或者契约中包含超越私法的规则。我国学者则兼采德、法之学说,提出了各自的主张,代表性观点认为行政契约应具备如下特征:一是行政契约的当事人必有一方是行政主体,二是行政契约的目的是直接执行公务,三是行政契约的内容是行政法上的权利义务,四是行政契约的适用规则超越了私法范畴。 可以发现,无论何种标准,无外乎是从契约的主体、目的、内容、适用规则几个方面进行判断,如果行政主体之间签订的协议满足这几方面的特征,那么就可以认定为行政契约。首先,规则类协议的缔约主体是粤港澳政府及其职能部门,虽然这些主体在法律地位、行政级别等方面有所差异,但均属于行政机关,满足行政契约的主体特征;其次,规则类协议签订的目的在于事先约定各方在行政合作中共同遵守的规则,协议直接服务于当下粤港澳行政合作事务的开展,满足行政契约的目的特征;再次,规则类协议规定了各方在具体行政合作事项中的职权与责任,创设了行政法上的权利义务,满足行政契约的内容特征;最后,虽然规则类协议需要适用粤港澳三地不同法系的法律规则,但因其涉及行政职权的行使,必然要适用行政法律规范,其适用规则超越了私法范畴,满足行政契约的规则特征。综上分析,规则类协议作为粤港澳行政机关间达成的协议,其性质属于行政契约。 而规划类协议本质上不属于契约,没有进一步探讨其是否属于行政契约的必要。根据契约理论,标的是权利义务指向的对象,契约没有标的就会失去目的和意义,缺少标的或标的不明确的契约无法成立,双方合意之结果亦难以称为契约。规划类协议虽然作为行政主体间的合意结果,拥有契约的外观形式,但其并未就具体合作事务达成具有给付内容的明确约定,一方难以依据协议请求对方为一定行为,更无法围绕标的产生行政法上的权利义务。概言之,规划类协议缺乏明确的契约标的,只有契约之形而无契约之实,不具备契约成立的必要条件,本质上不构成契约,更遑论行政契约了。 2.规划类协议属于政策性文件 政策在国家治理中扮演着重要角色,“政策”作为一个跨学科概念也在学术研究中备受关注,政治学上一般将法律视作政策的一种形式,而法学上通常将政策与法律作为两种不同的社会规范看待。我国存在繁多且复杂的各式政策,法学研究中对于政策的内涵、政策与法律的关系等问题存在多种认识。主流观点认为政策是国家、政党为实现一定历史时期的政治、经济、文化等任务和目标而确立的行动准则、措施和方针,政策作为一种理念和原则,在法律当中表现为法律之上的政策、法律之中的政策和法律之下的政策。 政策性文件是政策的书面载体,本文所称的政策性文件不是泛指所有包含政策的规范文件,而是特指在形式意义上与法律相对的党和国家的非法律文件。政策性文件具有如下显著特征:一是在表现形态方面,政策性文件以纲领、规划、声明、宣言、指示等形式作出,其内容具有原则性、抽象性和指导性,不像法律一样含有明确告知人们应该做什么或不做什么的规范性语句;二是在实行机制方面,政策性文件主要发挥说服、倡议、号召作用,不具有强制执行力,不像法律一样以国家强制力保障实施;三是在制定程序方面,政策性文件没有严格、统一的制定程序,随意性较强,不像法律一样需要遵循复杂且严格的立法程序;四是在对外公开方面,政策性文件可以是公开的,也可以是仅限内部知悉的,不像法律一样必须向全社会公开。 政策性文件包括党的政策性文件和国家的立法、司法、行政政策性文件,其中行政机关制定的政策性文件是区别于行政法规、规章、行政规范性文件,构成独立类型的行政文件。这些文件通常以意见、通知等形式作出,其内容具有抽象性和原则性,不以规范、特别是规则为内容,仅表明政府立场和政策导向,具有指导作用而不具备强制执行力。规划类协议的内容多是关于未来粤港澳行政合作的大致安排和总体规划,意在表明态度和指引方向,未设定各方权利义务,也未规定可供直接执行的规则和违约责任条款,符合政策性文件内容宣言化、执行非强制化的特征。虽然相较于通常理解的政策性文件,规划类协议在创制程序和表现形式上具有“多方合意”这一特别之处,但这种合意在多部门联合出台政策性文件的情形中同样存在。因此,规划类协议虽然外在形式上与一般政策性文件略有区别,但在内容和效力等实质性方面别无二致,可以视作一种特殊的政策性文件。
三、迈向人脸信息的制度模块保护 人脸信息之所以在法律制度和个人信息属性问题上存在争议,与隐私和个人信息保护的不同制度模块设计有关。隐私和个人信息保护采取了侵权隐私、信息隐私与执法隐私三种不同的制度模块,而每种制度模块对应不同的典型场景,人脸信息的保护场景有的和典型场景一致,有的则并不一致,这导致了人脸信息保护很难在法律制度和个人信息属性上给出没有争议的答案。本部分阐述这三种制度模块及其对应场景,并分析人脸信息保护的场景与其对应和不对应之处。 (一)侵权隐私制度模块 法律保护隐私与个人信息的第一种制度模块是具有横向关系特征的侵权隐私。这种制度模块的发展历史与基本制度已经为学界所熟知。19世纪末,随着摄影技术的发展,一些记者开始用相机拍摄可以识别个人人脸的照片,并将此类照片和留言八卦刊登在媒体小报上。1890年,沃伦(Samuel Warren)与布兰代斯(Louis Brandeis)发表《隐私权》一文,首先在论文中提出隐私权的概念,主张法律保护“个人独处的权利”,保证个人的“思想、情绪和感受”这些构成人格的要素不受侵害。其后,隐私权的概念在美国、德国等国家被认可,我国也将其纳入人格权的保护范畴,并利用侵权法进行保护。 在适用侵权隐私制度模块时,侵权隐私所要保护的隐私权是一种合理的社会关系,而非某一个体的固定空间。沃伦与布兰代斯虽然在《隐私权》一文中提出了作为独处的隐私,但他们也同时强调在社会关系中理解隐私,认为隐私的边界必须结合“每个具体案例的多种情境”来进行考虑。沃伦与布兰代斯指出,之所以要确立个人的隐私权,是因为新闻媒体已经“在各个方面都脱离了规矩(propriety)和体面(decency)”,流言蜚语已经成为一种“厚颜无耻的工业化生产”。因此正如波斯特教授在评论沃伦与布兰代斯时指出,隐私权并不意味着秘密、匿名和独处,而是意味着我们作为社会群体中的个体应当给予彼此的空间。侵犯隐私意味着打破了社会精神上的宁静。当法院将某些行为认定为隐私侵权,法院在此类认定过程中其实并非认定某个人固有的权利边界,而是界定一个社会共识性的交往规则,即一个社会的“社会规范(social norms)”或“文明规则(rules of civility)”。