摘 要：在数字人脸时代，以人脸照片为代表的面部图像的信息属性亟待厘定，其争议焦点在于人脸照片与生物识别信息的关系。生物识别信息的概念由范围、技术与功能三要素构成。在人脸识别等第一代生物识别技术背景下，生物识别信息的范围要素是指“与自然人的身体、生理或行为特征有关”，技术要素为“经由识别或验证技术处理”，功能要素是“能够实现对自然人的已识别”。以情感计算和生物特征分类技术为代表的第二代生物识别技术的发展将扩展生物识别信息的内涵，即范围要素扩展至生物信号、技术要素加入了探测与分类技术、功能要素则新纳入可识别标准。对作为一般个人信息的人脸照片，技术要素是判断其能否归入生物识别信息的标准。在当下，已进入或即将进入识别、验证技术展开生物比对活动的人脸照片，应归属于生物识别信息；在将来，已进入或即将进入探测、分类技术的人脸照片，也应归属于广义的生物识别信息。
关键词：人脸照片；生物识别信息；人脸识别技术；情感计算技术；生物特征分类技术
一、问题的提出
伴随公共安全视频监控的全覆盖以及智慧家居的不断普及，人脸被暴露在遍布式计算的传感器下，面部图像被越来越多的公、私主体采集与存储。加之，当下以身份识别和验证为主要功能的人脸识别技术被广泛使用，虽不可否认这一技术所带来的便利，但其对于作为生物样本的人脸（face）、人脸数字化而成的面部图像（facial images）以及基于面部图像分析生成的面部识别模型（facial recognition template）都带来一定程度的生物隐私风险。
目前我国立法与司法实践尚未对人脸照片的信息属性做出统一、明确的判断，但存在“人脸信息属于生物识别信息”与“人脸识别信息属于生物识别信息”两种相关主张。首先，笔者认为人脸照片信息与人脸信息、人脸识别信息并不相同，前者强调数字化的原始介质，而后两者则是技术系统从介质中提取与聚合后的信息。这一观点在国家网信办于2023年8月公布的《人脸识别技术应用安全管理规定（试行）（征求意见稿）》中也得以验证，该规定以“人脸信息”指代人脸识别系统中处理的信息，并将人脸信息区别于第17条中的“人脸原始图像、图片、视频”。其次，笔者反对将人脸信息全部划入生物识别信息，支持人脸识别信息应属于生物识别信息，因为后者具备了生物识别信息的识别目的要素。在“人脸识别第一案”中，法官先使用“包括照片在内的面部特征信息”的表述，将照片归入面部特征信息的范畴；随后认为“野生动物世界欲将其已收集的照片激活处理为人脸识别信息”；最后频繁使用“生物识别信息”展开说理，并引出信息主体的自决权和删除权。由此，法官以“激活”将面部特征信息与人脸识别信息加以区别，并认为后者才是生物识别信息的范畴。但是，该案仍存在如下疑问：人脸照片是否应全部归入面部特征信息，该信息与生物识别信息是何关系？面部特征信息是否经过激活程序便成为人脸识别信息，激活的具体内涵是什么？最后，人脸照片、人脸信息、人脸识别信息三者虽不相同但存在转换的可能。人脸照片是数字化人脸的原始图像信息，其反映了人的面部特征信息；人脸信息是人脸识别系统中处理的信息，识别技术系统处理人脸照片可生成人脸信息；人脸识别信息是技术系统处理人脸信息而提取的面部识别特征的集合，具有识别信息主体的功能。所以，本文以人脸图像载体的人脸照片作为研究对象，其所涵盖的信息范围最广，且通过人脸识别的技术处理可生成人脸信息与人脸识别信息。
由此可见，关于人脸照片与生物识别信息关系的术语或表述众多，其中既有技术术语也有法律术语，概念的内涵与外延尚待明晰，概念之间处于混乱与交织的状态。从法律角度来看，上述问题的根源在于我国立法尚未对“生物识别信息”的内涵给出具体界定，并且不同规范就“生物识别信息”列举事项中关于人脸的表述也存在差异。鉴于我国学者尚未就人脸照片与生物识别信息的关系展开讨论，本文旨在通过对“生物识别信息”概念的解构与新近生物识别科技对这一概念影响的探讨，回答“人脸照片是否应归属于生物识别信息”或者“人脸照片在何种情况下应属于生物识别信息”。
二、现行法下人脸照片难以被归入生物识别信息
依据《中华人民共和国个人信息保护法》（以下简称《个保法》）第28条，生物识别信息是敏感个人信息的一种子类型，相较于一般个人信息，敏感个人信息享有更为严格的保护。在判断人脸照片是否属于生物识别信息前，应首先解决人脸照片在何种情况下属于个人信息这一前提性问题。《个保法》第4条第1款规定，“个人信息是以电子或者其他方式记录的与已识别或者可识别的自然人有关的各种信息”，可识别性（identifiability）是成为个人信息的必要条件，其具体包括已识别（identified）与可识别（identifiable）两个方面，即“将特定个体与群体中的其他成员相区分（distinguished）”或“在群体中将特定的个体挑出（single out）”。
人脸具有唯一性与不易更改性，人脸照片作为对自然人面部特征的图像记录，是判断信息主体生物识别身份（biometric identity）的重要依据。因此，总体而言人脸照片属于个人信息。但不可否认，并非所有的人脸照片都能够满足个人信息的可识别性要求，人脸照片的质量（如图像的清晰度）以及其他技术因素（如拍摄的光线、角度）等都将对识别的可能性产生影响。本文的讨论对象则是作为个人信息的人脸照片。
（一）生物识别信息应具备范围、技术与功能要素
生物识别信息作为个人信息的一种具体类型出现在《中华人民共和国民法典》《个保法》《中华人民共和国反恐怖主义法》等多部法律中，但目前仅有地方性的《深圳经济特区数据条例》对其具体内涵加以规定。该条例第2条第4项以“概括+列举”的方式明确了“生物识别数据”的内涵，概括定性部分突出了其三项要素分别是：（1）基于自然人生物特征；（2）是对生物特征的技术处理而得出的标识；（3）该标识具有识别特定自然人的独特性。列举部分则是指纹、声纹等能够对自然人开展唯一性识别的生物特征。从世界范围看，人脸识别技术的发展加快了各国生物隐私立法的步伐，生物识别信息作为个人信息保护领域的重要概念受到了广泛的讨论。欧盟与美国多个州的个人信息保护立法均对生物识别信息的概念予以规定，或基于特定个人信息处理活动以识别或验证生物识别身份为目标而展开界定；或从数据来源的角度认为其是与自然人的身体特征有关的概念。
笔者认为，生物识别信息的概念主要由三个要素构成：（1）范围要素。生物识别信息是与自然人的身体、生理或行为特征有关的信息，例如基于手指的纹路、嗓音、走路的步态而生成。范围要素划定了生物识别信息的基本内容，也指明了该类信息的来源，使其区别于其他种类的个人信息。（2）技术要素。生物识别信息是基于对自然人生物特征的特定技术处理而得出的信息。“特定技术处理”也被欧盟《通用数据保护条例》确认为生物识别信息的构成要件之一，但学术界对何为“特定技术处理”仍存在争议。此处，技术要素虽有必要与功能要素结合作出进一步解释，但是其至少可初步认为是对自然人生物特征的信息化记录。一方面，生物特征样本（biometric samples）本身作为自然人身体的一部分或特定行为的表现并不属于信息的范畴，例如虹膜指的是眼球壁中层的扁圆形环状薄膜，是人体组织而非信息。另一方面，以特定技术从生物特征样本中提取生物特征（features extraction）并用算法将其建构为数学模型，由此产生生物模型信息（biometric template），此时无论是对生物特征的数字化记录（如人脸照片），还是已经过特征提取与建模的生物模型信息（如面部识别模型），二者均满足此处的技术要素。（3）功能要素。生物识别信息以“已识别”为识别标准，高于一般个人信息的“可识别或已识别”。识别是生物识别信息的特殊功能与存在目的。具言之，在技术层面，生物识别信息以开展一对多识别（identification）或一对一验证（verification）为目的，识别与验证技术则都需要有明确、具体的生物识别身份的提前存在，进而通过识别将这一自然人在群体中挑出，或验证某自然人与这一自然人是否同一，而向信息主体无限趋近的“可识别”却无法达到这一挑出的效果。至此，结合功能要素，技术要素的完整表述应该包括两个方面：一方面为“数字化”，即对生物特征样本的信息化呈现；另一方面为“生物比对”，即经由识别或验证的技术处理活动。
（二）人脸照片因未转译难以被归入生物识别信息
虽然我国立法尚未对人脸照片与生物识别信息的关系予以明确，但是欧盟《通用数据保护条例》序言第51段提到，“不能天然地将对照片的加工处理认定为是对生物识别信息这一特殊种类个人信息的加工处理，只有在通过特定技术手段开展对自然人的唯一性识别或验证时才能将其认定为生物识别信息”。笔者认为，由于未转译（untransformed）导致了技术要素与功能要素的缺失，我国现行法下人脸照片难以被归入生物识别信息。
技术要素的缺失是指人脸照片尚未经过“特定技术处理”，功能要素的缺失是指其并非以对自然人的识别和验证为处理目的，技术要素为功能要素服务。人脸照片无法被归入生物识别信息的原因在于其未转译，即人脸照片仍作为对面部特征的初步图像记录存在，而尚未经过以识别或验证为目的的特定技术处理。与此相对，转译则是指以识别或验证为目的的特定技术处理，由此转译与否的判断需要借助识别与验证的共同技术流程——生物比对（biometric comparison）活动予以开展。具言之，验证是一对一的比对，识别是一对多的比对，其都要经过生物比对程序。如图1所示，如果将验证与识别中作为标准而提前存在的自然人信息称为目标对象，将被测量的不特定或特定主体称为被测量对象，那么基于这两个不同的主体会在技术上产生两个不同的模型开展数据的比对。一方面，基于对目标对象生物特征（如人脸）或生物特征信息（如人脸照片）的特征提取，将提取的信息输入特定的算法进行数学建模则会生成标准模型（master template），信息处理者则会将这一模型储存在数据库中以便待验证与识别时使用。另一方面，同样基于对被测量对象生物特征或生物特征信息的特征提取也会生成相应的模型，该模型被称为实时模型（live template）。最后，将实时模型与提前存储的标准模型进行比对则可得出被测量对象与目标对象是否同一的结论，至此完成生物比对活动。
人脸照片难以被归入生物识别信息的未转译则具体包括两种情形：第一种，人脸照片未参与以识别或验证为目的的生物比对活动；第二种，人脸照片未在生物比对活动中被转译为生物识别模型。第一种情形是人脸照片存在的普遍情况，即人脸照片往往被收录至相册图库中，不具有识别特定信息主体或验证生物识别身份的功能，不满足生物识别信息的功能要素。在第二种情形中，特征提取活动的开展才标志着生物比对流程的开始。人脸照片作为被测量与分析的对象，尚未步入生物比对流程，是未转译的生物特征信息。
总之，上文的分析可得出如下结论：（1）不以识别或验证信息主体为使用目的的人脸照片不是生物识别信息；（2）以识别或验证为目的使用人脸照片，但未应用生物比对技术时，人脸照片同样不是生物识别信息；（3）即使以识别或验证为目的使人脸照片进入了生物对比程序，由人脸照片生成的面部识别模型才可被认定为生物识别信息，而非作为其来源与承载者的人脸照片。
三、人脸照片以关联性挑战生物识别信息的内涵要素
现如今，人们在数字生态的背景下逐渐构建起数字身份（digital identity），数字身份不仅包含姓名、身份证号、地址等信息，还包括“刷脸”与指纹验证等方式下的生物识别信息。报告显示，出于方便与安全的考虑，生物特征已超越密码而成为用户身份验证的首选方式。在数字人脸（digital face）的背景下，人脸照片成为了数字身份的重要组成部分，人脸照片信息成为了数字参与（digital engagement）的重要内容。然而，围绕人脸照片的违法行为层出不穷，以深度伪造（deepfake）为代表的数字人脸操纵更是引发了严重的生物隐私风险。为保护信息主体的生物隐私权益，规范生物技术使用者的信息处理行为，有必要立足于人脸照片的基本特征重新反思“人脸照片不属于生物识别信息”这一信息属性判断的合理性。
人脸照片具有关联性（linkability），这种关联性可分为如下两个方面：一方面，人脸照片自身作为生物样本信息，其与生物特征信息和生物识别模型之间的关联性；另一方面，人脸照片内具有唯一识别性的强生物特征与识别性较弱的弱生物特征、软生物特征之间的关联性。
（一）样本与模型的关联性挑战技术要素之可行性
生物样本信息与生物识别模型间的关联性即人脸照片与面部识别模型之间的关联性。二者的联系在于，人脸照片是生物比对技术作用的对象，面部识别模型是人脸照片经由生物比对转译而成的结果，是否经由生物比对是区分二者的标准。笔者认为，人脸照片与面部识别模型间的关联性包括如下三个方面，这种关联性揭示出人脸照片与面部识别模型具有相似的敏感度且在客观上难以区分，由此对“特定技术处理”这一技术要素的可行性带来挑战。
第一，在数字身份背景下，人脸照片与面部识别模型在法益保护的对象上具有趋同性，由此揭示出二者实则具有相同或类似的敏感度。直观来看，“我的数据/信息”与“我的汽车”会对“我”这一个体带来不同的感受，原因在于数据或信息不应被视为类似于汽车的所有物，除却财产属性外，其还具有重要的人身属性。虽然人脸照片与面部识别模型的功能有所不同，但在数字人脸的环境下其所涉及的法益可以分为如下两个方面。一方面，在遍布式计算的环境下，“人的数字化”（digitalisation of human beings）风险普遍存在，人成为了被测量的客体，人们的身体被不断地信息化。对这一数字化过程“说不”的隐私法益则是人脸照片与面部识别模型所要保护的首要法益。另一方面，人脸照片与面部识别模型都指向了信息主体的数字身份，这一身份与人的尊严和肖像权、名誉权等人身权利或财产权利紧密相关。深度伪造（deepfake）技术可对原数字身份编织不法与影响其声誉的活动，对信息主体的名誉、人格尊严等产生不利影响。
第二，伴随生物识别技术的发展，面部识别模型对人脸照片具有了回溯性，生物比对的技术流程不再是单行道，实践中以生物比对区分面部识别模型与人脸照片面临可行性挑战。当下，特定机器学习算法可以根据面部识别模型还原出人脸照片。例如，面部重建技术（face reconstruction）是根据面部识别模型所反映的面部生物特征创建人脸的视觉表示，尽管当下这一技术尚未成熟且面临准确性不足的质疑，但其可依据面部识别模型还原出特定的人脸面部图像，在实践中完成修复老照片等工作。此外，当面部识别模型与人脸照片存储在不同的数据库时，人脸识别技术也可以利用面部识别模型匹配出存储在其他数据库的人脸照片，由此实现另一维度的“还原”。
第三，生物识别信息自身概念存在过于依赖信息处理者主观目的的不足，信息主体与信息处理者对作为转译过程的生物比对活动是否开展、何时开展、开展后信息是否分类存储等存在严重的信息不对称，致使实践中区分人脸照片与面部识别模型存在困难。具言之，依据《个保法》第28条，面部识别模型应作为敏感个人信息保护，信息处理者承担更为严格的保护义务。经由上文分析，以识别或验证为目的、经由生物比对技术处理后的信息方可被认定为生物识别信息，即生物识别信息存在于“处理中”（面部特征信息）或“处理后”（面部识别模型）这一时间段，所以处于“处理前”（人脸照片）阶段的信息的采集和存储则不被认定为生物识别信息。所以，信息处理者仅需对人脸照片的采集与存储承担一般个人信息的保护义务，但对于面部识别模型的存储与使用需要承担敏感个人信息的保护义务。然而，由于生物比对是由信息处理者掌握的高度专业性活动，其可能出于逃避信息保护义务的目的隐瞒这一活动的开展，且其他信息主体难以知晓。另外，即便信息处理者履行了告知同意的义务，但当其将人脸照片与面部识别模型在同一数据库中不加区别地存储时，二者同样会基于关联性在结果意义上产生混同。
（二）生物特征间的关联性挑战功能要素之合理性
在论述人脸照片的关联性对生物识别信息功能要素的挑战前，有必要引入生物隐私领域有关生物识别特征的三个概念——强生物特征（strong biometrics）、弱生物特征（weak biometrics）与软生物特征（soft biometrics）。（如表1）强生物特征是指传统的具有专属性与不易更改性的生物特征，弱生物特征则是动态变化中的生物特征或生物信号的记录，而软生物特征则是基于归纳与分类的类别性特征。三种生物特征中仅有强生物特征能够实现对自然人的唯一性识别与验证，满足生物识别信息的功能要素；而弱生物特征与软生物特征虽具有一定的识别功能，但难以实现唯一性识别，故无法归入生物识别信息的范畴。
人脸照片中生物特征间的关联性是指强生物特征与弱生物特征、软生物特征之间的关联性，即三种生物特征共同来源于人脸图像，三者间具有相互关联、不易分割的特征。强生物特征是第一代生物识别技术的产物，弱生物特征与软生物特征在第二代生物识别技术中逐渐被广泛应用，且两种生物特征的识别功能伴随技术的发展被不断增强。由此，三种生物特征间的关联性引发是否仍有必要依据功能要素对三种生物特征开展区别保护的新思考，进而对功能要素中“已识别”的识别范围与“唯一性识别”的识别强度在新技术背景下的合理性提出质疑。
其一，当下第二代生物识别技术的发展逐渐增强了弱生物特征与软生物特征的识别功能，尽管二者难以实现强生物特征的唯一性识别，但仍具有成为间接识别与可识别信息的可能，且其潜在的生物隐私风险仍不容小觑。例如，随着人工智能向情感智能的演变，感知、理解、模仿和影响人类情感的情感计算技术（emotion recognition systems）得以出现与应用，其通过对面部表情与身体信号等弱生物特征的探测展开情感的分析与归类。情感计算可应用于公交车站的广告牌的定向广告投送，即该技术可根据观看广告的人群表情判断其是否为广告内容所吸引，还可结合生物识别分类技术（biometric categorization systems）根据驻足观看广告者的软生物特征归纳出广告受到了哪类人群的关注，进而帮助广告商定向投放广告，由此引发侵犯情感隐私、操纵情感自由，以及通过广告投送造成群体性歧视的风险。
其二，在实践中第二代生物识别技术以第一代生物识别技术为基础而逐步发展，情感计算与生物特征分类技术的应用常附加在人脸识别技术的基础上，三者的技术边界受到技术黑箱的影响而在客观上难以区分。加之，强生物特征与弱生物特征、软生物特征间存在密切的关联性，三者的各自采集与明确界分受到生物识别技术水平与信息处理者主观意愿的影响，因此引发“能否在实践中有效区分三种生物识别技术以及三种生物特征”的质疑，当三者的区分缺乏可行性时，生物识别信息功能要素的范围则应在新技术背景下予以扩展。
四、应对人脸照片的信息属性展开分领域类型化判断
初步来看，人脸照片中既含有作为生物识别信息的面部识别模型，又含有反映表情、年龄、肤色等内容的一般个人信息，故不能以“一刀切”的方式简单划定人脸照片的信息属性，而应对其不同内容展开类型化的判断。对此，有必要明确如下两个前提问题：第一，在我国，由于生物识别信息没有单独的保护机制，而是在《个保法》第28条中作为敏感个人信息的一项予以列举，因此有必要以一般个人信息、生物识别信息、敏感个人信息为基础体系，对人脸照片的信息属性加以判断。第二，第一代与第二代生物识别技术对于生物隐私提出了不同的保护需求，因此需重新思考不同技术背景下生物识别信息的内涵及其与人脸照片的关系问题。
（一）保护法与规制法均应设定生物识别信息概念
生物识别信息是与技术紧密相关的法律概念，生物识别信息安全保护与法益维护则可包括两个方面：一面是以信息主体权益保护为目标的保护法，如《通用数据保护条例》和《个保法》；另一面是以生物识别技术的使用规制为内容的规制法，如欧盟《人工智能法案》和《中华人民共和国数据安全法》（以下简称《数据安全法》）。保护法与规制法并非割裂与对立，而是规范生物识别信息合理使用的一体两面。
欧盟在生物识别信息的相关立法中曾出现概念界定的争议，相关立法经验展现出保护法与规制法共用的治理路径。作为保护法，欧盟在《通用数据保护条例》第4条提出了“生物识别数据”（biometric data）的概念，其包含了本文所提出的范围、技术与功能要素，对其他国家生物识别信息立法产生了重要影响。与之相对，欧盟在作为规制法的《人工智能法案》中界定“生物识别数据”则遇到了较大争议。最初，欧盟在2021年4月颁布的第一稿草案中采用了与保护法中范围相同的概念内涵，这一界定方式随后引发了强烈反对，反对理由在于：（1）该法案的目的在于规范技术创新并保护公共利益，而个人信息权益保护只是公共利益中的一项内容。以远程生物识别系统（remote biometric identification systems）为例，其不仅采集了以识别或验证为目的的生物识别数据，还采集了大量的一般个人信息与无法识别信息主体的生物数据，而后者无法为草案中的“生物识别数据”所涵盖；（2）该法案不仅规范远程生物识别系统，情感识别系统与生物识别分类技术也成为被规制的对象，而后两种技术系统中占据更大的比例的是不具有识别功能的生物数据。因此，欧盟议会在2022年4月颁布的《关于〈人工智能法案〉的报告草案》中修改了原生物识别数据的概念，并提出“生物特征数据”（biometrics-based data），即后者不再以对自然人的识别或验证为目的，由此提出了规制法领域内的类似概念。
欧盟以保护法与规制法的不同立法目的为出发点，在不同领域内界定生物识别信息的立法思路值得为我国所借鉴。在《个保法》范围内，生物识别信息的概念厘定应以保护个人信息权益为目标，而该“个人信息权益”的主体是已识别或具有识别可能的信息主体。由此，保护法内生物识别信息功能要素的门槛为“已识别+可识别”，理想匿名状态下的软生物特征与弱生物特征数据并不在保护法的规范范围之内。继而，问题的关键在于生物识别信息同一般个人信息与敏感个人信息之间的关系，以明确生物识别信息的内涵与外延。笔者将以生物识别技术的迭代为主线，探讨当下第一代生物识别技术广泛应用背景下生物识别信息的具体内涵，并对第二代生物识别技术背景下这一概念内涵扩展的可能提出设想。（如表2）
（1）第一代生物识别技术背景下生物识别信息的界定。欧盟《通用数据保护条例》在第一代生物识别技术发展的背景下颁布，欧盟学者认为该条例在功能要素上构筑了三层次的识别标准：一般个人信息的识别标准最低，以已识别或可识别为具体内容；生物识别信息的识别标准次之，是以识别或验证特定自然人的已识别为标准；能够被纳入敏感个人信息的生物识别信息的识别标准最高，仅为识别特定自然人，而将验证目的的处理排除在外。尽管我国《个保法》对识别的具体内涵尚未明晰，且第28条将生物识别信息视为敏感个人信息的子集予以列举，但笔者认为三者间的关系应如图2所示。生物识别信息与敏感个人信息均为一般个人信息的子类型；生物识别信息因以识别或验证为目的采用已识别标准，高于一般个人信息的识别标准；生物识别信息不应被全部视为敏感个人信息的子集，二者是交叉重合的关系。由于我国立法与司法实践并未对生物识别信息与敏感个人信息设置识别标准的差异，但学者多基于场景理论，认为满足第28条概括性条款中危险性要求的生物识别信息才能被视为敏感个人信息，享有更高的保护力度。
总之，第一代生物识别技术是当下个人信息保护立法的共同背景，由此形成了生物识别信息的传统定义，即“与自然人的身体、生理或行为特征有关，以识别或验证特定自然人为目的的信息”，其主要以范围与功能要素区别于一般个人信息，以信息的危险程度区分于敏感个人信息。
（2）第二代生物识别技术背景下生物识别信息的界定。从技术要素的角度看，在以情感计算和生物特征分类为典型的第二代生物识别技术中，识别与验证不再是技术应用的主要类型，检测（detection）与分类（classification）技术的应用则更为普遍。检测是辨别视频或图像中的自然人或其特定身体部位并展开测量的技术，分类是基于特定生物特征展开类别归纳的技术。例如，在基于面部表情测量的情感计算系统中，该技术需辨别视频图像中人脸的位置并测量面部表情信息，继而依据特定算法模型归纳出人的情感状态。虽然在理想的匿名状态下，探测与分类技术所针对的软生物特征与弱生物特征信息难以识别特定信息主体，但一方面探测与分类技术与识别、验证技术间具有高度的关联性，另一方面受技术黑箱的影响理想的匿名状态难以实现，所以探测与分类技术所针对的生物特征信息可能会以可识别信息的方式大量存在。加之，信息处理者对于系统中唯一性识别信息的获取较为容易，系统中的可识别信息可能与唯一性识别信息相结合，达到识别强化之效果。
由此，第二代生物识别技术下生物识别信息的概念内涵将从三个方面突破其传统定义：在范围要素上，多以动态化呈现的弱生物特征将突破强生物特征仅有的静态性，因此新内涵中不仅包括“身体、生理或行为特征”，还应包括与之相关的“信号”；在技术要素上，新内涵在原有识别与验证技术之外，还应包括情感计算与生物特征归类所普遍应用的探测与分类技术；在识别要素上，由于可识别信息将成为第二代生物识别技术系统中信息存在的普遍状态，因此原有的“已识别”标准应被降低为“已识别或可识别”。此时，新内涵下的生物识别信息与一般个人信息的主要区别在于范围要素，而与敏感个人信息的区分同样在于信息的危险程度。
最后，在以《数据安全法》为主的规制法体系内，由于该法以保护数据安全和促进数据的开发利用为目标，规范收集、存储、使用、加工、传输、提供、公开数据的数据处理活动，所以生物识别技术系统中处理的数据均在该法所规制的范围内，识别性不再是规制法所关注的对象。此时，生物识别信息在规制法内更为准确的名称应为“生物特征数据”。在数据分级分类保护的制度下，生物特征数据具有成为重要数据与核心数据的可能，进而实施更为严格的管理制度。
（二）人脸照片信息属性分领域类型化判断的展开
在明确保护法与规制法范围内生物识别信息的具体内涵后，有必要回到本文开篇所提出的问题，即“人脸照片是否应归属于生物识别信息”或“人脸照片在何种情况下应属于生物识别信息”，而这一问题的理论回应也是对本文第二部分现行法下已有判断的修正。
从规制法角度看，由于生物识别技术是以数据为处理对象的技术活动，所以存在于生物识别技术系统中的人脸照片均属于生物特征数据。从保护法视角看，应主要根据技术要素判断人脸照片在何种情况下归属于生物识别信息。（如表3）
对于第一代生物识别技术背景下的“生物识别信息”，当人脸照片满足一般个人信息的可识别性，且已应用于或即将应用于识别与验证技术时，该人脸照片应属于生物识别信息。值得注意的是，这一观点实则修正了本文第二部分所提出的“人脸照片因未转译难以被归入生物识别信息”的判断。现有个人信息保护立法是建立在第一代生物识别技术发展的背景下，故而第一代生物识别技术背景下的“生物识别信息”与第二部分现行法下“生物识别信息”的内涵是相同的。第二部分因将人脸照片视为生物比对技术所作用的样本而排除出生物识别信息的范畴，仅将从人脸照片中提取出的强生物识别特征信息（面部识别模型）列入生物识别信息。然而，一则因为生物样本信息与生物识别模型间的可回溯性，二则出于人脸照片中强生物特征与弱生物特征、软生物特征间的高度关联性，导致转译与否成为了难以知晓且不再重要的一道程序。因此，已进入或即将进入以识别或验证为目的的生物识别系统中的人脸照片，其均应属于生物识别信息。与之类似，对于第二代生物识别技术背景下的“生物识别信息”，当人脸照片满足一般个人信息的可识别性后，已进入或即将进入以检测、分类、识别与验证为目的的生物识别系统中的人脸照片，均应属于生物识别信息。
结语
当下，人脸识别技术被公、私主体广泛使用，人脸照片的采集似乎成为了一种不可控的“必须”。伴随生物识别技术的发展，围绕人脸照片开展的违法犯罪活动呈现出了新的方式，由是引发的生物隐私风险不容小觑。人脸的数字化与否与数字化程度值得被慎重思考，人脸照片的信息安全保护机制亟待建立。人脸照片与生物识别信息间关系的讨论仅为这一思考的起步，基于生物识别信息与敏感个人信息的交叉重合关系，有必要对生物识别信息建立起单独的保护机制，并在人工智能立法的背景下探索依据系统内信息属性对人脸识别展开规制的新路径。
