摘要：又如，《刑案解释》将账号密码、财产状况明确列举为高度敏感信息，个人信息保护法则规定金融账户是敏感个人信息，但民法典第1034条第2款并未明确列举账号密码、财产状况。 ...
这一点将在下文予以详述。
如若将抽象审查程序比作站在前方的宪法守卫者，[8]那么具体规范审查程序具有与它完全不同的程序价值——防止每个法院以不适用立法者所制定的法律的方式，无视联邦和州立法者的意志。[60]Christian Hillgruber/ Christoph Goos (Fn. 8), Rn 601a. [61]前注[4]，[德]克劳斯·施莱希、斯特凡·科里奥特书，165页。
[68]前注[4]，[德]克劳斯·施莱希、斯特凡·科里奥特书，第157页。三、双阶段性之结构 所谓双阶段性，指程序在运行的过程中具有明显的阶段性的界分，一般法院与联邦宪法法院合作完成针对某一具体法律的合宪性审查。具体规范审查程序的被审查对象不包括立法不作为，即立法机关的不作为不能作为违宪情形由法官向联邦宪法法院提出法律解释请求。联邦宪法法院对规范的合宪性做出最终判决后，根据《联邦宪法法院法》第31条的规定，应当由联邦司法部在《联邦法律公报》上刊登（判决书），（判决书）进而对联邦和各州的宪法机关，以及所有法院和行政机关产生拘束力，具有规范性效力。提案中被审查对象范围过宽主要指以下几种情况：虽然对原程序的裁判仅取决于审理争议所需依据的规范，但法官的法律解释请求时经常会针对整部法律提出。
而宪法诉愿作为对抗公权力侵犯公民基本权利特别的非正式的法律救济途径，[25]其提请主体是具有基本权利能力的任何人。同时，法官应当在法律解释请求书中充分论证事实和法律两者间的决定性关系，并出示相关的证据。敏感个人信息保护法益的多元化决定了法益识别判断的复杂性。
在公私法融合的背景下，基于法秩序统一性和公私法一体化保护理念，对敏感个人信息应当实行强化保护和分类分级保护。将某种信息数据处理行为所涉及的法益性质界定为个人法益、公共法益还是国家法益，将直接决定或影响着刑法中相关罪名的认定。只要各个部门法发挥好职能作用，做到衔接协调，共同完成权利保障和行为规范的目标即可。人脸识别的运用涉及多方法益，从比例原则来考察，即当人脸识别技术的运用有法益侵害性时，也须在获取效益和侵害法益之间进行衡量。
在个人信息保护法颁布实施的背景下，立足于体系解释，使其与民法典、数据安全法、网络安全法、刑法以及其他法律法规相衔接协调，从法律规范体系内部到外部，从立法到司法，实现法秩序统一和个人信息公私法一体化保护。〔26〕参见同前注〔3〕，郑飞文。
我国立法一直都比较重视对信息数据和网络安全的分类分级保护，个人信息保护法第51条原则性规定了个人信息处理者对个人信息实行分类管理的义务。〔25 〕作为一种权利客体或行为对象，个人信息只是映射某种法益的客观存在 〔26 〕，因此，敏感个人信息的分类只是判断信息处理行为是否侵犯法益的前提。从性质来看，个人信息保护法不是私法，但也不完全属于公法，而是专门规范个人信息处理活动和权益保护的单行法，属于民法与行政法的交叉型法律。〔23〕[德]约阿希姆·福格尔：《纳粹主义对刑法的影响》，喻海松译，载《刑事法评论（第26卷）》，法律出版社2010年版，第300页。
在不同的具体场景中，敏感与非敏感的标准因人、因事而异。人脸识别的主要特征在于非接触性、主体唯一性和不易复制性，同时也具有无须携带、易于采集、成本低廉等特点，通过设置普通摄像头等传感器，无须接触人体便可实现人脸信息的抓取与存储。在此立法背景下，如何对包括人脸信息在内的敏感个人信息实行体系化法律保护？笔者对此加以探讨。对于不具有隐私信息属性的人脸信息，可给予敏感个人信息的法律保护。
〔15 〕敏感个人信息是一旦被泄露或非法使用后将使信息主体的人格权或财产权益遭受实际损害的重要个人信息，权益侵害风险程度相对较高，应当受到强化保护，对于一般个人信息则可以采取相对宽松的保护措施。〔47 〕在对侵犯敏感个人信息法益的行为进行刑事违法性评价，必须先进行民事违法性判断，即双层违法性判断。
例如，人脸、指纹、虹膜、基因等个人生物信息通过智能技术被收集、存储，从而广泛应用到国境边防、社会治安、公共交通、医疗卫生、疫情防控等方面，并扩展到人工智能、区块链商业应用的新领域。另外，所谓私法公法化和公法私法化并非是相互替代，而是带有强制性的公法规范渗入私法领域，对私法自治进行适当限制。
〔4 〕对于间接个人信息来说，与特定自然人身份及活动情况的关联性必须达到一定的紧密程度，从这一点来说，间接个人信息也可能具有较强的可识别性，只不过需要借助于其他信息加以综合分析判断。按照《刑案解释》的规定，住宿信息是可能影响公民人身、财产安全的一般敏感信息;住址信息则属于一般个人信息。即使已取得个人信息主体的同意，网络运营者仍应仅收集达到目的所需的最少个人生物识别信息，以最大限度降低损害风险。例如，行踪轨迹、健康信息、手机定位等信息，可以认为其属于隐私，当其与個人的姓名、手机号码有关联时，其又属于敏感个人信息。但在《刑案解释》中并无生物识别信息的相关规定。从敏感重要性程度等方面考虑，个人简历信息应被视为非敏感个人信息。
QQ账号注册不需要实名，不具有直接识别性。在生物特征数据的存储和传输过程中，应当使用SM2或SM4加密算法对信息数据进行保密处理，未经信息主体授权不得访问或披露。
例如，民法典与个人信息保护法所确立的告知同意原则是个人信息主体的核心权益，对于在个人信息处理中违反有关告知同意规则的行为，可以认定为属于侵犯公民个人信息罪构成要件中的违反国家有关规定的行为。〔24〕参见同前注〔6〕，宁园文。
司法机关应当从控制犯罪角度出发，需要防止打击面过度扩张，对不同类型个人信息的认定需要更加严谨，予以区别对待，将没有必要予以刑法调整的个人信息类型排除在相关罪名的对象范围之外。如果行为人通过一定程序能够获取未经个人授权的手机号码位置信息的，该信息既属于行踪轨迹信息，也属于通讯记录，应当将其作为高度敏感信息予以保护。
然而，由于个人信息法益的多元化和复杂性，不同法律规范文件的调整对象和适用范围存在交叉重合。〔8〕该草案第4条（a）款以动态的关联性方式，将消费者个人敏感信息定义为被经营者所控制的信息，且通过该信息结合具体情景可以关联到特定的消费者或者特定消费者常用的设备。受侵害的客体与对客体的侵害程度包含着许多变量因素，同一类的受侵害客体，所遭受侵害程度不同，保护等级也会有不同情况。内容摘要：随着个人生物识别技术的应用，非法收集、泄露和滥用人脸信息的违法犯罪问题凸显。
同时，从法秩序统一性和公私法一体化保护的视角，根据敏感个人信息所涉及的法益性质、内容及其遭受不法侵害的危害程度，运用民事、刑事和行政制裁手段，构建敏感个人信息保护的法律体系。生物特征识别系统应通过访问控制来实现数据的完整性保护，防止未经授权访问生物特征数据，或通过使用加密技术进行完整性检查。
从系统论角度，某一行业领域的法律法规都是由各个部门法组成的，并且形成多元层次。〔36 〕个人信息保护法同时包含公法规范与私法规范，具有公法与私法的混合法属性。
〔53 〕（6）个人简历信息。〔41〕参见袁泉、王思庆：《个人信息分类保护制度及其体系研究》，载《江西社会科学》2020年第7期。
（三）敏感个人信息的分类分级保护 我国立法机关先后颁布实施了网络安全法、数据安全法和个人信息保护法，分别承担着保护网络安全、数据安全、信息安全的基本法职能，彼此之间也存在交叉重合关系。然而，由于个人信息具有天然的公共价值属性，个人信息的私法保护显得限制有余而保护不足。但如果以网络安全法为参照，从计算机信息系统安全法益保护的角度，前两种数据犯罪为一般法所规定的罪名，侵犯公民个人信息罪则为特别法所规定的罪名。〔36〕参见谢鸿飞：《个人信息泄露侵权责任构成中的损害——兼论风险社会中损害的观念化》，载《国家检察官学院学报》2021年第5期。
但如果该信息是特定个人长时间内出入住该酒店的情况及其活动规律，则可能属于行踪轨迹信息，系刑法中的高度敏感信息。这使得个人生物识别信息不仅具有自身的人格权益和财产价值，而且还具有极强的公共管理利益属性。
〔30 〕也有学者认为，公法与私法的界分并非绝对的，而是相对的、多元的，不能将两者完全割裂开来， 〔31 〕私法规范渗入公法领域也不是无条件、无原则的，公法不能被私法规模化渗入。通过人脸识别技术获得的、能够识别自然人身份或行为特征的个人信息，即为人脸信息。
其四，敏感个人信息强化保护的例外情形。二、敏感个人信息的内涵与多元法益属性 在理论上和立法中，对于敏感个人信息的分类标准不一，在概念表述上也存在差异。
