生物识别信息是伴随着生物识别技术涌现的一种信息利用方式,不同于传统信息的是,聚合性使用生物识别信息能够促进社会整体效益的提高。然而,广泛运用该种信息的同时却又带来生物识别信息的泄露、滥用等负面结果。随着《网络安全法》、《民法典》和《个人信息保护法》的出台,我国正在围绕信息保护建立一套新的规则体系。但是由于新出台的法律法规仍沿用传统视角对待生物识别信息,采用的保护方式和手段也不具有针对性,导致现行法律尚不足以保护生物识别信息所有人的合法权益。本文从“人脸识别第一案”的一审、二审判决出发,以案例分析为研究导向,从理论层面、实证层面以及比较法等多个角度,对《个人信息保护法》出台后的生物识别信息的法律保护提出完善建议。两审法院在对案件纠纷的定性、对生物识别信息重要性的理解以及对知情同意原则的解释等问题上,都导致所谓的“第一案”并不具有其时代意义。通过该案,可以看出生物识别信息的保护主要存在以下困境:从法律层面而言,一是高阶立法欠缺针对性,低阶立法欠缺体系性;二是知情同意框架流于形式,即非对称信息妨害同意基础、过载信息导致非理性决策、复杂流通模型削弱同意有效性;三是生物识别信息被遗忘权的缺失。从监管层面而言,一是技术监管主体的缺位,二是技术监管标准不一,三是技术监管措施单一而滞后。结合我国生物识别信息技术的发展趋势,本文针对性地从法律层面和监管层面采取措施。从法律层面而言,一是塑造渐进式“专门立法”模式,这就要求发挥中央立法的指引作用和发挥地方立法的自主创新;二是强化信息所有人的权利,完善知情同意模式,包括基于场景风险评估的同意分层、持续有效的信息披露与动态同意以及匿名化处理;三是应赋予信息所有人被遗忘权,弥补删除权所不能覆盖的空白。从监管层面而言,要弱化信息利用人的地位,完善技术监管制度,通过推动形成双层监管结构的治理主体和建立保护性能和安全性能分级规制制度以及风险预防下的激励型监管措施体系,抬高生物识别信息技术利用门槛。