数字文旅中生物识别信息的广泛应用，导致相关侵权案件呈现出采集行为隐蔽性与无意识性并存，风险兼具群体性、扩散性和转化性的特征，对其司法认定路径的探索是数字文旅健康发展与公民权益有效保护的重要课题。这关乎平衡技术创新与权利保护、完善数字时代个人信息法治体系等多重价值的视线。针对侵权行为，应立足数字文旅场景特性，以特定目的限定信息收集的合法性边界，并结合技术发展动态拓展生物识别信息的外延；针对侵害结果，需认识到其人格权益、财产权益与公共利益侵害的复合形态，从而做到全面考量；针对因果关系，可积极运用事实推定机制，缓解权利人因技术壁垒导致的举证困境；关于无过错抗辩，被诉侵权人可以从数据采集合法性、管理规范性等层面完成证明。
一、问题的提出
“数字文旅”是文旅融合的最新发展样态。所谓数字文旅，是“当代科技特别是互联网等数字技术促进文化和旅游融合的所有现象总和”。2020年发布的《文化和旅游部关于推动数字文化产业高质量发展的意见》指出，数字文旅是实施文化产业数字化战略，推动数字文化产业高质量发展的重要部署。《“十四五”文化和旅游发展规划》也明确要求顺应数字化发展趋势，加强旅游信息基础设施建设，深化“互联网＋旅游”，加快推进以数字化、网络化、智能化为特征的智慧旅游发展。目前，数字文旅相关研究已从多个方面展开，囊括“文旅产业融合与发展趋势”“数字技术赋能乡村文旅发展”“数字文旅载体建设与沉浸体验”“游客数字文旅消费行为与体验”等方面。而从法治保障的层面对数字文旅的相关问题展开探讨相对欠缺。“以法治化思维和法治手段来推进文旅融合发展，既是我国引领文旅高质量发展、满足人民对美好生活的新期待的必然要求，又是依法治国、提升治理效能的题中要义。”
本文聚焦数字文旅中生物识别信息侵权的司法认定问题。所谓生物识别信息，是指能够单独或者与其他信息结合识别特定自然人的“生理或行为特征，从中提取可识别、可重复的生物特征样本、模板、模型等识别数据或数据的聚合”。在数字文旅中，生物识别技术已成为重要支撑，主要涉及 “人脸识别信息”“指纹信息”“声纹信息”等人体生物识别信息，以及诸如“心跳数据”“体温数据”“体征数据”等人体生理数据。
采集生物识别信息有助于服务提供者提供更加优质的数字文旅产品，但也因场景特殊性催生了新型侵权风险。其一，相较于金融、安防等传统场景，数字文旅中的生物识别信息采集更具无意识性。数据用途与文旅服务高度绑定，例如通过微表情数据渲染场景、通过体征数据监测游客偏好等。这使得游客在游玩场景下为获取即时服务，通常在未充分阅读隐私条款的情况下便同意数据收集，进而导致他们的生物识别信息被更大程度地暴露于外界。同时，在技术层面，数字技术的应用又赋予了采集行为隐蔽性。随着数字技术的发展，生物识别信息的获取和解码变得更加容易，例如，人脸生物识别信息无需人工或信息主体配合，只要信息主体以正常状态经过摄像头即可完成信息采集，其信息采集高效便捷又兼具隐蔽性。
其二，这种侵权风险兼具扩散性与转化性。在数据共享愈发普及的背景下，侵权人非法所得的生物识别信息更有可能被传递至其它主体，从而扩大侵权行为的影响范围。鉴于数字时代风险的全域性特征，数字空间和现实空间的风险往往可以相互转化，智能技术过度采集游客个人信息易造成信息泄露等问题，将进一步加剧侵权风险的严重性。
其三，数字文旅中生物识别信息侵权的危害程度更因信息本身的敏感性而加剧。根据《中华人民共和国民法典》第1034条以及《中华人民共和国个人信息保护法》（以下简称《个人信息保护法》）第28条的规定，生物识别信息属于敏感个人信息范畴，具有敏感性、专属可辨识性、滥用危害性大等特征。源于这些特征，“个人生物识别信息的广泛应用会带来严重的生物信息安全风险”。 在与文旅服务深度绑定的数字场景中，这种危害更易直接作用于广大游客群体。
其四，在规范层面，现行法律规范未能提供周延保障。数据使用等网络安全相关的法律法规缺失，已大大制约了数字经济对相关产业的渗透与融合，影响了文旅产业数字化转型与创新发展。文旅安全“防”“控”“救”等规章制度建设滞后，亦与相应法律法规不健全息息相关，导致难以形成对数字文旅中生物识别信息侵权的有效规制。
总之，数字文旅中的生物识别信息侵权呈现出采集行为隐蔽性与无意识性并存，风险兼具群体性、扩散性和转化性的特征，且其危害程度因信息本身的敏感性而加剧，而现行法律规范在应对此类新型侵权的规制适配性上并不充分。构建应对生物识别信息侵权的法治保障机制是发展数字文旅的一项重要内容。这一法治保障机制由多个部分组成，涵盖生物识别信息收集的前端规范与受害者救济、侵权人惩处的后端保障等多个环节。司法救济在这一体系中发挥着承前启后的关键作用，因为它能够弥补前端保障之不足，为自然人权利提供第二阶段的保护，并为后端保障提供有效的法律依据。然而实践中，存在“个人无法准确获知信息被如何处理，甚至不知道自己的信息权益是否遭受了侵害”的现实困境。当前司法实践对生物识别信息侵权的认定，多基于《个人信息保护法》等规范，采取传统的认定路径，尚未充分回应数字文旅场景的技术特征与行业需求。如何判断“为提供文旅服务所必需”的生物数据采集范围，认定跨平台数据流转中的侵权责任归属，平衡游客隐私保护与数字文旅产业的创新发展？这些问题的悬而未决，既可能导致游客权益得不到针对性保护，也可能制约数字文旅技术的规范应用。
二、数字文旅中生物识别信息侵权的侵权行为：边界场景化与外延动态化
为了提升游客的互动体验，生物识别信息采集在数字文旅中成为越来越普及的环节。由于其依赖先进数字技术实现，导致作为信息被收集者的游客与作为信息收集者的数字文旅服务提供者之间存在技术认知不平等。一系列新问题随之浮现，对传统个人信息侵权认定方式造成冲击。
（一）
生物识别信息采集行为的特征及其合法性判断
与过去不同，数字文旅旨在借数字技术手段还原特定文旅场景，从而使游客得到切身的旅游体验。对于这种“切身体验”的实现，有学者基于场景理论的分析，指出需要兼顾“地方原生性”“符号感知性”和“价值表达性”三重维度，不仅依赖物质环境的真实性和文化符号的生动性，更强调游客作为主体的主动参与和情感投射，形成有机互动闭环。也有学者基于媒介理论，指出“新兴媒介拓展了人类先验/超验的环境认知能力，城市意象的网络感知具有超脱地理空间束缚的即时共享性，公共空间和媒介仪式的回归促使人们在数字化的地方感知中更好地铭记地景，成为公共记忆”。总之，不论基于何种理论，在数字文旅中，作为主体的游客的互动性体验是至关重要的。
要获得这些体验，就需要依托对特定生物信息的采集。生物识别信息在人机融合场景中可以充当区分互动对象与辨别情绪的支持性媒介；在一些数字文旅所依靠的元宇宙技术下，也能作为用户接入虚拟世界的身份标识符。以后者为例，虽然学界目前对何谓“元宇宙”并无统一见解，但可以确定的是，学界均认可元宇宙技术旨在实现主体的“沉浸式体验”。这与数字文旅所追求的互动性体验相契合。而得到此种体验的前提，正是服务提供方能够获得更多的实时数据，尤其是体感交互数据，以便及时调整场景的呈现。为了获得更多的实时数据，与传统对生物识别信息的单次采集不同，生物识别信息的采集逐步转变为持续性采集。
此种持续性的特征对传统生物识别信息采集中的“知情—同意”原则造成冲击。生物识别信息属于特殊的个人信息，依据现有规范，在收集上应当遵循“知情—同意”的程序。但是，由于信息和技术的不对称，处在弱势地位的游客已经无法对自己的生物识别信息进行有效控制。该原则在实践中的作用已然式微，存在信息采集者不告知、不充分告知、告知行为流于形式以及隐藏真实目的的情况。并且，该原则作为区分合法收集行为与侵权行为的标准并未同步跟进新形势的发展，其所针对的依然是过去较为固定的单次采集场景，难以与依托数字技术的持续性实时采集场景相适配。即便游客作出了同意的意思表示，但他们却依然对服务提供者将采集何种信息、如何采集信息、何时采集信息等情况并不清楚。对此，学理上通常以“最小必要原则”作出限定，但何谓“最小”、何谓“必要”，依然是一个因缺乏判断标准故悬而未决的问题。换言之，“知情—同意”原则此刻陷入了虚置状态。
应当如何确定数字文旅中生物识别信息收集行为的合法性边界？本文主张，应当遵循“场景一致性”原则，即通过判断生物识别信息的收集是否契合既有信息规范与场景目的，来重新界定“知情”的内容范畴，进而以此为核心认定该信息收集行为的合法性。基于此，数字文旅服务提供者告知的内容应当与特定的收集场景具有一致性，不得超出特定场景的特定用途。这符合敏感个人信息收集的合理性要求。《个人信息保护法》第28条第2款规定：“只有在具有特定的目的和充分的必要性，并采取严格保护措施的情形下，个人信息处理者方可处理敏感个人信息”。其中，“特定的目的”和“充分的必要性”与“场景一致性”相契合。对应地，游客的“同意”也应限于特定的场景之下，服务提供者与特定场景目的不符的告知，以及超出告知范围的收集行为均属于侵权行为。
进一步的问题是，我们应当如何判断特定的告知内容是否与当前场景相契合？鉴于科技发展的迅速，《个人信息保护法》的抽象性规定无法在规范层面提供具体指引。目前，我国对数字文旅中生物识别信息收集行为的合法性边界的判断标准尚处探索阶段，宜积累案件处理经验，并从中凝聚判断基准，为司法实践提供指引。因此，判断的标准应当是个案化的，取决于社会实践和司法实践的互动：先由服务提供者基于技术特征或行业准则确定告知的范围，随后再由司法机关或行政机关具体判断该范围是否与当前场景具有一致性。在判断的过程中需吸纳各方当事人的辩论意见。例如，在一起案件中，虽然存在《隐私协议》，但是由于其生效的时间与被诉侵权行为的发生时间不具有一致性，因此法院认定信息收集者系违法收集。
（二）
数字文旅中生物识别信息的外延厘清
数字文旅的运营与开展高度依赖各类信息的运用，这使得生物识别信息的具体外延随之扩大。因此，在判定数字文旅服务提供者的信息收集行为是否侵权时，明晰生物识别信息的具体外延至关重要。尽管《个人信息保护法》第28条第1款已明确将生物识别信息归入敏感个人信息范畴，但该条款仅停留在概念引入层面，并未对其具体外延作出精准界定。这种界定上的模糊性，给数字文旅中侵权行为的认定带来了阻碍，亟需针对生物识别信息的具体外延展开明确解释。
从技术发展视角观察，生物识别信息的外延呈现扩张态势。生物识别技术最初主要聚焦于单一的指纹识别和人脸识别，应用场景也局限于门禁管理与简单身份验证。随着人工智能、传感器技术与大数据的深度融合，生物识别技术得到发展。当前，除传统的指纹、人脸外，声纹、虹膜、掌纹、耳廓甚至步态等更多维度的生物特征数据也被纳入采集范畴，形成多模态生物识别技术体系，极大拓展了生物识别信息边界的同时也倒逼法治的动态调整。
数字文旅的治理需积极响应技术的发展。数字文旅是增强现实、生物识别信息收集等技术发展并逐步走向成熟的产物。以沉浸式体验为例，融合微表情捕捉、眼球追踪、语音情绪识别的多模态生物识别技术，能够实时采集游客复杂的生理与行为数据，用于优化体验内容。而文旅 APP 借助手机内置传感器，在用户无意识间采集声音特征、运动轨迹等生物识别信息，实现精准化服务。因此，前述的个人基因、指纹、声纹、掌纹、耳廓、虹膜等也应成为生物识别信息侵权的治理对象。
但这样的结论尚不足够。这是因为，前述对生物识别信息的保护，依然是被放置在传统个人信息保护的框架下进行的，主要关注侵权行为对特定自然人的侵害。但这忽略了生物识别信息的公共属性，以及侵权行为可能造成的公共风险。在大数据时代，不仅是生物识别信息，一般的个人信息也具有公共属性。而由于生物识别信息的敏感性，以及泄露或不当利用可能造成后果的严重性，其公共属性无疑强于一般的个人信息。对此，现有的研究主要强调从行政监管的角度赋予权力机关更多收集权限：即便当事人拒绝采集，但是行政机关依然可以采集特定信息。
若着眼于收集者与被收集者之间能力不平等的境况，强调国家的保护义务并增强其介入程度同样重要。对此，可以适当扩张生物识别信息的外延。传统认知中，生物识别信息仅包含可直接锁定特定主体的特征数据，而将间接识别信息排除在外。但这种界定方式已难以应对新型侵权风险。人的生物特征包括生理特征和行为特征，前者即指向可以直接锁定特定主体的信息，后者则指出行习惯、步态特征、击键习惯等。这些行为特征所蕴含的信息虽然无法被单独用来识别特定个体，但这些离散的个体数据一旦被恶意收集或滥用，通过数据共享与关联分析在公共数据库中与其他信息交叉比对就不仅能够精准定位特定自然人，更会对特定社群的生物信息安全造成威胁。而这类信息在数字文旅所依赖的智能穿戴设备中恰恰被广泛采集。数字文旅中的生物识别侵权不再局限于个体层面，而是借助生物识别信息的公共传播特性，演变为系统性、群体性的权益侵害。因此，将规制范围延伸至间接性的生物识别信息，不仅契合个体权益保护的需要，同时也契合保护数据公共安全、防范系统性侵权风险的需要。
此外，由于我国目前在生物识别信息侵权的判断上尚处起步阶段，《个人信息保护法》仅仅确立了生物识别信息的概念，而未明确清晰的边界，尚待在实践中充实其内涵。在此背景下，对于数字文旅服务提供者所收集信息是否属于生物识别信息这一关键问题，还需要由司法实践不断积累经验来作出更精准的判断。因此，需完善司法鉴定、专家辅助人等制度，通过充分引入专家意见，促进法庭辩论，协助法官更好地行使自由裁量权。在未来，为了规范生物识别信息的具体外延，可以在立法层面或司法解释中作进一步的明确，采“定义+列举+排除”的体例，构造一种较为开放的识别模式，将尽可能多的生物特征和识别信息纳入。
三、数字文旅中生物识别信息侵权的损害结果：多层次权益的复合形态
在数字文旅中，生物识别技术的广泛应用带来了新的风险与挑战。一方面，增加了侵权的可能性；另一方面，不当收集或滥用所造成的侵害结果呈现出多种形态相复合的特点，其不仅会引发下游侵害的发生，进而侵犯具体的人身或财产权益，也会导致社会公共利益遭受侵害。
（一）
人格权益侵害
人格权益侵害是最为显在的侵害类型。数字文旅服务提供者对生物识别技术的不当使用可能通过多种路径侵害人格权益，主要包括对个人信息权益本身的侵害、对隐私权直接或间接的侵害。其对肖像权的侵害尤为显著。生物识别技术中的人脸识别直接关联肖像权，数字文旅服务提供方通常会要求游客通过人脸识别的方式完成身份认证，从而注册或登录系统。由于这一环节具有强制性，如果收集行为不符合《最高人民法院关于审理使用人脸识别技术处理个人信息相关民事案件适用法律若干问题的规定》（法释〔2021〕15号）第2条的规定，则将侵害自然人的肖像权。
（二）
财产权益侵害
数字文旅服务提供者对生物识别信息的不当利用也会造成财产权益侵害，并且，此种财产权益侵害主要包含以下两个方面。
其一，传统意义上的财产权益侵害。在生物识别信息被泄露之后，第三人便可能通过欺诈等行为侵害个人的财产权，这在实务中最为普遍。此外，还可能包括未经授权使用生物识别信息进行金融交易、注册虚假账户等，从而导致个人财产的损失等其它形态的行为。根据侵权的过错归责原则，正是信息收集者的不当行为造成了下游侵权的发生，应当承担必要的责任。在我国司法实践中，法院通常会基于《网络安全法》第四章审查信息收集者是否存在违法收集生物识别信息保护的行为。如果信息收集者未尽到合理的安全保障义务，导致生物识别信息泄露，进而引发他人财产损失，就应当认定其存在过错并承担相应的赔偿责任。
其二，新型的财产权益侵害。“数据是一种新型财产，它蕴藏着难以估量和评价的巨大价值。”在大数据技术被广泛运用的背景下，生物识别信息不仅具有人身属性，亦具有财产属性，其本质在于将特定的生物特征转化为数据。例如，生物医学领域，基因序列等生物识别信息便在健康分析和药物研发中具有很高的价值，被视为数据集合创作者的资产。
因此，数字文旅服务提供方未经游客同意便处理其生物识别信息，这种行为不仅构成对人格权益的侵犯，还会对财产权益造成侵害。得出此结论的前提在于承认游客对自身生物识别信息享有财产权。不过，也存在一种反对观点，即认为尽管数据的汇集具备财产属性，但这并不意味着单个数据也必然具有财产属性。但是，游客毕竟是个人信息数据的“源发者”“生产者”和“所有者”，人格权益中蕴含着不可估量的、无法用等价物衡量的人格尊严价值，而个人信息数据与之具有同质性，其价值不应发生贬损。
那么，应当如何确定具体的财产权益损害范围呢？本文认为可以从“预期利益”的角度确定财产权益的损害范围。我国《民法典》并不反对人格权主体对自己生物识别信息的商业化利用。实践中存在个人以其生物识别信息为商品出卖给特定企业的情况。（4）由此，主体便享有这样一种期待利益，即通过出售其生物识别信息以换取对价，他人非法利用生物识别信息并获得收益的行为系对该利益的侵害。对期待利益的侵害符合《民法典》第1182条所规定的“被侵权人因此受到的损失”，可以受偿。如此一来，生物识别信息本身所蕴含的财产价值便更加显著。至于其价值几何，则可以根据特定生物识别信息的市场交易价格决定。
（三）
公共利益侵害
对生物识别信息的不当收集与利用，也会对社会公共利益造成侵害。由于生物识别信息侵权案件具有显著的涉众性，因此损害社会公共利益。生物识别信息侵权对公共利益造成的影响不止于此。由于生物识别信息可以被赋予商品属性，由此便存在一种面向社会的隐忧：企业是否会“店大欺客”，并进而形成对弱势群体的剥削，也即经济上的需要会迫使人们不得不出售或允许他人访问自己的生物识别数据。这便演变成为一个公平和社会正义的问题。此外，在使用生物识别数据的人工智能系统中，也存在一个涉及偏差和歧视的伦理问题：由于样本分布不均，人工智能算法会在不经意间延续或放大现有的社会偏见。如上种种，均为不当收集和利用生物识别信息，对社会公共利益造成侵害的具体体现。
生物识别信息侵权对公共利益的侵害，根源在于“经营者与消费者之间在商业方式、技术、商品等方面存在信息不对称”。这一问题在数字文旅中更为突出。文旅企业掌握技术与信息优势，而游客却不了解信息收集的范围、用途等，易陷入被动同意的境地。这种不对称使得数字文旅服务提供者有能力利用技术优势和强势地位，在未经充分告知或征得有效同意的情况下，大规模收集、滥用生物识别信息，进而将个体权益侵害扩散为公共利益受损。具体来看，此类侵害具有两种面向。一是 “呈现规模化、集团化、集群化的形式” 的生物识别信息侵权。例如，景区或文旅平台为提升管理效率或精准营销，在未明确告知游客的情况下，大量收集游客的面部信息。这些信息一旦泄露、被非法交易或滥用，由于涉及的游客数量众多且具有不特定性，会对公共安全和社会秩序造成显著影响。二是不当利用生物识别信息会损害游客对数字文旅产业的信任，阻碍行业健康发展，破坏公共利益中的行业生态与社会经济秩序。生物识别信息侵权受害人范围之广，造成的损害程度之大，都是传统民事侵权行为无法比拟的。在数字文旅领域，这种社会性损失指向对旅游市场的公平秩序和游客的整体体验的损害。
在数字文旅领域识别此类公共利益侵害时，需紧扣其场景特性把握四大判断要素：人数的广泛性、主体的不特定性、利益的普遍性，以及利益内容与公民基本生存发展需求的关联性。在数字文旅中，“涉及人数的众多”和“组成人员的不特定”体现为受侵害的游客数量庞大且来自不同地域、群体；“利益的普遍性”表现为游客对个人生物识别信息安全的普遍需求，以及对公平、安全、便捷的数字文旅服务的共同期待，这种普遍利益受到侵害即构成对公共利益的损害；“人的基本生存发展需要”则体现在数字时代，个人信息安全是保障个体正常社会活动和发展的基础，生物识别信息的滥用会威胁游客的人身财产安全，进而影响其参与社会生活的基本权利。
四、数字文旅中生物识别信息侵权的因果关系：技术黑箱下的事实推定
在生物识别侵权案件中，因果关系的认定通常不存在困难。这是因为生物识别信息作为敏感个人信息具有专属性，需经法定“告知—同意”程序方可合法持有。他人非法收集、持有或利用该信息的行为，本身即直接侵害权利人的知情权与决定权，也即该侵权行为与侵害结果在时空和逻辑上高度一体、不可分割，无需额外举证证明二者因果联系。在司法实践中，个人信息侵权案件在因果关系上的证明难点，反而在于侵权行为的证明困难。
然而，在数字文旅中，生物识别侵权案件的因果关系认定却面临一些更为复杂的情况。如前所述，在数字文旅环境中，生物识别信息的应用场景呈现出复杂性与多样性，侵权行为的样态也随之变得更为多元。无论是信息处理者自身的主动侵权，还是第三方介入实施的侵权行为，其表现方式都带有隐蔽化特征，涉及多因一果的复杂情形。例如在数字文旅项目中，生物识别信息经多个技术接口二次流转，若被用于制作虚拟形象并商业传播，权利人需追溯涉及多技术平台、多处理主体的信息完整流转链，才能证明虚拟形象非法使用与自身生物信息泄露的直接因果关系，举证难度显著提升。当生物识别信息被非法用于支付验证等财产领域时，因侵权行为经加密、跨平台跳转等多重环节，权利人还需同时证明信息不当利用事实与财产损失的必然联系。这使得此类生物识别侵权案件中，因果关系证明陷入困境。
为应对此种证明难题，可以积极运用事实推定的手段。对此可能存在反对意见：我国在个人信息侵权的因果关系证明上并未设立推定机制，因此适用事实推定并不具有规范基础。但该观点所指“推定”实为依法律明确规定强制转移证明对象的法律推定。而事实推定与之不同，是事实认定者在诉讼中依证据和经验法则对待证事实的假定。其运作不依赖法律强制，由事实认定者自主判断，效果是辅助形成心证并减轻证明负担，而非变更证明对象。将事实推定引入数字文旅产业中生物识别信息侵权因果关系证明的理由如下。
其一，在价值论上的符合性。法律语境下的因果关系狭义地指向“法律上的因果关系”。实务界和学界通常强调其“相当性”的层面，即“若有此行为，则通常足以产生此种损害”。“通常”一词暗含法律的特定价值追求：哈特认为，因果关系解决的是归责问题，这一特质使得法律上的因果关系成立与否之立论基础与事实上的因果律无关，而属责任范围限制之问题，与被告如何负担责任才符合公平正义或社会需求有关，处在政策决定的范畴。在数字文旅中，由于游客处于弱势地位，为了保护这一弱势群体的利益，有必要促进因果关系的认定。事实推定作为一种证明负担的减轻机制，在价值上具有被激活的正当性。
其二，在认识论上的可靠性。事实推定的运行逻辑是在基础事实与待证事实间架设关联，该关联源于对事物高度盖然性相关的经验归纳，是对事物常态联系的认知总结。数字文旅中，特定
行为与损害结果之间往往存在可观察的关联性。例如，如果已知某主体接触过权利人生物识别信息，该信息又被用于侵权并造成损害，依经验与逻辑，二者因果关联盖然性高，足以支持初步判断。这将原本需要高度技术性证据才能建立的因果关系判断，转化为基于普遍认知规律的推理，这既符合人类在信息不充分情况下对事物关联性进行判断的思维模式，也弥补了被侵权人因技术壁垒和信息不对称而产生的举证能力缺陷。
其三，在规范论上的合理性。如前所述，我国并不存在生物识别信息侵权因果关系的法律推定机制。事实上，相比于事实推定，由于法律推定赋予了事实认定者在基础事实得证时，应当进而认定待证事实的义务，因而能更有效地化解实践中的证明难题。但是，在数字文旅中，不宜引入此种法律推定。这是因为，其所具有的强制性易打破利益平衡：一方面，在简单案件中会过度降低权利人证明门槛，不当限制文旅企业合法经营；另一方面，若试图针对不同侵权行为类型分别设立法律推定，则会因该领域技术迭代快、侵权样态翻新，而难以穷尽所有场景，导致条文冗余或缺失。而事实推定无需预先法律设定，可由事实认定者依案件具体情形、结合证据与经验法则灵活判断，动态平衡信息权益保护与文旅产业发展。因此，激活事实推定的适用更具合理性。
五、数字文旅中生物识别信息侵权的抗辩事由：数据规范性与文旅场景特定性
由于在个人信息侵权方面，存在结构性的证据偏在情况，被侵权人难以举证证明对方存在过错。因此，《个人信息保护法》第69条第1款对过错要件的证明作出了特殊的安排。一方面，实务界对该条款的理解存在分歧，亟需从学理层面加以澄清；另一方面，在数字文旅中，该条款于生物识别信息侵权场景中的具体适用路径与操作方法，亦需进一步细化阐释。
（一）
对过错要件证明责任分配的特殊安排
《个人信息保护法》第69条第1款规定：“处理个人信息侵害个人信息权益造成损害，个人信息处理者不能证明自己没有过错的，应当承担损害赔偿等侵权责任。”针对此款规定，实务中存在两种不同的理解。在一起案件中，法院将之作为决定客观证明责任分配的法律规定。此时法院应当预设过错存在，除非被诉侵权人证明自己没有过错。而在另一起案件中，法院则将该款理解为一种法律推定机制：因当事人未能证实损害事实的存在，故未确认推定事实，也即认定被告无过错。本文认为，根据证明责任分配的通说理论，“过错”要件既可能是权利成立要件，也可能是权利妨碍要件。该款在表述上将“无过错”设定为个人信息处理者否认侵权责任成立的抗辩事由，将证明“无过错”的客观证明责任分配给个人信息处理者，即“过错”在此成为权利妨碍要件。
在数字文旅中，生物识别信息的收集使用具有高度敏感性与技术依赖性，侵权行为常伴随算法黑箱、数据跨境传输等复杂形态，权利人难以察觉具体过错行为。将“无过错”的证明责任分配给被诉侵权人，能够显著降低权利人的诉讼门槛，契合个人信息侵权中信息不对称的现实困境，也符合现代侵权法将过错要件作为一种平衡价值关系的技术理性。具言之，法院无需等待权利人证明处理者存在技术漏洞或管理过失等基础事实，而是可以直接要求处理者证明其已履行《个人信息保护法》第28条规定的生物信息特殊保护义务。
（二）
被诉侵权人无过错抗辩的具体展开
基于前文的论述，被诉侵权人对其“无过错”的证明，应属于抗辩。其内容主要关涉数字文旅服务提供者生物识别信息采集行为的合法性与管理的规范性。其中，数据采集行为合法性判断主要关涉生物识别信息的特殊外延以及采集行为的技术特征，这在前文关于生物识别信息侵权行为的合法性边界的探讨中已有详细论证，故而不再赘述。关于数据管理的规范性，生物识别信息侵权亦会由不当保管行为引发的信息泄露所导致。一旦发生这种状况，导致游客权益受损，数字文旅服务提供者便必须对其数据管理的规范性作出证明，从而论证其对数据的泄露不存在过错。
从技术层面看，被诉侵权人要证明自己无过错，便需要提供证据表明采用了合适的技术手段对生物识别信息进行存储和传输。由于技术问题并非法律所擅长的，因此对这一问题法律不应干涉过多，而是应尽可能引入更多的专业意见以促进法庭上的论辩，协助法官达成心证。但这也进而引发了一个疑问，那就是面对技术性的问题，法律规范便真的“无能为力”而应当采取完全不干涉的策略吗？答案是否定的。“我们要竭力避免技术投降主义者的态度，他们认为，既然我们不能停止或改变我们所不喜欢的技术发展，那么就不要为此去尝试了”。
基于此，在规范层面，一种在技术与规范之间寻求平衡的方案是，尝试对相关主体的资质与行为要求作出约束，这主要涉及数字文旅服务提供者所必须构建并完善的数据管理制度。例如，对于所收集的生物识别信息，原则上不作长期存储，若因特定需要确实需要存储的，则应当保证仅储存摘要信息、与其它个人身份信息分开存储、采取加密措施等。并且，当特定需要满足后，应当及时删除。由于数字文旅服务的提供方既可能涉及政府单位，也可能涉及企业，因此有必要明确公权行为与私人行为之间的边界，对公共部门和私人机构在个人生物识别信息处理及保护上分置不同的资质、权限与要求。
对公共部门的约束应侧重权限法定与程序规范。作为行使公权力的主体，公共部门在数字文旅中处理生物识别信息往往与公共服务、公共管理相关，具有更高的权限。因此其约束需强调处理行为的合法性基础，即必须基于法定的公共利益目的，且处理权限的设定需经过严格的立法或制度授权，不得超出必要范围。同时，在处理过程中需遵循公开透明的程序，例如信息收集前应明确告知收集目的、范围及用途，处理过程需接受内部监督与外部审计，确保不滥用公权力侵犯个人权利。
对私人机构的约束则应侧重准入资质与安全保障义务。私人机构作为数字文旅服务的市场提供者，其约束首先体现在须设定明确的资质准入标准，例如需具备相应的技术能力、安全设施及专业人员，以保障生物识别信息处理的安全性。此外，还需以安全保障义务为核心设置技术要求。这包括在抽象层面确立服务提供者的如下义务：（1）建立健全信息安全管理制度；（2）在处理信息前需充分告知用户权利与风险，获得用户的明确同意；（3）若发生信息安全事件，需具备应急处置机制并及时告知用户与监管部门。
此外，数字文旅服务提供者会与第三方合作，如果能够证明所造成的侵害系第三方造成的，亦能成为证明其无过错的理由。若采取此种抗辩策略，则须清楚地证明第三方的确为实际的侵权人，否则依然应当认定服务提供者存在过错。在一起涉及个人信息侵权的案件中，法院指出，“机票预订涉及多个交易环节，不能排除其他环节导致信息泄露的可能性”，因此认定某公司承担赔偿责任缺乏事实依据。本文认为，该判决要求原告证明没有第三方泄露信息的做法，实则是将证明服务提供者有过错的证明责任分配给了原告，故而存在错误。
（三）
相关立法与国家标准的配套建构
为能够构成前述服务提供者在微观层面构建的数据管理制度的具体参照，长期来看，宏观层面必须推进针对性立法与相关国家标准的建构。鉴于生物识别信息具有的高度敏感性，其一旦发生泄露、滥用或非法交易，不仅会对个人的人身权与财产权造成严重威胁，更可能引发系统性的社会风险与公共安全隐患。因此，针对我国生物识别信息数据的收集和应用活动，在未来的制度建设中可以采取专门立法的保护模式。这种专门立法模式并非对现有法律体系的替代，而是基于生物识别信息的特殊属性进行的精准化、系统化规范，能够为信息保护提供更具针对性和可操作性的法律依据，明确各主体在信息处理全流程中的权利与义务。
与此同时，在专门立法的框架下，还有必要同步设立原则性的国家标准。这类国家标准作为宏观制度设计的重要组成部分，需要具备基础性、指导性和普适性的特征，为全国范围内的生物识别信息保护工作提供统一的技术规范和行为准则。其主要内容应当涵盖对数据管理制度的基本要求，这些要求须贯穿生物识别信息的收集、存储、传输、使用、共享、销毁等各个环节，包括但不限于信息收集的合法性前提、存储过程的安全技术标准、传输环节的加密规范、使用范围的必要限度以及信息销毁的彻底性要求等。
六、结语
在国家大力推进数字经济规范发展与个人信息保护的背景下，如何妥善处理数字文旅中生物识别信息的侵权问题，已成为司法实践必须直面的重要课题。尽管当前针对数字文旅中生物识别信息侵权的司法认定尚处于探索阶段，诸多问题如“知情—同意”原则的场景化适用、因果关系的证明路径等仍需进一步厘清，但其对于平衡技术创新与权利保护、构建数字文旅健康发展的法治生态具有不可替代的价值。在现有法律框架对新兴数字场景的适配性仍待提升的当下，明晰生物识别信息侵权的司法认定路径，显然有助于补足数字时代个人信息保护的司法保障短板。为使这种保障作用得到持续且有效的发挥，还需要通过更多司法实践的积累，提炼出契合数字文旅特点的认定规则与标准。本文围绕数字文旅中生物识别信息侵权核心要件的司法认定所展开的探讨，即是对此方向的一次初步探索与尝试。
原文链接
刊文推介||数字文旅中生物识别信息侵权的司法认定
