biometric-dpia

评估生物识别处理的隐私风险

概述

根据 GDPR 第 9(1) 条，用于唯一识别自然人的生物识别数据属于特殊类别个人数据。大规模处理生物识别数据会触发第 35(3)(b) 条规定的强制性 DPIA。本技能为生物识别系统提供全面的 DPIA 方法，涵盖面部识别、指纹识别、语音识别、虹膜扫描、静脉模式分析和行为生物识别（步态、打字模式、签名动态）。

生物识别数据的法律框架

GDPR 定义 — 第 4(14) 条

“‘生物识别数据’是指通过对自然人的身体、生理或行为特征进行特定技术处理而生成的个人数据，这些数据能够唯一识别或确认该自然人的身份，例如面部图像或指纹数据。”

第 9(1) 条 — 禁止处理特殊类别数据

除非适用第 9(2) 条规定的豁免情形，否则禁止为唯一识别自然人而处理生物识别数据。

关键区别：仅当生物识别数据是“为唯一识别”某人而处理时，第 9 条才适用。用于说明目的的照片不属于第 9 条所指的数据；若通过面部识别软件处理同一张照片以识别此人，则属于第 9 条所指的数据。

适用于生物识别处理的第 9(2) 条豁免情形

豁免情形	依据	对生物识别的适用情况
明确同意	第 9(2)(a) 条	由于权力不平衡，员工的同意往往并非自由作出（WP29 意见 2/2017）。消费者对生物识别数据的同意必须符合第 7 条的标准。
就业、社会保障和社会保护法	第 9(2)(b) 条	成员国法律可能授权在就业场景中处理生物识别数据（例如，高安全区域的生物识别门禁控制）。
重大利益	第 9(2)(c) 条	仅适用于需要通过生物识别识别来保护某人生命的紧急情况。
重大公共利益	第 9(2)(g) 条	必须以成员国法律为依据。对于经具体法规授权的执法生物识别，可能适用。
医疗或社会照护	第 9(2)(h) 条	医疗场景中的患者生物识别身份识别。
公共卫生	第 9(2)(i) 条	公共卫生紧急情况下的生物识别接触追踪（须符合比例原则）。
存档、科学研究、统计	第 9(2)(j) 条	生物识别研究（例如，医学影像分析），并采取第 89(1) 条规定的保障措施。

第 35(3)(b) 条 — 强制性 DPIA 触发条件

大规模处理第 9(1) 条所述的特殊类别数据（包括为唯一识别而处理的生物识别数据）必须进行 DPIA。根据 WP248rev.01，“大规模”的判定因素包括：

• 数据主体数量（按绝对数量或占相关人口的比例计算）
• 数据量和／或数据项范围
• 处理的持续时间或永久性
• 地理范围

EDPB《视频监控指南 3/2019》

与面部识别闭路电视监控相关的关键规定：

• 在公共场所进行面部识别，通常构成对公众可进入区域的系统性监控（第 35(3)(c) 条），此外也属于大规模生物识别数据处理（第 35(3)(b) 条）。
• 用于访问控制的面部识别，其侵入性低于在公共场所进行身份识别，但仍须进行 DPIA。
• 目的限制：为访问控制创建的生物识别模板不得改作考勤监控或绩效管理之用。
• 存储限制：在可行的情况下，应将生物识别模板存储在由数据主体控制的设备上（例如门禁卡），而非中央数据库中。

生物识别系统类型与风险评估

验证（1:1 匹配）

将实时生物特征样本与已存储的模板进行一对一比对，以确认所声称的身份。用于访问控制、设备解锁和支付身份验证。

风险因素	评估
数据主体	已定义并已登记的个人
数据量	限于已登记人群
合比例性	通常比身份识别更符合比例原则
存储建议	将模板存储在用户的设备或卡片上（去中心化）
Art. 35(3)(b) 触发条件	取决于已登记人群的规模

身份识别（1:N 匹配）

将实时生物特征样本与模板数据库进行一对多比对，以确定身份。用于执法、边境管控和监控。

风险因素	评估
数据主体	数量可能不受限制（采集区域内的所有人员）
数据量	可能非常庞大（整个群体的数据库）
合比例性	侵入性极强；需要充分的理由
存储建议	1:N 匹配通常需要集中式数据库
Art. 35(3)(b) 触发条件	几乎总是会触发

分类

根据个人的生物特征（年龄、性别、族裔、情绪）将其划分为不同群体，但不对其进行唯一身份识别。用于分析、定向广告和受众测量。

风险因素	评估
Art. 9 适用性	如果不用于唯一身份识别，可能不属于 Art. 9 的适用范围，但风险仍然很高
AI Act 分类	禁止在工作场所或教育领域进行情绪识别（Art. 5(1)(f)）
歧视风险	基于种族、族裔或情绪进行分类会引发平等法方面的顾虑

生物识别系统的 DPIA 内容

系统性描述

对于生物识别系统，Art. 35(7)(a) 要求的系统性描述必须包括：

要素	所需详情
生物特征类型	面部、指纹、虹膜、语音、静脉、步态或多模态
处理模式	验证（1:1）、身份识别（1:N）或分类
采集环境	受控环境（传感器/扫描仪）或非受控环境（CCTV、环境摄像头）
模板存储	集中式数据库、去中心化存储（用户设备/卡片）或加密隔离区
模板格式	专有模板、ISO 19794 标准或原始生物特征数据
匹配算法	供应商算法（注明具体算法）、开源算法或定制开发算法
准确率指标	错误接受率（FAR）、错误拒绝率（FRR）、等错误率（EER）
活体检测	防欺骗措施（呈现攻击检测）
备用机制	生物特征识别失败时使用的替代身份识别方法
保留期限	模板保留期限、原始生物特征数据保留期限、审计日志保留期限

生物识别处理的必要性与比例原则

对生物识别系统进行比例性评估必须严谨，因为生物识别数据：

• 具有永久性（与密码不同，生物特征一旦泄露便无法更改）
• 具有唯一识别性（生物识别数据天然与个人相关联）
• 会带来更高的用途扩张风险（生物识别模板可能被改作他用）
• 一旦泄露，影响将不成比例地严重（生物识别数据无法重新签发）

比例原则问题	评估标准
生物识别处理是否必要，还是可以通过非生物识别替代方案实现相同目的？	门禁卡、密码、口令或不使用生物识别的多因素身份验证
所用的生物识别方式是否为侵扰性最低的选项？	通常指纹识别比面部识别的侵扰性更低；设备端验证比集中式识别的侵扰性更低
生物识别处理的规模是否合乎比例？	对区域内所有人员进行处理（识别），相比之下，对已登记的志愿者进行处理（验证）更符合比例原则
是否将生物识别数据的保留时间降至最低？	优先采用卡内模板存储，而非集中式数据库；提取模板后不应保留原始生物识别图像

生物识别 DPIA 风险登记表

常见的生物识别处理风险

风险 ID	风险	可能性	严重程度	典型等级
BIO-R1	生物识别数据泄露——模板或原始数据暴露给未授权方	可能	极高	极高
BIO-R2	用途扩张——为门禁控制而收集的生物识别数据被改作监控或考勤用途	很可能	严重	高
BIO-R3	准确性存在歧视性差异——面部识别对某些人口群体（肤色、年龄、性别）的识别效果较差	很可能	严重	高
BIO-R4	错误拒绝导致合法访问受阻——残障人士、老年人或患有皮肤病的人遭遇更高的拒绝率	可能	严重	高
BIO-R5	欺骗或呈现攻击——伪造的生物识别样本（照片、面具、人造指纹）绕过安全措施	可能	严重	高
BIO-R6	寒蝉效应——得知公共或工作场所存在生物识别监控后，人们会改变行为	很可能	有限	高
BIO-R7	不可逆性——与密码不同，泄露的生物识别数据无法更改或重新签发	几乎确定	极高	极高
BIO-R8	第三方采集——系统意外采集到未登记人员的生物识别数据	很可能	有限	高

生物识别处理的缓解措施

措施	类型	应对风险
在设备端或卡内存储模板（不使用集中式数据库）	技术（DPbD）	BIO-R1、BIO-R7
模板保护：可撤销生物识别技术或生物识别加密（BioHashing、fuzzy vault）	技术	BIO-R1、BIO-R7
活体检测／呈现攻击检测（符合 ISO 30107 标准）	技术	BIO-R5
通过技术访问控制落实目的限制	技术 + 组织	BIO-R2
按肤色、年龄、性别群体测试人口统计准确性（NIST FRVT 基准）	技术	BIO-R3
提供非生物识别备用机制（PIN、卡、服务台人工覆盖）	组织	BIO-R4
在采集区域设置标识和透明度告知	组织（透明度）	BIO-R6、BIO-R8
提取模板后自动删除原始生物识别图像	技术（数据最小化）	BIO-R1
定期对生物识别系统进行渗透测试	技术（安全）	BIO-R5

执法先例

• CNIL 诉 Clearview AI（2022 年）：因未经同意、未确保透明度且未进行 DPIA，便从互联网大规模收集面部图像用于建立生物识别数据库，被处以 2,000 万欧元罚款。
• ICO 诉 Clearview AI（2022 年）：因同类生物识别处理被处以 750 万英镑罚款；执法通知要求删除英国居民的生物识别数据。
• 瑞典数据保护局诉谢莱夫特奥市政府（2019 年）：因学校使用面部识别追踪学生考勤，被处以 20 万瑞典克朗罚款。鉴于权力不平衡，所依赖的同意并非自由作出；当时也有侵入性更低的替代方案。
• ICO 诉 Serco Leisure（2022 年）：因要求员工在休闲中心使用面部识别进行工时和考勤管理而收到执法通知。该机构未进行 DPIA，也未提供侵入性更低的替代方案。
• CNIL 诉 Clearview AI（2023 年）：因未遵守 2022 年命令而被追加处以 520 万欧元罚款，表明在违反执法命令的情况下继续进行生物识别处理会造成后果。
• 法国最高行政法院诉 Presto（2020 年）：维持了 CNIL 对员工生物识别工时和考勤系统采取的执法措施；法院认定，在有工牌系统可用的情况下，使用指纹扫描考勤不合比例。
• 意大利数据保护局诉宝洁公司（吉列）（2022 年）：针对零售门店中使用面部分析的自动年龄估算系统采取执法行动，原因是该系统未进行 DPIA，也未取得有效同意。