dpia-biometric-systems

生物识别系统的数据保护影响评估（DPIA）

概述

用于唯一识别自然人的生物识别数据处理属于 GDPR 第 9(1) 条规定的特殊类别数据，并依据第 35(3)(b) 条——“大规模处理特殊类别数据”——必须开展 DPIA。欧洲数据保护委员会（EDPB）的 DPIA 指南将生物识别处理列为固有高风险活动，无论规模大小，均须进行评估。本技能提供了一套结构化的 DPIA 方法，专为生物识别识别和身份验证系统设计。

何时必须对生物识别系统开展 DPIA

根据 EDPB WP248rev.01，如果处理活动符合九项标准中的两项或更多项，则必须开展 DPIA。生物识别系统通常符合以下标准：

EDPB 标准	与生物识别的相关性
特殊类别数据（标准 4）	用于唯一识别时，生物识别数据属于第 9(1) 条规定的数据
系统性监控（标准 3）	人脸识别监控摄像头、持续步态分析
大规模处理（标准 5）	在整个组织范围内部署指纹扫描仪
创新技术（标准 8）	行为生物识别、情绪检测、多模态生物识别
弱势数据主体（标准 7）	员工（权力不对等）、儿童、患者
自动化决策（标准 2）	未经人工审核，基于生物识别做出访问决策

各国数据保护机构（DPA）的黑名单均将生物识别处理列为必评事项：

• CNIL（法国）：Deliberation 2018-327，清单 11——用于识别的生物识别处理
• ICO（英国）：任何规模的生物识别数据处理均须开展 DPIA
• AEPD（西班牙）：清单包含用于访问控制的生物识别处理
• BfDI（德国）：所有员工生物识别处理均须开展 DPIA

DPIA 评估结构

第 1 节：处理活动说明（第 35(7)(a) 条）

详细记录生物识别系统：

系统架构：

• 生物识别模态：指纹、人脸识别、虹膜、语音、行为或多模态
• 采集设备规格：传感器类型、分辨率、活体检测能力
• 模板提取算法：供应商、版本、是否符合 ISO/IEC 19795
• 模板存储：设备端（令牌/徽章）、本地服务、集中式数据库、云端
• 匹配架构：1:1 验证或 1:N 识别
• 集成点：访问控制、工时与考勤、人力资源系统、监控摄像头

数据流：

• 原始生物识别数据采集（图像、音频、行为信号）
• 特征提取和模板创建
• 模板存储位置及加密
• 匹配和决策流程
• 审计日志记录
• 模板删除和生命周期

数据主体和规模：

• 已登记个人的数量
• 每日生物识别交易数量
• 数据主体类别（员工、访客、承包商、客户）
• 受影响的弱势群体（权力不对等的员工、儿童）

第 2 节：必要性与比例性（第 35 条第 7 款 (b) 项）

合法依据评估：

依据	第 6 条第 1 款	第 9 条第 2 款	评估
同意	第 6 条第 1 款 (a) 项	第 9 条第 2 款 (a) 项	对员工而言存在问题（权力不平衡）；对自愿选择加入的客户而言可能有效
法定义务	第 6 条第 1 款 (c) 项	第 9 条第 2 款 (b) 项	在国家法律要求进行生物识别验证的情况下有效（核设施、药品生产）
合法利益	第 6 条第 1 款 (f) 项	不适用	第 9 条第 2 款不包括合法利益；必须与另一项第 9 条第 2 款条件结合使用
公共利益	第 6 条第 1 款 (e) 项	第 9 条第 2 款 (g) 项	在边境管控、执法具有成员国法律依据的情况下有效
劳动法	第 6 条第 1 款 (b) 项	第 9 条第 2 款 (b) 项	在国家劳动法授权进行生物识别处理并设有适当保障措施的情况下有效

必要性测试：

1. 明确定义具体、明确的目的（不是“安全”，而是“控制进入药品洁净室”）
2. 证明生物识别处理比替代方案更有效地实现该目的
3. 记录侵入性较低的替代方案为何不足（已记录的工牌共用事件、PIN 安全漏洞）
4. 确认处理范围仅限于必要内容（不得功能蔓延，不得用于次要用途）

比例性评估：

• 安全风险的严重程度与生物识别处理的侵入性相比
• 范围：针对性部署（特定区域／岗位）与全面部署
• 为反对者提供可用的非生物识别方法
• 采取与特殊类别数据风险升高相称的保障措施

第 3 节：风险识别与评估（第 35 条第 7 款 (c) 项）

生物识别特有的风险类别：

风险 ID	风险类别	描述	典型严重程度
BIO-R1	模板泄露	未经授权访问生物识别模板数据库；与密码不同，生物识别特征无法更改	极高
BIO-R2	功能蔓延	为访问控制收集的生物识别数据被改用于监控、情绪检测或绩效跟踪	高
BIO-R3	歧视	生物识别系统的准确率因人口群体（肤色、年龄、残障）而异，导致某些群体遭受不成比例的误拒	高
BIO-R4	秘密采集	在数据主体未主动参与或不知情的情况下采集面部识别或行为生物识别数据	高
BIO-R5	跨系统关联	在互不相关的系统间匹配生物识别模板，导致跟踪范围超出原始目的	极高
BIO-R6	欺骗与欺诈	利用生物识别数据制作合成表征（深度伪造、人工指纹）	高
BIO-R7	寒蝉效应	员工因意识到受到生物识别监控而改变行为，影响表达与结社自由	中
BIO-R8	不可撤销性	生物识别数据遭泄露后无法像密码一样重置；对数据主体造成终身影响	极高

第 4 节：缓解措施（第 35(7)(d) 条）

技术保障措施：

措施	标准参考	实施方式
生物特征模板保护	ISO/IEC 24745:2022	采用可撤销生物特征或生物特征加密，确保无法从模板反向还原出原始数据
设备端模板存储	CNIL Reglement Type Biometrie	模板存储在员工持有的徽章／令牌上；不建立集中式数据库
活体检测	ISO/IEC 30107	反欺骗措施：3D 深度感应、脉搏检测、质询—响应
静态加密	最低 AES-256	对所有生物特征模板和审计日志进行加密
传输中加密	TLS 1.3	对采集设备与匹配引擎之间传输的所有生物特征数据进行加密
模板不可逆性	ISO/IEC 24745 第 6 节	使用单向转换，确保无法重建原始生物特征
系统隔离	网络分段	生物特征系统部署在专用 VLAN 上，无法连接互联网
审计日志记录	不可篡改的日志	记录所有注册、匹配和管理访问事件

组织保障措施：

措施	实施方式
DPIA 审查周期	每年重新评估，或在系统发生变更时重新评估
替代访问方式	向所有数据主体提供非生物特征的替代方式（PIN + 徽章）
员工异议程序	建立正式的异议机制，不产生任何不利后果
终止雇佣时删除	在雇佣关系终止后 24 小时内删除生物特征模板
访问限制	仅允许指定的安全管理员通过 MFA 访问生物特征数据库
供应商尽职调查	评估生物特征供应商是否符合第 28 条要求、其子处理者链以及国际传输情况
培训	对所有操作人员进行生物特征系统操作和数据保护义务方面的培训
事件响应	针对生物特征数据泄露制定专门的处置程序，包括告知数据无法撤销的风险

DPO 咨询要求

根据第 35(2) 条，控制者在开展 DPIA 时应征询 DPO 的意见。对于生物特征系统，DPO 应重点评估：

1. 是否已充分确立第 9(2) 条规定的例外情形
2. 是否已严格执行必要性测试
3. 是否真正评估了侵入性较低的替代方案（而非流于形式地予以排除）
4. 对于较高风险，拟议的保障措施是否充分
5. 是否需要根据第 36 条事先征询监管机构

第 36 条事先征询的触发情形

如果 DPIA 得出结论，认为采取所有缓解措施后仍存在较高的剩余风险，控制者必须在开始处理前根据第 36(1) 条征询监管机构。对于生物特征系统，通常在以下情形下需要事先征询：

• 在公共或半公共场所部署大规模人脸识别
• 在缺乏明确法律依据的情况下，对弱势群体（儿童、患者）进行生物特征数据处理
• 集中式生物特征数据库存储了超过 10,000 名个人的模板
• 生物特征系统在多个场所采用 1:N 身份识别模式运行
• 无法为提出异议的个人提供充分的生物特征处理替代方案

整合点

• 员工生物特征数据：有关就业场景中生物特征处理的详细指南（参见 employee-biometric-data skill）
• DPIA 风险评分：DPIA 评估结果的风险评分方法（参见 dpia-risk-scoring skill）
• DPIA 缓解计划：结构化的缓解规划（参见 dpia-mitigation-plan skill）
• DPIA 利益相关方咨询：数据主体咨询要求（参见 dpia-stakeholder-consult skill）
• 员工监控 DPIA：更全面的员工监控评估（参见 employee-monitoring-dpia skill）