employee-biometric-data

员工生物识别数据

概述

根据 GDPR 第 9(1) 条，若为唯一识别自然人的目的处理生物识别数据，则该数据属于特殊类别的个人数据。欧洲监管机构最常审查的活动之一，就是使用生物识别数据进行员工考勤和访问控制。第 9(1) 条一般禁止处理特殊类别数据，这意味着雇主必须明确指出第 9(2) 条中的具体例外，满足比例原则要求，证明不存在侵扰性更低的替代方案，并落实严格的保障措施。对于未能满足这些要求的生物识别数据处理，国家数据保护机构（DPA）已开出大额罚款，其中包括具有里程碑意义的 Clearview AI 执法行动，以及针对工作场所指纹系统的行业专项决定。

法律框架

第 4(14) 条 — 生物识别数据的定义

“生物识别数据是指通过对自然人的身体、生理或行为特征进行特定技术处理而产生的个人数据，能够唯一识别或确认该自然人身份，例如面部图像或指纹数据。”

第 9(1) 条 — 一般禁止规定

“为唯一识别自然人的目的而处理……生物识别数据……应予禁止。”

关键区别：出于唯一识别以外的目的处理的生物识别数据，可能不属于第 9(1) 条所指的特殊类别数据。不过，在雇佣关系中，为考勤和访问控制而处理生物识别数据，几乎总是出于身份识别目的。

第 9(2) 条 — 适用于雇佣关系的例外

例外	条款	对雇佣关系中的生物识别数据处理的适用性
明确同意	第 9(2)(a) 条	由于雇佣关系中的权力不平衡，通常不具效力（参见 employment-consent-limits skill）
劳动法义务	第 9(2)(b) 条	在国家法律明确规定或授权为雇佣目的处理生物识别数据时有效
重大公共利益	第 9(2)(g) 条	在国家法律对关键基础设施规定生物识别访问控制要求时有效
不适用	第 9(2)(e) 条	数据“明显由本人公开”——员工不会明显地公开其生物识别数据

主要国家的例外规定

法国 —《劳动法典》第 L.1121-1 条 + CNIL 框架：

• CNIL 发布了专门指南：“生物识别条例”（2019 年 1 月 10 日第 2019-001 号决定）
• 在具体情境有正当理由时，允许使用生物识别门禁控制进入场所、设备和应用程序
• 存储方式的优先顺序：（1）由员工持有的个人设备（徽章）；（2）由员工控制的集中式数据库；（3）不受员工控制的集中式数据库（需要最充分的正当理由）
• 必须告知员工，并为其提供非生物识别的替代访问方式

德国 —《联邦数据保护法》第 26(3) 条：

• 为就业目的处理包括生物识别数据在内的特殊类别数据，在为行使劳动法、社会保障法或社会保护法项下的权利或履行义务所必需时，属于允许情形
• 适用《企业组织法》第 87(1)(6) 条规定的职工委员会共同决定权

荷兰 —《实施法》第 29 条：

• 为身份验证或安全目的所必需时，允许处理生物识别数据
• 荷兰数据保护局（Autoriteit Persoonsgegevens）已发布具体指南，将生物识别数据处理限制在高安全级别情境中

意大利 —《工人章程》第 4 条 + Garante 指南：

• 使用生物识别门禁控制须取得工会协议或劳动监察部门授权
• Garante 已发布多项决定，将生物识别考勤限制在特定行业

瑞典 — Datainspektionen 决定：

• 瑞典数据保护局曾因一所学校使用面部识别监控出勤，对其处以 200,000 瑞典克朗罚款（DI-2019-2221）。该决定确立了重要先例：在存在更简单替代方案时，使用生物识别技术监控出勤属于不成比例的做法

就业领域的生物识别技术

指纹识别

使用场景：考勤（签到/签退）、实体门禁控制、设备身份验证。

技术处理流程：指纹扫描仪采集摩擦脊图像 → 对图像进行处理以提取细节点 → 将细节点模板与已存储的模板进行比对 → 得出匹配/不匹配结果。

隐私注意事项：

• 模板存储：将模板存储在员工持有的个人智能卡中（侵入性较低），而不是集中式数据库中（侵入性较高）
• 可撤销性：与密码不同，指纹一旦泄露便无法更改
• 必须记录误接受率（FAR）和误拒绝率（FRR）
• 皮肤状况、受伤或残障影响指纹的员工必须有替代访问方式

Atlas Manufacturing Group 示例：Atlas 为其研发实验室安装了指纹扫描仪，该实验室用于开发专有配方。DPO 根据第 9(2)(b) 条（《德国联邦数据保护法》第 26(3) 条）批准仅在研发实验室部署，并设定以下条件：（1）指纹模板存储在员工 ID 徽章上，而非集中式数据库中；（2）为提出异议或有医疗状况的员工提供 PIN 码替代访问方式；（3）部署前完成 DPIA；（4）咨询职工委员会并取得其同意。

面部识别

用例：非接触式门禁、工时与出勤记录、安全区域管理。

技术处理：摄像头采集面部图像 → 测量面部几何特征（眼间距、鼻部形状、下颌轮廓）→ 将几何数据转换为数学模板 → 将模板与已登记的图像进行比对。

隐私注意事项：

• 面部识别比指纹扫描更具侵入性，因为即使员工未主动配合或不知情，也能进行识别（被动式生物识别，而非主动式生物识别）。
• 在工作场所持续进行面部识别可能构成系统性监控，从而触发额外的数据保护影响评估（DPIA）要求。
• 功能蔓延风险：为门禁部署的面部识别可能扩展到情绪检测、注意力监控或行为分析。
• 偏见与准确性：已有记录表明，面部识别系统对某些人口群体的错误率较高，带来歧视风险。

监管机构立场：大多数欧洲数据保护机构认为，如果有更简单的替代方案（门禁卡、PIN、指纹），则将面部识别用于一般工时与出勤记录并不合乎比例原则。只有在必须进行非接触式验证的高安全级别门禁场景中（洁净室环境、核设施），面部识别才可能具有正当性。

虹膜扫描

用例：高安全级别门禁、在不适合采用手部生物识别的环境中进行身份验证（例如要求佩戴手套的洁净环境）。

隐私注意事项：

• 属于最准确的生物识别方式之一（FAR 低于 0.0001%）。
• 受环境因素影响小于指纹识别。
• 通常仅用于高安全级别场景，在此类场景中，较高的侵入性具有正当理由。

语音识别

用例：电话身份验证、呼叫中心客服人员验证、语音激活系统。

隐私注意事项：

• 语音数据可能泄露健康信息（疲劳、醉酒、情绪状态），可能引发额外的第 9 条问题。
• 与其他生物识别方式相比，语音模板更容易被伪造。
• 环境噪声和语音变化（疾病、衰老）会影响准确性。

行为生物识别

用例：击键动态、步态分析、鼠标移动模式。

隐私注意事项：

• 通常会在员工未明确采取行动的情况下被动收集。
• 可能揭示健康状况（颤抖、认知障碍）。
• EDPB 尚未就就业领域的行为生物识别发布具体指南，但比例原则和透明度方面的现有原则仍然适用。

必要性测试框架

在部署任何生物识别系统之前，雇主必须证明生物识别处理确属必要，且不存在能够实现相同目的、侵入性更低的替代方案。

第 1 步：明确具体目的

目的必须具体、有记录且范围有限：

• “控制对含有专有配方的研发实验室的访问”——可接受
• “改进劳动力管理”——过于笼统
• “确保准确记录工时与出勤情况”——生物识别处理不太可能是实现此目的所必需的

步骤 2：评估侵入性较低的替代方案

用途	生物识别方案	侵入性较低的替代方案	生物识别的必要性
进入高安全区域	指纹扫描仪	智能卡 + PIN 码	如果有记录在案的尾随进入／共用卡片安全问题，生物识别可能有合理依据
一般建筑出入管理	面部识别	门禁卡／感应卡	生物识别不成比例；门禁卡可提供同等安全性
考勤	指纹打卡机	门禁卡、PIN 码、主管签字确认	生物识别不成比例；可通过监督解决代人打卡问题
设备身份验证	指纹／面部解锁	密码、智能卡	对于有记录在案密码风险的高敏感度设备，生物识别可能有合理依据
洁净室出入管理	虹膜扫描	门禁卡 + 气闸室	如果操作上确有必要使用非接触式身份识别，生物识别可能有合理依据

步骤 3：比例性评估

即使生物识别处理通过了必要性测试，也必须符合比例原则：

• 安全风险是否足够重大，足以证明处理特殊类别数据的合理性？
• 生物识别系统是定向应用（仅限特定区域／岗位），还是一刀切（覆盖所有员工）？
• 是否落实了充分的保障措施（模板存储、保留期限、访问控制）？
• 对提出异议的员工，是否提供了可用的非生物识别方式？

员工异议程序

无论采用何种合法依据，雇主都必须提供切实可行的异议机制：

异议处理流程

1. 登记时告知：要求员工登记生物识别数据时，必须告知他们：

   • 生物识别处理的具体目的
   • 合法依据（第 9(2) 条规定的条件和第 6(1) 条规定的依据）
   • 是否提供非生物识别替代方式
   • 他们提出异议或撤回同意的权利（以同意作为依据时）
   • 数据保留期限和删除程序

2. 替代出入方式：必须始终提供非生物识别替代方式：

   • 使用 PIN 码 + 感应门禁卡进行出入管理
   • 使用手动签到表或主管确认进行考勤
   • 使用密码或智能卡进行设备身份验证

3. 不得造成不利后果：使用替代方式的员工不得因此遭受任何不利影响：

   • 使用替代方式不得额外耗时
   • 不得在考勤系统中标记
   • 不得在人员档案中留下负面记录

4. 正式处理异议：异议必须：

   • 记录在隐私管理系统中
   • 在 5 个工作日内确认收到
   • 立即处理（切换至替代方式）
   • 由 DPO 审核

特殊情况

• 残障：生物识别特征受到某些状况影响（皮肤状况、假肢、面部差异）的员工，必须获得无障碍替代方式，且无需披露其状况
• 宗教异议：部分员工可能基于宗教原因反对收集生物识别数据；替代方式必须满足这些需求
• 工会代表：根据国家共同决定权，员工代表委员会成员可代表其所代表的员工提出异议

数据保护保障措施

模板存储层级（依据 CNIL Règlement Type Biométrie）

存储方式	风险等级	适用情形
由员工持有的个人设备（门禁卡、令牌）	最低	所有生物识别部署的默认首选方式
由员工控制访问密钥的集中式数据库	中等	技术上无法使用个人设备存储时
员工无法控制的集中式数据库	最高	仅适用于有具体记录的安全要求且有最充分理由的情形

技术保障措施

• 生物识别模板必须在静态存储时加密（最低要求为 AES-256），并在传输过程中加密（TLS 1.3）
• 不得存储原始生物识别数据（指纹图像、面部照片）；只能保留派生模板
• 模板格式必须针对特定系统，以防止跨系统匹配
• 必须实施防欺骗措施（活体检测）
• 生物识别系统必须与常规 IT 网络隔离
• 只能由获授权的安全人员通过多因素身份验证访问生物识别数据库
• 必须维护所有生物识别系统访问的审计日志

保留与删除

• 雇佣关系终止后，必须立即删除生物识别模板
• 员工提出异议或撤回同意后，必须立即删除生物识别模板
• 处理目的不复存在时，必须删除生物识别模板（例如，员工调任至无需进入受保护区域的岗位）
• 必须核实删除情况并记录在案，提供销毁证明

执法先例

主管机构	案件	罚款/结果	主要问题
Datainspektionen（瑞典）	DI-2019-2221	SEK 200,000	学校使用面部识别记录学生出勤——不合比例，且存在更简单的替代方案
CNIL（法国）	Clearview AI, 2022	EUR 20,000,000	在没有合法依据或 DPIA 的情况下处理生物识别数据（面部识别）
AEPD（西班牙）	PS/00218/2021	EUR 20,000	雇主要求员工使用指纹进行考勤，但未评估必要性，也未提供替代方法
Garante（意大利）	Provvedimento 9832838, 2021	禁止处理	雇主部署面部识别进行门禁控制，但未分析必要性，也未满足第 9(2) 条规定的条件
Autoriteit Persoonsgegevens（荷兰）	2020 Investigation	警告 + 停止令	雇主使用指纹进行考勤；AP 认定这对于考勤目的而言不合比例
ICO（英国）	Enforcement notice, 2022	下令停止处理	雇主部署掌静脉扫描进行一般门禁控制，但未开展 DPIA

集成点

• 员工监控 DPIA：生物识别系统必须接受 DPIA（参见 employee-monitoring-dpia 技能）。
• 雇佣关系中的同意限制：由于雇佣关系中的权力不平衡，生物识别处理的同意受到限制（参见 employment-consent-limits 技能）。
• HR 系统隐私配置：将生物识别系统集成至 HR/考勤系统时，必须进行隐私配置（参见 hr-system-privacy-config 技能）。
• 背景调查隐私：为门禁控制收集的生物识别数据必须与背景调查数据分开（参见 background-check-privacy 技能）。