生物识别数据（biometric data），又称生物识别特征，是指对自然人身体、生理或行为进行一定的技术处理所得的能够识别特定自然人的信息[1]。常见的身体、生理信息包括指纹信息、掌纹信息、面部识别信息、声纹信息、虹膜信息、基因信息、血管分布信息等。行为特征则包括手写签名、键盘输入、特定的步行或说话方式等。[2]
生物识别数据因其便捷、快速等特点被广泛应用于社交、消费、交通、金融、智慧城市等领域，具体应用场景包括电子支付、门禁、考勤、手机解锁等。生物识别数据具有唯一可识别特性，安全隐患不容忽视。一旦发生数据泄露、非法提供或被滥用，将极大危害数据主体的人身和财产安全。例如，2019年8月20日，瑞典一高校使用人脸识别技术来记录学生的上课考勤被认定违反《通用数据保护条例》（General Data Protection Regulation, GDPR）；国内南京某高校在校门、教室、图书馆等处安装人脸识别系统用于门禁、考勤以及监控记录，学生发呆、玩手机都能被感知到，涉嫌侵犯学生隐私引发舆论热议；9月，国内某网络商城被发现有商家公开售卖“人脸数据”，数量高达17万条；甚至，拍照比“剪刀手”的照片通过放大技术和AI增强技术，照片中人物的指纹信息就能被还原出来。
各国对于生物识别数据的法律规制差异性较大。多数国家和地区的法律法规将生物识别数据定义为敏感个人数据或特殊类型个人数据，严格限制生物识别数据的使用目的。但也有部分国家将生物识别数据视为一般个人数据，不作特殊处理。
1、欧盟地区
针对生物识别数据被用于识别、授权、认证以将数据主体与他人相区分，GDPR第9条对包括生物识别数据在内的特殊类型个人数据的处理加以严格限制——采取一般性禁止处理的立场[3]，并在第9条第4款对基因数据、生物识别数据或健康数据的处理规定了成员国可以维持或引入更进一步的限制条件。但也在第2款规定了10种例外：包括数据主体的明示同意、数据主体自行公开、为了数据主体的工作、社会保障目的、其他重要利益、公共利益、公共健康、研究目的等例外情形。尽管例外情形为数不少，但基本上除了数据主体的明示同意或者公开之外，例外情形的适用空间是十分有限的。
2、亚洲国家
目前，中国将生物识别数据定义为敏感个人信息，通常以国家标准的形式规范生物识别数据保护要求。《GB/T 35273-2017 个人信息安全管理规范》要求收集、使用敏感信息，应当取得个人信息主体的明示同意。《信息技术 安全技术 生物特征识别数据的保护要求（征求意见稿）》对生物识别数据作出专门规定。《信息安全技术 个人信息安全工程指南（征求意见稿）》要求对生物识别数据采取不可逆向保护措施。《信息安全技术 个人信息安全影响评估指南（征求意见稿）》要求对生物识别应用进行安全影响评估，并针对生物识别数据的收集、使用、存储、销毁全生命周期提出合规要求。根据《信息安全技术 个人信息安全影响评估指南（征求意见稿）》，企业应当：1）在收集生物识别数据时，生物识别系统所有者应取得数据主体的同意，并向数据主体提供在信息的生命周期内控制其生物识别数据的方法；2）提供同意撤回的机制；3）提供适当的安全措施，从而防止对生物识别数据和相关的生物识别系统本身的保密性、完整性和可用性造成攻击；4）最大程度确保用于识别或验证决策的信息的完整性、准确性和时效性；5）对数据主体访问其生物识别数据的任何请求做出响应；6）不得共享、转让个人生物识别数据，不得公开披露个人生物识别数据；7）对任何导致主体生物识别数据受损的违规行为进行通知。但国标并非法律，仅具有参考适用价值。因此可以说，法律规制的缺失使得我国生物识别数据的处理仍处于野蛮生长阶段。例如，第二代居民身份证、港澳通行证、护照均实行指纹采集，企业对员工、学校对学生实行“指纹、刷脸打卡考勤”均为常态。
其他经济发展水平较高的亚洲国家，如新加坡、菲律宾、日本、韩国等，均将生物识别数据定义为一般个人数据，不属于特殊数据类型，适用一般个人数据保护要求。其他亚洲区国家数据保护法尚在制定中或无数据保护法。
总体上来说，亚太区对于生物识别数据的保护水平相对较低。
3、美国
目前，虽然美国暂无专门的联邦法律规范生物识别数据的收集和使用，但《联邦联贸易委员会法》（《FTC法案》）第5条赋予了联邦贸易委员会（FTC）广泛的执法权，以保护消费者免受不公平和欺骗性贸易行为的影响。[4]FTC可以对从事涉及生物识别数据的不公平或欺骗性贸易行为的商业组织采取执法行动。换言之，如果收集和使用生物识别数据的商业组织未能履行对消费者个人数据收集、使用和保护的承诺，则可能会受到FTC的处罚。
FTC在2012年发布了关于面部识别技术的报告，为企业提供了保护消费者个人数据的最佳实践。FTC建议企业[5]：
通过设计保护隐私。企业应在产品和服务的整个生命周期中实施适当的数据安全措施；
提供选择的权利。企业应以简单易行的方式给消费者提供选择权，包括面部识别数据不被收集和使用的权利、在任何时候关闭面部识别或删除已收集的面部识别数据的权利；
遵循透明原则。企业应提供有关其如何收集、使用、保护、共享个人数据（包括生物识别数据）的清晰且可访问的信息。
此外，目前共有7个州或城市制定了与生物识别数据相关的法律，分别是伊利诺伊州、德克萨斯州、华盛顿州、马萨诸塞州萨默维尔市、俄勒冈州和新汉普郡以及加利福尼亚州旧金山市。其他州也在考虑出台相似立法。美国在人脸识别技术应用方面正逐渐趋于保守，例如旧金山市和萨默维尔市禁止政府使用面部识别技术。
伊利诺伊州于2008年通过了《生物信息隐私法案》（Biometric Information Privacy Act, BIPA）。根据BIPA，在告知同意机制方面，组织不能通过商业或其他渠道收集、购买生物识别数据，除非符合以下两种情况：1）向数据主体提供书面声明，说明收集、存储生物识别数据的情况以及收集、使用生物识别数据的处理目的和存储期限；2）获得数据主体或其合法授权代表人签署的书面同意。在使用范围方面，存在几方面限制：1）组织不得披露持有的生物识别数据，除非获得数据主体的有效同意、满足数据主体处理金融交易的要求/授权或依据法律、执法要求进行披露；2）不得出售、出租、交易或以其他方式从收集的生物识别数据中获利。在存储期限方面，组织应当制定并公开提供书面的存储政策，在以下两种期限中选择最短的一种期限，永久删除生物识别数据：1）实现收集生物识别数据的初始目的；2）在数据主体与组织最后一次互动后的三年内。
德克萨斯州在2009年通过了《采集和使用生物识别数据法》（Capture or Use of Biometric Identifier Act, CUBI）。在告知同意机制方面，像BIPA一样，CUBI要求组织在收集任何生物识别数据之前通知数据主体并获得他们的同意，但是没有指定通知和同意必须采用的形式。在使用范围方面，CUBI禁止组织出售、租赁或以其他方式披露用于商业目的生物识别数据，除非符合以下情况：1）数据主体同意为在其失踪或死亡时识别其身份披露生物识别数据；2）为完成数据主体授权的金融交易；3）根据州或联邦法规要求允许进行披露，或对执法机构发出的逮捕令做出回应。在存储期限方面，生物识别数据必须在合理时间内销毁，且不得迟于收集生物识别数据的目的实现之日起一年的时间节点。
华盛顿州州长于2017年5月16日签署通过了《华盛顿法案》（Washington bill）。《华盛顿法案》禁止在以下情形中将生物特征识别数据纳入数据库用于商业目的：1）未事先提供通知；2）未获得数据主体同意；3）未提供防止后续用于商业目的的预防机制。
生物识别应用场景广阔，根据商业用途划分可以细分为物理门禁、考勤、金融支付、语音助手、指纹解锁、身份认证等。但即便是最先进的立法技术也无法跟上技术及商业模式的创新，在未颁布相关立法的国家中，生物识别数据的商业使用处于灰色地带，存在突发性立法或执法行动带来的数据保护合规风险。在国内生物识别数据保护法律规制相对缺失的情况下，通过企业内部行为规范、行业标准和行业协会的监督，实现收集、处理生物识别数据的企业的自我规范、自我约束和自我完善不失为一种可倡导的有效的保护模式。例如，近日支付宝发布了国内首个《生物识别用户隐私与安全保护倡议》，呼吁从隐私、安全、防止信息滥用、责任与监督、公平等角度对生物识别数据进行规范化管理。
【支付宝】生物识别用户隐私与安全保护倡议
1. 隐私保护：应遵守“最小、够用”原则，采集时仅向用户申请必要的信息授权，充分保障个人的知情权和选择权。另外，对于储存用户信息的时长应该建立规范和透明的制度。
2. 安全保护：对采集到的信息应进行加密存储来提高安全强度，同时应成立以公司管理层为核心的风险小组来统筹信息安全保护工作，最大程度保护用户权益。
3. 防止信息滥用：应明确和规范用户信息使用的目的以及范围，避免信息被过度使用，在使用时，需要考量使用目的、范围是否具有必要性和合理性。
4. 责任与监督性：企业应建立相关的保险机制，最大程度地防止对用户可能产生的资金风险，在面对安全风险问题时，应形成预防、审核、处置、问责等机制。以此来确保生物识别服务的安全性、可控性和透明性。
企业进行生物识别数据的合规管理应当遵守数据处理基本原则、完善和落实生物识别数据的告知同意机制、遵守生物识别数据的使用限制、进行生物识别应用的风险审查。
（一）数据处理基本原则
对于生物识别数据，企业应当遵守合法、公平、透明原则、数据最小化原则、目的限制原则、完整性与保密性、准确性原则、存储限制原则、责任原则。
1、合法、公平、透明原则
企业收集、使用、存储、分享生物识别数据应遵守合法原则，符合业务国家数据保护相关立法及数据保护监管机构要求和行业习惯。企业应当以清晰、明确、易懂的方式告知数据主体其生物识别数据被收集的类型及目的、第三方共享情况、数据保留期限、删除和去标识化手段、拒绝的权利和方式等。
2、数据最小化原则
企业应严格限制在社交或消费等商业用途上过度使用生物识别数据。在收集、使用生物识别数据时应充分权衡数据安全风险与数据主体的可得利益，并向数据主体提供减轻或避免风险的选择。对于人脸识别等生物识别数据的使用应持谨慎态度。根据数据最小化原则，处理的个人数据应该是充分的、相关的，并且与处理它们的目的相关，而不能过于全面的收集、处理数据。只有在其他方法无法以令人满意的方式实现处理目的时，才可以考虑使用此类敏感数据，否则将存在较大的合规风险。
3、目的限制原则
企业应当基于具体、明确、合法的目的收集个人数据，且随后不得以与最初目的相违背的方式处理数据。
4、完整性与保密性
企业应当依据生物识别数据的敏感性、规模和使用环境，采取最适当的技术和组织安全保护措施，包括但不限于数据加密、病毒防护、访问控制、员工培训等，防止未经授权的访问、修改、破坏、泄露。
5、准确性原则
企业应当采取措施来确保生物识别数据的准确性，同时应当告知数据主体审查其个人数据准确性及数据有误时反馈修改的途径与方式。
6、存储限制原则
企业应当制定并公开提供书面的存储政策，告知数据主体存储期限，并在约定的时间内删除、销毁生物识别数据。数据存储期限通常限制为实现数据处理目的的必要时间。
7、责任原则
企业在处理生物识别数据时应当提供充分的责任保障，明确责任人员，规范公司内部相关制度，并保存数据处理的相关记录。
（二）生物识别数据的告知同意机制
在告知同意机制方面，企业应当在收集生物识别数据前向数据主体提供书面声明，说明收集、存储生物识别数据的情况以及收集、使用生物识别数据的处理目的和存储期限，并征求数据主体或其合法授权代表人签署的书面同意。
（三）严格限制使用生物识别数据
生物识别数据的敏感程度较高，通常要求严格限制使用生物识别数据，具体表现为：1）公司原则上不得公开披露持有的生物识别数据，法律另有规定除外；2）不得出售、出租、交易或以其他方式从收集的生物识别数据中获利；3）不得超出约定使用目的范围。
（四）生物识别应用的风险审查
公司面临的最大风险之一就是根本不了解其拥有的生物识别数据的数量或类型。为了更好地掌握公司对于生物识别数据的处理方式并使之符合法律规定要求，企业应对生物识别应用进行风险审查，审查内容包括但不限于：
收集有关个人信息（包括生物识别数据）的事实，例如如何收集信息，收集目的以及存储数据的形式和位置；
确定用于收集或存储生物识别数据的特定技术和软件；
定期进行风险评估；
严格控制生物识别数据的访问权限，识别并保存访问生物识别数据的处理记录，以确保遵守应适用的有关隐私和数据安全的任何法律法规和组织政策；
评估与服务提供商的合同，以确定它们是否符合数据安全要求，禁止未经数据主体同意共享生物识别数据；
起草或修订用于管理生物识别数据的制度规范和内部流程；
制定计划以纠正任何已发现的合规差距。
无论是对生物识别数据的法律规制还是行业自律，都不是为了限制生物识别技术的发展，而是为了在大数据与人工智能的滚滚洪流中合法、合规、合理地使用生物识别数据。
